En bref :
- ISO/IEC 42001 est la première norme internationale de management de l’intelligence artificielle, publiée en décembre 2023.
- Elle n’est pas une obligation légale en France, contrairement à certaines dispositions de l’AI Act européen.
- Pour la fonction RH, elle sert de critère de confiance dès qu’un outil IA intervient dans le tri de CV, le matching ou l’analyse de données RH.
- Bizneo HR détient la certification ISO/IEC 42001, aux côtés d’ISO 9001 et ISO 27001.
ISO/IEC 42001 est la première norme internationale qui encadre le management de l’intelligence artificielle dans une organisation. Publiée en décembre 2023 par l’ISO et la CEI, elle ne dit pas comment coder une IA, mais comment la gouverner : qui décide, qui contrôle les risques, qui vérifie que le système ne dérive pas.
Dès qu’un outil RH utilise de l’IA pour trier des candidatures, évaluer une performance ou proposer une recommandation, un DRH ou un responsable conformité doit pouvoir répondre à une question précise : qui contrôle cette décision avant qu’elle n’atteigne un candidat ou un salarié ? ISO 42001 répond directement à cette question, avec un cadre documenté plutôt qu’une confiance aveugle dans l’algorithme.
Qu’est-ce que la norme ISO/IEC 42001 ?
ISO/IEC 42001:2023 est une norme de système de management, construite sur la même architecture que ISO 9001 pour la qualité ou ISO 27001 pour la sécurité de l’information. Elle ne spécifie pas une technologie d’IA précise. Elle impose une structure organisationnelle : contexte, leadership, planification, support, fonctionnement, évaluation de la performance, amélioration continue.
Concrètement, une entreprise certifiée a démontré qu’elle documente ses systèmes d’IA, qu’elle évalue leurs risques, biais, erreurs, impact sur les personnes, et qu’elle révise régulièrement ses pratiques. Ce n’est pas un audit technique du code, c’est un audit de gouvernance.
La norme s’adresse à toute organisation qui conçoit, fournit ou utilise des systèmes d’IA, quelle que soit sa taille. Un éditeur de logiciel RH, un cabinet de recrutement ou une direction des ressources humaines qui déploie des outils d’IA en interne peuvent tous s’appuyer dessus.
Faut-il encadrer l’usage de l’IA dans les processus RH ?
Un recruteur peut utiliser un outil d’IA pour trier des candidatures sans que la DRH ou la DSI en soit informée. Aucun système de sécurité ne détecte ce type d’usage, puisqu’il protège des données, pas des décisions.
ISO 42001 répond à cette question par un inventaire obligatoire : quels outils d’IA sont utilisés dans l’entreprise, pour quoi faire, et qui en est responsable.
Pourquoi une norme de management pour l’IA ?
Les outils d’IA posent des risques que les référentiels de sécurité classiques ne couvrent pas bien : biais algorithmique, manque de transparence sur la façon dont une décision est prise, usage détourné d’un outil au-delà de sa fonction prévue. Un système de sécurité protège des données. Il ne vérifie pas si une IA traite équitablement des candidatures.
À cela s’ajoute un problème d’organisation propre aux RH. Un recruteur peut utiliser un outil d’IA externe pour présélectionner des candidatures sans que la DRH ou la DSI en soit informée. Ce phénomène, parfois appelé shadow AI, échappe à tout contrôle tant qu’aucun cadre ne l’oblige à être recensé. ISO 42001 impose justement cet inventaire : quels systèmes d’IA sont utilisés, par qui, avec quelles responsabilités.
Que signifie la certification ISO 42001 pour une entreprise ?
Obtenir la certification suppose de mettre en place un système de management de l’IA complet, audité par un organisme indépendant. Cela inclut une cartographie des usages de l’IA dans l’organisation, une analyse d’impact pour chaque système jugé sensible, et des procédures de supervision humaine.
Une norme complémentaire, ISO/IEC 42005, publiée en mai 2025, détaille comment conduire cette évaluation d’impact.
L’entreprise certifiée s’engage aussi sur la durée. La certification n’est pas acquise une fois pour toutes : elle fait l’objet d’audits de surveillance réguliers, exactement comme ISO 9001 ou ISO 27001. Un système non maintenu perd sa certification.
Pour un acheteur de logiciel, ce point est important. Une certification ISO 42001 active signifie que le fournisseur est audité en continu, pas qu’il a passé un contrôle ponctuel il y a plusieurs années.
ISO 42001 et AI Act : quelle différence ?
C’est le point de confusion le plus fréquent. ISO 42001 est une norme volontaire. L’AI Act européen est un règlement contraignant. Une entreprise peut respecter l’AI Act sans être certifiée ISO 42001, et inversement, bien qu’en pratique les deux se complètent.
L’AI Act impose des obligations précises selon le niveau de risque d’un système d’IA, dont des exigences de formation des équipes.
ISO 42001, elle, propose une méthode pour organiser la conformité à ces obligations, sans en être la source légale. Beaucoup d’organismes de certification présentent ISO 42001 comme un outil pour préparer l’AI Act, ce qui est vrai en partie : un système de management bien construit facilite la documentation exigée par le règlement. Mais aucune disposition n’impose la certification ISO 42001 elle-même, ni en France ni au niveau européen à ce jour.
Quel impact pour la fonction RH ?
Les outils RH intègrent de plus en plus d’IA : présélection de candidatures, matching de compétences, analyse de données d’évaluation. Chacun de ces usages comporte un risque de biais algorithmique, souvent invisible tant qu’il n’a pas produit une décision discriminatoire.
ISO 42001 donne au DRH un langage commun avec son fournisseur logiciel et avec sa direction juridique. Au lieu de demander si une IA est fiable, la question devient vérifiable : le fournisseur a-t-il un système de management documenté, des analyses d’impact, une supervision humaine sur les décisions sensibles.
Ce cadre protège aussi la fonction RH elle-même. En cas de contestation d’une décision assistée par IA, un refus de candidature par exemple, pouvoir démontrer qu’un système de gouvernance existait en amont renforce la position de l’entreprise, employeur comme éditeur.
ISO 9001, ISO 27001, ISO/IEC 42001 : quelles différences ?
Les trois normes partagent la même structure de management, mais ne couvrent pas le même risque. Ce tableau résume ce que chacune garantit concrètement pour un acheteur de logiciel RH.
| Norme | Ce qu’elle encadre | Ce qu’elle garantit à l’utilisateur |
|---|---|---|
| ISO 9001 | Management de la qualité | Des processus internes documentés et constamment améliorés |
| ISO 27001 | Sécurité de l’information | La protection des données contre les accès non autorisés |
| ISO/IEC 42001 | Management de l’intelligence artificielle | Une gouvernance de l’IA, avec gestion des risques et des biais |
Les trois ne s’excluent pas, elles se cumulent. Un éditeur RH certifié sur les trois démontre qu’il structure sa qualité, protège les données, et pilote ses usages d’IA avec la même rigueur.
Comment vérifier qu’un logiciel RH gère l’IA de façon responsable ?
Avant de choisir un outil RH qui intègre de l’IA, la première vérification est documentaire : le fournisseur publie-t-il ses certifications, avec un accès aux certificats eux-mêmes et pas seulement à une mention marketing.
Bizneo HR a obtenu la certification ISO/IEC 42001, aux côtés d’ISO 9001 et ISO 27001. Concrètement, cela signifie que les fonctionnalités basées sur l’IA de la plateforme, utilisées par exemple pour la présélection de candidatures dans l’ATS, s’appuient sur un système de management audité, avec traçabilité des décisions et contrôle documenté des risques de biais, plutôt que sur un algorithme opaque.
Vérifier la date et la portée du certificat est aussi utile. Un certificat couvre un périmètre précis, quels produits, quels sites, qu’il vaut mieux demander explicitement au fournisseur si le document public ne le précise pas.
