Non. La certification ISO/IEC 42001 porte sur le système de management de l’intelligence artificielle d’une organisation, dans un périmètre défini ; elle n’établit pas, à elle seule, la conformité d’un système d’IA particulier au règlement européen sur l’IA, ou AI Act. Les échéances de 2027 et 2028 concernent certaines obligations applicables aux systèmes à haut risque, selon leur classification.
Ce que couvre la certification ISO/IEC 42001
ISO/IEC 42001:2023 est une norme volontaire et certifiable pour mettre en place un système de management de l’IA. Le certificat porte sur les processus de l’organisation compris dans son périmètre. Il ne certifie ni un modèle ni un produit comme conforme à l’AI Act.
FinTech Global rapporte que la norme aborde notamment la gestion des risques, la gouvernance des données et la supervision humaine. Son annexe A compte, selon cette analyse, 38 mesures de maîtrise réparties entre neuf objectifs ; l’organisation consigne les mesures qu’elle applique ou écarte et motive ses choix. FinTech Global mentionne aussi une évaluation des effets d’un système d’IA sur les personnes, les groupes et la société, à renouveler à intervalles planifiés et après des changements importants.
Ces pratiques peuvent structurer la gouvernance interne. Elles ne remplacent pas les démarches réglementaires propres à chaque système, comme l’évaluation de conformité, le marquage CE, l’inscription dans la base de données de l’UE, la documentation technique prévue à l’annexe IV ou le signalement des incidents graves. FinTech Global recommande de compléter le système de management par une analyse des écarts pour chaque système à haut risque.
Un certificat documente un système de management dans un périmètre donné ; les obligations de l’AI Act s’examinent pour chaque système concerné.
La certification ISO/IEC 42001 ne confère pas, à elle seule, la présomption de conformité prévue à l’article 40 de l’AI Act, selon les analyses de FinTech Global et de Legal247. Cette présomption concerne les exigences couvertes par des normes harmonisées.
Les dates de l’AI Act dépendent de la classification
Le règlement (UE) 2026/1744 fixe deux dates pour l’application du chapitre III, sections 1 à 3, selon la voie de classification du système à haut risque. Le texte prévoit une exception à ce périmètre.
| Classification du système à haut risque | Base juridique | Dispositions concernées | Application à compter du |
| Système classé au titre de l’article 6, paragraphe 2 | Annexe III | Chapitre III, sections 1 à 3, sous réserve de l’exception prévue par le règlement | 2 décembre 2027 |
| Système classé au titre de l’article 6, paragraphe 1 | Annexe I | Chapitre III, sections 1 à 3, sous réserve de l’exception prévue par le règlement | 2 août 2028 |
Ces échéances ne reportent pas toutes les obligations de l’AI Act. Le règlement (UE) 2026/1744 et l’article 113 présenté par le service de la Commission européenne consacré à l’AI Act prévoient aussi des dates distinctes pour d’autres dispositions. La date générale d’application est le 2 août 2026, tandis que les règles relatives à la maîtrise de l’IA s’appliquent depuis le 2 février 2025.
