L’usage de l’IA s’accélère dans le secteur financier et le cadre réglementaire se précise. Publié en juillet 2026, le règlement Digital Omnibus sur l’IA a confirmé les grandes orientations de l’AI Act de 2024, tout en reportant certaines échéances. La mise en conformité doit donc se poursuivre.
Mais une nouvelle question émerge : comment garantir la qualité, la maîtrise des risques et la sécurité des systèmes d’IA face à la multiplication rapide des usages ?
C’est sur ce sujet que se positionnent les normes ISO. Publiée en décembre 2023, ISO/IEC 42001 est la première norme internationale consacrée au management de l’intelligence artificielle. Elle propose un cadre de gouvernance durable : politiques, responsabilités, gestion des risques, contrôles et amélioration continue.
Mais quelle valeur peut-elle apporter au secteur bancaire ? La question mérite d’être posée autrement : un cadre normatif supplémentaire pourrait-il contribuer à simplifier les autres ?
L’intérêt pour une banque dépasse la perspective d’une certification. Il réside d’abord dans la rationalisation de sa gouvernance de l’IA et de ses dispositifs de conformité.
L’AI Act fixe des obligations selon la nature des systèmes, leur niveau de risque et le rôle de l’établissement. Les banques doivent identifier les usages concernés, les qualifier et appliquer les exigences correspondantes : documentation, données, traçabilité, surveillance humaine ou robustesse.
ISO 42001 intervient à un niveau plus organisationnel : comment structurer l’établissement pour répondre durablement à ces exigences ? Sans se substituer à l’AI Act, elle fournit un cadre de management susceptible d’en faciliter la mise en œuvre.
Industrialiser plutôt que multiplier les projets de conformité
Le principal défi des grands établissements réside dans la multiplication des systèmes d’IA. Avec le développement du machine learning, de l’IA générative et de l’IA agentique, traiter chaque projet isolément deviendra difficilement soutenable. Les banques devront garantir dans la durée la conformité de plusieurs centaines de systèmes fonctionnant en parallèle.
ISO 42001 peut favoriser le passage d’une logique projet à une logique industrielle de gouvernance de l’IA.
La norme encourage une vision structurée des systèmes développés ou utilisés. Cet inventaire peut servir de base à leur qualification au regard de l’AI Act, sans créer deux dispositifs parallèles. Une classification commune des risques permet ensuite d’adapter les niveaux de validation et de contrôle.
Lorsqu’une banque est elle-même qualifiée de fournisseur au sens de l’AI Act, ISO 42001 peut également contribuer à standardiser les processus nécessaires : validation avant mise en service, surveillance des systèmes, maîtrise des évolutions et traitement des incidents.
Enfin, les responsabilités entre Métiers, Data/IA, IT, Risques, Conformité, Juridique et Audit doivent être définies globalement, plutôt que projet par projet. La norme peut ainsi rationaliser les rôles, les procédures et les contrôles, tout en facilitant la surveillance réglementaire.
Les fournisseurs d’IA, point de convergence des risques
Cette convergence entre normes et réglementation concerne également la maîtrise des fournisseurs externes.
Une part croissante des systèmes d’IA utilisés par les banques repose sur des solutions SaaS, plateformes cloud, API ou composants développés par des tiers. Leur maîtrise devient essentielle : connaissance des solutions, documentation, évolution des modèles, partage des responsabilités, surveillance et conditions de sortie.
Deux réglementations récentes se rejoignent sur cet enjeu : l’AI Act organise les responsabilités dans la chaîne de valeur de l’IA. DORA encadre les risques liés aux prestataires de services TIC, notamment les dépendances technologiques, la sous-traitance, la continuité et la concentration.
Un même fournisseur peut ainsi relever de plusieurs dispositifs de contrôle internes, sans que ceux-ci soient nécessairement coordonnés.
ISO 42001 peut contribuer à les rapprocher, en renforçant les processus existants de gestion des fournisseurs d’IA : responsabilités clarifiées, exigences harmonisées et suivi cohérent des risques.
La certification comme source additionnelle de valeur
Au-delà de l’organisation interne, ISO 42001 ouvre la possibilité d’une certification indépendante. Dans cette perspective, un organisme certificateur audite le système de management de l’IA. Il vérifie non seulement l’existence des politiques, responsabilités et contrôles prévus par la norme, mais aussi leur fonctionnement effectif, sur la base de preuves documentées.
La certification impose une discipline : responsabilités explicites, contrôles formalisés, efficacité démontrée et amélioration continue.
Sa valeur réside dans cette assurance externe, mais également dans la capacité à organiser plus efficacement les obligations réglementaires. ISO 42001 offre un cadre de gouvernance auditable, dans lequel peuvent s’intégrer les exigences applicables de l’AI Act : gestion des risques, documentation, surveillance humaine, suivi des systèmes, maîtrise des évolutions et traitement des incidents.
Capitaliser sur les dispositifs existants
La principale condition de succès restera toutefois de ne pas transformer ISO 42001 en un programme de conformité supplémentaire. Les banques disposent déjà de nombreuses briques : gouvernance des modèles, Data Governance, contrôle interne, cybersécurité, validation des projets et gestion des tiers.
L’objectif consiste donc à analyser les écarts entre les obligations réglementaires et les exigences d’ISO 42001, afin d’identifier les convergences et les besoins complémentaires. Il s’agit ensuite d’adapter les processus et contrôles existants pour couvrir ces besoins, sans créer de dispositif parallèle. Cette démarche devrait être pilotée par la fonction responsable de la gouvernance de l’IA, en associant étroitement les Risques et la Conformité.
Dans cette approche, l’investissement ISO 42001 peut être évalué en coût marginal : quels moyens supplémentaires faut-il réellement mobiliser pour rendre les dispositifs existants cohérents, auditables et, éventuellement, certifiables ?
Une opportunité à examiner dès maintenant
ISO 42001 reste encore peu connue dans le secteur financier. Sa valeur potentielle est pourtant concrète : industrialiser la mise en conformité à l’AI Act, rationaliser les dispositifs de gouvernance et apporter une assurance externe sur leur fonctionnement.
Dans un secteur où la confiance reste un actif essentiel, figurer parmi les premiers établissements certifiés ISO 42001 en France pourrait également constituer un facteur de différenciation.
À l’image du rôle joué par ISO 27001 dans la cybersécurité, cette certification pourrait devenir un signal fort de maturité et de maîtrise de l’IA, adressé aux clients, partenaires et régulateurs.
Pour sa part, Sopra Steria accompagne les établissements financiers dans cette double démarche : qualifier leurs pratiques en IA au regard de l’AI Act et structurer une gouvernance auditable et durable selon ISO 42001. Notre conviction : ces deux chantiers doivent être pensés ensemble dès l’origine, pour mutualiser les efforts, éviter les dispositifs redondants et tirer pleinement parti des investissements déjà engagés.