Publiée en octobre 2026, la norme ISO/IEC 27090 décrit les menaces propres aux systèmes d'intelligence artificielle et les moyens de les détecter et de les atténuer. Pour les organisations du Burkina Faso, de Côte d'Ivoire et de la sous-région qui déploient des assistants, des chatbots ou des modèles d'analyse, elle offre pour la première fois un référentiel international commun pour sécuriser ces outils.
Ce que couvre la norme ISO/IEC 27090
La norme, préparée par le comité ISO/IEC JTC 1/SC 27, celui qui publie aussi ISO/IEC 27001, part d'un constat : un système d'IA reste exposé à toutes les attaques informatiques classiques, et il en subit de nouvelles, liées aux données, aux entrées et au comportement des modèles. Elle passe en revue ces menaces, avec pour chacune ses conséquences, les moyens de la détecter et les mesures d'atténuation :
- l'empoisonnement des données : un attaquant manipule les données d'entraînement pour fausser le comportement du système ;
- les attaques par évasion : des entrées légèrement modifiées, parfois imperceptibles, conduisent le modèle à se tromper ;
- le vol et l'inversion de modèle : à force de requêtes, un attaquant reconstitue le modèle ou une partie des données qui ont servi à l'entraîner ;
- les fuites de données : données d'entraînement, données saisies par les utilisateurs ou informations sensibles qui ressortent dans les réponses ;
- l'injection de prompts : un contenu malveillant glissé dans une instruction ou un document détourne le système de son usage prévu ;
- les réponses porteuses d'attaques : une sortie du modèle qui contient elle-même du code ou des instructions malveillantes.
Elle traite aussi des sujets d'organisation : programme de gouvernance de l'IA, principes de confiance zéro, bonnes pratiques de développement, sécurité de la chaîne d'approvisionnement (modèles, données et services fournis par des tiers), modélisation des menaces et exercices de red teaming.
Un guide, pas une norme de certification
ISO/IEC 27090 est un document d'orientation : elle formule des recommandations et ne donne pas lieu à certification. Elle s'articule avec deux normes que beaucoup d'organisations connaissent déjà : ISO/IEC 27001, qui organise le système de management de la sécurité de l'information, et ISO/IEC 42001, consacrée au système de management de l'intelligence artificielle. En pratique, elle apporte le contenu technique sur les menaces propres à l'IA que ces deux cadres de management ne détaillent pas.
Elle s'adresse à toutes les organisations, publiques ou privées, quelle que soit leur taille, qui développent ou utilisent des systèmes d'IA.
Pourquoi cette norme compte pour les organisations de la sous-région
Les outils d'IA générative sont entrés dans les banques, les assurances, les administrations, les projets de développement et les ONG, souvent par des abonnements individuels ou des services en ligne choisis sans évaluation de sécurité. Les données qu'on leur confie (dossiers clients, pièces comptables, données personnelles, documents internes) ne sont pas toujours maîtrisées.
ISO/IEC 27090 donne aux directions générales, aux DSI, aux responsables de la sécurité des systèmes d'information, aux équipes de conformité et d'audit interne un vocabulaire commun et une grille de lecture reconnue au niveau international. Elle permet de poser les bonnes questions à un fournisseur, d'évaluer un projet d'IA avant son déploiement et de justifier les mesures retenues auprès d'un régulateur, d'un bailleur ou d'un partenaire.
Sécuriser vos usages de l'IA en cinq étapes
- Recenser les usages réels : outils utilisés par les équipes, données qui y transitent, décisions qui s'appuient sur leurs résultats.
- Classer les données : définir ce qui peut être confié à un service d'IA externe et ce qui doit rester dans l'organisation.
- Analyser les menaces propres à chaque usage : injection de prompts pour un assistant connecté aux messageries, fuite de données pour un outil de synthèse documentaire, empoisonnement pour un modèle entraîné sur vos données.
- Encadrer les fournisseurs : clauses sur l'usage des données, localisation de l'hébergement, journalisation, possibilité d'audit.
- Intégrer l'IA au système de management existant : politique d'usage, sensibilisation des équipes, supervision humaine des décisions sensibles, revue périodique dans le cadre ISO/IEC 27001.
Des audits et des achats à adapter
Pour les auditeurs internes, ISO/IEC 27090 ouvre un nouveau champ : vérifier que les outils d'IA figurent dans l'inventaire des actifs, que les données qui leur sont confiées sont classées et que les sorties qui alimentent des décisions sont contrôlées par une personne. Pour les acheteurs, elle fournit une base pour rédiger les cahiers des charges et comparer les offres des fournisseurs d'IA sur des critères de sécurité, et non sur leurs seules fonctionnalités.
Quelles compétences développer
Les profils à outiller en priorité sont les responsables de la sécurité des systèmes d'information, les DSI, les auditeurs internes, les responsables de la conformité et les chefs de projet qui pilotent des projets d'IA. Ils ont besoin de comprendre les nouvelles menaces, de savoir les intégrer à l'analyse de risques et de les traiter dans le système de management de la sécurité.
Building Business accompagne ces profils avec ses parcours 2027 « IA et cybersécurité pour cadres bancaires et financiers » (IAA-06) et « Gouvernance et éthique de l'IA dans le secteur public » (IAA-04), ainsi qu'avec les formations certifiantes PECB ISO/IEC 27001 Lead Auditor, ISO/IEC 27005 Risk Manager et ISO/IEC 27032 Lead Cybersecurity Manager.
Une norme pour passer de l'expérimentation à la confiance
L'IA est déjà présente dans le travail quotidien de nombreuses organisations. ISO/IEC 27090 ne l'interdit pas et n'impose rien : elle donne les moyens de l'utiliser en connaissant ses risques. Les organisations qui s'en saisissent dès maintenant pourront démontrer à leurs clients, à leurs partenaires et à leurs autorités de contrôle que leurs outils d'IA sont maîtrisés.
Questions fréquentes sur ISO/IEC 27090
Peut-on être certifié ISO/IEC 27090 ? Non. La norme est un guide de recommandations. La certification reste possible sur ISO/IEC 27001 (sécurité de l'information) ou ISO/IEC 42001 (management de l'IA), qu'ISO/IEC 27090 vient compléter.
La norme concerne-t-elle seulement les entreprises qui développent leurs propres modèles ? Non. Elle vise aussi les organisations qui utilisent des systèmes d'IA fournis par des tiers, ce qui est le cas le plus fréquent dans la sous-région.
Est-elle obligatoire ? Comme toutes les normes ISO, son application est volontaire. Elle peut toutefois servir de référence dans un appel d'offres, un contrat ou une exigence d'un régulateur ou d'un bailleur.
Par où commencer ? Par un inventaire des usages de l'IA et des données qui y circulent, puis par une analyse de risques qui intègre les menaces décrites dans la norme. Ces deux étapes s'appuient sur les méthodes déjà utilisées pour ISO/IEC 27001.
Vous souhaitez sécuriser les usages de l'IA dans votre organisation ou former vos équipes ? Écrivez-nous à Cette adresse e-mail est protégée contre les robots spammeurs. Vous devez activer le JavaScript pour la visualiser..