Base de connaissances · ISO 42001
ISO 42001 et l'AI Act : que s'applique-t-il aujourd'hui à votre entreprise ?
Situation au 9 novembre 2026. L'AI Act a été modifié en 2026 par le règlement (UE) 2026/1744, le Digital Omnibus. Des dates ont de ce fait été décalées et une disposition a été réécrite. Vous lirez ici ce qui s'applique aujourd'hui à une PME qui utilise l'IA, ce qui viendra plus tard et ce que ISO 42001 prouve ou ne prouve pas.
Calendrier
L'AI Act en six dates qui comptent aujourd'hui
Le règlement (UE) 2026/1744 est entré en vigueur le 27 juillet 2026 et modifie le règlement (UE) 2024/1689.
| Date | Ce qui devient applicable | Pour qui |
|---|---|---|
| 2 février 2025 | Pratiques interdites et maîtrise de l'IA | Tous les fournisseurs et déployeurs |
| 2 août 2025 | Règles relatives aux modèles d'IA à usage général | Fournisseurs de ces modèles |
| 2 août 2026 | Le règlement est applicable de manière générale, avec les règles de transparence de l'article 50 | Fournisseurs et déployeurs, selon l'article |
| 2 décembre 2026 | Deux nouvelles interdictions : l'IA qui génère des images sexuellement explicites non consenties ou du matériel d'abus sexuels sur enfants. C'est aussi la date limite pour le marquage lisible par machine (article 50, paragraphe 2) des systèmes génératifs qui se trouvaient sur le marché avant le 2 août 2026 | Toutes les parties pour les interdictions, fournisseurs de systèmes génératifs pour le marquage |
| 2 décembre 2027 | Exigences applicables aux systèmes à haut risque de l'annexe III, y compris les obligations des déployeurs | Fournisseurs et déployeurs de ces systèmes |
| 2 août 2028 | Exigences applicables à l'IA à haut risque intégrée dans des produits réglementés (annexe I) | Fournisseurs et déployeurs de ces systèmes |
Aujourd'hui
Une PME qui se contente d'utiliser des outils d'IA a déjà trois obligations
Pratiques interdites
S'appliquent depuis le 2 février 2025. Vérifiez qu'aucun outil ni aucune application dans votre entreprise ne tombe sous le coup d'une interdiction. Deux interdictions s'y ajoutent le 2 décembre 2026.
Maîtrise de l'IA
S'applique depuis le 2 février 2025, mais le texte a été réécrit en 2026. Les fournisseurs et les déployeurs doivent prendre des mesures qui soutiennent le développement de la maîtrise de l'IA chez leurs collaborateurs. Une courte formation et une instruction écrite, avec la preuve qu'elles ont été données, constituent un début raisonnable.
Transparence
S'applique depuis le 2 août 2026. En tant que déployeur, vous signalez les hypertrucages (deepfakes) comme artificiels, vous informez les personnes lorsque vous recourez à la reconnaissance des émotions ou à la catégorisation biométrique, et vous signalez les textes générés par l'IA sur des sujets d'intérêt public, sauf si un être humain les a relus sur le plan éditorial. Celui qui n'utilise l'IA qu'en interne pour préparer des textes n'est en général pas concerné. En cas de doute, c'est un juriste qui tranche, et non cette page.
Ce qui ne vous concerne pas
Les règles relatives aux modèles à usage général reposent sur les fournisseurs de ces modèles. Les obligations des déployeurs de systèmes à haut risque ne s'appliquent qu'à partir des dates du tableau.
Plus tard et reporté
Le report concerne le haut risque, pas la transparence
Les règles relatives au haut risque ont été reportées : au 2 décembre 2027 pour les systèmes de l'annexe III et au 2 août 2028 pour l'IA dans les produits réglementés de l'annexe I. Pour les systèmes à haut risque que les autorités publiques utilisaient déjà, c'est le 2 août 2030 qui s'applique. Les règles de transparence de l'article 50 n'ont pas été reportées. Seul le marquage lisible par machine des contenus synthétiques a obtenu un délai jusqu'au 2 décembre 2026, et uniquement pour les systèmes génératifs qui se trouvaient déjà sur le marché avant le 2 août 2026. Les amendes maximales de l'article 99 subsistent : jusqu'à 35.000.000 euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, jusqu'à 15.000.000 euros ou 3 % pour la plupart des autres obligations, et jusqu'à 7.500.000 euros ou 1 % pour des informations inexactes fournies aux autorités. C'est chaque fois le plus élevé des deux montants qui compte. Pour les PME, start-up comprises, c'est le plus bas. Pour les petites entreprises à moyenne capitalisation aussi, sauf en cas de pratiques interdites.
Rôles
Une PME devient fournisseur sans s'en rendre compte dès qu'elle met de l'IA sur le marché sous son propre nom
L'AI Act connaît quatre rôles principaux. Celui que vous avez détermine ce que vous devez faire.
Fournisseur
Développe un système d'IA ou le fait développer et le met sur le marché ou le met en service sous son propre nom ou sa propre marque.
Déployeur
Utilise un système d'IA sous sa propre autorité, sauf pour un usage personnel non professionnel.
Importateur
Établi dans l'UE, met sur le marché un système portant le nom ou la marque d'une partie établie en dehors de l'UE.
Distributeur
Met un système à disposition dans la chaîne d'approvisionnement sans être fournisseur ni importateur.
Le piège
Si vous intégrez une fonction d'IA dans votre propre produit ou service et que vous l'offrez sous votre nom, vous pouvez être fournisseur, même si quelqu'un d'autre a développé la technologie. Pour les systèmes à haut risque, vous devenez aussi fournisseur si vous modifiez substantiellement un système existant, y apposez votre propre nom ou marque, ou modifiez sa destination de sorte qu'il devienne à haut risque (article 25).
Belgique
Situation en novembre 2026La structure de supervision belge n'est toujours pas finalisée en novembre 2026
Situation en novembre 2026 : pour autant que nous ayons pu le vérifier, la Belgique n'a pas encore formellement désigné ses autorités de surveillance du marché pour l'AI Act et aucune loi nationale d'exécution comportant des règles de sanction n'a été votée. L'IBPT est cité comme principal superviseur, et un avant-projet se trouve au SPF Économie. L'Autorité de protection des données reste compétente dès que des données à caractère personnel sont en jeu. Entre-temps, les obligations du règlement s'appliquent directement, même sans loi belge. N'attendez donc pas le superviseur pour cartographier votre utilisation, et vérifiez la situation actuelle avant de fonder une décision dessus.
ISO 42001
ISO 42001 soutient votre travail sur l'AI Act mais ne prouve pas la conformité
L'ISO/IEC 42001:2023 fixe des exigences pour un système de management de l'IA et a été publiée le 18 décembre 2023. La norme suit les mêmes chapitres 4 à 10 qu'ISO 27001 et ajoute notamment une évaluation de l'impact des systèmes d'IA, avec 38 mesures dans l'annexe A. Elle n'est pas une norme harmonisée au sens de l'AI Act et ne donne donc pas de présomption de conformité. La première norme harmonisée, l'EN 18286:2026, a été publiée au Journal officiel le 14 octobre 2026 et porte sur le système de management de la qualité des fournisseurs de systèmes à haut risque. Un certificat ISO 42001 montre que votre système de management existe et fonctionne. Il ne montre pas que vous respectez l'AI Act. Les organismes de certification travaillent selon l'ISO/IEC 42006:2025. Pour savoir quels organismes sont accrédités à cet effet en Belgique, le mieux est de s'adresser à BELAC.
Aide à la décision
Pour la plupart des PME, une approche plus légère suffit d'abord
Plus léger suffit
Vous utilisez surtout des outils standard. Dans ce cas, un registre de l'IA, une courte politique et une formation démontrable suffisent.
ISO 42001 en vaut la peine
Vous développez ou fournissez des fonctions d'IA, des clients ou des appels d'offres demandent un certificat, ou vous disposez déjà d'un système ISO 27001 sur lequel vous appuyer.
Recoupement avec ISO 27001
Les deux normes partagent la même structure. Le registre des risques, le programme d'audit et la revue de direction peuvent servir pour les deux. Les nouveautés d'ISO 42001 sont l'évaluation d'impact et les mesures qui portent spécifiquement sur l'IA.
Ce mois-ci
Commencez ce mois-ci par un registre de l'IA
- 1Énumérez tous les outils d'IA utilisés dans votre entreprise, y compris les outils que les collaborateurs ont choisis eux-mêmes et les fonctions d'IA des logiciels dont vous disposez déjà.
- 2Notez pour chaque outil le propriétaire, la finalité, les données qui y sont saisies et le fournisseur.
- 3Vérifiez si un usage se rapproche d'une interdiction et si vous publiez du texte ou des images générés par l'IA sans contrôle humain.
- 4Déterminez votre rôle pour chaque outil : uniquement déployeur, ou aussi fournisseur parce que vous proposez quelque chose sous votre propre nom.
- 5Donnez aux collaborateurs une courte instruction et consignez ce que vous avez fait, afin de pouvoir démontrer les mesures en matière de maîtrise de l'IA.
- 6Décidez ensuite si ce registre suffit ou si un système de management est nécessaire.
Questions fréquentes
Réponses courtes
Envie de mettre de l'ordre dans votre usage de l'IA ?
Lors d'un premier entretien gratuit, nous examinons si un registre suffit ou si un système de management en vaut la peine. Envie de vous lancer seul ? Il y a le kit de modèles sur 42001.app.