AI Act et ISO : construire une démarche intégrée

Le point de départ

ISO 9001, ISO 14001 et ISO/IEC 42001 sont des normes de systèmes de management. L’AI Act est un règlement. Les rapprochements portent sur la manière d’organiser le travail et les preuves ; ils ne rendent pas ces textes interchangeables.

Une logique démontrable en trois étapes

Les normes ISO sont conçues pour fonctionner ensemble.
L’ISO explique que leur structure harmonisée facilite un système de management intégré. Des éléments de structure, de vocabulaire et d’exigences sont communs. ISO — structure harmonisée des systèmes de management ↗
Le règlement IA mobilise aussi des mécanismes de management.
Pour les fournisseurs de systèmes d’IA à haut risque, l’article 17 prévoit un système qualité documenté. Son paragraphe 3 permet d’intégrer ses éléments dans les systèmes qualité imposés par une législation sectorielle de l’Union. Cette disposition a un champ précis : elle n’est pas une équivalence générale avec ISO 9001. Article 17 §1 et §3 ↗
Nous pouvons donc organiser les correspondances.
Ma proposition : examiner chaque exigence, identifier la pratique qui y répond déjà, puis compléter ce qui manque. Une même procédure peut servir plusieurs objectifs si ses critères, ses responsabilités et ses preuves couvrent réellement chacun d’eux.

Ce que vous pouvez mutualiser

Cette grille est une synthèse opérationnelle. Le socle ISO s’appuie sur la structure harmonisée et les thèmes de management décrits par l’ISO. Les références AI Act ci-dessous concernent des systèmes à haut risque et les rôles indiqués, selon les conditions et dates d’application du règlement.

Des mécanismes communs, des exigences à vérifier séparément
Mécanisme	Socle ISO	Point d’appui dans l’AI Act	Ma proposition de mise en œuvre
Clarifier qui décide	Les systèmes ISO structurent la politique, le leadership et les responsabilités.	Pour les fournisseurs de systèmes à haut risque, l’article 17 §1 m prévoit l’attribution des responsabilités. Art. 17 §1 m ↗	Une gouvernance commune, avec des responsabilités IA identifiées et des arbitrages tracés.
Analyser les risques	La qualité, l’environnement et l’IA se pilotent avec leurs enjeux et leurs critères propres.	L’article 9 organise une gestion des risques tout au long du cycle de vie des systèmes à haut risque. Art. 9 §1–2 ↗	Un processus de revue partagé, avec des analyses distinctes : qualité du service, impacts environnementaux, santé, sécurité et droits fondamentaux.
Organiser les compétences	La compétence, les ressources et la sensibilisation font partie des thèmes du système de management.	L’article 26 §2 demande aux déployeurs de systèmes à haut risque une supervision humaine assurée par des personnes compétentes, formées et habilitées. Art. 26 §2 ↗	Un plan de développement des compétences commun, complété par les savoir-faire, l’autorité et les moyens nécessaires à chaque rôle IA.
Retrouver les bonnes preuves	Les documents et les informations utiles au fonctionnement du système doivent être maîtrisés.	L’article 17 §1 k prévoit la tenue de la documentation ; l’article 26 §6 traite des journaux détenus par le déployeur. Art. 17 §1 k ↗Art. 26 §6 ↗	Une organisation documentaire partagée, avec des accès, des durées de conservation et des pièces spécifiques à chaque obligation.
Observer les résultats	Le suivi, l’évaluation et l’amélioration font partie de la logique des systèmes ISO.	L’article 72 prévoit un suivi après commercialisation pour les fournisseurs de systèmes à haut risque. Art. 72 ↗	Un tableau de bord de direction commun, tout en gardant les mesures et le plan de suivi propres aux systèmes IA concernés.
Corriger et apprendre	Les revues et les actions d’amélioration permettent de faire évoluer le système de management.	L’article 26 §5 prévoit, selon les situations, information, signalement et suspension de l’usage par le déployeur. Art. 26 §5 ↗	Un circuit de traitement des problèmes partagé, complété par les destinataires, les délais et les mesures réglementaires propres à l’IA.

Qualité

ISO 9001 se concentre sur la qualité des produits et services et les attentes des clients. ISO 9001 ↗

Environnement

ISO 14001 traite des enjeux et de la performance environnementale. Les consommations et les équipements numériques peuvent entrer dans l’analyse si leur pertinence est établie. ISO 14001 ↗

Intelligence artificielle

ISO/IEC 42001 organise le management des activités liées à l’IA, de ses risques et de ses opportunités. Les exigences réglementaires dépendent aussi de votre rôle et de vos systèmes. ISO/IEC 42001 ↗

Exemple illustratif · situation fictive

Un outil IA arrive dans un service déjà organisé.

Une structure souhaite expérimenter un outil d’aide à la rédaction. Elle dispose déjà d’un processus d’achat, d’un plan de formation et d’un suivi des incidents. La première étape consiste à qualifier l’usage, le rôle de la structure et les obligations applicables. Cet exemple ne présume pas que l’outil est à haut risque.

Réutiliser les bons supports

Nous pouvons compléter la fiche d’achat, désigner les personnes qui autorisent l’essai, intégrer la formation au plan existant et prévoir un retour d’expérience dans une réunion déjà utile.

Ajouter les questions spécifiques

Quels résultats seront vérifiés ? Quelles données seront utilisées ? Quand faut-il renoncer à l’outil ? Quelles informations le fournisseur doit-il transmettre ? Quels impacts environnementaux sont pertinents et documentables ?

Une seule feuille de route peut porter l’ensemble des actions. Chaque ligne conserve son objectif, sa référence, sa preuve attendue et son responsable. Les gains de mutualisation se vérifient sur votre terrain : ils ne se présument pas en pourcentage.

Un socle commun ne remplace pas les exigences particulières.

Une certification ISO/IEC 42001 ne prouve pas, à elle seule, la conformité à tout l’AI Act. L’article 40 lie la présomption de conformité aux normes harmonisées dont les références sont publiées au Journal officiel de l’Union européenne, pour les exigences qu’elles couvrent. Le périmètre et le statut des références doivent donc être vérifiés. Article 40 §1 ↗

La structure harmonisée ISO et une norme harmonisée au sens du droit européen sont deux notions différentes. De même, un déployeur et un fournisseur n’ont pas les mêmes obligations. Une revue intégrée ne dispense ni des analyses spécifiques, ni des contrôles et démarches d’évaluation de conformité applicables.

Une démarche proportionnée à votre point de départ

Vous n’avez pas besoin de lancer trois certifications simultanément. Nous pouvons commencer par un périmètre utile, relier vos pratiques existantes, puis développer progressivement le système. Le travail commence par une cartographie des exigences applicables et un plan d’action concret.

Découvrir mon accompagnement ISO Préparer notre premier échange

Les sources officielles

Sources consultées le 3 octobre 2026. Les rapprochements et les exemples de mise en œuvre sont ma lecture opérationnelle ; ils ne constituent pas une table d’équivalence normative.

Repères documentaires : ISO 9001:2026, ISO 14001:2026, ISO/IEC 42001:2023 ; pages de la Commission présentant le règlement (UE) 2024/1689 consolidé au 27 juillet 2026. Le cadrage d’une mission vérifie les versions, le champ et les échéances applicables. Cette page présente des rapprochements de méthode, pas un audit exhaustif clause par clause.

Construisons votre démarche d’ensemble.

En français, sur place ou à distance. Le périmètre, les livrables et les modalités sont convenus dans un devis porté par DEMETER.

Parlons de votre contexte