ISO 42001 PME : trois mots qui risquent de prendre une place croissante dans les discussions avec les clients, les directions informatiques, les responsables conformité et les services achats. Pourquoi ? Parce que l’intelligence artificielle n’est plus seulement utilisée par les éditeurs technologiques. Une PME qui utilise ChatGPT, Copilot, un logiciel RH intégrant de l’IA, un système de scoring, un outil marketing automatisé ou une solution métier intelligente devient elle aussi actrice de la gouvernance de l’IA.Et c’est précisément là que beaucoup d’entreprises pourraient être prises de court.La certification ISO/IEC 42001 n’est pas aujourd’hui une obligation générale imposée à toutes les PME utilisant de l’IA. Mais les responsabilités liées à l’utilisation de ces systèmes existent déjà et se renforcent. Dans l’Union européenne, l’AI Act est entré dans une nouvelle phase d’application depuis le 2 août 2026, avec des obligations qui concernent aussi, selon les cas, les entreprises qui déploient et utilisent des systèmes d’IA.Alors faut-il attendre ? Probablement pas. Mettre en place un système de management de l’IA demande du temps, des ressources et un budget. Anticiper permet de transformer cette contrainte en avantage concurrentiel, notamment lorsque clients et appels d’offres commenceront à demander des preuves tangibles de gouvernance de l’intelligence artificielle.

L’intelligence artificielle s’installe dans les processus de l’entreprise à grande vitesse. Mais plus elle accède aux données, aux outils métiers et aux systèmes d’information, plus une question devient stratégique : comment éviter l’empoisonnement de l’IA par injection ? Une simple instruction malveillante peut chercher à détourner le comportement d’une IA générative. Une injection indirecte peut même se dissimuler dans un contenu que le système consulte. Pour l’entreprise, le problème dépasse donc largement la technique : fuite d’informations, décisions inappropriées, atteinte à l’image ou exposition à des risques juridiques peuvent entrer dans l’équation.Sécuriser une IA ne consiste pourtant pas à empiler quelques barrières techniques. Il faut aussi organiser sa gouvernance, identifier les risques, définir les responsabilités et contrôler les usages dans la durée.C’est précisément là que la norme ISO/IEC 42001 prend tout son sens. Son approche structurée du management de l’intelligence artificielle peut aider l’entreprise à encadrer ses pratiques et à mieux maîtriser les risques associés à ses systèmes d’IA.

Le Shadow AI ressemble à une cueillette de champignons après une pluie d’automne. Les outils poussent partout, paraissent inoffensifs et promettent de gagner du temps. Pourtant, derrière une fonction familière peut se cacher une variété toxique pour les données de l’entreprise. En Suisse, le phénomène est loin d’être marginal. Le Work Trend Index 2024 de Microsoft et LinkedIn indiquait que 82 % des travailleurs du savoir suisses interrogés utilisaient l’IA au travail. Plus révélateur encore : 83 % apportaient leurs propres outils d’IA dans leur environnement professionnel. L’étude s’appuyait notamment sur un échantillon de 1 000 personnes en Suisse.Une étude de Deloitte Suisse, menée auprès de 1 002 personnes susceptibles d’utiliser l’IA générative dans leur activité professionnelle, relevait de son côté que 61 % y recouraient déjà au travail. Dans 26 % des cas, le supérieur direct n’était pas informé. Environ 60 % des utilisateurs passaient par un ordinateur ou un téléphone personnel, tandis que 61 % déclaraient que leur entreprise ne disposait d’aucune directive interne sur l’usage de l’IA.Le danger ne vient plus seulement de ChatGPT, Claude ou Copilot. L’intelligence artificielle s’intègre désormais à Canva, Adobe Acrobat, aux logiciels de visioconférence, aux outils de traduction, aux correcteurs, aux plateformes de développement et à une multitude d’applications métier. Certaines fonctions sont si discrètes que les collaborateurs ne les considèrent même pas comme des outils d’IA. Comment identifier ces « champignons numériques » ? Comment protéger les secrets commerciaux, industriels ou médicaux ? Et comment sélectionner des solutions qui permettent d’innover sans perdre le contrôle des informations sensibles ? La réponse commence par un audit du Shadow AI. Elle se poursuit par une gouvernance structurée, des outils maîtrisés, une formation adaptée et, pour les organisations qui souhaitent démontrer leur engagement, la mise en œuvre d’un système de management conforme à la norme ISO/IEC 42001.

Choisir une formation incendie ne consiste plus seulement à réserver une séance de manipulation d’extincteurs. Les entreprises peuvent aujourd’hui opter pour un entraînement sur feu réel, organisé sur un site spécialisé ou grâce à un dispositif mobile, mais aussi pour une expérience immersive utilisant un casque de réalité virtuelle. Ces deux approches ne développent pas exactement les mêmes compétences. La manipulation d’un extincteur réel permet aux salariés de ressentir la chaleur, de découvrir le poids du matériel et de travailler une technique d’approche adaptée. La formation virtuelle permet, quant à elle, d’utiliser les locaux de l’entreprise et d’y superposer une couche numérique : départ de feu, fumée, boutons d’alarme, obstacles ou voies de fuite temporairement bloquées. Faut-il alors privilégier le réalisme d’un exercice sur feu réel ou la souplesse d’un simulateur incendie en réalité virtuelle ? En pratique, la solution la plus pertinente consiste souvent à alterner les deux méthodes, par exemple une année sur deux. Cette alternance permet d’entretenir les sensations et les gestes physiques, tout en développant la prise de décision, la connaissance des locaux et les réflexes d’évacuation.

C’est pourtant ce que les décisions françaises du 21 mai 2026 rappellent avec force : le problème n’est pas ChatGPT en tant que tel. Le problème, c’est le déploiement d’outils d’intelligence artificielle en entreprise sans cadre, sans consultation suffisante et sans analyse sérieuse des impacts sur le travail. La question mérite donc d’être posée côté suisse : une entreprise pourrait-elle, en Suisse, se voir interdire l’usage de ChatGPT, Copilot, Gemini, Claude ou d’un assistant IA interne ? La réponse est oui, en théorie. Mais pas exactement pour les mêmes raisons qu’en France. En Suisse, le risque ne viendrait pas d’un simple copier-coller du droit français sur le CSE. Il viendrait plutôt de la protection des données, de la surveillance des collaborateurs, de la protection de la personnalité, de la santé au travail, de la sécurité opérationnelle et, plus largement, de l’absence de gouvernance IA. Autrement dit : ChatGPT ne sera probablement pas interdit parce qu’il s’appelle ChatGPT. Mais un mauvais déploiement IA peut, lui, être suspendu, contesté ou sanctionné.

L’IA agentique pour la sécurité opérationnelle n’est plus un sujet de laboratoire : elle devient un levier concret pour anticiper les incidents, automatiser certaines décisions et renforcer la résilience des organisations. Imaginez des agents IA capables de surveiller vos processus critiques, de détecter une anomalie avant qu’elle ne devienne une crise, puis de proposer une action corrective en temps réel. Séduisant, non ? Mais cette puissance change aussi les règles du jeu. Car plus l’intelligence artificielle devient autonome, plus les questions de contrôle, de responsabilité, de traçabilité et de supervision humaine deviennent stratégiques. Une IA agentique mal encadrée peut accélérer les opérations… mais aussi amplifier les risques. C’est précisément là qu’une gouvernance IA exemplaire devient indispensable. Pour les entreprises qui veulent sécuriser leurs usages, structurer leur conformité et inspirer confiance à leurs clients, la norme ISO/IEC 42001 apporte un cadre de management de l’IA visant à établir, maintenir et améliorer un système dédié à l’usage responsable de l’intelligence artificielle. Dans cet article, voyons comment transformer l’IA agentique en avantage opérationnel maîtrisé — et certifiable.