ISO 42001 PME : trois mots qui risquent de prendre une place croissante dans les discussions avec les clients, les directions informatiques, les responsables conformité et les services achats. Pourquoi ? Parce que l’intelligence artificielle n’est plus seulement utilisée par les éditeurs technologiques. Une PME qui utilise ChatGPT, Copilot, un logiciel RH intégrant de l’IA, un système de scoring, un outil marketing automatisé ou une solution métier intelligente devient elle aussi actrice de la gouvernance de l’IA.Et c’est précisément là que beaucoup d’entreprises pourraient être prises de court.La certification ISO/IEC 42001 n’est pas aujourd’hui une obligation générale imposée à toutes les PME utilisant de l’IA. Mais les responsabilités liées à l’utilisation de ces systèmes existent déjà et se renforcent. Dans l’Union européenne, l’AI Act est entré dans une nouvelle phase d’application depuis le 2 août 2026, avec des obligations qui concernent aussi, selon les cas, les entreprises qui déploient et utilisent des systèmes d’IA.Alors faut-il attendre ? Probablement pas. Mettre en place un système de management de l’IA demande du temps, des ressources et un budget. Anticiper permet de transformer cette contrainte en avantage concurrentiel, notamment lorsque clients et appels d’offres commenceront à demander des preuves tangibles de gouvernance de l’intelligence artificielle.

L’intelligence artificielle s’installe dans les processus de l’entreprise à grande vitesse. Mais plus elle accède aux données, aux outils métiers et aux systèmes d’information, plus une question devient stratégique : comment éviter l’empoisonnement de l’IA par injection ? Une simple instruction malveillante peut chercher à détourner le comportement d’une IA générative. Une injection indirecte peut même se dissimuler dans un contenu que le système consulte. Pour l’entreprise, le problème dépasse donc largement la technique : fuite d’informations, décisions inappropriées, atteinte à l’image ou exposition à des risques juridiques peuvent entrer dans l’équation.Sécuriser une IA ne consiste pourtant pas à empiler quelques barrières techniques. Il faut aussi organiser sa gouvernance, identifier les risques, définir les responsabilités et contrôler les usages dans la durée.C’est précisément là que la norme ISO/IEC 42001 prend tout son sens. Son approche structurée du management de l’intelligence artificielle peut aider l’entreprise à encadrer ses pratiques et à mieux maîtriser les risques associés à ses systèmes d’IA.

Le Shadow AI ressemble à une cueillette de champignons après une pluie d’automne. Les outils poussent partout, paraissent inoffensifs et promettent de gagner du temps. Pourtant, derrière une fonction familière peut se cacher une variété toxique pour les données de l’entreprise. En Suisse, le phénomène est loin d’être marginal. Le Work Trend Index 2024 de Microsoft et LinkedIn indiquait que 82 % des travailleurs du savoir suisses interrogés utilisaient l’IA au travail. Plus révélateur encore : 83 % apportaient leurs propres outils d’IA dans leur environnement professionnel. L’étude s’appuyait notamment sur un échantillon de 1 000 personnes en Suisse.Une étude de Deloitte Suisse, menée auprès de 1 002 personnes susceptibles d’utiliser l’IA générative dans leur activité professionnelle, relevait de son côté que 61 % y recouraient déjà au travail. Dans 26 % des cas, le supérieur direct n’était pas informé. Environ 60 % des utilisateurs passaient par un ordinateur ou un téléphone personnel, tandis que 61 % déclaraient que leur entreprise ne disposait d’aucune directive interne sur l’usage de l’IA.Le danger ne vient plus seulement de ChatGPT, Claude ou Copilot. L’intelligence artificielle s’intègre désormais à Canva, Adobe Acrobat, aux logiciels de visioconférence, aux outils de traduction, aux correcteurs, aux plateformes de développement et à une multitude d’applications métier. Certaines fonctions sont si discrètes que les collaborateurs ne les considèrent même pas comme des outils d’IA. Comment identifier ces « champignons numériques » ? Comment protéger les secrets commerciaux, industriels ou médicaux ? Et comment sélectionner des solutions qui permettent d’innover sans perdre le contrôle des informations sensibles ? La réponse commence par un audit du Shadow AI. Elle se poursuit par une gouvernance structurée, des outils maîtrisés, une formation adaptée et, pour les organisations qui souhaitent démontrer leur engagement, la mise en œuvre d’un système de management conforme à la norme ISO/IEC 42001.

L’intelligence artificielle entre désormais dans les dispositifs de sécurité physique : caméras intelligentes, contrôle d’accès augmenté, analyse comportementale, détection d’anomalies, outils d’aide à la décision pour les équipes sûreté. Sur le papier, la promesse est séduisante : gagner du temps, mieux anticiper les incidents, réduire les angles morts et renforcer la prévention. Mais une question dérangeante se pose très vite : qui gouverne réellement ces systèmes une fois qu’ils sont déployés ? C’est là que la gouvernance avec la norme ISO 42001 devient un levier stratégique. Elle ne consiste pas à freiner l’innovation, mais à éviter le piège technologique : acheter une solution IA parce qu’elle impressionne, sans avoir clarifié les risques, les responsabilités, les critères de décision, la supervision humaine et les preuves de conformité attendues. Dans le domaine de la sécurité physique, une IA mal cadrée peut générer de faux positifs, orienter une mauvaise décision, créer une dépendance fournisseur ou exposer l’entreprise à des risques juridiques, éthiques et opérationnels. À l’inverse, une solution choisie avec une démarche ISO 42001 permet de structurer l’usage de l’IA, d’encadrer les prestataires et de sécuriser les décisions avant, pendant et après le déploiement. L’objectif de cet article est simple : aider les dirigeants, responsables sûreté et décideurs à choisir une solution IA fiable, utile et gouvernable, sans confondre performance technologique et maîtrise réelle du risque.