Qu'est-ce que la norme ISO 42001 ?
La norme ISO/IEC 42001 est le premier référentiel international consacré au management de l'intelligence artificielle. Publiée le 18 décembre 2023 par l'Organisation internationale de normalisation et la Commission électrotechnique internationale, elle décrit comment une organisation pilote ses usages de l'IA : politique, analyse des risques, compétences des équipes, contrôles et amélioration continue.
Son titre exact est « Technologies de l'information, Intelligence artificielle, Système de management ». Ce dernier mot compte : la norme porte sur votre organisation, pas sur vos outils. Elle ne certifie ni un algorithme, ni un logiciel, ni un modèle. Elle atteste que vous avez formalisé vos façons de faire, que vous les appliquez et que vous pouvez le démontrer. Un organisme certifié Qualiopi reconnaîtra immédiatement cette logique, c'est exactement celle du référentiel national qualité.
La norme a été élaborée par le comité technique conjoint ISO/CEI JTC 1/SC 42, celui qui traite de l'intelligence artificielle. Elle compte une cinquantaine de pages et peut donner lieu à une certification délivrée par un organisme accrédité, comme pour l'ISO 9001.
Ce que contient la norme
ISO 42001 reprend la structure harmonisée commune à toutes les normes de management, celle de l'ISO 9001 pour la qualité et de l'ISO 27001 pour la sécurité de l'information. Sept chapitres d'exigences, organisés selon le cycle classique planifier, réaliser, vérifier, agir :
- Le contexte de l'organisation et l'identification des parties intéressées
- Le leadership et l'engagement formel de la direction
- La planification, avec l'appréciation des risques et des opportunités liés à l'IA
- Le support : ressources, compétences, sensibilisation, communication, information documentée
- La réalisation des activités opérationnelles
- L'évaluation des performances, incluant les audits internes et la revue de direction
- L'amélioration continue et le traitement des non-conformités
Si vous avez déjà construit un dossier Qualiopi, rien de tout cela ne vous surprendra. Le vocabulaire diffère, la mécanique est la même : on définit, on applique, on mesure, on corrige, et on garde la trace de chaque étape.
Votre organisme est-il concerné ?
La norme s'adresse à toute organisation qui conçoit, développe, fournit ou utilise des systèmes d'intelligence artificielle, quels que soient sa taille et son secteur. Le mot utilise est celui qui vous concerne : vous n'avez pas besoin de développer une IA pour entrer dans le champ, il suffit d'en exploiter une.
Dans un organisme de formation, cela vise des usages très ordinaires :
- Un générateur de contenus pédagogiques, de supports ou de questionnaires d'évaluation
- Un moteur de recommandation qui oriente un apprenant vers telle formation
- Un assistant conversationnel qui répond aux questions des apprenants
- Un outil de correction ou de notation automatisée
- Une plateforme d'apprentissage adaptatif qui ajuste le parcours selon les résultats
Si aucun de ces usages n'existe chez vous, la norme ne vous apporte rien pour l'instant, et Qualiopi reste votre seule référence qualité. Attention toutefois à ce que recouvre le mot : une automatisation classique, un tableur avec des formules ou un publipostage conditionnel ne relèvent pas de l'IA. Ce qui compte, c'est la présence d'un système qui infère un résultat plutôt que d'appliquer une règle écrite par vous.
Ce que le règlement européen impose déjà
Voilà le point que beaucoup d'articles sur l'ISO 42001 laissent de côté. La norme est volontaire, mais le règlement (UE) 2024/1689, connu sous le nom de règlement sur l'intelligence artificielle, ne l'est pas. Et une de ses obligations s'applique à vous depuis le 2 février 2025.
Il s'agit de l'article 4, sur la maîtrise de l'IA. Il impose aux fournisseurs comme aux déployeurs de systèmes d'IA de prendre des mesures pour que leur personnel, et toute personne intervenant dans l'exploitation de ces systèmes, dispose d'un niveau suffisant de compétences et de compréhension. Un organisme de formation qui met un assistant conversationnel entre les mains de ses formateurs est un déployeur au sens du texte.
L'obligation reste proportionnée : elle tient compte des connaissances techniques de chacun, de son expérience, et du public concerné par le système. Elle n'impose pas d'atteindre un niveau normé, ni de faire suivre une formation certifiante. Une sensibilisation documentée, adaptée aux outils que vous utilisez réellement, répond à l'exigence. Ce qui manquerait, en revanche, c'est la trace : si personne ne peut montrer ce qui a été expliqué, à qui et quand, l'obligation n'est pas satisfaite.
Les quatre usages classés à haut risque dans la formation
L'annexe III du règlement dresse la liste des systèmes d'IA à haut risque, et son point 3 est consacré à l'éducation et à la formation professionnelle. Quatre cas y figurent :
- Les systèmes destinés à déterminer l'accès ou l'admission de personnes dans un établissement d'éducation ou de formation professionnelle, à tous les niveaux
- Les systèmes destinés à évaluer les acquis d'apprentissage, y compris lorsque ces résultats orientent la suite du parcours pédagogique
- Les systèmes destinés à évaluer le niveau d'enseignement approprié qu'une personne recevra ou pourra suivre
- Les systèmes destinés à surveiller et détecter des comportements interdits pendant les épreuves
Relisez cette liste avec vos propres outils en tête. Un test de positionnement corrigé automatiquement, un dispositif de sélection à l'entrée d'une formation, une surveillance d'examen à distance : trois pratiques courantes qui tombent dans le champ. Le classement à haut risque ne rend rien interdit, il déclenche des obligations lourdes pour le fournisseur du système, et des obligations de vigilance pour vous qui le déployez.
Ce qui s'applique, et à partir de quand
Le calendrier du règlement s'étale sur plusieurs années, et il a été modifié en 2026. Les obligations relatives aux systèmes à haut risque de l'annexe III, initialement prévues pour le 2 août 2026, ont été reportées par le texte de simplification numérique adopté par le Parlement européen en juin 2026.
| Date | Ce qui devient applicable | Ce que cela change pour vous |
|---|---|---|
| 2 février 2025 | Maîtrise de l'IA (article 4) et pratiques interdites | Vous devez déjà sensibiliser vos équipes aux outils d'IA qu'elles utilisent |
| 2 août 2025 | Modèles d'IA à usage général et gouvernance | Concerne vos fournisseurs, pas votre organisme directement |
| 2 août 2026 | Obligations de transparence (article 50) | Un contenu généré par IA doit être identifiable comme tel |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III | Vos outils d'évaluation, de sélection et de surveillance entrent dans le régime lourd |
Ce report de deux ans est une respiration, pas une dispense. Il vous laisse le temps de recenser vos systèmes, de déterminer lesquels relèvent du point 3 de l'annexe III, et d'interroger vos éditeurs sur ce qu'ils prévoient. C'est précisément ce travail préparatoire que l'ISO 42001 structure.
Une certification ISO 42001 vaut-elle conformité au règlement ?
Non, et la confusion est fréquente. Le règlement prévoit un mécanisme dit de présomption de conformité, qui repose sur des normes harmonisées : lorsqu'une norme est élaborée à la demande de la Commission européenne puis citée au Journal officiel de l'Union européenne, s'y conformer fait présumer que vous respectez les exigences correspondantes du règlement.
L'ISO 42001 ne remplit pas ces conditions. Elle est internationale, pas européenne, et elle n'a pas été développée en réponse à la demande de normalisation adressée par la Commission. Une certification ISO 42001 prouve donc votre diligence, elle ne constitue pas un bouclier juridique.
Ce qu'elle apporte reste réel : un cadre pour recenser vos systèmes, une politique écrite, une analyse de risques documentée, des indicateurs et des audits internes. Autrement dit, la matière première de ce que le règlement vous demandera de démontrer. Et pour un organisme qui vend des formations à l'IA ou utilise l'IA comme argument commercial, c'est un signal de sérieux vis-à-vis des financeurs et des entreprises clientes.
Par où commencer si vous utilisez l'IA
Inutile de viser la certification pour tirer profit de la démarche. Cinq étapes suffisent à poser les bases, et elles servent aussi bien la norme que le règlement.
- Recensez vos systèmes. Listez tous les outils d'IA en service dans votre organisme, y compris ceux que vos formateurs utilisent de leur propre initiative. C'est souvent à ce moment qu'on découvre des usages non déclarés.
- Classez-les. Pour chacun, posez la question du point 3 de l'annexe III : ce système décide-t-il d'un accès, évalue-t-il des acquis, oriente-t-il un parcours, surveille-t-il une épreuve ? La réponse détermine votre niveau d'exigence.
- Écrivez votre politique. Deux pages suffisent au départ : les usages autorisés, ceux qui sont proscrits, la règle de validation humaine avant toute décision affectant un apprenant, et le nom du responsable.
- Sensibilisez vos équipes, et gardez-en la trace. C'est l'article 4, et c'est déjà obligatoire. Une réunion documentée, un support daté, une liste d'émargement valent mieux qu'une formation coûteuse sans preuve.
- Fixez deux ou trois indicateurs. Le nombre de contenus générés puis relus par un humain, le nombre d'incidents remontés, le taux de réclamations liées à une évaluation automatisée. Revoyez-les une fois par an.
Cette dernière étape est celle qui fait le lien avec votre système qualité existant. Un écart détecté sur un usage d'IA alimente votre plan d'amélioration, exactement comme une réclamation ou une non-conformité d'audit.
Ce qu'il faut retenir
- L'ISO 42001 est volontaire, le règlement européen sur l'IA ne l'est pas.
- L'obligation de maîtrise de l'IA vous concerne depuis le 2 février 2025 dès que vos équipes utilisent un outil d'IA.
- Vos outils de sélection, d'évaluation et de surveillance d'épreuves relèvent du haut risque, avec application au 2 décembre 2027.
- Une certification ISO 42001 ne vaut pas présomption de conformité au règlement.
- Le recensement de vos systèmes est le premier geste utile, et il ne coûte rien.
La difficulté n'est pas de comprendre ces exigences, elle est de les tenir dans la durée. Une politique écrite une fois vieillit vite, une sensibilisation menée en janvier n'a plus de trace en octobre, et la veille réglementaire passe après les urgences de gestion. Or c'est précisément ce que l'auditeur, quel qu'il soit, vous demandera de prouver.
C'est précisément là que Workbots intervient. Le module Procédures qualité génère vos procédures et les conserve versionnées, ce qui vous laisse l'historique de chaque évolution plutôt qu'un document écrasé. Le module Veille couvre quatre catégories, dont la veille légale et réglementaire, avec un onglet Exploitation qui transforme un article de veille en action concrète. Et le module Améliorations tient le plan d'action, avec ses responsables, ses priorités et ses statuts.
Une précision utile : le logiciel ne délivre aucune certification ISO 42001, qui relève d'organismes accrédités. Ce qu'il vous apporte, c'est le support documentaire d'une démarche de management, celui que vous devrez présenter le jour venu, sans avoir à le reconstituer.
Si vous souhaitez en savoir plus, consultez nos articles sur la certification Qualiopi, le logo Qualiopi ou le rôle de l'auditeur Qualiopi. Vous pouvez également consulter la page qui présente le logiciel.
Un échange de trente minutes suffit à recenser vos usages d'IA et à déterminer lesquels relèvent du point 3 de l'annexe III. C'est le point de départ de tout le reste.