Article 42 — Présomption de conformité avec certaines exigences (Règlement IA de l'UE)

Article 42 du Règlement (UE) 2024/1689 — Présomption de conformité avec certaines exigences. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'article 42 du Règlement (UE) 2024/1689 (le règlement européen sur l'IA) établit un mécanisme connu sous le nom de présomption de conformité. En vertu de ce mécanisme, un système d'IA à haut risque qui a été développé et testé conformément aux normes harmonisées — ou à des parties de celles-ci — dont les références ont été publiées au Journal officiel de l'Union européenne est présumé satisfaire aux exigences énoncées au chapitre 2 du titre III du Règlement, dans la mesure où ces normes harmonisées couvrent ces exigences.

La même présomption s'applique lorsqu'un fournisseur démontre la conformité avec des spécifications communes adoptées par la Commission européenne en vertu de l'article 41 du Règlement, là encore dans la mesure où ces spécifications communes traitent des exigences applicables.

La présomption est conditionnelle et proportionnée : elle ne fonctionne que pour les exigences que la norme harmonisée ou la spécification commune couvre effectivement. Lorsqu'une norme ou spécification ne couvre qu'une partie d'une exigence, la présomption de conformité s'applique uniquement à cette partie. Les fournisseurs restent responsables de démontrer la conformité avec les exigences non couvertes par la norme ou la spécification par d'autres moyens appropriés.

Cet article reflète l'approche européenne plus large en matière de réglementation des produits, faisant écho à des mécanismes de présomption similaires présents dans la législation d'harmonisation de l'Union existante (par exemple, la directive Machines et la directive sur les équipements radioélectriques), et intègre le règlement IA dans le Nouveau cadre législatif établi.

Ce que cela signifie en pratique

Pour les fournisseurs de systèmes d'IA à haut risque, l'article 42 crée une voie de conformité pratique qui réduit à la fois le coût et la complexité de la démonstration de conformité. Plutôt que de construire des arguments techniques sur mesure pour chaque exigence applicable depuis le début, un fournisseur peut aligner ses processus de développement et de test sur des normes harmonisées publiées et s'appuyer sur la présomption résultante pour satisfaire aux exigences des autorités de surveillance du marché et des organismes notifiés.

Concrètement, une entreprise développant un dispositif médical alimenté par l'IA classé à haut risque en vertu de l'annexe III examinerait les normes harmonisées publiées par la Commission européenne à la suite de mandats de normalisation délivrés à des organismes tels que le CEN-CENELEC. Lorsque ces normes ont été publiées au Journal officiel, l'entreprise documente sa conformité avec elles — couvrant par exemple les exigences en matière de gouvernance des données, de transparence ou de robustesse — et enregistre cela dans sa documentation technique telle que requise par l'article 11 et l'annexe IV.

Lorsque les normes harmonisées ne sont pas encore disponibles — ce qui demeure une contrainte réelle compte tenu de la nouveauté du règlement — les fournisseurs peuvent à la place utiliser les spécifications communes adoptées par la Commission en vertu de l'article 41 comme voie équivalente vers la présomption.

Il est important de noter que la présomption ne supprime pas l'obligation de réaliser une évaluation de la conformité en vertu de l'article 43. Elle simplifie la base probatoire de cette évaluation. Les équipes de conformité internes, les conseillers juridiques et les organismes notifiés devraient traiter l'article 42 comme un raccourci structuré au sein de l'architecture globale d'évaluation de la conformité, et non comme une exemption de celle-ci. Les fournisseurs devraient maintenir une surveillance à jour des normes harmonisées nouvellement publiées, car les voies de conformité évolueront de manière significative au cours de la période de déploiement progressive.

Obligations clés

• Surveiller les normes harmonisées publiées : Les fournisseurs doivent activement surveiller le Journal officiel de l'Union européenne pour les références aux normes harmonisées couvrant les exigences du chapitre 2, titre III, et mettre à jour leur documentation technique en conséquence lorsque de nouvelles normes ou des normes révisées sont publiées.
• Aligner le développement et les tests sur les normes applicables : Pour invoquer la présomption, le système d'IA doit avoir été développé et testé en conformité avec la norme harmonisée ou la spécification commune pertinente. Un alignement partiel ne déclenche qu'une présomption partielle.
• Documenter la conformité aux normes dans la documentation technique : La preuve de la conformité à la norme harmonisée ou à la spécification commune doit être enregistrée dans la documentation technique requise en vertu de l'article 11 et de l'annexe IV, avec suffisamment de détails pour permettre la reconstitution et la vérification.
• Identifier et traiter les lacunes non couvertes par les normes : Lorsqu'une norme harmonisée ou une spécification commune ne couvre pas intégralement une exigence du chapitre 2, les fournisseurs doivent démontrer la conformité avec la partie non couverte par des moyens techniques ou procéduraux alternatifs, documentés et défendables devant les autorités de surveillance du marché.
• Rester préparés à la réfutation : La présomption n'est pas absolue. Les fournisseurs doivent conserver des preuves sous-jacentes suffisantes — résultats de tests, dossiers de gouvernance des données, journaux de supervision humaine — pour justifier la conformité si la présomption est contestée par un organisme notifié ou une autorité nationale.
• Envisager les spécifications communes de l'article 41 comme solution de repli : Lorsqu'aucune norme harmonisée n'a été publiée ou mandatée, les fournisseurs devraient évaluer si des spécifications communes émises par la Commission européenne en vertu de l'article 41 sont disponibles et les appliquer pour obtenir un statut juridique équivalent en vertu de l'article 42.

Relation avec les autres articles

L'article 42 se situe à l'intersection de l'architecture de normalisation et d'évaluation de la conformité du règlement et ne peut pas être lu de manière isolée.

Il dépend directement de l'article 41 (spécifications communes), qui constitue la voie de repli vers la présomption lorsque les normes harmonisées sont absentes ou incomplètes. La présomption activée par l'article 42 alimente directement l'article 43 (procédures d'évaluation de la conformité), qui détermine la voie procédurale — contrôle interne ou intervention d'un tiers — que le fournisseur doit suivre.

Les exigences par rapport auxquelles la conformité est présumée sont énoncées dans les articles 9 à 15 (chapitre 2, titre III), couvrant la gestion des risques, la gouvernance des données, la documentation technique, la transparence, la supervision humaine, la précision, la robustesse et la cybersécurité. L'article 11 et l'annexe IV régissent la documentation technique dans laquelle la conformité aux normes doit être enregistrée.

L'article 40 (normes harmonisées) est la contrepartie en amont : il décrit comment les mandats de normalisation sont émis et comment les normes harmonisées acquièrent leur statut en vertu du Règlement. L'article 42 est donc l'effet juridique en aval de l'article 40.

Calendrier de conformité

Le règlement européen sur l'IA est entré en vigueur le 1er août 2024 (vingt jours après sa publication au Journal officiel le 12 juillet 2024). L'application de ses dispositions est progressive :

• 2 février 2025 — Les interdictions relatives aux pratiques d'IA présentant un risque inacceptable (article 5) sont devenues applicables.
• 2 août 2025 — Les règles relatives aux modèles d'IA à usage général (titre VIII) et les obligations de gouvernance sont devenues applicables.
• 2 décembre 2027 — Les obligations pour les systèmes d'IA à haut risque listés à l'annexe III qui ne sont pas des composants de sécurité de produits déjà couverts par la législation d'harmonisation de l'Union deviennent applicables. L'article 42 est directement pertinent à compter de cette date pour la majorité des fournisseurs de systèmes à haut risque.
• 2 août 2027 — Les systèmes d'IA à haut risque qui sont des composants de sécurité de produits couverts par la législation d'harmonisation de l'Union existante (la catégorie « sectorielle » relevant de l'annexe II) doivent être conformes.

Pour l'article 42 spécifiquement, le calendrier pratique est également déterminé par les mandats de normalisation de la Commission européenne adressés au CEN-CENELEC et à l'ETSI. Les normes harmonisées au titre du règlement IA ne sont pas encore entièrement publiées à la mi-2026 ; les fournisseurs devraient suivre de près le Journal officiel et le programme de travail de normalisation de la Commission. Jusqu'à ce que des normes harmonisées soient disponibles pour une exigence donnée, le recours aux spécifications communes en vertu de l'article 41 constitue la principale voie alternative.