Article 40 — Normes harmonisées et livrables de normalisation (Règlement IA de l'UE)

Article 40 du Règlement (UE) 2024/1689 — Normes harmonisées et livrables de normalisation. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'article 40 du Règlement (UE) 2024/1689 établit le rôle des normes harmonisées dans la démonstration de la conformité aux exigences applicables aux systèmes d'IA à haut risque au titre du Règlement IA de l'UE. Lorsque les fournisseurs de systèmes d'IA à haut risque appliquent des normes harmonisées — ou des parties pertinentes de celles-ci — dont les références ont été publiées au Journal officiel de l'Union européenne, ces systèmes sont présumés conformes aux exigences du titre III, chapitre 3, dans la mesure où ces exigences sont couvertes par les normes harmonisées applicables.

L'article habilite la Commission européenne à émettre des demandes de normalisation aux organismes européens de normalisation (CEN, CENELEC et ETSI) conformément au Règlement (UE) n° 1025/2012 sur la normalisation européenne. Ces demandes orientent les OEN pour développer des normes harmonisées qui opérationnalisent les exigences substantielles de l'acte.

L'article 40 aborde également les situations où les normes harmonisées n'existent pas encore ou où leurs références n'ont pas été publiées. Dans ces cas, la Commission peut adopter des spécifications communes en vertu de l'article 41, garantissant ainsi que les fournisseurs disposent d'une voie technique définie pour démontrer la conformité même en l'absence de normes harmonisées formelles.

La disposition établit une distinction claire entre l'application volontaire des normes et le respect obligatoire des exigences légales sous-jacentes. L'application d'une norme harmonisée n'est pas obligatoire, mais elle offre une présomption réfutable de conformité, réduisant la charge probatoire des fournisseurs lors des procédures d'évaluation de la conformité menées au titre des articles 43 et 44.

Ce que cela signifie en pratique

Pour les fournisseurs de systèmes d'IA à haut risque, l'article 40 est un outil central de conformité. Plutôt que de construire un argument technique entièrement sur mesure pour démontrer comment chaque exigence légale est satisfaite, les fournisseurs peuvent aligner leurs systèmes sur des normes harmonisées publiées et bénéficier de la présomption de conformité. Cela simplifie considérablement le processus d'évaluation de la conformité, en particulier pour les systèmes soumis à une évaluation par des tiers par des organismes notifiés.

En pratique, un fournisseur développant un dispositif médical à base d'IA relevant de l'annexe I de l'acte consulterait le Journal officiel pour identifier les normes harmonisées publiées pour les exigences pertinentes — par exemple, des normes portant sur la gestion des risques, la qualité des données ou la cybersécurité. La mise en œuvre de ces normes dans le cadre de la conception du système et du processus de gestion de la qualité permet au fournisseur d'affirmer la conformité aux articles correspondants de l'acte sans que l'organisme notifié n'ait à vérifier indépendamment la conformité à partir des principes fondamentaux.

Pour les fournisseurs qui choisissent de ne pas appliquer les normes harmonisées — ou lorsqu'aucune norme applicable n'existe encore — la charge incombe à eux de documenter, au travers de dossiers techniques et de preuves d'évaluation de la conformité, comment le niveau équivalent de protection est atteint. C'est une voie viable mais plus exigeante, nécessitant un engagement étroit avec l'organisme notifié et potentiellement des tests et une documentation plus étendus.

Les importateurs et les déployeurs devraient vérifier que les fournisseurs dont ils mettent les systèmes sur le marché ou en service ont correctement identifié et appliqué les normes pertinentes, car cela affecte la validité de la déclaration UE de conformité et du marquage CE.

L'impact pratique de l'article 40 croîtra progressivement à mesure que la filière de normalisation arrive à maturité. Au début de l'application de l'acte, un nombre limité de normes harmonisées sera disponible, faisant peser davantage sur les spécifications communes et les évaluations techniques sur mesure.

Obligations clés

• Identifier les normes harmonisées applicables : Les fournisseurs de systèmes d'IA à haut risque doivent surveiller le Journal officiel de l'Union européenne pour les références publiées aux normes harmonisées pertinentes pour leur système et les exigences au titre du titre III, chapitre 3.
• Appliquer les normes pour déclencher la présomption de conformité : Lorsqu'un fournisseur choisit de s'appuyer sur la présomption de conformité, la norme harmonisée doit être appliquée intégralement pour les exigences qu'elle couvre ; une application partielle n'étend pas la présomption aux éléments non couverts.
• Documenter l'application des normes dans la documentation technique : La documentation technique requise au titre de l'article 11 et de l'annexe IV doit clairement identifier les normes harmonisées qui ont été appliquées et la manière dont elles correspondent aux exigences légales correspondantes.
• Combler les lacunes là où les normes n'existent pas : Lorsqu'aucune norme harmonisée ne couvre une exigence spécifique, les fournisseurs doivent démontrer la conformité par des moyens alternatifs, notamment les spécifications communes adoptées au titre de l'article 41 ou des preuves techniques indépendantes, et doivent documenter cette approche dans leur dossier d'évaluation de la conformité.
• Maintenir une veille sur les normes mises à jour ou retirées : Lorsqu'une norme harmonisée est révisée ou que sa référence est retirée du Journal officiel, les fournisseurs doivent évaluer si leur documentation de conformité existante reste valide et mettre à jour leurs systèmes et dossiers techniques en conséquence.
• S'engager dans les processus de normalisation : Les fournisseurs, en particulier ceux opérant dans des secteurs où les applications d'IA évoluent rapidement, devraient s'engager auprès des organismes de normalisation pertinents et des groupes de travail industriels pour s'assurer que les normes émergentes reflètent la pratique technique réelle et soutiennent des voies de conformité significatives.

Relation avec les autres articles

L'article 40 sert de pont procédural entre les exigences substantielles du titre III, chapitre 3 (articles 9 à 15 et 17) et les procédures d'évaluation de la conformité du chapitre 5. Il doit être lu conjointement avec l'article 41, qui prévoit des spécifications communes adoptées par la Commission comme alternative lorsque les normes harmonisées sont absentes ou insuffisantes. L'article 43 régit les procédures d'évaluation de la conformité dans lesquelles la présomption créée par l'article 40 est invoquée, et l'article 44 couvre le rôle des organismes notifiés dans les évaluations par des tiers.

L'article est également lié à l'article 11 et à l'annexe IV sur la documentation technique, car la preuve de l'application des normes doit figurer dans le dossier technique, et à l'article 17 sur les systèmes de gestion de la qualité, qui doivent incorporer des processus d'identification et d'application des normes pertinentes. L'article 48, couvrant la déclaration UE de conformité, est l'instrument en aval par lequel le fournisseur affirme formellement la présomption de conformité établie au titre de l'article 40. Pour les fournisseurs de modèles GPAI, la normalisation est traitée séparément au titre du titre VIII ; l'article 40 s'applique spécifiquement aux systèmes d'IA à haut risque au titre du titre III.

Calendrier de conformité

L'article 40 est entré en vigueur le 1er août 2024, date à laquelle le Règlement IA de l'UE a été publié au Journal officiel de l'Union européenne et est devenu droit contraignant. Toutefois, son application pratique est liée au déploiement progressif des obligations :

• Août 2024 : L'acte entre en vigueur ; les mandats de normalisation adressés au CEN, au CENELEC et à l'ETSI commencent ou s'accélèrent.
• Février 2025 : Les pratiques d'IA interdites au titre de l'article 5 deviennent applicables ; l'article 40 n'est pas directement impliqué à ce stade.
• Août 2025 : Les obligations relatives aux modèles GPAI au titre du titre VIII deviennent applicables ; l'article 40 reste spécifique aux systèmes d'IA à haut risque et ne régit pas les normes GPAI.
• Décembre 2026 : Les systèmes d'IA à haut risque répertoriés à l'annexe III (autres que ceux couverts par la législation sur les produits de l'annexe I) doivent se conformer aux exigences du titre III. Les fournisseurs devraient avoir identifié et appliqué les normes harmonisées pertinentes à cette date ; lorsque des normes publiées sont disponibles, les évaluations de conformité s'appuyant sur celles-ci doivent être achevées.
• Août 2028 : Les systèmes d'IA à haut risque intégrés dans des produits régis par la législation sectorielle de l'annexe I (dispositifs médicaux, machines, aviation, etc.) doivent se conformer. La couverture complète par les normes harmonisées devrait être plus développée à cette date, bien que les fournisseurs ne doivent pas supposer une couverture complète et doivent planifier en tenant compte des lacunes.

Les fournisseurs sont vivement invités à surveiller les demandes de normalisation de la Commission et les programmes de travail du CEN-CENELEC JTC 21 (le comité technique conjoint pour la normalisation de l'IA) afin d'anticiper les normes qui seront disponibles et quand, permettant ainsi une planification adéquate des délais de conformité.