Norme harmonisée AI Act et présomption de conformité : où en est-on ?

Une norme harmonisée n’est pas une norme de meilleure qualité qu’une autre. C’est une norme européenne élaborée à la demande de la Commission pour mettre en œuvre un texte de l’Union, et dont la référence a été publiée au Journal officiel de l’Union européenne.

Cette publication, et elle seule, produit l’effet recherché. Un système d’IA conforme à une norme harmonisée est présumé conforme aux exigences du règlement que cette norme couvre (article 40). La charge de la démonstration s’en trouve allégée d’autant.

ISO/IEC 42001 n’a pas ce statut. Et au 13 septembre 2026, aucune autre norme ne l’a non plus pour l’AI Act.

Comment naît une présomption de conformité

Le chemin est long, et chaque étape compte.

La Commission adresse une demande de normalisation aux organismes européens de normalisation. Pour l’intelligence artificielle, la première date du 22 mai 2023.
Le CEN et le CENELEC rédigent les normes, au sein d’un comité technique commun consacré à l’IA, le JTC 21.
La Commission évalue si les normes livrées répondent réellement aux exigences du règlement.
Elle publie leur référence au Journal officiel. C’est à ce moment, et pas avant, que la présomption naît.
La présomption vaut dans la limite de ce que la norme couvre. Chaque norme harmonisée indique, dans une annexe dédiée, les exigences du règlement auxquelles elle répond.

La publication d’une norme par le CEN et le CENELEC ne suffit donc pas. Sans l’étape 4, une norme européenne reste une bonne pratique documentée : un élément utile pour démontrer sa conformité, pas une présomption.

EN ISO/IEC 42001:2026, une adoption et non une harmonisation

Le 18 mars 2026, ISO/IEC 42001 a été publiée comme norme européenne, sous la référence EN ISO/IEC 42001:2026. Le contenu est celui de la norme internationale de 2023. Ce qui change, c’est sa place dans le système européen : les organismes nationaux de normalisation membres du CEN doivent la reprendre comme norme nationale.

Le préfixe « EN » est parfois présenté comme une harmonisation. C’est un contresens. La référence d’EN ISO/IEC 42001:2026 n’est pas publiée au Journal officiel au titre de l’AI Act : cette adoption ne fait présumer la conformité à aucune de ses exigences.

Pourquoi ISO 42001 n’est pas construite pour ce rôle

Au-delà de la procédure, trois différences tiennent au contenu des deux textes.

Le point de départ du risque. L’appréciation des risques de la norme (6.1.2) part des objectifs que l’organisation s’est fixés, même si elle en examine les conséquences pour les individus et la société. Le règlement part des risques pour la santé, la sécurité et les droits fondamentaux des personnes, à ramener à un niveau acceptable quels que soient les objectifs du fournisseur. L’évaluation d’impact de la norme (6.1.4, domaine A.5) s’en rapproche, et elle est bien exigée : l’organisation doit apprécier les conséquences possibles de ses systèmes pour les personnes, les groupes et la société, puis en tenir compte dans son appréciation des risques. Ce que la norme n’impose pas, ce sont les thèmes à examiner : la santé, la sécurité ou les droits humains figurent dans les lignes directrices de l’Annexe B, sous forme de recommandations et de listes ouvertes que l’organisation adapte à ses systèmes. Le règlement, lui, fait de ces risques l’objet même de ses exigences.

La sélection des contrôles. La norme permet d’exclure un contrôle de l’Annexe A, avec justification (6.1.3 f)). Les exigences du règlement applicables à un système à haut risque ne s’excluent pas.

L’unité d’analyse. La norme décrit le système de management d’une organisation. Le règlement fixe des exigences à chaque système d’IA mis sur le marché : journalisation, notice d’utilisation, exactitude déclarée.

C’est pourquoi le travail européen a produit des normes propres, écrites dans une logique de sécurité des produits plutôt que de gouvernance d’organisation.

Les normes européennes en préparation

État au 13 septembre 2026. Les stades d’avancement évoluent vite : revérifiez-les avant de vous en prévaloir.

Norme	Objet	Exigence du règlement visée	État
EN 18286	Système de gestion de la qualité	Article 17	Disponible depuis juillet 2026 ; référence non publiée au Journal officiel
prEN 18228	Gestion des risques	Article 9	En cours d’élaboration
prEN 18284	Qualité et gouvernance des jeux de données	Article 10	En cours d’élaboration
prEN 18283	Gestion des biais	Article 10	En cours d’élaboration
prEN 18229, en plusieurs parties	Journalisation, transparence, contrôle humain, exactitude et robustesse	Articles 12 à 15	En cours d’élaboration
prEN 18282	Cybersécurité des systèmes d’IA	Article 15	En cours d’élaboration

Plusieurs de ces normes sont annoncées pour la fin de 2026. Une annonce de calendrier n’est pas une citation au Journal officiel, et c’est la seconde qui compte.

EN 18286 et ISO 42001 : deux systèmes à ne pas confondre

EN 18286 est la plus avancée, et en apparence la plus proche d’ISO 42001 : les deux décrivent un système de management.

Leur objet diffère pourtant. EN 18286 répond à l’article 17, qui impose un système de gestion de la qualité aux fournisseurs de systèmes d’IA à haut risque : elle vise la conformité des produits au règlement. ISO 42001 organise la gouvernance de l’IA de toute organisation, qu’elle développe, fournisse ou utilise des systèmes.

Une fois la référence d’EN 18286 publiée, un fournisseur de système à haut risque disposera d’une voie de présomption pour l’article 17 — et seulement pour ce qu’elle couvre. Rien n’empêche de tenir les deux dispositifs. L’erreur consiste à présenter l’un comme l’autre.

Si les normes n’arrivent pas à temps

Le règlement a prévu une issue. Lorsque les normes harmonisées font défaut ou sont insuffisantes, la Commission peut adopter par acte d’exécution des spécifications communes (article 41). Les respecter fait également présumer la conformité, dans la limite de ce qu’elles couvrent.

Le retard de la normalisation a pesé dans le report des obligations applicables aux systèmes à haut risque, décidé en juillet 2026. Le calendrier qui en résulte figure dans la page sur ce que la certification couvre de l’AI Act.

Ce qu’il faut surveiller

la publication au Journal officiel des premières références, EN 18286 en tête ;
le périmètre exact de chaque norme citée, tel que son annexe le décrit ;
l’éventuelle adoption de spécifications communes.

Et une règle de prudence : reconfirmer le statut d’une norme au moment de s’en prévaloir, pas au moment où on l’a lu.

Sources

État vérifié le 13 septembre 2026.

Règlement (UE) 2024/1689 sur l’intelligence artificielle : articles 17, 40 et 41.
Décision d’exécution de la Commission du 22 mai 2023 relative à une demande de normalisation adressée au CEN et au CENELEC à l’appui de la politique de l’Union en matière d’intelligence artificielle.
Commission européenne, page consacrée à la normalisation de l’AI Act, mise à jour du 3 août 2026 : aucune référence publiée au Journal officiel.
lawandtechnology.eu, analyses du 4 juillet 2026 sur EN 18286 et sur l’articulation entre ISO/IEC 42001 et l’AI Act.
Programme de travail du CEN-CENELEC JTC 21, recoupé sur un suivi spécialisé publié le 29 juin 2026.