Non. Et la raison suffisante est vérifiable par n’importe qui : la présomption de conformité de l’article 40 est réservée aux normes dont la référence est publiée au Journal officiel de l’Union européenne. Aucune norme n’y figure au titre du règlement sur l’IA, ni ISO/IEC 42001, ni aucune autre.
Cette page traite le cas d’ISO 42001. Le mécanisme général de la présomption, ses trois conditions et l’état du programme de normalisation européen sont détaillés sur la page consacrée aux normes harmonisées : c’est là que se trouve la distinction entre une norme en préparation, une norme européenne publiée et une référence citée au Journal officiel. EN ISO/IEC 42001:2026 relève du deuxième cas.
Qu’est-ce que la norme ISO/IEC 42001 ?
Une norme de management, pas une norme de produit. Elle décrit comment une organisation s’organise autour de l’IA — politique, rôles, analyse des risques, revue de direction — et non comment un système d’IA doit être conçu, documenté ou testé.
C’est une norme internationale de système de management de l’intelligence artificielle : un cadre organisationnel (politique, rôles, analyse des risques, contrôles, revue de direction, amélioration continue) dans la lignée d’ISO 9001 pour la qualité ou d’ISO/IEC 27001 pour la sécurité de l’information.
Sa version européenne, EN ISO/IEC 42001:2026, a été publiée le 18 mars 2026, date rapportée par une analyse publiée, non par une source officielle. C’est une adoption : le texte international devient une norme européenne, reprise dans les catalogues nationaux.
C’est une norme de management, pas de produit. Elle décrit comment une organisation s’organise, pas comment un système d’IA doit être conçu, documenté ou testé.
ISO 42001 rend-elle conforme à l’IA Act ?
Non, pour deux raisons dont une suffit. Sa référence n’est pas publiée au Journal officiel, donc elle n’ouvre aucune présomption au titre de l’article 40. Et elle n’a pas été écrite pour l’IA Act : elle ne relève pas de la demande de normalisation adressée au CEN-CENELEC.
Sa référence n’est pas publiée au Journal officiel
C’est la raison suffisante. Au 24 août 2026, date de notre dernière vérification, aucune référence de norme harmonisée ne figure au Journal officiel de l’Union européenne au titre du règlement (UE) 2024/1689. Quatre sources officielles concordent : le portail des normes harmonisées de la Commission, EUR-Lex, le service d’assistance de l’AI Act et la page de normalisation de la Commission.
C’est un fait daté, qui se périme. Nous le revérifions à chaque mise à jour de cette page.
Elle n’a pas été écrite pour l’IA Act
C’est la raison de fond, et elle explique pourquoi la première a peu de chances de changer bientôt.
Le programme de normalisation du règlement repose sur une demande adressée au CEN et au CENELEC, la décision d’exécution C(2025) 3871 final du 23 juin 2025, intitulée en anglais “on a standardisation request […] as regards high-risk AI systems in support of Regulation (EU) 2024/1689”. Les normes élaborées en réponse à cette demande sont conçues pour servir les exigences du chapitre III.
ISO/IEC 42001 n’en fait pas partie. C’est un texte ISO/IEC repris en norme européenne, élaboré dans un cadre international et selon son propre objet, antérieur à la demande, et hors de son périmètre.
ISO 42001 recouvre-t-elle l’article 17 ?
Personne ne peut le dire, et c’est précisément le problème : aucune cartographie entre les deux n’a pu être identifiée. L’argument commercial le plus répandu est plausible sur le papier et contredit par la seule analyse publiée ; ni l’un ni l’autre n’est adossé à un document de la Commission.
L’argument commercial le plus répandu consiste à dire qu’un système de management conforme à ISO/IEC 42001 « couvre l’essentiel » du système de gestion de la qualité exigé par l’article 17. C’est plausible sur le papier, et c’est contredit par la seule analyse publiée sur le sujet, qui décrit EN ISO/IEC 42001:2026 comme une norme volontaire de management qui “was not developed in response to the Commission’s standardisation request, is not calibrated on Article 17 and does not cover its requirements”.
Cette analyse n’est pas une source officielle, et nous la citons en anglais, telle qu’elle est publiée. Elle mérite néanmoins d’être opposée à l’argument inverse, qui n’est adossé à rien : aucune cartographie entre ISO/IEC 42001 et l’article 17 n’a pu être identifiée.
La position prudente est donc celle-ci. La certification apporte une discipline organisationnelle (des politiques écrites, des rôles définis, des revues périodiques, une traçabilité documentaire) et cette discipline sera utile le jour où l’article 17 deviendra applicable. Elle n’apporte aucune couverture d’exigence dont on puisse se prévaloir.
Quelle norme vise réellement l’article 17 ?
Une norme européenne calibrée sur l’article 17 existe, et elle ne suffit pas non plus. C’est le point que les argumentaires omettent. Une norme européenne calibrée sur l’article 17 existe bel et bien depuis juillet 2026, EN 18286:2026 : c’est exactement ce que le marché cherche quand il achète de l’ISO 42001. Et elle n’ouvre aucune présomption non plus, faute de référence citée au Journal officiel. Son cas est détaillé sur la page consacrée aux normes harmonisées.
La formule exacte vaut pour l’une comme pour l’autre : norme européenne publiée, non encore harmonisée.
Alors, à quoi sert une certification ISO 42001 ?
À deux choses réelles, et il serait malhonnête de les nier.
À installer une discipline que le règlement exigera. Politiques et procédures écrites, gestion des risques, gouvernance des données, traçabilité des responsabilités, revue périodique : une organisation qui tient un système de management de l’IA a déjà l’habitude de documenter et de faire auditer. Le jour où l’article 17 deviendra applicable (le 2 décembre 2027 pour les systèmes de l’annexe III), cette habitude vaudra beaucoup plus qu’un projet lancé six mois avant.
À répondre en appel d’offres. La certification est reconnue et auditée par un tiers. C’est un argument commercial légitime, à condition de ne pas le présenter comme une conformité réglementaire.
Ce qu’elle ne fait pas : renverser la charge de la preuve. Devant une autorité de surveillance du marché, un certificat ISO/IEC 42001 ne dispense d’aucune exigence du chapitre III, ne remplace pas la documentation technique de l’annexe IV et ne se substitue pas à la procédure d’évaluation de la conformité.
Comment en parler sans se tromper ?
Nommer le certificat, jamais la conformité. ISO/IEC 42001 dit quelque chose de vrai sur votre système de management, et rien sur votre conformité au règlement. Toute formulation exacte tient les deux séparés ; toute formulation fautive laisse le premier tenir lieu de la seconde. Quatre phrases entendues, et ce qu’il faudrait écrire à la place.
| ❌ À ne pas écrire | ✅ Exact |
|---|---|
| « Certifiés ISO 42001, donc conformes à l’IA Act » | « Certifiés ISO 42001 ; notre conformité à l’IA Act reposera sur la documentation technique et l’évaluation de conformité » |
| « ISO 42001 est la norme harmonisée de l’IA Act » | « Norme européenne publiée, non encore harmonisée » |
| « ISO 42001 couvre les exigences de l’article 17 » | « Elle installe une discipline de management ; la couverture des exigences n’est établie par personne » |
| « La certification remplace l’évaluation de conformité » | « Elle la prépare ; elle ne s’y substitue pas » |
Et si un prestataire vous vend une mise en conformité IA Act adossée à ISO 42001, une question suffit à situer le sérieux de l’offre : est-ce que la référence de la norme est publiée au Journal officiel de l’Union européenne ?
Sur quoi cette page s’appuie
Les articles 17, 40 et 42 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, le texte qui fait foi restant celui publié au Journal officiel. La décision d’exécution C(2025) 3871 final du 23 juin 2025 pour la demande de normalisation. L’état de la normalisation harmonisée est établi sur quatre sources officielles vérifiées le 24 août 2026. La caractérisation d’EN ISO/IEC 42001:2026 au regard de l’article 17 provient d’une analyse publiée, citée en anglais et signalée comme non officielle : c’est la seule disponible, et elle n’a pas d’équivalent en sens inverse.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 27 août 2026. L’absence de référence de norme harmonisée se vérifie sur le portail des normes harmonisées de la Commission, consulté le 27 août 2026.
Questions fréquentes
Une certification ISO/IEC 42001 me met-elle en conformité avec l’IA Act ?
Non. Le règlement n’attache d’effet à une certification que dans des cas précis, et ISO/IEC 42001 n’en relève d’aucun : elle n’ouvre pas la présomption de l’article 40, faute de référence publiée au Journal officiel ; elle n’est pas l’une des présomptions particulières de l’article 42 ; et elle ne remplace pas la procédure d’évaluation de la conformité. C’est un actif de gouvernance, pas une preuve de conformité.
ISO 42001 est-elle une norme harmonisée ?
Non. EN ISO/IEC 42001:2026 est une norme européenne publiée en mars 2026, c’est-à-dire l’adoption en Europe d’une norme internationale. Devenir une norme harmonisée suppose une étape de plus : la publication de sa référence au Journal officiel de l’Union européenne par un acte d’exécution. Cette publication n’a pas eu lieu, et aucune norme n’en bénéficie à ce jour au titre du règlement sur l’IA.
Est-ce qu’elle couvre au moins les exigences de l’article 17 ?
La seule analyse publiée sur ce point conclut l’inverse : élaborée hors de la demande de normalisation adressée au CEN et au CENELEC, elle n’est pas calibrée sur l’article 17 et n’en couvre pas les exigences. Prudence, donc, avec l’idée d’un recouvrement : ce que la certification apporte est une discipline organisationnelle, pas une couverture d’exigences réglementaires.
Existe-t-il une norme calibrée sur l’IA Act, elle ?
Oui, et c’est le point que personne ne relève : EN 18286:2026, publiée par le CEN-CENELEC en juillet 2026, s’intitule "Artificial intelligence – Quality management system for EU AI Act regulatory purposes" et se rattache explicitement à l’article 17. Mais sa référence n’est pas davantage publiée au Journal officiel : elle n’ouvre, elle non plus, aucune présomption.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.