Règlement IA de l'UE : conformité produit

Hugues Orgitellomis à jour le 16 oct. 202626 min de lecture

Quand un fabricant ajoute un modèle d'apprentissage à un produit déjà réglementé, un capteur de vision qui classe des pièces, un contrôleur prédictif, un algorithme de diagnostic dans un dispositif médical, la question n'est presque jamais "cette IA est-elle assez bonne". Elle est "qu'est-ce que cela change à mon dossier CE". Le Règlement 2024/1689 y répond par le Nouveau Cadre Législatif : pour la plupart des produits marqués CE, les exigences IA empruntent la procédure de conformité que le produit suit déjà. Depuis le 27 juillet 2026, la réponse dépend aussi du règlement (UE) 2026/1744, l'omnibus numérique sur l'IA, qui a reporté les échéances haut risque à 2027 et 2028 et a sorti les machines du champ direct des exigences haut risque. Cette page lit le texte consolidé comme un bureau d'études lit toute réglementation produit : par article, par rôle et par ce qui change dans le dossier technique.

Ce qu'est le règlement IA, en termes produit

Le règlement sur l'intelligence artificielle, formellement le Règlement 2024/1689, est un règlement horizontal. Comme le CRA ou la base IoT de l'EN 303 645, il traverse les secteurs au lieu de gouverner une seule famille de produits. Il ne remplace pas le règlement Machines, le MDR ni les règles radio. Pour les produits listés à la section A de l'annexe I, il ajoute des exigences pour la partie IA et fait passer leur évaluation par la procédure de conformité de l'acte sectoriel (article 43, paragraphe 3). Pour les produits listés à la section B, il agit par des modifications des actes sectoriels eux-mêmes (articles 102 à 110 et, pour les machines, article 3 du règlement (UE) 2026/1744).

La lecture pratique est courte. D'abord, décider si la fonction est bien un système d'IA. Ensuite, la classer : interdite, à haut risque, soumise à des obligations de transparence, ou rien de tout cela. Enfin, si elle est à haut risque via l'annexe I, section A, intégrer les exigences du chapitre III, section 2, au dossier technique que vous maintenez déjà.

La définition juridique d'un système d'IA

L'article 3, point 1, définit le système d'IA comme « un système automatisé qui est conçu pour fonctionner à différents niveaux d'autonomie et peut faire preuve d'une capacité d'adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu'il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels ». La capacité d'adaptation est facultative (« peut faire preuve ») ; la capacité de déduction est l'élément décisif.

Les lignes directrices de la Commission sur la définition du système d'IA (publiées le 6 février 2025, adoptées formellement sous la référence C(2025) 5053 le 29 juillet 2025) donnent les exclusions utiles pour les produits embarqués. Elles placent hors de la définition le traitement de données de base qui suit des règles fixes programmées par l'humain, les heuristiques classiques, les systèmes de prédiction simples dont une règle statistique de base atteindrait les performances, et l'apprentissage automatique utilisé seulement pour améliorer ou accélérer des méthodes d'optimisation bien établies (les lignes directrices citent la simulation physique et l'allocation de bande passante satellite). Une loi de commande déterministe ou une boucle PID réglée à la main n'est donc pas un système d'IA ; un classifieur entraîné qui décide si une pièce est défectueuse l'est généralement. Les lignes directrices ne sont pas contraignantes : consignez le raisonnement dans le dossier de conception.

Comment le règlement classe les systèmes d'IA

Le règlement lui-même n'emploie pas les « quatre niveaux » de la plupart des résumés ; il pose des pratiques interdites (article 5), des systèmes à haut risque (article 6 et chapitre III), des obligations de transparence pour certains systèmes (article 50) et l'obligation de maîtrise de l'IA qui s'applique à tout fournisseur et tout déployeur (article 4). Les modèles d'IA à usage général ont leur propre chapitre (chapitre V).

Catégorie	Où dans le texte	Ce que cela signifie pour un produit
Interdit	Article 5, paragraphe 1, points a à h, plus b bis et b ter ajoutés par 2026/1744	La pratique ne peut être ni mise sur le marché, ni mise en service, ni utilisée
Haut risque	Article 6, paragraphe 1, avec l'annexe I ; article 6, paragraphe 2, avec l'annexe III	Exigences du chapitre III (articles 8 à 15), obligations du fournisseur (articles 16 à 22), évaluation de la conformité, déclaration, marquage CE
Transparence	Article 50, paragraphes 1 à 4	Informer les personnes qu'elles interagissent avec une IA ; marquer les sorties synthétiques ; les déployeurs informent sur la reconnaissance des émotions et signalent les hypertrucages
Tout le reste	Article 4	Aucune procédure de conformité, mais fournisseurs et déployeurs prennent des mesures pour soutenir la maîtrise de l'IA de leur personnel

La plupart des fonctions embarquées (maintenance prédictive sur un variateur, détection d'anomalie sur un flux capteur, contrôle par vision sur une ligne) ne sont ni interdites ni à haut risque, sauf si le produit hôte relève de l'article 6, paragraphe 1. L'article 6, paragraphe 1 bis, ajouté par le règlement (UE) 2026/1744, confirme qu'un système d'IA utilisé uniquement pour des aspects non liés à la sécurité de l'assistance à l'utilisateur, de l'optimisation des performances, de l'efficacité des services, de l'automatisation, de la commodité ou du contrôle de la qualité n'est pas un composant de sécurité, tandis que l'article 6, paragraphe 1 ter, maintient dans cette notion tout système d'IA dont la défaillance mettrait en danger la santé et la sécurité.

Pratiques interdites

L'article 5, paragraphe 1, interdit, aux points a à h : les techniques manipulatrices ou trompeuses causant un préjudice important ; l'exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation sociale ou économique ; la notation sociale entraînant un traitement préjudiciable (le texte ne se limite pas aux autorités publiques) ; l'évaluation du risque qu'une personne commette une infraction fondée uniquement sur le profilage ; le moissonnage non ciblé d'images faciales sur internet ou par vidéosurveillance pour constituer des bases de reconnaissance ; l'inférence des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf pour des raisons médicales ou de sécurité ; la catégorisation biométrique déduisant l'origine raciale, les opinions politiques, l'affiliation syndicale, les convictions religieuses ou philosophiques, la vie sexuelle ou l'orientation sexuelle ; et l'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, avec des exceptions étroites. Les lignes directrices de la Commission sur les pratiques interdites (4 février 2025) donnent des exemples commentés.

Le point f est celui qu'une équipe d'ingénierie peut toucher par accident : une caméra ou un objet porté qui infère l'émotion ou le stress d'un opérateur sur le lieu de travail est visé, sauf finalité médicale ou de sécurité. Le règlement (UE) 2026/1744 a ajouté les points b bis et b ter, sur l'IA générant des images intimes non consenties de personnes identifiables et du matériel pédopornographique, applicables à partir du 2 décembre 2026.

Obligations de transparence

L'article 50, paragraphe 1, impose aux fournisseurs de concevoir les systèmes d'IA qui interagissent directement avec des personnes de sorte que celles-ci en soient informées, sauf si c'est évident. L'article 50, paragraphe 2, impose aux fournisseurs de systèmes générant des contenus synthétiques audio, image, vidéo ou texte de marquer ces sorties dans un format lisible par machine et détectable. L'article 50, paragraphes 3 et 4, place les obligations sur les déployeurs de systèmes de reconnaissance des émotions et de catégorisation biométrique, et d'hypertrucages. Ces obligations s'appliquent depuis le 2 août 2026. Selon l'article 111, paragraphe 4, ajouté par 2026/1744, les systèmes génératifs mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour se conformer à l'article 50, paragraphe 2. Un produit dont le modèle tourne en interne sans dialogue avec l'utilisateur ni média généré n'a généralement aucune obligation au titre de l'article 50, mais vérifiez les interfaces vocales et conversationnelles.

Le pivot : l'IA dans un produit déjà réglementé

L'article 6, paragraphe 1, rend un système d'IA à haut risque quand deux conditions sont réunies : il est un composant de sécurité d'un produit, ou est lui-même un produit, couvert par la législation de l'annexe I (condition a) ; et ce produit doit faire l'objet d'une évaluation de la conformité par un tiers au titre de cette législation (condition b). L'article 6, paragraphe 1 quater, ajouté par 2026/1744, exclut de la condition b le produit soumis à une évaluation par un tiers « uniquement en raison de risques autres que les risques pour la santé et la sécurité », notamment ceux liés à la répartition du spectre radioélectrique ou aux perturbations électromagnétiques.

La Commission a publié pour consultation, le 19 mai 2026, un projet de lignes directrices sur la classification à haut risque couvrant l'article 6, paragraphe 1, et l'article 6, paragraphe 2, et indique que les lignes directrices définitives seront adoptées d'ici la fin de 2026.

L'annexe I comporte deux sections, et la différence détermine comment le règlement IA atteint votre produit.

Annexe I	Actes listés (texte consolidé, 27 juillet 2026)	Application du règlement IA à un système d'IA à haut risque
Section A (Nouveau Cadre Législatif)	Jouets 2009/48/CE, bateaux de plaisance 2013/53/UE, ascenseurs 2014/33/UE, ATEX 2014/34/UE, équipements radio 2014/53/UE, équipements sous pression 2014/68/UE, installations à câbles (UE) 2016/424, EPI (UE) 2016/425, appareils à gaz (UE) 2016/426, MDR (UE) 2017/745, IVDR (UE) 2017/746	Exigences complètes du chapitre III, évaluées dans la procédure sectorielle (article 43, paragraphe 3) ; déclaration unique (article 47, paragraphe 3) ; marquage CE (article 48)
Section B (autre législation d'harmonisation)	Sûreté de l'aviation civile, véhicules à deux ou trois roues, véhicules agricoles et forestiers, équipements marins, interopérabilité ferroviaire, réception des véhicules à moteur (deux actes), aviation civile (UE) 2018/1139 et, depuis le 27 juillet 2026, machines (UE) 2023/1230	Seuls l'article 6, paragraphe 1, l'article 60 bis et les articles 102 à 112 s'appliquent (article 2, paragraphe 2) ; les exigences sont inscrites dans l'acte sectoriel

Pour la section A, l'article 43, paragraphe 3, modifié prévoit que le fournisseur suit la procédure d'évaluation de la conformité de l'acte sectoriel, que les exigences du chapitre III, section 2, font partie de cette évaluation et que le système de gestion de la qualité de l'article 17 est également évalué. Les organismes déjà notifiés au titre de l'acte sectoriel peuvent évaluer les exigences IA si leur conformité à l'article 31, paragraphes 4, 5, 10 et 11, a été vérifiée lors de leur notification, et ils doivent demander leur désignation au titre du règlement IA au plus tard le 28 janvier 2028. Deux points du même paragraphe comptent pour le choix de la voie :

Question	Réponse de l'article 43, paragraphe 3
Ajouter un composant de sécurité IA à haut risque impose-t-il un organisme notifié ?	Non. Les fabricants ne sont pas tenus de choisir une procédure faisant intervenir un tiers uniquement parce que le produit comprend un système d'IA à haut risque comme composant de sécurité
Puis-je garder une voie d'autoévaluation que l'acte sectoriel ouvre quand les normes harmonisées sont appliquées ?	Seulement si des normes harmonisées ou des spécifications communes couvrant toutes les exigences du chapitre III, section 2, sont aussi appliquées
Combien de déclarations ?	Une seule déclaration UE de conformité pour tout le droit de l'Union applicable (article 47, paragraphe 3)
Qui est le fournisseur ?	Le fabricant du produit, quand le système d'IA est mis sur le marché ou mis en service avec le produit sous son nom ou sa marque (article 25, paragraphe 3)

Lorsqu'un organisme notifié gère déjà l'évaluation sectorielle, c'est l'organisme naturel pour évaluer les exigences IA, une fois désigné. Les exigences du Règlement 2024/1689 se lisent alors avec la mécanique sectorielle de la présomption de conformité.

Machines : de la section A à la section B

Le règlement (UE) 2026/1744 a supprimé le point 1 (directive 2006/42/CE) de la section A de l'annexe I et ajouté le Règlement 2023/1230 comme point 21 de la section B. L'article 3 de l'omnibus modifie le règlement Machines lui-même :

• L'article 8 du règlement (UE) 2023/1230 oblige désormais la Commission à adopter des actes délégués ajoutant à son annexe III des exigences de santé et de sécurité pour les systèmes d'IA à haut risque au titre de l'article 6, paragraphe 1, du règlement IA, reflétant le chapitre III, section 2, et les articles 17, 19, 72 et 73. Ces actes délégués s'appliquent au plus tard le 2 août 2028.
• Nouvel article 20, paragraphe 10 : tant qu'il n'existe pas de normes harmonisées ou de spécifications communes pour l'IA à haut risque au titre du règlement Machines, la conformité à celles référencées ou adoptées au titre des articles 40 et 41 du règlement IA vaut présomption de conformité aux exigences de l'annexe III relatives à l'IA à haut risque.

Le règlement Machines comporte déjà ses propres dispositions sur l'apprentissage automatique, et il s'applique à partir du 20 janvier 2027. L'annexe I, partie A, points 5 et 6, liste les composants de sécurité à comportement totalement ou partiellement autoévolutif utilisant des approches d'apprentissage automatique assurant des fonctions de sécurité, et les machines intégrant de tels systèmes non mis sur le marché séparément ; ces catégories exigent une voie avec organisme notifié au titre de l'article 25, paragraphe 2. Le considérant 55 limite cela aux systèmes qui apprennent ou évoluent, et non aux logiciels programmés seulement pour exécuter certaines fonctions automatisées. L'annexe III ajoute des exigences sur le comportement autoévolutif dans les principes généraux d'évaluation des risques, à la section 1.1.6 (ergonomie et interface homme-machine) et à la section 1.2.1 (les systèmes de commande ne doivent pas agir au-delà de leur tâche et de leur espace de mouvement définis, doivent enregistrer les données relatives aux décisions de sécurité et les conserver un an, et doivent rester corrigibles). Voir le guide Machines et le guide sécurité fonctionnelle.

La seconde voie vers le haut risque : l'annexe III

L'article 6, paragraphe 2, rend à haut risque les systèmes listés à l'annexe III, indépendamment de tout produit hôte. L'annexe III compte huit domaines : biométrie ; infrastructures critiques ; éducation et formation professionnelle ; emploi et gestion de la main-d'œuvre ; accès aux services privés essentiels et aux services et prestations publics essentiels ; répression ; migration, asile et gestion des contrôles aux frontières ; administration de la justice et processus démocratiques. L'article 6, paragraphe 3, permet au fournisseur de conclure qu'un système de l'annexe III n'est pas à haut risque lorsqu'il exécute une tâche procédurale étroite, améliore une activité humaine déjà réalisée, détecte des schémas décisionnels sans remplacer l'évaluation humaine, ou exécute une tâche préparatoire, sauf s'il effectue un profilage de personnes physiques. Cette conclusion doit être documentée (article 6, paragraphe 4) et enregistrée (article 49, paragraphe 2).

Pour les fabricants de matériel, deux points de l'annexe III sont le contact habituel. Le point 1, sous a, vise l'identification biométrique à distance mais exclut expressément la vérification biométrique « dont la seule finalité est de confirmer qu'une personne physique spécifique est la personne qu'elle prétend être » : un déverrouillage par empreinte ou par visage en un contre un n'est pas visé par ce point ; le point 1, sous c, vise la reconnaissance des émotions. Le point 2 vise l'IA utilisée comme composant de sécurité dans la gestion et l'exploitation d'infrastructures numériques critiques, du trafic routier ou de la fourniture d'eau, de gaz, de chauffage ou d'électricité.

Exigences pour les systèmes d'IA à haut risque

Le chapitre III, section 2, fixe les exigences ; la section 3, les obligations des fournisseurs et des autres acteurs. Lues comme des exigences d'ingénierie :

Article	Exigence	Ce que cela signifie en conception
9	Système de gestion des risques	Processus continu et itératif sur le cycle de vie, mené avec l'analyse de risques produit
10	Données et gouvernance des données	Données d'entraînement, de validation et de test répondant à des critères de qualité, examinées pour les biais ; l'article 4 bis (ajouté par 2026/1744) autorise exceptionnellement le traitement de catégories particulières de données personnelles pour détecter les biais
11 et annexe IV	Documentation technique	Une seule documentation technique ; les PME et les petites entreprises à moyenne capitalisation peuvent utiliser un formulaire simplifié de la Commission
12	Enregistrement	Journalisation automatique des événements sur la durée de vie du système
13	Transparence et notice d'utilisation	Une notice qui permet au déployeur d'interpréter les sorties et d'utiliser le système de manière appropriée
14	Contrôle humain	Mesures permettant à une personne de comprendre, surveiller et, au besoin, passer outre ou arrêter le système
15	Exactitude, robustesse, cybersécurité	Niveaux et indicateurs d'exactitude déclarés dans la notice (article 15, paragraphe 3) ; résilience aux erreurs, défaillances et attaques telles que l'empoisonnement des données et l'évasion de modèle
17	Système de gestion de la qualité	Politiques et procédures documentées ; l'EN 18286:2026 traite de cet article
72 et 73	Surveillance après commercialisation, signalement des incidents graves	Un plan de surveillance dans la documentation technique ; incidents graves signalés aux autorités de surveillance du marché au plus tard 15 jours après en avoir eu connaissance, plus tôt dans les cas prévus

L'article 15 est l'endroit où le règlement IA rencontre le reste du dossier produit : l'exactitude est une performance déclarée, la robustesse une tolérance aux défauts, et la cybersécurité la résistance aux tentatives d'altérer l'utilisation, les sorties ou les performances du système. Elles ont leur place dans la même campagne de vérification que la sécurité fonctionnelle et la CEM.

Normes harmonisées : où en est le JTC 21

La Commission a demandé au CEN et au CENELEC des normes pour le règlement IA par la décision d'exécution C(2023) 3215 du 22 mai 2023 (M/593), avec une échéance au 30 avril 2025 qui n'a pas été tenue. La décision d'exécution C(2025) 3871 du 23 juin 2025 (amendement M/613) l'a abrogée et remplacée ; selon son article 5, elle reste valable jusqu'au 28 février 2027. En octobre 2025, les bureaux techniques du CEN et du CENELEC ont adopté des mesures exceptionnelles, dont la publication directe après un vote d'enquête positif, afin que les normes soient disponibles au quatrième trimestre 2026.

Livrable (CEN-CLC/JTC 21)	Objet	État rapporté
EN 18286:2026	Système de gestion de la qualité pour les besoins réglementaires du règlement IA (article 17)	Publiée par le CEN-CENELEC en juillet 2026 ; citée au Journal officiel le 14 octobre 2026 par la décision d'exécution (UE) 2026/2274, première norme harmonisée du règlement IA
prEN 18228	Gestion des risques de l'IA	En cours d'élaboration (Intertek, 1er octobre 2026)
prEN 18282	Cybersécurité des systèmes d'IA	En cours d'élaboration (Intertek, 1er octobre 2026)
Série prEN 18229	Cadre de fiabilité	En cours d'élaboration (Intertek, 1er octobre 2026)
prEN 18284, prEN 18285	Qualité et gouvernance des jeux de données ; évaluation de la conformité	En rédaction (Intertek, 1er octobre 2026)

Une norme ne confère la présomption de conformité de l'article 40 qu'une fois sa référence publiée au Journal officiel. L'EN 18286:2026, norme de système de gestion de la qualité, a cette référence depuis le 14 octobre 2026. La présomption ne couvre que ce que la norme couvre, selon la correspondance de son annexe ZA, et l'article 40, paragraphe 1, la formule autour des exigences du chapitre III, section 2, alors que l'article 17 relève de la section 3 (voir l'actualité sur cette citation). Les autres livrables ne sont pas encore cités : un fabricant peut les utiliser comme état de l'art mais doit démontrer la conformité exigence par exigence. L'article 40, paragraphe 2, modifié demande aussi des livrables soutenant la conformité conjointe au règlement IA et à la législation sectorielle de l'annexe I. Voir le guide des normes harmonisées pour le mécanisme de citation.

Fournisseurs, déployeurs et chaîne de valeur

Rôle	Définition (article 3)	Principales obligations
Fournisseur	Développe un système d'IA ou le fait développer et le met sur le marché ou le met en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit (point 3)	Article 16 : conformité à la section 2, SGQ, documentation, journaux, évaluation de la conformité, déclaration, marquage CE, enregistrement si requis, mesures correctives
Déployeur	Utilise un système d'IA sous sa propre autorité, sauf activité personnelle à caractère non professionnel (point 4)	Article 26 : utiliser selon la notice, confier le contrôle humain, surveiller le fonctionnement, conserver les journaux, informer le fournisseur des risques
Importateur / distributeur	Met sur le marché un système d'IA portant le nom d'une personne établie hors de l'Union / le met à disposition (points 6 et 7)	Articles 23 et 24 : vérifier l'évaluation de la conformité, la documentation, le marquage et la notice

L'article 25, paragraphe 1, fait d'un distributeur, importateur, déployeur ou autre tiers le fournisseur d'un système d'IA à haut risque lorsqu'il y appose son nom ou sa marque, y apporte une modification substantielle, ou modifie la destination d'un système non classé à haut risque de sorte qu'il le devienne. Le fournisseur initial doit alors coopérer et transmettre documentation et accès technique (article 25, paragraphe 2, étendu par 2026/1744). L'article 25, paragraphe 4, exige un accord écrit entre le fournisseur d'un système à haut risque et le tiers qui fournit un système d'IA, un modèle, des outils ou des composants qui y sont intégrés. Pour un produit de l'annexe I, section A, l'article 25, paragraphe 3, fait du fabricant du produit le fournisseur lorsque le système d'IA est mis sur le marché avec le produit sous le nom ou la marque du fabricant. Associez chaque composant d'IA à un rôle et à un accord avant le gel de la conception.

Modèles d'IA à usage général

Le chapitre V fixe les obligations des fournisseurs de modèles d'IA à usage général (article 53), avec des obligations supplémentaires pour les modèles présentant un risque systémique (article 55) ; un modèle est présumé avoir des capacités à fort impact lorsque la quantité cumulée de calcul utilisée pour son entraînement dépasse 10^25 opérations en virgule flottante (article 51, paragraphe 2). Ces obligations s'appliquent depuis le 2 août 2025, et les modèles mis sur le marché avant cette date ont jusqu'au 2 août 2027 (article 111, paragraphe 3). Une équipe produit qui intègre un tel modèle est normalement fournisseur en aval d'un système d'IA, et non fournisseur du modèle ; la Commission a publié en juillet 2025 des lignes directrices sur la portée des obligations des modèles à usage général. En tant qu'opérateur économique intégrant un tel modèle, prévoyez dans le contrat d'approvisionnement la documentation nécessaire à votre propre dossier technique.

Le calendrier échelonné

Date	Ce qui s'applique	Base juridique
1er août 2024	Entrée en vigueur	Article 113, premier alinéa
2 février 2025	Chapitres I et II : définitions, maîtrise de l'IA (article 4), pratiques interdites (article 5)	Article 113, point a
2 août 2025	Organismes notifiés (chapitre III, section 4), modèles d'IA à usage général (chapitre V), gouvernance (chapitre VII), sanctions (chapitre XII sauf article 101), confidentialité (article 78)	Article 113, point b
27 juillet 2026	Entrée en vigueur du règlement (UE) 2026/1744 ; application des articles 102 à 110 (modifications des actes sectoriels)	Article 4 de 2026/1744 ; article 113, point d
2 août 2026	Date générale d'application, y compris les obligations de transparence de l'article 50	Article 113, deuxième alinéa
2 décembre 2026	Nouvelles interdictions de l'article 5, paragraphe 1, points b bis et b ter ; article 50, paragraphe 2, pour les systèmes génératifs mis sur le marché avant le 2 août 2026	Article 113, point a, et article 111, paragraphe 4, modifiés
2 décembre 2027	Chapitre III, sections 1 à 3, pour les systèmes à haut risque au titre de l'article 6, paragraphe 2, et de l'annexe III	Article 113, point c i, modifié
11 décembre 2027	Application complète du Cyber Resilience Act (ses obligations de signalement s'appliquent depuis le 11 septembre 2026)	Règlement (UE) 2024/2847
28 janvier 2028	Date limite pour que les organismes notifiés de la section A demandent leur désignation au titre du règlement IA	Article 43, paragraphe 3, modifié
2 août 2028	Chapitre III, sections 1 à 3, pour les systèmes à haut risque au titre de l'article 6, paragraphe 1, et de l'annexe I ; application au plus tard des actes délégués Machines	Article 113, point c ii, modifié ; article 8 du règlement (UE) 2023/1230 modifié

Les systèmes à haut risque mis sur le marché avant la date d'application du chapitre III qui les concerne ne sont visés qu'en cas de modification importante de leur conception après cette date (article 111, paragraphe 2, modifié), sauf les systèmes destinés aux autorités publiques, qui doivent être conformes au 2 août 2030. Consultez le texte consolidé sur EUR-Lex : la version du Journal officiel du 12 juillet 2024 affiche encore le 2 août 2027 pour l'article 6, paragraphe 1.

De la proposition au texte adopté

La Commission a présenté l'omnibus numérique sur l'IA le 19 novembre 2025 sous la référence COM(2025) 836. La proposition liait les dates haut risque à une décision de la Commission confirmant la disponibilité des normes et outils d'accompagnement (6 mois après celle-ci pour l'annexe III, 12 mois pour l'annexe I), avec le 2 décembre 2027 et le 2 août 2028 comme dates butoirs, et donnait aux systèmes génératifs jusqu'au 2 février 2027 pour l'article 50, paragraphe 2. La Commission fait état d'un accord politique le 7 mai 2026. Le règlement (UE) 2026/1744 adopté le 8 juillet 2026 et publié le 24 juillet 2026 a fixé directement les deux dates haut risque, ramené le délai de l'article 50, paragraphe 2, au 2 décembre 2026, et ajouté le transfert des machines en section B et les modifications du règlement (UE) 2023/1230, absents de la proposition.

Interaction avec les autres réglementations produit

Cyber Resilience Act

Le CRA, Règlement 2024/2847, fixe des exigences horizontales de cybersécurité pour les produits comportant des éléments numériques. Selon l'article 42, paragraphe 3, du règlement IA, ajouté par 2026/1744, un système d'IA à haut risque relevant du CRA et remplissant les conditions de l'article 12, paragraphe 1, du CRA est réputé conforme aux exigences de cybersécurité de l'article 15 du règlement IA. Bâtissez un seul modèle de menace et un seul corps de preuves pour les deux, puis ajoutez ce que l'article 15 exige au-delà de la cybersécurité : l'exactitude déclarée et la robustesse.

Règlement sur les dispositifs médicaux

Pour un dispositif médical doté d'IA, le MDR (ou l'IVDR) et le règlement IA s'appliquent ensemble. Un système d'IA qui est lui-même un dispositif, ou un composant de sécurité d'un dispositif, est à haut risque au titre de l'article 6, paragraphe 1, lorsque le dispositif requiert un organisme notifié au titre du MDR (classe IIa et au-delà, ainsi que la classe I avec fonction de mesurage, stérile, ou instruments chirurgicaux réutilisables pour ces aspects). Les exigences IA sont évaluées dans la procédure MDR, par un organisme notifié également désigné au titre du règlement IA, et documentées dans la documentation technique MDR. La gestion des risques de l'EN ISO 14971 et le système de gestion des risques de l'article 9 peuvent être menés comme un seul processus : l'article 9, paragraphe 10, permet d'intégrer la gestion des risques IA aux procédures prévues par le droit sectoriel ou de la combiner avec elles.

Équipements radio

Les équipements radio relevant de la directive 2014/53/UE restent en section A. Un produit radio n'est à haut risque au titre de l'article 6, paragraphe 1, que si son IA est un composant de sécurité, ou le produit lui-même, et que le produit requiert une évaluation par un tiers pour des raisons de santé et de sécurité ; l'article 6, paragraphe 1 quater, écarte une voie avec organisme notifié motivée uniquement par le spectre ou les perturbations électromagnétiques. Documentez quelle exigence essentielle de la RED a motivé l'intervention d'un organisme notifié.

Une séquence pratique pour les fabricants

1. Décider s'il s'agit d'un système d'IA. Article 3, point 1, et lignes directrices de la Commission ; consigner le raisonnement.
2. Passer l'article 5 au crible. En particulier le point f sur l'inférence des émotions au travail et dans l'enseignement, et les nouveaux points b bis et b ter pour les fonctions génératives.
3. Identifier l'acte hôte et sa section de l'annexe I. Section A : le chapitre III s'applique via la procédure sectorielle. Section B (machines comprises désormais) : suivre l'acte sectoriel et ses actes délégués.
4. Tester l'article 6, paragraphe 1. L'IA est-elle un composant de sécurité (article 3, point 14, modifié ; article 6, paragraphes 1 bis et 1 ter) ? Le produit requiert-il une évaluation par un tiers pour des raisons de santé et de sécurité (article 6, paragraphe 1 quater) ?
5. Vérifier l'annexe III pour les usages biométriques, de reconnaissance des émotions et d'infrastructures critiques, et documenter toute dérogation de l'article 6, paragraphe 3.
6. Cartographier rôles et contrats au titre de l'article 25, fournisseurs de modèles compris.
7. Intégrer les articles 9 à 15 et 17 au dossier existant, en utilisant l'EN 18286:2026 pour le système de gestion de la qualité de l'article 17, désormais citée, dans les limites de son annexe ZA, et les projets du JTC 21 comme état de l'art pour les autres articles jusqu'à leur citation.
8. Interroger votre organisme notifié sur sa demande de désignation au titre du règlement IA ; l'échéance est le 28 janvier 2028.
9. Émettre une seule déclaration au titre de l'article 47, paragraphe 3, et apposer le marquage CE.
10. Prévoir la surveillance après commercialisation et le signalement des incidents au titre des articles 72 et 73.

Voir le pilier CE pour la mécanique de conformité sous-jacente.

Affirmations que les textes contredisent

Affirmation courante	Ce que dit le texte
« Les obligations haut risque pour les produits de l'annexe I commencent le 2 août 2027. »	C'était l'article 113, point c, d'origine. Le règlement (UE) 2026/1744 l'a remplacé : 2 août 2028 pour l'annexe I, 2 décembre 2027 pour l'annexe III.
« L'omnibus numérique n'est qu'une proposition. »	Il a été adopté comme règlement (UE) 2026/1744 du 8 juillet 2026, publié le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026.
« Les nouvelles dates dépendent de la disponibilité des normes. »	C'était la proposition COM(2025) 836. Le texte adopté a fixé les dates.
« L'IA d'une machine s'évalue au titre du règlement IA comme celle d'un dispositif médical. »	Depuis le 27 juillet 2026, les machines sont en section B ; seuls l'article 6, paragraphe 1, l'article 60 bis et les articles 102 à 112 s'appliquent. Les exigences arrivent par des actes délégués pris au titre du règlement (UE) 2023/1230, applicables au plus tard le 2 août 2028.
« Ajouter de l'IA à un produit impose un organisme notifié. »	Article 43, paragraphe 3 : aucune voie tierce n'est exigée du seul fait que le produit contient un composant de sécurité IA à haut risque.
« Toute voie avec organisme notifié au titre de la RED rend l'IA à haut risque. »	L'article 6, paragraphe 1 quater, exclut les voies tierces motivées uniquement par des risques autres que pour la santé et la sécurité, en citant le spectre radioélectrique et les perturbations électromagnétiques.
« Le contrôle d'accès biométrique est un système à haut risque de l'annexe III. »	L'annexe III, point 1, sous a, exclut la vérification biométrique dont la seule finalité est de confirmer une identité revendiquée.
« La notation sociale n'est interdite qu'aux autorités publiques. »	L'article 5, paragraphe 1, point c, ne distingue pas selon l'auteur.
« Satisfaire au CRA couvre tout l'article 15. »	L'article 42, paragraphe 3, présume la conformité aux seules exigences de cybersécurité de l'article 15 ; l'exactitude et la robustesse restent à démontrer.
« Les produits déjà vendus doivent être mis à niveau. »	Article 111, paragraphe 2 : les systèmes mis sur le marché avant la date du chapitre III ne sont visés qu'après une modification importante de conception (systèmes des autorités publiques : 2 août 2030).
« Les normes harmonisées du règlement IA donnent déjà la présomption de conformité. »	La présomption exige une référence au Journal officiel. Seule l'EN 18286:2026 en a une, depuis le 14 octobre 2026 (décision (UE) 2026/2274), et c'est la norme de système de gestion de la qualité : aucune norme pour les exigences de la section 2 (articles 9 à 15) n'est citée.
« Les quatre niveaux de risque sont définis dans le règlement. »	Le règlement pose des obligations aux articles 5, 6, 50 et 4 ; « risque limité » et « risque minimal » sont des étiquettes de synthèse, pas des catégories juridiques.

Sanctions

L'article 99 fixe des amendes administratives maximales : jusqu'à 35 000 000 EUR ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites ; jusqu'à 15 000 000 EUR ou 3 % pour les manquements aux obligations des opérateurs, aux exigences applicables aux organismes notifiés et à l'article 50 ; jusqu'à 7 500 000 EUR ou 1 % pour la fourniture d'informations inexactes ou trompeuses aux organismes notifiés ou aux autorités. Le montant le plus élevé s'applique aux entreprises en général ; pour les PME, et depuis 2026/1744 pour les petites entreprises à moyenne capitalisation, c'est le plus faible.

Pièges fréquents

• Planifier autour du 2 août 2027. Cette date pour l'annexe I n'existe plus ; utilisez le texte consolidé.
• Supposer un second marquage. Il n'y a pas de marquage IA distinct : une déclaration couvrant tout le droit de l'Union applicable, un marquage CE.
• Traiter les machines comme un produit de la section A. Les exigences IA pour les machines viendront du règlement (UE) 2023/1230 et de ses actes délégués, en plus des dispositions sur l'apprentissage automatique autoévolutif déjà présentes à l'annexe I, partie A, et à l'annexe III de ce règlement.
• Négliger l'inférence des émotions. L'article 5, paragraphe 1, point f, est une interdiction, et non une obligation de transparence, pour le lieu de travail et l'enseignement.
• Mal qualifier le rôle. Intégrer le modèle d'un fournisseur sous votre propre nom de produit fait en général de vous le fournisseur ; mettez en place l'accord de l'article 25, paragraphe 4.
• Laisser la gouvernance des données à la fin. Les critères de l'article 10 sont des entrées de conception.

Voir aussi

• Quelles directives UE s'appliquent à mon produit ?
• Organismes d'évaluation et accréditation
• Modification substantielle : quand recertifier dans l'UE
• Règlement IA : applicable, mais le haut risque est reporté
• Normes harmonisées et présomption de conformité
• Déclaration UE de conformité

Un cas concret de l'intégration des exigences du règlement IA dans un dossier technique CE existant ? AESTECHNO peut auditer votre conception et votre plan de certification. Nous contacter

Sources & références

1. Règlement (UE) 2024/1689 (règlement sur l'intelligence artificielle), version du Journal officiel, EUR-Lex eur-lex.europa.eu/eli/reg/2024/1689/oj
2. Règlement (UE) 2024/1689, texte consolidé au 27 juillet 2026, EUR-Lex eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02024R1689-20260727
3. Règlement (UE) 2026/1744 (train de mesures omnibus numérique sur l'IA), modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230, EUR-Lex eur-lex.europa.eu/eli/reg/2026/1744/oj
4. COM(2025) 836, proposition d'omnibus numérique sur l'IA (19 novembre 2025), EUR-Lex eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52025PC0836
5. Règlement (UE) 2023/1230 sur les machines, EUR-Lex eur-lex.europa.eu/eli/reg/2023/1230/oj
6. Cyber Resilience Act, Règlement (UE) 2024/2847, EUR-Lex eur-lex.europa.eu/eli/reg/2024/2847/oj
7. Règlement IA, page de la Commission européenne (calendrier, omnibus, lignes directrices), Commission européenne digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
8. Lignes directrices de la Commission sur la définition d'un système d'IA, Commission européenne digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-ai-system-definition-facilitate-first-ai-acts-rules-application
9. Lignes directrices de la Commission sur les pratiques d'IA interdites, Commission européenne digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-prohibited-artificial-intelligence-ai-practices-defined-ai-act
10. Projet de lignes directrices de la Commission sur la classification des systèmes d'IA à haut risque (mai 2026), Commission européenne digital-strategy.ec.europa.eu/en/library/draft-commission-guidelines-classification-high-risk-ai-systems
11. Décision d'exécution C(2025) 3871, demande de normalisation pour les systèmes d'IA à haut risque (M/613, remplaçant M/593), Commission européenne ec.europa.eu/transparency/documents-register/api/files/C(2025)3871_0/de00000001072818?rendition=false
12. Décision du CEN et du CENELEC d'accélérer les normes IA (octobre 2025), CEN-CENELEC www.cencenelec.eu/news-events/news/2025/brief-news/2025-10-23-ai-standardization/
13. EN 18286 à la une : soutenir la conformité au règlement IA, CEN-CENELEC www.cencenelec.eu/news-events/news/2026/en-in-the-spotlight/2026-07-30-ai-quality-management/
14. Publication de l'EN 18286 (source secondaire : état des livrables du JTC 21, citation au JO), Intertek www.intertek.com/blog/2026/10-01-en-18286-first-eu-ai-act-standards-puzzle-piece-is-on-the-table/
15. Décision d'exécution (UE) 2026/2274 de la Commission du 12 octobre 2026 relative aux normes harmonisées pour les systèmes d'IA à haut risque (JO L, 14 octobre 2026), Journal officiel de l'Union européenne data.europa.eu/eli/dec_impl/2026/2274/oj
16. Guide bleu relatif à la mise en œuvre de la réglementation produits de l'UE, Commission européenne eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52022XC0629(04)