Le règlement fixe des exigences en termes généraux : un système de gestion des risques « approprié », des données « pertinentes », une supervision humaine effective. Il ne dit pas comment les remplir. C’est le rôle des normes, et c’est là que se joue la vraie question opérationnelle : qu’est-ce qui vaut preuve, et qu’est-ce qui n’en vaut pas ?
Au 24 août 2026, date de notre dernière vérification, aucune référence de norme harmonisée n’a été publiée au Journal officiel de l’Union européenne au titre du règlement (UE) 2024/1689, sur quatre sources officielles concordantes. La présomption de conformité de l’article 40, celle que tout le marché invoque, n’est activable pour personne à ce jour.
Pourquoi les normes arrivent-elles après les obligations ?
L’infrastructure de la preuve est en place avant les obligations qu’elle sert. C’est déroutant, et ça explique pourquoi le sujet paraît urgent et lointain à la fois.
| Ce qui s’applique | Depuis / à partir de |
|---|---|
| Autorités notifiantes et organismes notifiés, articles 28 à 39 | 2 août 2025 |
| Normes, spécifications communes, présomptions, évaluation de conformité, articles 40 à 46 | 2 août 2026 |
| Les exigences que tout cela sert (chapitre III, sections 1 à 3) pour l’annexe III | 2 décembre 2027 |
| Les mêmes exigences, pour l’annexe I | 2 août 2028 |
Le report des deux dernières lignes est l’œuvre du règlement (UE) 2026/1744, dit Digital Omnibus. Conséquence directe pour la lecture de cette page : les exigences des articles 9, 10, 11 ou 17 ne sont pas encore exigibles. Ce qui est en place, c’est le dispositif qui permettra d’en démontrer le respect.
Comment prouver la conformité à l’IA Act ?
Par l’évaluation de la conformité, parce que les raccourcis sont fermés. Cinq voies existent sur le papier, dont quatre sont des présomptions : la norme harmonisée de l’article 40, les spécifications communes de l’article 41, les trois présomptions particulières de l’article 42, celle des organismes notifiés, et l’évaluation de conformité elle-même. aucune norme harmonisée n’a sa référence publiée, donc la voie de droit commun est aujourd’hui la seule qui produise vraiment quelque chose.
| Voie | Ce qu’elle produit | Base | État réel |
|---|---|---|---|
| Norme harmonisée dont la référence est publiée au JOUE | Présomption de conformité, dans la mesure où la norme couvre l’exigence | art. 40 | Aucune |
| Spécifications communes adoptées par acte d’exécution | Présomption identique | art. 41, §3 | Aucune identifiée |
| Présomptions particulières : représentativité des données, cybersécurité | Présomption ciblée sur une exigence précise | art. 42 | Deux sont réellement mobilisables |
| Présomption des organismes notifiés eux-mêmes | Conformité aux exigences qui leur sont applicables | art. 32 | Concerne les organismes, pas les fournisseurs |
| Évaluation de la conformité, par contrôle interne ou par un tiers | La conformité elle-même, pas une présomption | annexes VI et VII | Voie de droit commun |
Les quatre premières sont des raccourcis. La dernière est la route. Une présomption allège la démonstration, elle ne s’y substitue pas, et son absence n’empêche personne de se conformer.
Le détail du mécanisme de l’article 40, ses trois conditions et l’état réel du programme de normalisation européen font l’objet d’une page à part : où en est la présomption de conformité.
Quelles présomptions sont mobilisables aujourd’hui ?
L’article 42 en ouvre trois, et deux d’entre elles ne dépendent d’aucune publication.
La représentativité des données. Un système entraîné et testé « avec des données tenant compte du cadre géographique, comportemental, contextuel ou fonctionnel spécifique dans lequel [il est] destiné à être utilisé » est présumé conforme à l’article 10, paragraphe 4. Aucune norme, aucun certificat : la condition est dans les faits.
La cyberrésilience. Ajout du règlement (UE) 2026/1744 : un système à haut risque relevant du règlement (UE) 2024/2847 et remplissant les conditions de son article 12, paragraphe 1, est réputé conforme aux exigences de cybersécurité de l’article 15. Sans démarche supplémentaire.
La troisième, elle, reste théorique : la cybersécurité peut aussi se démontrer par une certification ou une déclaration de conformité au titre du règlement (UE) 2019/881, mais à condition que les références du schéma soient publiées au Journal officiel.
Qu’est-ce qui ne prouve rien, malgré les apparences ?
Une certification ISO 42001, une norme européenne non harmonisée, un audit volontaire, un label de marché. Aucun de ces documents n’ouvre la présomption de l’article 40, qui suppose une référence publiée au Journal officiel. C’est la partie utile de cette page, et elle va à l’encontre de la plupart des argumentaires du marché de la conformité.
Une certification ISO/IEC 42001. C’est le support de communication le plus massif du secteur, et il cumule deux disqualifications. Le sujet mérite sa page : ce que la certification prouve, et ce qu’elle ne prouve pas.
Une norme européenne publiée mais non citée au Journal officiel. EN 18286:2026, première norme du programme AI Act du CEN-CENELEC, est publiée depuis juillet 2026 et n’ouvre aucune présomption.
Un standard technique privé. C2PA, Content Credentials et les autres sont portés par des consortiums industriels. Le règlement n’en nomme aucun, et le code de bonne pratique européen non plus, vérifié mot par mot sur ses trente-huit pages.
Un code de conduite au titre de l’article 95. Volontaire, sans présomption, sans procédure d’adéquation et sans registre. À ne confondre ni avec les codes de bonne pratique des articles 56 et 50, paragraphe 7, ni avec les lignes directrices de l’article 96.
Un audit volontaire. Il vaut ce que valent son référentiel et son auteur. Aucun effet juridique propre.
Comment se déroule l’évaluation de la conformité ?
Pour les points 2 à 8 de l’annexe III (c’est-à-dire l’immense majorité des cas d’usage), la procédure est celle de l’annexe VI, le contrôle interne, sans organisme notifié. C’est le point le plus contre-intuitif du dispositif, et il est rassurant.
Le point 1 de l’annexe III, la biométrie, est l’exception, et l’absence de normes la durcit. Le règlement y laisse en principe le choix entre le contrôle interne et l’évaluation par un tiers, mais à la condition d’avoir appliqué les normes harmonisées ou les spécifications communes. Aucune n’existant, la condition n’est remplie par personne : l’évaluation par un organisme notifié s’impose donc en fait. Le choix théorique du texte est fermé par l’état de la normalisation, pas par sa lettre.
Et c’est là qu’apparaît le vrai goulot.
Au 24 août 2026, date de notre dernière vérification, aucun organisme notifié français n’a pu être identifié au titre du règlement.
L’absence n’a pas pu être établie de façon certaine : la base publique de l’article 35 est le seul instrument de vérification prévu, et c’est celui qui n’a pas pu être lu.
La base européenne de référence a été absorbée par une plateforme illisible : on ne peut affirmer ni qu’il en existe, ni qu’il n’en existe pas. Toute offre qui promet de faire évaluer un système par un organisme notifié français doit être interrogée sur ce point.
Une soupape existe : l’article 46 permet à une autorité de surveillance du marché d’autoriser, à titre exceptionnel, temporaire et sur son seul territoire, une mise sur le marché avant l’achèvement de l’évaluation. Elle ne joue pas pour les systèmes liés à des produits de l’annexe I, section A, qui relèvent de leurs dérogations sectorielles propres.
Ce qu’il faut retenir
L’absence de normes harmonisées ne suspend rien et ne dispense de rien. Elle change le coût de la démonstration : sans présomption, c’est votre documentation qui portera la charge le jour où les exigences deviendront applicables.
Et ce jour n’est pas si loin. Décembre 2027 pour l’annexe III, c’est le temps qu’il faut pour construire une documentation technique, un système de gestion de la qualité et une gouvernance des données : des chantiers qui se comptent en trimestres, pas en semaines.
Ceux qui attendent « que les normes sortent » attendent un allègement, pas une obligation.
Sur quoi ce silo s’appuie
Les articles 28 à 42 et 46 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744, le texte qui fait foi restant celui publié au Journal officiel. Les procédures d’évaluation de conformité des annexes VI et VII. Le choix entre contrôle interne et évaluation par un tiers repose sur l’article 43, dont nous n’avons pas repris le texte au mot près : la description qui en est faite ici est une lecture, et nous le signalons plutôt que de la présenter comme une citation. L’état de la normalisation est établi sur quatre sources officielles vérifiées le 24 août 2026 : le portail des normes harmonisées de la Commission, EUR-Lex, le service d’assistance de l’AI Act et la page de normalisation de la Commission. C’est une affirmation datée, revérifiée à chaque mise à jour.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 27 août 2026. L’absence de référence de norme harmonisée se vérifie sur le portail des normes harmonisées de la Commission, consulté le 27 août 2026. Le code de bonne pratique sur la transparence des contenus générés par IA, lu intégralement, ne nomme aucun standard technique de marquage.
Questions fréquentes
Les normes harmonisées sont-elles obligatoires ?
Non. Elles ne créent pas d’obligation : elles ouvrent une présomption de conformité, c’est-à-dire un renversement de la charge de la preuve. Un fournisseur qui ne les applique pas reste libre de démontrer sa conformité autrement, à charge pour lui de la justifier, ce qui est plus coûteux mais parfaitement légal.
Quelles présomptions de conformité le règlement prévoit-il ?
Quatre familles. Les normes harmonisées dont la référence est publiée au Journal officiel (article 40). Les spécifications communes adoptées par acte d’exécution (article 41, paragraphe 3). Trois présomptions particulières sur la représentativité des données et la cybersécurité (article 42). Et une présomption propre aux organismes notifiés eux-mêmes (article 32). S’y ajoute, pour les fournisseurs de modèles à usage général, la faculté de s’appuyer sur un code de bonne pratique jusqu’à la publication d’une norme harmonisée (article 53, paragraphe 4).
Combien de normes harmonisées existent aujourd’hui pour l’IA Act ?
Aucune. Au 24 août 2026, date de notre dernière vérification, aucune référence de norme harmonisée n’a été publiée au Journal officiel de l’Union européenne au titre du règlement (UE) 2024/1689. La présomption de conformité de l’article 40 n’est donc activable pour personne. Des normes européennes existent, dont EN 18286:2026, mais une norme européenne publiée n’est pas une norme harmonisée.
Les exigences que ces normes servent sont-elles déjà applicables ?
Pas encore, et c’est le paradoxe de calendrier de ce sujet. Les articles sur l’évaluation de conformité s’appliquent, eux, depuis le 2 août 2025 et le 2 août 2026. Mais les exigences du chapitre III qu’ils servent ont été reportées par le règlement (UE) 2026/1744 au 2 décembre 2027 pour les systèmes de l’annexe III et au 2 août 2028 pour ceux de l’annexe I. L’outillage de la preuve est en place avant les obligations qu’il sert.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.