ISO/IEC 27090:2026, la norme que les vendeurs de peur ne voulaient pas voir arriver, vient de tomber comme un couperet au milieu d’un marché de l’IA devenu fou car pour la première fois l’ISO ne se contente plus de parler de gouvernance, d’éthique et de transparence, elle entre dans le dur de la cybersécurité, elle nomme les attaques, elle décrit les failles, elle explique comment on empoisonne un jeu de données, comment on vole un modèle à coups de requêtes innocentes, comment on glisse une porte dérobée dans un système qui a l’air propre, et cette précision change tout parce que jusqu’ici on vendait l’IA comme une voiture sans freins en promettant que la route serait toujours droite, on parlait de performance et de révolution, jamais de ce qui se passe quand on fausse la machine de l’intérieur, or l’IA n’est plus un jouet de laboratoire, elle est dans les hôpitaux, les banques, les voitures, les administrations, et une faille ici ce n’est pas un bug, c’est une mauvaise décision médicale, un crédit refusé à tort, une voiture qui freine trop tard, et c’est là que la 27090 frappe juste, elle relie chaque menace à son impact réel, elle dit quoi protéger, les données d’entraînement, les modèles, la propriété intellectuelle, quoi surveiller et quoi corriger tout au long du cycle de vie, et elle ne remplace ni la 27001 qui sécurise le système d’information, ni la 42001 qui gouverne l’IA de façon responsable, elle les complète en expliquant comment un attaquant peut casser ton IA de l’intérieur et comment l’en empêcher, mais comme toujours la clarté dérange ceux qui vivaient du flou, les premiers rageurs disent que c’est trop tard, que les attaquants ne lisent pas l’ISO, que c’est de la paperasse, et il y a une part de vérité, l’ISO est lente, le texte est pour l’instant en anglais seulement, mais dire que c’est inutile parce que c’est tard c’est comme refuser la ceinture parce que les accidents existent déjà, et les plus bruyants sont ceux qui ont fait fortune en vendant la peur, les gourous qui promettaient une IA invulnérable contre un abonnement, pour eux la 27090 est un cauchemar parce qu’elle standardise ce qu’ils vendaient comme un secret et rend vérifiable ce qu’ils vendaient comme de la magie, et demain un client pourra exiger des preuves au lieu d’un PowerPoint, quant aux rageurs idéologiques qui crient au contrôle et à la mort de l’innovation, ils oublient qu’une IA non sécurisée est une IA qu’on n’osera déployer nulle part, une IA qui restera un gadget, alors que la 27090 ne tue pas l’innovation, elle la rend crédible, déployable, adulte, publiée en Édition 1, Octobre 2026, liée aux ODD 5, 9, 10 et 16, elle envoie un signal clair au marché, désormais on ne pourra plus dire on ne savait pas, et demain quand un modèle volé ou empoisonné fera la une, on ne demandera plus qui a attaqué, on demandera qui avait appliqué la 27090 et qui a préféré rager.