ISO/IEC 42001 et TEAF : ce qu'une norme de management de l'IA couvre, et ce qu'elle laisse ouvert

Une question revient désormais dans les questionnaires fournisseurs : « êtes-vous certifié ISO/IEC 42001, ou engagé dans la démarche ? » Elle mérite une réponse précise, et elle oblige TEAF à se situer. Une norme de management et un cadre d'architecture ne répondent pas à la même question — et prétendre le contraire serait le genre de raccourci que ce framework s'interdit.

Ce que la norme est, exactement

ISO/IEC 42001:2023 est la première norme de système de management consacrée à l'intelligence artificielle (AIMS, pour AI Management System). Elle suit la structure commune des normes de management — la même que celle d'ISO/IEC 27001 pour la sécurité de l'information —, ce qui explique sa diffusion rapide : une organisation qui tient déjà un système de management sait exactement ce qu'on lui demande.

Elle exige, pour l'essentiel : une politique d'IA, des rôles et des responsabilités nommés, une appréciation des risques, une évaluation d'impact des systèmes d'IA, une gestion du cycle de vie, une maîtrise des fournisseurs, et une amélioration continue documentée. Le complément ISO/IEC 42006:2025, publié le 7 juillet 2025 et repris par les programmes d'accréditation au cours de 2026, fixe les exigences applicables aux organismes qui auditent et certifient ces systèmes ; il s'ajoute à ISO/IEC 17021-1. Autrement dit, la chaîne de certification est désormais complète, auditeurs compris.

Ce qu'une certification ne dit pas

Deux précisions valent d'être écrites, parce qu'elles sont régulièrement escamotées dans les argumentaires commerciaux.

D'abord, la norme a été reprise en Europe sous la référence EN ISO/IEC 42001:2026, mais elle n'est pas, à ce jour, citée comme norme harmonisée au titre de l'IA Act. Une certification ne confère donc aucune présomption de conformité au règlement européen. Elle démontre qu'un système de management existe et fonctionne ; elle ne démontre pas qu'un système d'IA donné satisfait une obligation réglementaire précise.

Ensuite, un système de management certifie un processus, pas un résultat. C'est sa force — il est auditable, reproductible, comparable d'une organisation à l'autre — et sa limite : une organisation peut tenir impeccablement ses registres tout en laissant ses décisions d'architecture se périmer. La question « avez-vous un processus ? » et la question « votre gouvernance suit-elle le rythme de votre exécution ? » ne sont pas la même.

Ce que TEAF recouvre, et ce qu'il ne recouvre pas

La correspondance la plus directe se situe entre les exigences de l'AIMS et trois éléments de TEAF : l'AI Control Plane, qui porte l'inventaire et l'encadrement des systèmes d'IA ; l'AI Control Officer, qui en est le rôle responsable ; et le Compliance Liaison, qui rattache les obligations réglementaires à la Boucle plutôt que de les traiter dans un registre séparé.

Ce que TEAF ajoute sur ce périmètre tient en trois mécanismes :

• La temporalité. Le Living ADR rend visible la péremption d'une décision. Une norme demande de réviser « à intervalles planifiés » ; TEAF demande de savoir, à tout instant, laquelle de vos décisions ne tient plus.
• La qualification de la connaissance. La taxonomie Declared, Observed, Inferred, Validated oblige à dire d'où vient chaque constat. Un registre d'IA rempli de déclarations non vérifiées satisfait une exigence documentaire ; il ne renseigne pas sur le réel.
• La fermeture de la boucle. Observation et Learning ramènent ce qui est constaté en production vers la décision. C'est la partie qu'un système de management traite par l'audit périodique, à une fréquence qui n'est pas celle des systèmes agentiques.

Et ce que TEAF ne recouvre pas, il faut le dire aussi : il n'y a pas de certification TEAF reconnue, pas d'organisme accrédité, pas d'équivalent d'ISO/IEC 42006. TEAF ne remplace donc pas ISO/IEC 42001 dans un appel d'offres, et ne le prétend pas.

La lecture honnête : les deux, dans cet ordre

Une organisation qui a besoin d'une preuve opposable à ses clients a besoin de la norme. Une organisation qui veut que sa gouvernance survive à la vitesse de ses agents a besoin d'une boucle. La séquence qui fonctionne est celle-ci : poser la boucle d'abord, parce qu'elle produit la matière — inventaire réel, décisions datées, observations instrumentées — que l'audit de certification réclamera ensuite. L'ordre inverse produit un classeur conforme et une architecture qui dérive.

C'est le même raisonnement que celui tenu face à TOGAF, ITIL, COBIT et SAFe : TEAF n'a jamais été proposé comme un remplaçant, mais comme la couche qui ferme ce que ces référentiels laissent ouvert. ISO/IEC 42001 entre dans cette liste avec le même statut.

Une réserve sur les chiffres

Plusieurs publications avancent des taux d'apparition de la norme dans les appels d'offres, ou des délais et coûts de certification. Ces chiffres proviennent d'éditeurs et de cabinets qui vendent de l'accompagnement ; ils donnent une direction, pas une mesure. Ce qui est vérifiable, en revanche, est que plusieurs grands fournisseurs de services numériques se sont fait certifier depuis fin 2024, et que la chaîne d'accréditation des auditeurs s'est structurée en 2026. Le statut de la connaissance, ici, est Observed pour les certifications publiées, et Inferred pour tout ce qui concerne l'ampleur de l'adoption.

• ISO/IEC 42001 certifie un système de management de l'IA, pas la conformité d'un système d'IA.
• Elle n'est pas, à ce jour, norme harmonisée au titre de l'IA Act : aucune présomption de conformité.
• ISO/IEC 42006:2025 encadre les certificateurs et rend la chaîne d'audit crédible.
• TEAF n'est pas certifiable et ne remplace pas la norme ; il ajoute la temporalité, la qualification de la connaissance et la fermeture de la boucle.
• Poser la boucle avant l'audit : c'est elle qui produit les preuves que l'audit réclame.

Sources

• ISO/IEC 42001 — page officielle
• ANSI — ISO/IEC 42006:2025, audit et certification des AIMS
• Panorama de la famille de normes ISO/IEC 42000 en 2026