Aller au contenu
spilma
FREN

Règlement IA : EN 18286, première norme harmonisée citée

mis à jour le 16 oct. 20269 min de lecture

Le règlement sur l'intelligence artificielle a sa première norme harmonisée. La décision d'exécution (UE) 2026/2274 de la Commission du 12 octobre 2026, publiée au Journal officiel série L le 14 octobre 2026, publie la référence de l'EN 18286:2026, « Intelligence artificielle - Système de management de la qualité pour le règlement européen sur l'IA ». La décision est entrée en vigueur le jour de sa publication. La présomption de conformité qu'elle ouvre est étroite : elle porte sur le système de gestion de la qualité que les fournisseurs de systèmes d'IA à haut risque doivent mettre en place au titre de l'article 17 du règlement (UE) 2024/1689. Les clauses exactes qu'elle soutient figurent à l'annexe ZA de la norme elle-même, vendue par les organismes de normalisation et non reproduite dans la décision.

En résumé :

  • Une norme, un sujet. L'annexe de la décision ne compte qu'une entrée, l'EN 18286:2026, sans restriction ni note.
  • Elle répond au point 9 de la demande de normalisation C(2025) 3871 : les systèmes de gestion de la qualité des fournisseurs de systèmes d'IA, y compris les processus de surveillance après commercialisation.
  • La présomption court depuis le 14 octobre 2026, date de publication de la référence, d'où l'entrée en vigueur de la décision ce même jour.
  • Ce n'est pas une norme de gestion des risques, de gouvernance des données, d'enregistrement, de transparence, de contrôle humain, d'exactitude, de robustesse ni de cybersécurité. Aucune norme harmonisée consacrée à ces exigences de la section 2 n'est encore citée.
  • L'obligation elle-même reste reportée. L'article 17 relève du chapitre III, section 3, applicable à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I).

Ce que dit la décision

Section intitulée « Ce que dit la décision »

La décision est brève : six considérants, deux articles et une annexe d'une ligne. Elle est adoptée sur le fondement de l'article 10, paragraphe 6, du règlement (UE) n° 1025/2012 relatif à la normalisation européenne, la disposition par laquelle la Commission publie les références des normes harmonisées.

Les considérants retracent la chaîne. Par sa décision d'exécution C(2025) 3871 du 23 juin 2025, qui abroge la demande antérieure C(2023) 3215, la Commission a demandé au CEN et au Cenelec d'élaborer des normes harmonisées à l'appui du règlement IA (considérant 2). Le CEN et le Cenelec ont terminé les travaux requis au titre de l'annexe I, point 9, de cette demande, sur les « systèmes de gestion de la qualité mis en place par les fournisseurs de systèmes d'IA, y compris les processus de surveillance après commercialisation », qui ont abouti à l'adoption de l'EN 18286:2026 (considérant 3). La Commission, en liaison avec le CEN et le Cenelec, a évalué la norme au regard de la demande (considérant 4) et conclut qu'elle « satisfait aux exigences qu'elle vise à couvrir » (considérant 5).

L'article premier publie la référence. L'article 2 dispose : « La présente décision entre en vigueur le jour de sa publication au Journal officiel de l'Union européenne. » Le considérant 6 en donne la raison : une norme harmonisée confère une présomption de conformité à partir de la date de publication de sa référence.

Le titre de la décision parle de « normes harmonisées » au pluriel, alors que son annexe ne contient qu'une entrée numérotée 1. Les normes suivantes issues de la même demande devraient faire l'objet d'autres décisions ; celle-ci n'en annonce aucune.

Ce que couvre la présomption, et ce qu'elle ne couvre pas

Section intitulée « Ce que couvre la présomption, et ce qu'elle ne couvre pas »

La décision ne dit pas quel article du règlement IA la norme couvre : le seul article qu'elle cite est l'article 40, au considérant 1. Elle désigne la norme par le point de la demande auquel elle répond, les systèmes de gestion de la qualité, et ce sujet est celui de l'article 17. L'article 17, paragraphe 1, impose aux fournisseurs de systèmes d'IA à haut risque un système de gestion de la qualité documenté garantissant le respect du règlement, qui comprend au moins 13 aspects, points a) à m). Parmi eux :

  • une stratégie de respect de la réglementation, y compris l'évaluation de la conformité et la gestion des modifications ;
  • les procédures de conception, de contrôle de la conception, de développement, de contrôle qualité et d'essai ;
  • les systèmes et procédures de gestion des données ;
  • le système de gestion des risques de l'article 9 ;
  • le système de surveillance après commercialisation de l'article 72, et le signalement des incidents graves au titre de l'article 73 ;
  • un cadre de responsabilité pour l'encadrement et le personnel.

Deux points de texte bornent la portée de la présomption. L'article 40, paragraphe 1, présume la conformité « dans la mesure où ces exigences ou obligations sont couvertes par ces normes » : la présomption suit le contenu de la norme, pas le règlement entier. Et l'article 40, paragraphe 1, que le règlement (UE) 2026/1744 n'a pas modifié, formule la présomption à l'égard des exigences du chapitre III, section 2, et des obligations du chapitre V, sections 2 et 3, alors que l'article 17 se trouve au chapitre III, section 3. L'alinéa ajouté à l'article 40, paragraphe 2, par le règlement (UE) 2026/1744 est un mandat donné à la Commission, pas une règle de présomption : elle doit demander des normes « afin de faciliter la conformité commune et la présomption de conformité aux exigences ou obligations énoncées au chapitre III, sections 2 et 3 », ainsi qu'aux exigences pertinentes de la législation de l'annexe I. La Commission a néanmoins publié une norme de système de gestion de la qualité au titre de l'article 40, et le considérant 5 indique qu'elle satisfait aux exigences « énoncées dans le règlement (UE) 2024/1689 » ; la lettre de l'article 40, paragraphe 1, n'a pas suivi.

Que le système de gestion de la qualité mentionne les articles 9 et 72 ne fait pas de l'EN 18286 une norme pour ces articles. L'article 17 exige que le système intègre le système de gestion des risques et celui de surveillance après commercialisation ; la manière dont la gestion des risques satisfait elle-même à l'article 9 est une exigence de la section 2, pour laquelle aucune norme harmonisée dédiée n'est encore citée. Il en va de même des articles 10 et 12 à 15. Certains commentateurs indiquent que l'annexe ZA rattache aussi la norme à la première phrase de l'article 11, paragraphe 1, sur la documentation technique ; vérifiez l'annexe ZA elle-même avant de vous y fier.

Exigence Article Norme harmonisée citée
Système de gestion de la qualité 17 EN 18286:2026, depuis le 14 octobre 2026
Système de gestion des risques 9 Aucune pour l'instant
Données et gouvernance des données 10 Aucune pour l'instant
Documentation technique 11 Aucune norme dédiée pour l'instant (voir l'annexe ZA de l'EN 18286)
Enregistrement 12 Aucune pour l'instant
Transparence et fourniture d'informations aux déployeurs 13 Aucune pour l'instant
Contrôle humain 14 Aucune pour l'instant
Exactitude, robustesse et cybersécurité 15 Aucune pour l'instant

Pour la cybersécurité de l'article 15, une autre voie existe : selon l'article 42, paragraphe 3, ajouté par le règlement (UE) 2026/1744, un système d'IA à haut risque relevant du règlement sur la cyberrésilience et remplissant les conditions de l'article 12, paragraphe 1, de ce règlement est réputé conforme aux exigences de cybersécurité de l'article 15.

Une présomption en avance sur l'obligation

Section intitulée « Une présomption en avance sur l'obligation »

Le calendrier est inhabituel. L'article 40 relève du chapitre III, section 5, qui n'est nommée dans aucune des dérogations de l'article 113 : le mécanisme de présomption s'applique donc depuis le 2 août 2026, et l'EN 18286:2026 peut s'en prévaloir depuis le 14 octobre 2026. L'article 17, lui, ne lie encore personne : dans sa version modifiée par le règlement (UE) 2026/1744, l'article 113 rend applicables les sections 1 à 3 du chapitre III à partir du 2 décembre 2027 pour les systèmes à haut risque au titre de l'article 6, paragraphe 2, et de l'annexe III, et à partir du 2 août 2028 pour ceux de l'article 6, paragraphe 1, et de l'annexe I. L'article sur le report du haut risque détaille ce calendrier.

L'effet pratique est un gain de temps. Un fournisseur peut construire son système de gestion de la qualité sur une norme citée plus d'un an avant que l'obligation ne s'applique, en sachant d'avance quelle partie de son évaluation de la conformité la norme soutiendra.

Où le système de gestion de la qualité est évalué

Section intitulée « Où le système de gestion de la qualité est évalué »

Le système de gestion de la qualité est vérifié dans chacune des procédures d'évaluation de la conformité que le règlement prévoit pour les systèmes d'IA à haut risque :

  • Contrôle interne (annexe VI) : le point 2 charge le fournisseur de vérifier que son système de gestion de la qualité est conforme à l'article 17.
  • Évaluation par un organisme notifié (annexe VII) : selon le point 3.2, l'organisme notifié détermine si le système de gestion de la qualité satisfait à l'article 17.
  • Produits de la section A de l'annexe I : l'article 43, paragraphe 3, modifié par le règlement (UE) 2026/1744, ajoute que l'évaluation du système de gestion de la qualité de l'article 17 est également réalisée dans le cadre de l'évaluation sectorielle, les points 3, 4.3, 4.4 et 4.5, le cinquième alinéa du point 4.6 et le point 5 de l'annexe VII s'appliquant.

L'article 17, paragraphe 3, permet toujours au fournisseur déjà soumis à un système de gestion de la qualité au titre du droit sectoriel de l'Union européenne d'y intégrer les aspects de l'article 17. L'article 17, paragraphe 2, rend la mise en œuvre proportionnée à la taille de l'organisation, et l'article 63, paragraphe 1, modifié par le règlement (UE) 2026/1744, permet aux PME, y compris les jeunes pousses, qui n'ont pas d'entreprises partenaires ou liées au sens de la recommandation 2003/361/CE, de respecter certains éléments du système de gestion de la qualité de manière simplifiée, sur la base de lignes directrices de la Commission.

Les produits de la section B de l'annexe I, dont les machines depuis le règlement (UE) 2026/1744, sont un cas à part : l'article 17 ne s'y applique pas directement, et pour les machines les exigences relatives à l'IA doivent être inscrites à l'annexe III du règlement (UE) 2023/1230 par des actes délégués.

Ce qu'il faut faire

Section intitulée « Ce qu'il faut faire »
  1. Rapprocher votre système de gestion de la qualité de l'EN 18286:2026 si vous mettez, ou prévoyez de mettre, un système d'IA à haut risque sur le marché. Si l'IA est intégrée à un produit qui dispose déjà d'un système qualité au titre du droit sectoriel, utilisez l'article 17, paragraphe 3, pour étendre ce système plutôt que d'en bâtir un second.
  2. Ne revendiquer la présomption que pour ce que la norme couvre. Dans la documentation technique, citez l'EN 18286:2026 pour le système de gestion de la qualité, dans les limites des clauses que rattache son annexe ZA, et justifiez les exigences de la section 2 (articles 9 à 15) exigence par exigence tant qu'aucune norme n'est citée pour elles.
  3. Garder les dates reportées en tête. La norme est utilisable dès maintenant ; l'obligation s'applique à partir du 2 décembre 2027 ou du 2 août 2028, selon la voie de classement à haut risque du système.
  4. Surveiller les décisions suivantes. Les prochaines références pour le règlement IA viendraient par de nouvelles décisions d'exécution au Journal officiel série L.

Pour aller plus loin

Section intitulée « Pour aller plus loin »

Sources & références

  1. Décision d'exécution (UE) 2026/2274 de la Commission du 12 octobre 2026 concernant les normes harmonisées relatives aux systèmes d'IA à haut risque élaborées à l'appui du règlement (UE) 2024/1689 (JO L du 14 octobre 2026), Office des publications de l'Union européenne data.europa.eu/eli/dec_impl/2026/2274/oj
  2. Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle, EUR-Lex eur-lex.europa.eu/eli/reg/2024/1689/oj
  3. Règlement (UE) 2026/1744 du 8 juillet 2026 (omnibus numérique sur l'IA), modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230, EUR-Lex eur-lex.europa.eu/eli/reg/2026/1744/oj