ISO 42001, AI Act, GDPR : vers une grammaire commune de la conformité IA
Au Forum InCyber 2025, rendez-vous européen sur la cybersécurité et la régulation technologique, la table ronde Securing Generative AI in a Matter of Urgency a réuni experts du droit, de la cybersécurité et de la gouvernance des données autour d’une question centrale : peut-on construire un langage commun pour encadrer l’IA générative à grande échelle ?
La réponse se dessine autour de trois piliers réglementaires et normatifs : le RGPD, l’AI Act, adopté en mars 2024, et la norme ISO 42001, première à structurer la gouvernance de l’IA au sein des organisations.
« Il faut sortir de la logique post-marché du RGPD. L’AI Act impose une conformité dès la conception. »
– Charlotte Barreau, experte IA à la CNIL.
Trois textes, trois logiques… un même objectif
Le RGPD, en vigueur depuis 2018, a défini les premiers principes de protection des données personnelles : minimisation, consentement, transparence, droit d’accès. Mais il ne cible pas de technologies spécifiques. Il est agnostique par nature.
L’AI Act, en revanche, introduit une logique différente : classer les systèmes d’IA selon leur niveau de risque (minimal, limité, élevé, inacceptable), et imposer des obligations de conformité préalables à leur déploiement. Il traite l’IA comme un produit à sécuriser avant mise sur le marché.
Enfin, la norme ISO 42001, publiée fin 2023, fournit un cadre opérationnel de gouvernance IA, aligné sur les grands principes du management des risques. Elle ne se substitue pas à la loi, mais structure la mise en œuvre.
« L’ISO 42001 est une preuve d’intention. Elle formalise les arbitrages entre innovation, sécurité et responsabilité. »
– Julien Richard, British Standards Institution (BSI).
Une approche par le risque, pas par l’outil
L’un des apports majeurs de l’AI Act est de poser une équation nouvelle : ce ne sont pas les technologies qui posent problème, mais leur impact. Un chatbot médical ou un outil RH de scoring algorithmique n’ont pas les mêmes implications qu’un moteur de recommandation sur un site e-commerce.
« L’AI Act transpose à l’IA des logiques qu’on appliquait à l’aéronautique ou aux dispositifs médicaux. »
– Charlotte Barreau, CNIL.
L’autre rupture : la charge de la preuve incombe désormais aux concepteurs. Il faut documenter les datasets, assurer la robustesse des modèles, tracer les itérations, expliquer les logiques de décision.
Standardisation : outil de mise en œuvre, pas simple conformité
La norme ISO 42001 ne crée pas d’obligation juridique, mais facilite le respect des textes. Elle permet aux entreprises de structurer :
-
- Leur gouvernance IA (rôles, responsabilités, processus)
- L’analyse de risques spécifiques aux modèles
- Le suivi des cycles de vie IA
- L’alignement avec les exigences réglementaires européennes
« On est sortis des standards figés. On parle désormais de normes vivantes, co-construites, interopérables. »
– Julien Richard, BSI.
Elle est particulièrement utile pour les entreprises qui veulent anticiper les audits, aligner leur politique IA avec des objectifs RSE, ou rassurer des clients B2B dans des secteurs sensibles (santé, finance, défense).
Du droit individuel à la responsabilité systémique
Le RGPD reste centré sur les droits de l’individu : consentement, oubli, portabilité. L’AI Act et ISO 42001 introduisent une nouvelle couche : la responsabilité collective, face à des risques systémiques (biais, opacité, discriminations, manipulation de contenu).
« Le RGPD pose la question : à qui appartiennent les données ? L’AI Act demande : que fait-on avec ? »
– Synthèse de l’intervention croisée CNIL / BSI au Forum InCyber 2025.
Conformité = levier de transformation
Longtemps perçue comme une contrainte, la conformité IA devient une opportunité de structuration. Florence Moutet, CISO de Zalando, l’a rappelé en expliquant comment son entreprise utilise la régulation comme moteur de gouvernance :
« La préparation à l’AI Act nous a permis de formaliser une méthodologie commune à toutes nos équipes. »
En cadrant les usages dès l’idéation, Zalando sécurise l’innovation, évite les usages non maîtrisés (Shadow AI), et prépare l’entreprise à un environnement où la traçabilité, la robustesse et la transparence deviendront non négociables.
Une grammaire commune en construction
Ces trois textes — RGPD, AI Act, ISO 42001 — n’ont pas les mêmes statuts, ni les mêmes périmètres. Mais ils convergent sur un point : exiger des organisations une maturité plus stratégique face à l’IA.
« Le droit ne peut pas suivre la technologie en temps réel. Mais il peut en fixer les règles du jeu. »
– Charlotte Barreau, CNIL.
La conformité IA devient une langue partagée entre juristes, ingénieurs, dirigeants, designers produits. Elle permet de dépasser les silos, d’orchestrer les expertises, et d’ancrer la responsabilité dans chaque ligne de code.
