Publication de l'ISO/IEC 27090:2026, les lignes directrices ISO sur les menaces de sécurité visant les systèmes d'IA

L'ISO et l'IEC ont publié l'ISO/IEC 27090:2026 le 14 octobre 2026 (première édition, préparée par le JTC 1/SC 27). Elle donne des lignes directrices pour comprendre, détecter et atténuer les menaces de sécurité propres aux systèmes d'IA tout au long de leur cycle de vie, comme l'empoisonnement des données, le vol de modèle, l'évasion et l'injection de prompt, y compris les risques liés à la mise à jour ou au réentraînement des modèles sur des données d'exploitation. C'est une norme de lignes directrices : elle ne donne pas lieu à certification.

Ce que ça change : les organisations qui développent ou utilisent l'IA peuvent s'en servir pour étendre leur appréciation des risques ISO 27001 et leurs mesures de l'Annexe A aux actifs d'IA (données d'entraînement, modèles, prompts, chaînes de traitement). Pour celles qui travaillent sur l'ISO/IEC 42001, c'est une référence pratique pour traiter les risques de sécurité de l'IA. Elle ne donne aucune présomption de conformité à l'AI Act ; les normes harmonisées couvrant les exigences de cybersécurité de l'AI Act sont encore attendues.

Source : ISO, ISO/IEC 27090:2026. Lire sur la veille réglementaire Cyberbits · Réserver un appel gratuit de 30 min