AI Act & Conformité

Normes AI Act : le goulot d’étranglement reste juridique

Au 20 avril 2026, aucune référence de norme harmonisée AI Act n’est publiée au Journal officiel : la présomption de conformité juridique reste indisponible.

GAIGI Team

— 4 min de lecture
Partager
Researchers in a lab engaging in collaborative scientific research with documents and equipment.

Au 20 avril 2026, le principal frein à l’usage des normes dans l’AI Act n’est pas l’existence de projets techniques : c’est leur effet juridique. Aucune norme élaborée pour l’AI Act n’a encore sa référence publiée au Journal officiel de l’Union européenne. Dès lors, la présomption de conformité prévue par l’article 40 ne peut pas jouer. Pour les fournisseurs de systèmes à haut risque, le calendrier politique ne remplace donc ni les preuves techniques ni l’organisation de conformité. Voir aussi : le calendrier d’application de l’AI Act.

Mise à jour du 10 septembre 2026. Le règlement (UE) 2026/1744 modifiant l’AI Act a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet. Les nouvelles échéances des systèmes à haut risque sont désormais fixées au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). Point complet dans notre article de référence.

L'essentiel en 30 secondes

  • La décision de normalisation de la Commission est la décision C(2023)3215 du 22 mai 2023, adressée au CEN et au CENELEC.
  • Elle demandait des livrables dans 10 domaines, notamment la gestion des risques, la qualité, la cybersécurité et l’évaluation de conformité.
  • La date de livraison initialement demandée était le 30 avril 2025 : elle est désormais dépassée.
  • Le projet prEN 18286, relatif au système de management de la qualité de l’article 17, est entré en enquête publique le 30 octobre 2025.
  • Sans référence au Journal officiel, l’article 40 ne donne aucune présomption de conformité, même lorsqu’un texte technique est disponible.

Ce qui s'est passé

Il faut d’abord corriger un point de nomenclature qui brouille fréquemment le débat. La demande M/606 ne concerne pas l’AI Act : la Commission la présente comme sa demande de normalisation au titre du règlement sur la cyberrésilience. Pour l’intelligence artificielle, le document de référence est la décision d’exécution C(2023)3215, du 22 mai 2023, adressée au Comité européen de normalisation et au Comité européen de normalisation électrotechnique.

La demande visait dix champs de travail : gestion des risques ; gouvernance et qualité des jeux de données ; tenue de registres ; transparence ; surveillance humaine ; exactitude ; robustesse ; cybersécurité ; management de la qualité ; et évaluation de conformité. Ce sont précisément les briques dont un fournisseur a besoin pour transformer les exigences des articles 9 à 15 et de l’article 17 en procédures, dossiers et contrôles vérifiables. La date de livraison alors fixée, le 30 avril 2025, montre l’ampleur du décalage : elle ne pouvait pas être tenue dans le programme initial.

Le CEN et le CENELEC ont confié une partie centrale de cette construction au comité technique conjoint JTC 21. Le comité indique qu’il est consacré à la normalisation de l’IA et que ses livrables répondent à une demande de normalisation de la Commission. La page de la Commission confirme que le CEN et le CENELEC travaillent ensemble dans ce comité, avec des groupes chargés des normes destinées aux systèmes à haut risque.

Où en sont les projets

Le signal le plus concret vient de prEN 18286, intitulé « Artificial Intelligence – Quality Management System for EU AI Act Regulatory Purposes ». La Commission indique qu’il est devenu, le 30 octobre 2025, le premier projet de norme harmonisée en IA à entrer en enquête publique. Cette étape permet aux organismes nationaux de normalisation de commenter le projet avant sa publication définitive. Le texte est conçu pour aider les fournisseurs de systèmes à haut risque à traiter les exigences de système de management de la qualité de l’article 17.

Cette progression ne doit pas être confondue avec la disponibilité d’une norme juridiquement opérante. Une enquête publique produit un projet ; elle n’achève ni le vote formel, ni la publication d’une norme européenne, ni l’examen permettant ensuite à la Commission de publier une référence au Journal officiel. Il est donc raisonnable d’utiliser un projet comme matériau de préparation interne, par exemple pour organiser les responsabilités, les contrôles documentaires et la surveillance après commercialisation. Il serait en revanche imprudent de le présenter comme une voie automatique vers la conformité.

Les autres chantiers identifiés par la Commission — risques, données, journalisation, transparence, supervision humaine, précision, robustesse et cybersécurité — restent indispensables. Mais leur maturité technique, à elle seule, ne répond pas à la question réglementaire. Le sujet opérationnel n’est pas simplement « quelle norme lire ? », mais « quelle exigence exacte cette norme couvre-t-elle, et sa référence a-t-elle été publiée ? ».

Le verrou de la présomption

L’article 40 du règlement (UE) 2024/1689 est explicite : les systèmes à haut risque qui sont conformes à des normes harmonisées, ou à des parties de ces normes, dont les références ont été publiées au Journal officiel, sont présumés conformes aux exigences couvertes. La publication de la référence n’est donc pas une formalité éditoriale ; elle est la condition qui active l’effet de présomption.

Au 20 avril 2026, aucune référence de norme harmonisée AI Act n’est publiée au Journal officiel. La conséquence est simple : une organisation ne peut pas invoquer la présomption de conformité de l’article 40. Elle doit pouvoir démontrer, par ses propres éléments, que le système satisfait aux exigences applicables. Les normes existantes ou les projets peuvent structurer cette démonstration ; ils ne la remplacent pas.

Ce décalage explique pourquoi le calendrier de normalisation est un goulot d’étranglement autonome. Une modification politique des échéances peut donner davantage de temps. Elle ne rend pas disponible, par elle-même, le raccourci juridique prévu à l’article 40. À l’inverse, une norme publiée sans référence au Journal officiel ne produit pas encore ce raccourci non plus.

Ce qu'il faut faire maintenant

  • Corriger le registre des sources — distinguer la demande AI Act C(2023)3215 de M/606, qui relève de la cyberrésilience.
  • Cartographier les exigences — relier chaque exigence applicable des articles 9 à 15 et 17 à une preuve, un responsable et un cycle de revue.
  • Exploiter prudemment les projets — utiliser prEN 18286 comme grille de préparation, sans le qualifier de norme donnant une présomption.
  • Surveiller le Journal officiel — vérifier la publication des références, exigence par exigence, avant toute affirmation de présomption de conformité.
  • Préparer la voie sans présomption — consolider le dossier technique et le système de management de la qualité indépendamment de la future normalisation.

Sources

Lire la suite