ISO 42001 : la norme de management de l'IA s'impose au Québec en 2026

2026-05-19 · 6 min de lecture · Gouvernance IA

Publiée en décembre 2023, la norme ISO/IEC 42001 sur le management des systèmes d'intelligence artificielle devient en 2026 un critère contractuel pour les fournisseurs québécois. Décryptage des obligations, des coûts et de l'articulation avec la Loi 25.

ISO/IEC 42001 est la première norme internationale de management des systèmes d'intelligence artificielle (IA), publiée conjointement par l'Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (CEI) en décembre 2023. Elle définit les exigences pour établir, mettre en œuvre, maintenir et améliorer un système de management de l'IA (SMIA) au sein d'une organisation. En mai 2026, près de 30 mois après sa publication, elle s'impose progressivement comme un critère contractuel dans les appels d'offres publics et privés au Québec, en particulier pour les fournisseurs de services informatiques exposés à des cadres de conformité internationaux.

Son adoption répond à une convergence d'exigences : le règlement européen sur l'IA (AI Act) entré en vigueur le 1er août 2024 et applicable à toute entreprise mettant un système d'IA à disposition dans l'Union européenne, le cadre du National Institute of Standards and Technology (NIST) sur la gestion du risque IA adopté par de nombreux donneurs d'ordre américains, et la Loi 25 québécoise qui impose une évaluation des facteurs relatifs à la vie privée (ÉFVP) pour tout traitement automatisé de renseignements personnels.

Que demande la norme ISO 42001 aux organisations ?

ISO/IEC 42001:2023 reprend la structure harmonisée des normes ISO de management (ISO 9001 qualité, ISO 27001 sécurité de l'information, ISO 14001 environnement). Elle impose à toute organisation qui développe, fournit ou utilise un système d'IA d'établir :

Une politique de l'IA signée par la direction, alignée sur les valeurs et la mission
Un inventaire des systèmes IA déployés ou en projet, avec leur niveau de risque
Des rôles et responsabilités clairement attribués (responsable IA, comité d'éthique)
Des analyses de risque IA systématiques, mises à jour à chaque évolution majeure
Des processus de gestion du cycle de vie : conception, déploiement, surveillance, retrait
Une revue de direction périodique avec indicateurs et plans d'action correctifs

La norme couvre 38 contrôles répartis dans son annexe A, portant notamment sur la qualité des données, la transparence, le contrôle humain, la sécurité et la robustesse des systèmes IA.

Quelles entreprises québécoises sont concernées en 2026 ?

Selon le rapport Global AI Standards Adoption publié par la British Standards Institution (BSI) en février 2026, environ 14 % des grandes entreprises canadiennes ont entamé une démarche ISO 42001, contre 4 % un an plus tôt. Au Québec, trois catégories d'organisations sont activement engagées :

Les filiales d'entreprises européennes soumises à l'AI Act et à l'extraterritorialité de la conformité IA
Les fournisseurs Software as a Service (SaaS) et de services informatiques qui exportent vers l'Union européenne ou les États-Unis et doivent démontrer une posture IA mature
Les entreprises sous réglementation sectorielle (banques, assurances, santé) où l'Autorité des marchés financiers (AMF) du Québec et certains régulateurs fédéraux demandent un cadre formel

Les PME industrielles non exposées aux marchés étrangers peuvent attendre, mais la certification devient un avantage compétitif pour décrocher des contrats publics structurants.

Combien coûte une certification ISO 42001 ?

Selon les retours d'expérience publiés par les organismes accrédités (BSI, Bureau Veritas, SGS) au premier trimestre 2026, une certification complète prend 9 à 14 mois pour une entreprise de 100 à 500 employés. Le coût total s'établit entre 60 000 $ et 180 000 $ CAD, incluant la consultation préparatoire (souvent 40 à 60 % du budget), l'audit initial à blanc, l'audit de certification accrédité, la formation des équipes (responsable IA, auditeurs internes), et le renouvellement triennal de la certification.

Pour une PME québécoise de moins de 100 employés, une démarche allégée centrée sur la documentation et la politique IA, sans visée de certification immédiate, peut être réalisée en interne avec un coût direct de 15 000 à 40 000 $ CAD. Une évaluation préalable de la maturité IA permet de cadrer le périmètre avant l'engagement budgétaire.

Comment ISO 42001 s'articule avec la Loi 25, l'AI Act et le projet de loi C-27 ?

ISO 42001 n'est pas une obligation légale au Québec en mai 2026. Elle s'articule néanmoins avec trois cadres clés. La Loi 25 québécoise impose une ÉFVP pour tout traitement automatisé de renseignements personnels (article 3.3 de la Loi sur la protection des renseignements personnels dans le secteur privé) : les processus prévus à l'article 6.1 d'ISO 42001 (analyse de risque) facilitent directement cette exigence. Voir notre guide sur l'ÉFVP et l'intelligence artificielle au Québec.

L'AI Act européen active à compter du 2 août 2026 ses obligations applicables aux fournisseurs de modèles d'IA à usage général. Le projet de norme harmonisée prEN-ISO/IEC 42001 fait partie des références consultatives publiées par le Comité européen de normalisation (CEN-CENELEC JTC 21) en appui à la conformité présumée à certains articles du règlement.

Le projet de loi C-27 (LIAD, Loi sur l'intelligence artificielle et les données) au Canada fédéral reste suspendu depuis la prorogation parlementaire de janvier 2025. Une démarche ISO 42001 anticipe les futures exigences canadiennes et facilite l'alignement le jour où le cadre sera adopté.

Questions fréquentes

ISO 42001 est-elle obligatoire au Québec ?

Non, la norme ISO/IEC 42001:2023 n'est pas obligatoire au Québec en mai 2026. Elle constitue un cadre volontaire qui peut être exigé contractuellement par certains donneurs d'ordre publics ou privés. Sa pertinence augmente rapidement à mesure que les acheteurs européens, américains et canadiens l'intègrent dans leurs critères de qualification fournisseurs.

Quelle différence entre ISO 42001 et le NIST AI RMF ?

Le NIST AI Risk Management Framework, publié en janvier 2023, est un cadre américain volontaire centré sur la gestion du risque IA, sans mécanisme de certification par tiers. ISO/IEC 42001 est une norme internationale certifiable par un organisme accrédité. Les deux référentiels sont compatibles : beaucoup d'organisations adoptent NIST AI RMF en interne tout en ciblant une certification ISO 42001 pour la reconnaissance externe.

Une PME québécoise de 50 employés peut-elle se certifier ?

Oui, mais le retour sur investissement doit être évalué. Pour une PME exposée à un marché international ou à des grands donneurs d'ordre exigeants en gouvernance IA, la certification renforce la posture commerciale. Pour une PME centrée sur le marché local sans exposition réglementaire forte, une démarche documentée alignée sur ISO 42001 sans certification accréditée suffit généralement.

Quel est le rôle du Bureau de normalisation du Québec ?

Le Bureau de normalisation du Québec (BNQ), membre du Système national de normes coordonné par le Conseil canadien des normes (CCN), accompagne la diffusion des normes ISO au Québec et collabore avec les organismes de certification accrédités. Il ne délivre pas directement la certification ISO 42001, qui relève d'organismes accrédités par le CCN.

Sources

ISO/IEC 42001:2023, Information technology, Artificial intelligence, Management system. International Organization for Standardization, décembre 2023. https://www.iso.org/standard/81230.html
Règlement (UE) 2024/1689 du Parlement européen et du Conseil (AI Act). EUR-Lex, 12 juillet 2024. https://eur-lex.europa.eu/eli/reg/2024/1689/oj
NIST AI Risk Management Framework 1.0. National Institute of Standards and Technology, janvier 2023. https://www.nist.gov/itl/ai-risk-management-framework
Bureau de normalisation du Québec, fiche de présentation des normes ISO de management. BNQ. https://bnq.qc.ca/
Conseil canadien des normes, programme d'accréditation des organismes de certification. CCN-SCC. https://www.scc.ca/

Voir tous les articles