En bref : ISO 42001 vs TGV : la norme internationale ISO/IEC 42001:2023 recoupe 115 des 382 critères de la grille TGV. Le règlement européen sur l’IA (AI Act) en recoupe 43. Les deux éclairent une partie de la famille intelligence artificielle de la TGV (69 critères), mais aucun ne remplace la certification québécoise, obligatoire pour vendre en santé au Québec.
Dans cet article
Pourquoi comparer ISO 42001, l’AI Act et la TGV ?
Depuis le 24 avril 2026, la grille TGV compte une famille entière consacrée à l’intelligence artificielle : 69 critères sur la gouvernance des systèmes d’IA, la transparence des décisions automatisées et l’encadrement de l’utilisation des données. Un éditeur qui vend au réseau de la santé québécois et qui intègre de l’IA dans son produit doit démontrer sa conformité à cette famille, critère par critère.
La plupart des éditeurs sérieux en IA ne partent pas de zéro. Beaucoup ont déjà entamé une démarche ISO/IEC 42001:2023, la norme de système de gestion de l’intelligence artificielle, ou suivent de près le règlement européen sur l’IA parce qu’ils vendent aussi en Europe ou que leurs clients l’exigent ailleurs. La question qui revient dans nos échanges avec ces dirigeants : est-ce que ce travail déjà fait sert pour la TGV ?
La réponse est oui, en partie : ISO 42001 vs TGV se recoupe sans se confondre, et c’est ce que ce comparatif détaille. Nous nous appuyons sur notre cartographie interne, qui recoupe la grille TGV avec 13 référentiels externes, dont ISO 42001 et l’AI Act européen. Chaque correspondance a été vérifiée critère par critère, pas devinée à distance.
Qu’est-ce qu’ISO 42001 et que couvre-t-il ?
ISO/IEC 42001:2023 est une norme de système de gestion, construite sur la même architecture que ISO 27001 : contexte de l’organisation, leadership, planification, support, exploitation, évaluation de la performance, amélioration. Ce qu’elle ajoute, c’est le vocabulaire propre à l’IA : gestion du cycle de vie des systèmes d’IA, évaluation d’impact, transparence envers les personnes touchées par une décision automatisée.
Comme toute norme de système de gestion, elle se certifie par un audit externe, volontairement, sans obligation légale liée à un marché en particulier. Une entreprise qui obtient ISO 42001 démontre qu’elle gouverne ses systèmes d’IA de façon structurée, documentée et auditée. Ce n’est pas la même chose que démontrer qu’un produit précis respecte telle ou telle exigence technique de la TGV, mais les deux exercices se recoupent largement.
Dans notre cartographie interne, ISO 42001 recoupe 115 des 382 critères de la grille TGV, la majorité dans la famille intelligence artificielle. Un exemple concret : le critère S04.02 de la grille recoupe la clause 7.3 de la norme. Ce genre de correspondance signifie que la preuve documentaire produite pour un audit ISO 42001 peut, souvent avec adaptation, servir aussi dans un dossier TGV. Pas la copier-coller telle quelle : l’adapter.
Concrètement, les preuves qui voyagent le mieux d’un référentiel à l’autre sont celles que la plupart des entreprises certifiées ISO 42001 produisent déjà pour leur propre audit :
- les politiques écrites de gouvernance de l’IA
- les registres de risques
- les procès-verbaux de comités de gouvernance
Les preuves qui voyagent le moins bien sont celles qui touchent des exigences très spécifiques au Québec, comme la langue de l’interface ou la localisation de l’hébergement des données, absentes du texte de la norme.
Qu’est-ce que l’AI Act européen et touche-t-il une entreprise québécoise ?
Le règlement européen sur l’intelligence artificielle, l’AI Act, n’est pas une norme volontaire, c’est une loi. Il classe les systèmes d’IA par niveau de risque, du risque minimal au risque inacceptable, et impose des obligations proportionnelles : documentation technique, gestion des risques, supervision humaine, transparence envers les utilisateurs pour les systèmes à risque élevé.
Une entreprise québécoise qui ne vend qu’au Québec n’y est pas directement soumise. Deux situations l’y exposent tout de même : offrir un système d’IA à des utilisateurs situés dans l’Union européenne, ou avoir des clients qui exigent une démonstration de conformité parce qu’eux-mêmes y sont soumis. Ce deuxième cas devient courant dès qu’un client a une présence internationale, même si votre propre marché reste le Québec.
L’AI Act recoupe 43 des 382 critères de la grille TGV dans notre cartographie, presque tous dans la famille intelligence artificielle. C’est moins qu’ISO 42001, et ça s’explique par la nature des deux référentiels. L’AI Act encadre le produit et son niveau de risque. ISO 42001 encadre la gouvernance de l’organisation qui le construit. La TGV emprunte un peu aux deux logiques, ce qui explique pourquoi elle ne se substitue à aucun des deux.
ISO 42001 vs TGV : que montre le tableau comparatif ?
Le tableau suivant résume les trois référentiels comparés dans cet article.
| Référentiel | Nature | Portée | Correspondances avec la famille IA de la TGV (69 critères) |
|---|---|---|---|
| ISO/IEC 42001:2023 | Norme de système de gestion, certification volontaire | Internationale | 115 |
| Règlement européen sur l’IA (AI Act) | Règlement obligatoire par paliers de risque | Union européenne, et hors UE si vente à des utilisateurs européens | 43 |
| Grille TGV, famille intelligence artificielle | Grille de certification obligatoire | Réseau de la santé du Québec | 69 (référence) |
Cette cartographie, que nous avons remise à Santé Québec à la fin juillet 2026 dans sa version complète couvrant les 13 référentiels, sera publiée en données ouvertes plus tard cette année.
Un chiffre mérite d’être nuancé avant d’aller plus loin. Sur l’ensemble des 1302 correspondances que compte notre cartographie interne, tous référentiels et toutes familles confondus, seulement 72 sont des équivalences strictes, c’est-à-dire des cas où une preuve produite pour un référentiel externe satisfait directement, sans adaptation, un critère de la TGV. Le reste exige un travail d’interprétation, de reformulation ou de complément. Personne ne remplit un dossier TGV en collant des certificats existants les uns à côté des autres.
Une certification ISO 42001 suffit-elle pour la TGV ?
Non, et il faut le dire sans détour. La certification TGV est délivrée par le Bureau de certification et d’homologation du ministère de la Santé et des Services sociaux, personne d’autre. ISO 42001 et l’AI Act ne sont pas des équivalences reconnues par ce bureau : ce sont des sources de preuves que votre dossier peut réutiliser, après adaptation, pour une partie des critères. Concrètement, ISO 42001 vs TGV se résume à une question de preuves : combien de documents produits pour l’un servent aussi pour l’autre, et combien restent à démontrer directement.
Si votre entreprise détient déjà ISO 42001, une bonne partie du travail de documentation sur la gouvernance de l’IA, l’évaluation des risques et la traçabilité des décisions automatisées est déjà faite. Ce qui reste à faire :
- cartographier précisément quel document ISO répond à quel critère TGV
- combler les critères de la famille intelligence artificielle qui n’ont pas d’équivalent dans ISO 42001
- démontrer une conformité additionnelle propre au contexte québécois
Un prérequis s’ajoute, indépendant d’ISO 42001 et de l’AI Act : le test d’intrusion. Selon l’orientation du Bureau de certification et d’homologation (BCH) du MSSS sur les tests d’intrusion, ce test est maintenant un prérequis à l’obtention de la certification TGV pour tous les produits ou services technologiques utilisant des données personnelles, de santé et de services sociaux, IA comprise.
Il doit être réalisé par un prestataire indépendant répondant aux exigences du BCH : représentants légalement autorisés au Canada, personnel certifié en tests d’intrusion, preuves d’antécédents criminels pour ce personnel, imputabilité des résultats y compris pour les sous-traitants, rapport livré en français sans frais au BCH, test effectué en production ou en environnement équivalent. Le mode boîte blanche est accepté dans tous les cas, la boîte noire ne l’est jamais.
Cette dernière partie n’est pas accessoire. La famille protection des renseignements personnels de la grille compte 108 critères, distincts de la famille intelligence artificielle, et recoupe en bonne partie les obligations de la Loi 25. Un système d’IA bien gouverné sur papier, au sens d’ISO 42001, peut très bien traiter des renseignements personnels de façon non conforme à la loi québécoise si personne n’a fait le pont entre les deux dossiers.
Si quelqu’un vous dit qu’une certification ISO ou une conformité à l’AI Act garantit votre certification TGV, méfiez-vous. C’est une obligation de moyens des deux côtés, jamais une équivalence automatique.
Un autre parallèle utile : ISO 42001 exige une surveillance continue de vos systèmes d’IA et des audits de suivi périodiques, un peu comme la TGV impose un suivi de conformité aux fournisseurs déjà certifiés. L’attestation de certification TGV du Bureau de certification, formulaire BC-D0001-01, fixe des engagements récurrents précis : au moins un test d’intrusion par année auprès d’une firme indépendante, une autodéclaration soumise au moins 15 jours avant la date d’anniversaire de la certification, la correction des vulnérabilités selon une échéance convenue avec le BC, un plan de mitigation dans les trois jours ouvrables en cas de vulnérabilité critique, et un exercice de relève informatique tous les deux ans dans un centre distinct.
La certification est valide cinq ans, avec reconduction tacite d’un an dès l’acceptation de l’autodéclaration par le BC. Les deux démarches partagent cette logique. La conformité s’entretient, elle ne se démontre pas une fois pour toutes.
Par où commencer si vous visez plusieurs référentiels à la fois ?
Trois gestes concrets, dans l’ordre.
- Faites l’inventaire de ce que vous détenez déjà : certification ISO 42001, travaux de conformité à l’AI Act, ou simplement une politique interne de gouvernance de l’IA. Chaque document existant est un point de départ, pas une preuve automatique pour la TGV.
- Comparez cet inventaire à la famille intelligence artificielle de la grille, critère par critère. Nous détaillons cette famille dans Les 69 critères d’IA de la TGV : à quoi elle sert, comment elle se structure, et pourquoi une partie de ses exigences n’a pas d’équivalent ailleurs.
- Décidez comment combler l’écart restant. Si votre produit touche aussi d’autres familles de la grille au-delà de l’IA, la sécurité ou l’interopérabilité par exemple, notre analyse plus large est dans La TGV face à 13 référentiels : 1302 correspondances analysées.
ISO 42001 vs TGV : le travail commence par cet inventaire, pas par un nouvel audit. Nous accompagnons des éditeurs qui arrivent avec une partie du travail déjà faite ailleurs, en ISO 42001 ou en préparation à l’AI Act, et qui veulent savoir précisément ce qui compte pour la TGV et ce qui reste à bâtir. Si c’est votre cas, un appel exploratoire sur l’accompagnement à la certification TGV permet de situer l’écart en trente minutes, sans engagement de votre part.
Pour aller plus loin avec Factero :
Foire aux questions
ISO 42001 est-elle obligatoire pour vendre en santé au Québec ?
Non. La seule certification obligatoire pour vendre au réseau de la santé québécois est la TGV, délivrée par le Bureau de certification et d’homologation du MSSS. ISO 42001 reste une démarche volontaire qui peut appuyer une partie de votre dossier TGV, elle ne la remplace pas et n’est reconnue par aucune équivalence automatique.
L’AI Act européen s’applique-t-il à une entreprise qui ne vend qu’au Québec ?
Pas directement. L’AI Act vise les systèmes d’IA offerts à des utilisateurs situés dans l’Union européenne, peu importe où l’entreprise qui les fournit est établie. Une entreprise strictement québécoise n’y est pas soumise, à moins d’offrir son produit à des utilisateurs européens ou qu’un client international l’exige contractuellement.
ISO 42001 remplace-t-il ISO 27001 ?
Non, ce sont deux normes distinctes. ISO 42001 reprend l’architecture de système de gestion d’ISO 27001 (contexte, leadership, planification, exploitation, évaluation, amélioration), mais elle porte sur la gouvernance de l’intelligence artificielle, pas sur la sécurité de l’information au sens large. Une entreprise déjà certifiée ISO 27001 retrouve une structure familière, sans dispense d’audit pour autant.
Combien coûte une certification ISO 42001 ?
Il n’existe aucun tarif fixe publié. Le coût dépend de la taille de l’organisation, de la portée du système de gestion à certifier et de l’organisme certificateur retenu, comme pour toute norme ISO de système de gestion. Prévoyez un audit initial en deux étapes, puis des audits de surveillance chaque année : la facture ne s’arrête pas au premier certificat.
Le test d’intrusion fait-il partie de la certification TGV pour un produit d’IA ?
Oui, indépendamment d’ISO 42001 ou de l’AI Act. Selon l’orientation du BCH sur les tests d’intrusion, ce test est un prérequis à la certification TGV pour tout produit ou service technologique utilisant des données personnelles, de santé et de services sociaux. Le fournisseur certifié s’engage aussi à en refaire un au moins une fois par année auprès d’une firme indépendante.
Sources citées
- Dépôt ouvert Correspondances TGV, CC BY 4.0 (certification-tgv.ca)
- Règlement européen sur l’intelligence artificielle, AI Act (eur-lex.europa.eu)
- Page certification des solutions numériques (Santé Québec / MSSS)
- Orientation — Certification TGV (MSSS, publication 24-715-38W)
- Orientation — Tests d’intrusion ou tests de pénétration (BCH, MSSS)
- Attestation de certification TGV, formulaire BC-D0001-01 (MSSS)
- ISO/IEC 42001:2023 (iso.org)
