Non. ISO 9001:2026 n’exige pas de politique sur l’intelligence artificielle. Ni charte numérique, ni clause cybersécurité, ni registre des algorithmes ! Je commence par la réponse, parce que la rumeur a pris quelques semaines d’avance sur le document lui-même.

Cette rumeur, vous l’avez croisée. Plusieurs pages d’organismes et de blogs annoncent que la nouvelle édition « introduit des exigences liées […] à l’intelligence artificielle » ou qu’elle réclame de la « transparence sur l’usage des algorithmes ». Parmi les pages lues pour préparer cet article, cinq affirment une chose de ce genre. Trois disent l’inverse. Aucune des cinq ne cite un numéro de clause. Vous me voyez venir ?

La vérification, je l’ai faite moi-même. J’ai ouvert l’édition française (le PDF de 54 pages) et lancé une recherche sur trois expressions. Intelligence artificielle : zéro occurrence. IA : zéro. Numérique : une seule, dans une note. Ce n’est pas une opinion, c’est un compteur. Allez, on y va ! Je vous montre où la technologie se niche réellement dans le référentiel, ce que cela change pour une PME qui travaille déjà avec ces outils, et ce qu’un auditeur ne peut pas vous imposer à ce titre. Mon avis sur la transition dans son ensemble est dans ma tribune du 24 septembre ; ici, je m’en tiens aux pages.

L’essentiel en six puces

• Les comptages : intelligence artificielle, 0. IA, 0. Numérique, 1 (NOTE de 7.1.6). Cybersécurité et algorithme, 0.
• Les passages technologiques : six notes dans le corps du texte (4.1, 6.1.3, 7.1.3, 7.1.6, 8.2.1, 9.1.2), deux exigences anciennes sur les informations documentées (format et support en 7.5.2 b), protection en 7.5.3.1 b)) et huit paragraphes de l’annexe A.
• Leur statut : informatif, sauf 7.5.2 b) et 7.5.3.1 b), qui datent de 2015. L’avant-propos précise que l’annexe A a été révisée sans introduire d’exigences supplémentaires.
• Ce qui vous concerne quand même : un outil ou une IA qui fait tourner l’un de vos processus devient une ressource, et les clauses existantes s’appliquent à lui : risques (6.1.2), opportunités (6.1.3), connaissances (7.1.6), compétences (7.2), prestataires externes (8.4).
• Ce qu’on ne peut pas vous réclamer : politique IA, charte numérique, dispositif de cybersécurité. D’autres référentiels couvrent ces sujets, ISO/IEC 42001 pour le management de l’IA par exemple.
• Votre décision : relire six endroits de votre système, pas en bâtir un septième.

La méthode : trois mots cherchés, trois chiffres

Aucune méthode secrète. Un fichier, une fonction de recherche. Le document, c’est la sixième édition d’ISO 9001, datée 2026-09 et publiée le 16 septembre 2026 selon l’AFNOR. J’ai pris la version française et compté chaque expression en tenant compte des coupures de ligne (les PDF adorent scinder un mot en deux, et un compteur naïf passe à côté). Les résultats :

• intelligence artificielle, 0 occurrence. IA, le sigle seul, 0.
• numérique, 1, dans la NOTE de 7.1.6.
• cybersécurité, 0. Algorithme, 0.
• technologies émergentes, 4 : une fois en note (6.1.3), trois fois dans l’annexe A (A.6.1.3, A.7.1.3, A.7.1.4).
• réseaux sociaux, 2, dans deux notes (8.2.1 et 9.1.2).
• sécurité, 5, et pas une seule au sens informatique ! Il s’agit de santé et sécurité au travail, ou de la fourniture des produits en toute sécurité.
• confidentialité, 1, en exemple entre parenthèses dans la 7.5.3.1 b), une phrase déjà présente en 2015.

Trois chiffres à retenir : 0, 0, 1. Si quelqu’un vous brandit une exigence IA de la 9001, demandez-lui la page. Elle n’existe pas. Promis.

Une précision qui compte, parce que les auditeurs la connaissent et que les commerciaux l’oublient : dans une norme ISO, une NOTE est informative. Elle éclaire, elle ne prescrit pas. L’annexe A, elle, est informative de bout en bout, et son premier paragraphe le formule avec une netteté rare : ses informations ne les complètent pas, ne les réduisent pas, ni ne les modifient de quelque façon que ce soit, « les » désignant les exigences. Gardez cette phrase. Nous allons la ressortir.

(Petite digression : à ce rythme, la 9001 cite plus souvent les foires aux questions que l’intelligence artificielle. Une FAQ, un point, dans la note de 8.2.1. L’IA, zéro. Je ne sais pas ce que cela dit de l’état du monde, mais j’ai trouvé ça réjouissant. Fin de la digression.)

Où le numérique apparaît vraiment, passage par passage

Maintenant, la carte. Pour chaque passage : la clause ou le paragraphe d’annexe, ce qu’il dit en substance (pas le mot à mot, le texte est protégé par le droit d’auteur, et l’ISO y tient), et son statut normatif, parmi trois possibles : exigence (un « doit »), NOTE (texte informatif inséré dans le corps des exigences), annexe informative.

Quatorze lignes, auxquelles il faut ajouter deux passages anciens pour être complet : la NOTE 2 de 4.1 (enjeux technologiques du contexte externe) et le 7.5.2 b) (format, par exemple version logicielle, et support, par exemple électronique, des informations documentées). Seize passages en tout. Deux exigences, 7.5.2 b) et 7.5.3.1 b), et elles datent de 2015 : le format et le support de vos informations documentées, puis leur protection, celle que vous appliquez déjà en gérant les droits d’accès à votre serveur de fichiers. Tout le reste est en note ou en annexe. Vous êtes toujours avec moi ? Bien. Parce que c’est exactement là que se joue la différence entre « la norme en parle » et « la norme l’exige ». Et je vous l’accorde volontiers : elle en parle ! L’annexe A de 2026 est visiblement écrite par des gens qui savent qu’une PME travaille désormais avec des logiciels, à distance, avec des dispositifs qui dialoguent entre eux. Une annexe moderne, donc, qui n’allonge pourtant pas votre liste d’exigences. Les deux sont vrais en même temps ; c’est précisément ce que les pages lues n’arrivent pas à tenir ensemble.

Vous utilisez l’IA dans vos processus ? Six endroits à relire

Attention, c’est là que ça se corse. « La norme n’exige rien sur l’IA » ne signifie pas « l’IA est hors sujet pour votre auditeur ». Si un outil génère vos devis, trie vos réclamations ou rédige vos comptes rendus d’audit interne, il est devenu une ressource de vos processus, et les clauses qui s’appliquent aux ressources s’appliquent à lui. Pas de clause nouvelle. Les clauses existantes, relues avec cet outil en tête.

1. Vos risques (6.1.2)

La 2026 vous demande de déterminer vos risques, puis de les analyser, puis de les évaluer, avec une note sur la capacité à livrer des produits conformes pendant et après une perturbation. Un outil qui tombe en panne, qui se trompe sans prévenir, ou dont l’éditeur change les conditions du jour au lendemain, c’est un risque de ce type. Il mérite sa ligne dans votre registre. Rien de plus, mais rien de moins ! La nouvelle mécanique de la 6.1 est détaillée dans l’article de ce dossier consacré aux risques et opportunités.

2. Vos opportunités (6.1.3)

Clause nouvelle, et sa note cite justement les technologies émergentes. Vous déployez une IA pour gagner du temps sur un processus ? C’est une opportunité au sens du texte : à déterminer, à analyser, à évaluer, avec une action planifiée et, plus tard, une évaluation de l’efficacité de cette action (9.1.3 f). Vous le faisiez peut-être sans le nommer. Nommez-le !

3. Vos connaissances (7.1.6)

Les connaissances de l’organisme doivent être conservées, appliquées, partagées. Si une IA détient de fait un savoir-faire maison (les règles de chiffrage que plus personne ne connaît par cœur, par exemple), posez-vous la question du jour où l’outil disparaît. La note parle de systèmes numériques : c’est votre cas, mot pour mot. Où est la copie de ce savoir ? Qui sait encore le refaire à la main ?

4. Vos compétences (7.2)

La clause vise les personnes effectuant, sous votre contrôle, un travail ayant une incidence sur les performances du système. Celle qui valide la sortie d’un outil fait ce travail. Sait-elle repérer une réponse fausse ? Sur quelle base ? La preuve documentée de compétence est exigée, comme pour n’importe quel poste, et la logique n’a pas bougé depuis notre article sur les ressources humaines et les compétences en ISO 9001. Ce qui change, c’est l’objet de la compétence. Relire une machine, c’est un métier !

5. La fiabilité de vos informations (A.5.3)

Informative, je le répète, mais c’est à mon sens la remarque la plus intelligente de l’annexe. Quand une technologie aide à piloter le système, la confiance repose sur des informations fiables et sur la clarté de qui décide quoi. Un tableau de bord automatisé alimente votre revue de direction ? Alors quelqu’un répond de ses chiffres. Un nom, pas un logiciel. Pas besoin de l’écrire dans une politique ; il faut pouvoir le dire en entretien.

6. Vos prestataires externes (8.4)

Si l’outil est externalisé (service en ligne, éditeur, intégrateur), la 8.4.1 c) vise précisément le cas où un processus, ou une partie d’un processus, est fourni par un prestataire externe. Donc : critères de sélection, évaluation, surveillance, comme pour votre transporteur ou votre laboratoire d’étalonnage. Et l’annexe rappelle que la responsabilité de la conformité incombe toujours à l’organisme. Pas à l’éditeur du logiciel. Jamais !

Six relectures, zéro document nouveau. Tout tient dans vos supports actuels : une ligne de registre, une fiche de compétence, une évaluation de prestataire. Le guide de ce dossier sur les exigences de la 2026 reprend ces clauses dans l’ordre du texte, et celui sur la version 2026 et son calendrier vous dira quand tout cela sera audité chez vous. Bon, vous l’avez compris : le travail existe, mais ce n’est pas celui qu’on vous vend.

Ce qui relève d’autres référentiels

La 9001 le dit elle-même dans son introduction : elle « ne comporte pas d’exigences spécifiques d’autres systèmes de management », et elle cite l’environnement, la santé et la sécurité au travail, la gestion d’actifs. Le management de l’intelligence artificielle est un autre système de management, avec sa propre norme, ISO/IEC 42001. Je ne la détaille pas ici ; je préfère vous en parler le jour où nous l’aurons lue de la même façon, le compteur à la main. Même logique pour la sécurité de l’information : la 9001 protège vos informations documentées (7.5.3), elle ne vous demande pas un dispositif de cybersécurité. D’autres textes couvrent ce terrain, et vos clients peuvent vous les imposer par contrat. Par contrat. Pas par la 9001. Mélanger les trois, c’est le réflexe des pages que j’ai lues ; les séparer, c’est le travail d’un responsable qualité.

Ce qu’on ne peut pas vous imposer au nom de la 9001

Liste courte, à garder sous le coude le jour J. Aucun de ces éléments ne peut fonder un écart au titre d’ISO 9001:2026, parce qu’aucune exigence ne les porte.

• Une politique IA. La 5.2 exige une politique qualité, dont le contenu est fixé par la 5.2.1 ; l’intelligence artificielle n’y figure pas.
• Une charte numérique ou une charte d’usage des outils. Rien dans le texte. Si vous en voulez une pour vos équipes, c’est une décision de management, pas une exigence.
• Un dispositif de cybersécurité ou un audit de sécurité informatique. Le mot n’existe pas dans la norme ; la seule exigence voisine est la protection des informations documentées (7.5.3.1 b), identique à 2015.
• Un registre des algorithmes. Zéro occurrence du mot.
• Une formation à l’IA pour tout le personnel. La 7.2 vise les compétences nécessaires au travail effectué ; elle ne nomme aucune technologie.
• Une exigence de l’annexe A. Il n’en existe pas, l’avant-propos le dit en toutes lettres.

Tout cela est-il inutile pour autant ? Non ! Une charte d’usage de l’IA peut être une excellente idée pour votre entreprise. Mais une bonne idée et une exigence de certification, ce sont deux colonnes différentes de votre budget. Bref, ai-je encore besoin de vous convaincre de lire le texte avant le devis ?

Et l’auditeur qui insiste ?

Ça arrive. Un auditeur vous demande votre « politique d’utilisation de l’IA », vous répondez que la norme ne l’exige pas, il insiste. Trois réponses, dans l’ordre.

• Demandez la clause. Poliment, précisément : sur quelle exigence appuie-t-il cette demande ? Un constat d’audit se rattache à une exigence, c’est la règle du métier. S’il cite l’annexe A, rappelez-lui son premier paragraphe.
• Reformulez vers la clause qui existe vraiment. L’auditeur veut souvent savoir si vous maîtrisez votre outil, et la question est légitime au titre de 6.1.2, de 7.1.6, de 7.2 ou de 8.4. Répondez-y avec vos preuves existantes : la ligne du registre, la fiche de compétence, l’évaluation du prestataire. Cerise sur le gâteau : vous montrez que vous connaissez le texte mieux que la rumeur.
• Si l’écart est écrit, contestez-le par écrit. Un écart sans référence à une exigence ne tient pas en revue, et votre organisme certificateur a une procédure de recours pour cela.

Mon conseil, et je l’assume : ne produisez jamais un document dans l’urgence pour calmer un auditeur. Un document créé la veille et appliqué par personne, c’est un vrai écart en puissance. Mieux vaut une réponse argumentée qu’une charte vide. Et pour une relecture complète de votre système avant le jour J, outils numériques compris, notre audit à blanc IA rend son rapport sous 48 heures pour 399 € ; j’y reviens dans l’encadré, avec la nuance qui s’impose dans un article pareil.

Questions fréquentes

Je pense qu’à présent, vous savez ce que la 9001 dit de l’intelligence artificielle : rien, et c’est vérifiable. Ce qu’elle dit de vos outils, en revanche, tient dans cinq clauses que vous appliquez déjà et une remarque de l’annexe A. À bientôt !

Sources : ISO (ISO 9001:2026, Systèmes de management de la qualité, Exigences, sixième édition, 2026-09 ; occurrences comptées dans l’édition française : avant-propos, introduction 0.4, clauses 4.1, 6.1.2, 6.1.3, 7.1.3, 7.1.6, 7.2, 7.5.2, 7.5.3, 8.2.1, 8.4.1, 9.1.2, 9.1.3, annexe A), AFNOR (ISO 9001 sur la qualité : voici la nouvelle version 2026, 8 septembre 2026, mis à jour le 21 septembre 2026). Les formulations attribuées à des pages tierces sont des citations lues en octobre 2026 sur des sites d’organismes et de blogs, volontairement non nommés.

Article fondé sur le texte publié le 16 septembre 2026. Rédigé le 5 octobre 2026.