Article 32 — Présomption de conformité des organismes notifiés (Règlement IA de l'UE)

Article 32 du Règlement (UE) 2024/1689 — Présomption de conformité des organismes notifiés. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'article 32 du Règlement (UE) 2024/1689 établit une présomption de conformité pour les organismes notifiés qui appliquent des normes harmonisées adoptées en vertu du droit de l'Union européenne. Plus précisément, lorsqu'un organisme d'évaluation de la conformité démontre sa conformité avec les critères définis dans les normes harmonisées — ou avec les parties pertinentes de ces normes — dont les références ont été publiées au Journal officiel de l'Union européenne, cet organisme est présumé satisfaire aux exigences énoncées à l'article 31, dans la mesure où les normes harmonisées applicables couvrent ces exigences.

L'article 31 établit les critères substantiels qu'un organisme d'évaluation de la conformité doit satisfaire avant qu'une autorité notifiante d'un État membre puisse le notifier à la Commission européenne : indépendance, compétence technique, impartialité, solidité financière, couverture en matière de responsabilité, obligations de confidentialité et structures de gouvernance interne appropriées. L'article 32 crée une voie probatoire simplifiée par laquelle un organisme peut démontrer sa conformité à ces critères par référence à des normes harmonisées publiées, plutôt que d'exiger une évaluation au cas par cas de chaque critère à partir de principes fondamentaux.

La présomption est réfutable et conditionnelle : elle s'applique uniquement dans la mesure où les normes harmonisées en question couvrent effectivement les exigences pertinentes de l'article 31. Là où des lacunes existent — soit parce qu'aucune norme n'a été publiée, soit parce qu'une norme ne traite pas d'une exigence particulière — la conformité doit être démontrée par d'autres éléments de preuve. L'article fonctionne ainsi comme un raccourci de conformité dans un cadre plus large de responsabilité substantielle, préservant l'intégrité du système des organismes notifiés tout en réduisant les frictions administratives pour les organismes d'évaluation bien gouvernés.

Ce que cela signifie en pratique

L'article 32 est principalement pertinent pour les organismes d'évaluation de la conformité cherchant un statut de notification au titre du Règlement IA de l'UE et pour les autorités nationales notifiantes qui évaluent leurs demandes.

Pour un organisme d'évaluation de la conformité souhaitant agir en tant qu'organisme notifié pour les systèmes d'IA à haut risque, la voie pratique au titre de l'article 32 est en principe simple : identifier les normes harmonisées dont la Commission a publié les références au Journal officiel, démontrer sa conformité à ces normes — généralement par l'accréditation par un organisme national d'accréditation opérant en vertu du Règlement (CE) n° 765/2008 — et bénéficier de la présomption lorsque l'autorité notifiante examine la demande au titre de l'article 28 et suivants.

En pratique, la norme harmonisée la plus pertinente pour les organismes d'évaluation de la conformité opérant dans le domaine de l'IA est probablement ISO/IEC 17065 (pour les organismes de certification de produits) ou ISO/IEC 17020 (pour les organismes d'inspection), ainsi que toutes les normes harmonisées spécifiques à l'IA que la Commission développe et référence au titre de l'article 40. Jusqu'à la publication de normes harmonisées spécifiques à l'IA, les organismes doivent s'appuyer sur les normes existantes et démontrer comment elles correspondent aux critères de l'article 31.

Pour les autorités notifiantes — les organismes nationaux désignés au titre de l'article 28 — l'article 32 simplifie la charge d'évaluation. Lorsqu'un organisme d'évaluation de la conformité présente des certificats d'accréditation valides par rapport aux normes harmonisées publiées, l'autorité peut traiter les exigences couvertes comme satisfaites sans procéder à une vérification indépendante de chaque critère. Cela n'élimine pas les obligations de surveillance : les autorités notifiantes conservent des obligations de suivi au titre de l'article 33 et doivent agir si un organisme notifié ne maintient pas ultérieurement la conformité.

Pour les fournisseurs de systèmes d'IA à haut risque, l'article 32 est indirectement important : il renforce la confiance dans le fait que les organismes notifiés évaluant leurs systèmes ont été vérifiés par rapport à des normes rigoureuses et publiquement connues.

Obligations clés

• Un organisme d'évaluation de la conformité souhaitant bénéficier de la présomption de l'article 32 doit démontrer une conformité effective aux normes harmonisées publiées, et non simplement la revendiquer — l'accréditation par un organisme national d'accréditation est la voie standard pour étayer cette conformité.
• La présomption s'applique uniquement dans la mesure où les normes harmonisées couvrent les exigences spécifiques de l'article 31 en question ; les organismes doivent démontrer séparément leur conformité aux exigences non couvertes par les normes disponibles.
• Les autorités notifiantes doivent reconnaître la présomption lors de l'évaluation des demandes de notification, mais conservent le droit et le devoir de la réfuter si des éléments indiquent une non-conformité aux exigences sous-jacentes de l'article 31.
• Les organismes notifiés doivent maintenir une conformité continue aux normes harmonisées applicables tout au long de la période de notification, et pas seulement au moment de l'évaluation initiale.
• Lorsque la Commission n'a pas encore publié les références aux normes harmonisées pertinentes au Journal officiel, les organismes d'évaluation de la conformité doivent démontrer leur conformité aux exigences de l'article 31 par d'autres éléments de preuve vérifiables.
• La Commission doit publier les références aux normes harmonisées pertinentes au Journal officiel de l'Union européenne pour que le mécanisme de présomption de l'article 32 soit opérationnellement disponible.

Relation avec d'autres articles

L'article 32 ne peut être lu isolément du cadre environnant du chapitre 4. Son référent direct est l'article 31, qui énumère les exigences substantielles pour les organismes notifiés ; l'article 32 traite uniquement du mécanisme probatoire pour satisfaire ces exigences et n'a pas de contenu substantiel propre.

L'article 28 établit les autorités notifiantes responsables de l'évaluation et de la notification des organismes d'évaluation de la conformité, et ces autorités sont les acteurs principaux qui appliquent ou refusent d'appliquer la présomption de l'article 32 lors des procédures de notification régies par les articles 29 et 30.

L'article 33 régit les obligations opérationnelles des organismes notifiés une fois désignés, notamment les obligations de coopération avec les autorités notifiantes qui sont pertinentes lorsque la présomption doit être maintenue dans le temps. L'article 40 — qui établit le régime des normes harmonisées pour le Règlement IA de façon plus générale — est le mécanisme par lequel la Commission développe et référence les normes sur lesquelles s'appuie l'article 32.

Au-delà du chapitre 4, l'article 43 est pertinent car il précise les procédures d'évaluation de la conformité que les organismes notifiés doivent mener pour les systèmes d'IA à haut risque ; la compétence et la gouvernance de ces organismes, validées par les articles 31 et 32, déterminent directement la crédibilité de ces évaluations.

Calendrier de conformité

Le Règlement IA de l'UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'Union européenne le 12 juillet 2024. L'article 32, situé au titre III, chapitre 4, appartient aux dispositions régissant l'infrastructure de surveillance des systèmes d'IA à haut risque et ne relève pas des premières tranches d'application.

Les pratiques d'IA interdites au titre de l'article 5 sont devenues applicables le 2 février 2025. Les obligations relatives aux modèles d'IA à usage général au titre du titre VIII sont devenues applicables le 2 août 2025. Les obligations les plus directement liées à l'article 32 — le régime complet d'évaluation de la conformité des systèmes d'IA à haut risque, y compris le cadre des organismes notifiés — deviennent applicables progressivement à partir du 2 août 2026 pour les systèmes à haut risque listés à l'annexe III, avec une extension supplémentaire au 2 août 2027 pour certains systèmes d'IA à haut risque déjà soumis à la législation d'harmonisation de l'Union existante listée à l'annexe I.

Les organismes d'évaluation de la conformité qui ont l'intention d'agir en tant qu'organismes notifiés au titre du Règlement IA devraient donc avoir initié leurs processus d'accréditation et de notification bien avant août 2026, car la procédure de notification au titre des articles 28 à 30 implique une évaluation par l'autorité nationale, une notification à la Commission et un délai d'attente avant qu'un organisme puisse légalement effectuer des évaluations de conformité. Les autorités nationales notifiantes devraient s'assurer que leurs cadres d'évaluation reflètent les normes harmonisées publiées au fur et à mesure de leur disponibilité, afin que le mécanisme de présomption de l'article 32 soit opérationnellement fonctionnel au moment où le régime à haut risque s'applique pleinement.