ISO/IEC 27090 : pourquoi un système d'IA ne se protège pas comme un système d'information classique

Les équipes qui développent ou déploient des systèmes d'IA le savent d'expérience : un système d'IA ne se protège pas comme un système d'information classique. ISO/IEC 27090, parue en octobre 2026, met des mots communs sur cette différence. Elle compte 56 pages et vient du comité ISO/IEC JTC 1/SC 27, celui qui porte ISO 27001. Cet article s'appuie sur ce qu'ISO rend public : le sommaire, l'introduction, le périmètre, les premières définitions, et la fiche de présentation.

Le constat de l'introduction

Les mesures classiques, bâties sur la confidentialité, l'intégrité et la disponibilité, restent nécessaires. Elles ne couvrent pas tout. Le système dépend de ses données d'entraînement, parfois des données utilisateur ou non vérifiées, et ce qu'il collecte en exploitation peut nourrir le prochain réentraînement : une entrée corrompue devient un vecteur d'empoisonnement.

Son fonctionnement interne reste difficile à lire. Comprendre et diagnostiquer un comportement individuel du modèle est difficile, et certaines attaques restent difficiles à détecter. Des contrôles sans détection efficace ne servent à rien.

Enfin, un modèle peut être volé par des requêtes légitimes. La limitation de débit aide, elle ne suffit pas sans détection de l'usage anormal. Toutes les vulnérabilités classiques restent présentes, les nouvelles s'y ajoutent.

Ce que la norme apporte

Des attaques nommées, définies dans les termes d'un registre des risques, confidentialité, intégrité, disponibilité, et rattachées en annexe à une étape du cycle de vie et à un actif. Le plan tient en trois parties : la sécurité de l'information appliquée à l'IA, les compromissions possibles, puis les parades et leurs interactions. Une annexe traite l'apprentissage fédéré.

Les parades s'évaluent ensemble, parce que certaines se gênent : la norme y consacre un chapitre. Elle reconnaît aussi que certaines attaques restent difficiles à détecter et ne promet aucune immunité.

Pourquoi cette parution compte

D'abord parce que les pratiques d'ISO 27001 et 27002 restent le socle. Rien de nouveau à certifier : le système de management de la sécurité de l'information déjà en place reçoit une couche de plus, il ne se remplace pas. Ensuite parce que la norme réunit quatre fonctions autour de la même table : la sécurité, les équipes IA, les responsables des données et les achats. Elle leur donne les mêmes questions : d'où viennent les données et les modèles, comment changent-ils en exploitation, qui détecte un comportement suspect, qui répond.

Côté européen, l'article 15 de l'AI Act demande déjà aux systèmes à haut risque de résister à l'empoisonnement des données, à l'empoisonnement de modèle, aux exemples contradictoires et aux attaques visant la confidentialité. La norme harmonisée européenne attendue sur ce point, prEN 18282, est encore à l'état de projet. ISO/IEC 27090 ne donne aucune présomption de conformité : c'est un guide, non certifiable. Elle fournit un vocabulaire disponible avant l'échéance de l'annexe III, le 2 décembre 2027. Son introduction le dit : traiter ces menaces à temps renforce la confiance dans le système et dans l'organisation qui l'exploite.

Ce que le cabinet en fait

Le cabinet lit cette parution en recouvrement. Vos modèles de menaces et votre registre des risques couvrent-ils ces chemins d'attaque, que tient déjà votre SMSI, qu'ajoute ISO 42001 côté organisation, que reste-t-il à traiter. La réponse tient souvent en une page, et elle évite de payer deux fois le même contrôle. La page ISO 27001 décrit ce que l'application cartographie déjà de l'annexe A.

FAQ

Sources

• · ISO/IEC 27090:2026, page de la norme sur iso.org (statut, édition, pages, comité)
• · ISO, « ISO/IEC 27090 explained », fiche de présentation
• · Règlement (UE) 2024/1689, article 15, paragraphe 5
• · ANEC, fiche sur prEN 18282, juin 2026