L’article 40 est la disposition la plus invoquée du règlement et la moins opérante. Il ouvre une présomption de conformité à qui applique une norme harmonisée : un renversement de la charge de la preuve, considérable en pratique. Sauf qu’à ce jour, personne ne peut s’en prévaloir.
Au 24 août 2026, date de notre dernière vérification, aucune référence de norme harmonisée n’a été publiée au Journal officiel de l’Union européenne au titre du règlement (UE) 2024/1689.
La présomption de conformité de l’article 40 n’est activable pour personne.
Quatre sources officielles concordent : le portail des normes harmonisées de la Commission, où la rubrique « intelligence artificielle » n’existe pas ; EUR-Lex, où les seules décisions d’exécution de 2026 sur des normes harmonisées visent d’autres textes ; le service d’assistance de l’AI Act ; et la page de normalisation de la Commission, qui décrit le mécanisme au futur.
Une recherche infructueuse ne prouve jamais une inexistence, seulement qu’on n’a pas trouvé. Mais quatre sources officielles concordantes, à une date donnée, valent d’être écrites, et revérifiées.
Quelles conditions une norme doit-elle remplir pour valoir présomption ?
Trois, et elles tombent rarement ensemble. La norme doit être harmonisée, ses références doivent être publiées au Journal officiel, et la présomption ne vaut que dans la mesure où la norme couvre l’exigence visée. Une norme de management de la qualité ne présume rien sur la gouvernance des données.
« Les systèmes d’IA à haut risque ou les modèles d’IA à usage général conformes à des normes harmonisées ou à des parties de normes harmonisées dont les références ont été publiées au Journal officiel de l’Union européenne […] sont présumés conformes aux exigences visées à la section 2 du présent chapitre ou, le cas échéant, aux obligations énoncées au chapitre V, sections 2 et 3, du présent règlement, dans la mesure où ces exigences ou obligations sont couvertes par ces normes. »
Source : Article 40, paragraphe 1
Le périmètre est également borné : chapitre III section 2 pour les systèmes à haut risque, chapitre V sections 2 et 3 pour les modèles à usage général. La présomption ne couvre pas le règlement entier.
Norme européenne, norme harmonisée, référence publiée : quelle différence ?
Trois étages, et seul le troisième produit un effet juridique. Une norme en préparation ne vaut rien ; une norme européenne publiée par le CEN-CENELEC ne vaut aucune présomption ; seule la publication de sa référence au Journal officiel ouvre la présomption de l’article 40. Trois statuts circulent sous le même mot, et c’est de là que vient presque toute l’erreur du marché.
| Étage | Statut | Effet juridique |
|---|---|---|
| 1 | Norme en préparation (prEN, enquête, vote) | Aucun |
| 2 | Norme européenne publiée par le CEN-CENELEC | Aucune présomption |
| 3 | Référence publiée au JOUE par acte d’exécution | Présomption de l’article 40 |
Au 24 août 2026 : plusieurs textes à l’étage 1, deux à l’étage 2 (EN 18286:2026 et EN ISO/IEC 42001:2026), aucun à l’étage 3.
Un projet de norme n’est pas opposable et ne se cite pas comme une exigence. Une norme européenne publiée s’achète, s’applique et vaut bonne pratique, mais n’ouvre aucun renversement de la charge de la preuve. Seule la publication de la référence au Journal officiel, au titre du règlement (UE) n° 1025/2012, déclenche l’article 40.
EN 18286:2026 est-elle la norme harmonisée de l’IA Act ?
Non — c’est une norme européenne publiée dont la référence n’est pas au Journal officiel. Elle est bien la première issue du programme AI Act, rattachée à l’article 17, et le CEN-CENELEC la qualifie d’harmonisée dans sa propre communication. C’est le vocabulaire du normalisateur, pas celui de l’article 40 : sans référence publiée, elle n’ouvre aucune présomption.
Publiée par le CEN-CENELEC en juillet 2026, sous l’intitulé anglais “Artificial intelligence – Quality management system for EU AI Act regulatory purposes”, élaborée par le comité CEN/CLC/JTC 21 et rattachée à l’article 17.
C’est bien la première norme issue du programme AI Act. Ce n’est pas une norme harmonisée : sa référence n’est pas citée au Journal officiel. Selon les analyses publiées (la source primaire du CEN n’étant pas accessible publiquement), son annexe ZA serait présentée comme “intended to support a presumption of conformity with Article 17(1)” : destinée à, et non produisant cet effet.
Le CEN-CENELEC parle pourtant dans sa communication de “the first harmonized European standard for the AI Act regulatory purposes”. C’est le vocabulaire du normalisateur, pas celui de l’article 40. La formulation exacte reste : norme européenne publiée, non encore harmonisée.
Note de précision : les sources donnent des dates de publication échelonnées entre le 1er juillet et le 8 août 2026. Nous écrivons « juillet 2026 » plutôt qu’une date exacte que le catalogue officiel du CEN, inaccessible aux robots, n’a pas permis de confirmer.
Où en est le programme de normalisation ?
Le comité CEN/CLC/JTC 21 organise ses travaux en groupes et publie lui-même la liste de ses projets. Les aspects opérationnels couvrent l’évaluation de conformité et la gestion des risques. Le management de la qualité en est sorti, puisqu’il a abouti à EN 18286:2026.
Les aspects d’ingénierie couvrent la qualité et la gouvernance des jeux de données, la gestion des biais, les méthodes d’évaluation pour la vision par ordinateur, le traitement du langage naturel et la journalisation. S’y ajoutent une série sur le cadre de confiance de l’IA et un projet de spécifications de cybersécurité.
Nous ne publions ni le nombre de livrables attendus, ni le détail des statuts d’avancement, ni le nombre de parties de la série sur le cadre de confiance : le programme de travail officiel du comité n’est pas lisible publiquement, et les sources tierces se contredisent sur ces points.
Que demande la Commission aux organismes de normalisation ?
Le programme repose sur la décision d’exécution C(2025) 3871 final du 23 juin 2025, portant demande de normalisation au CEN et au CENELEC, intitulée en anglais “on a standardisation request […] as regards high-risk AI systems in support of Regulation (EU) 2024/1689”. Elle abroge la décision d’exécution C(2023) 3215 final, et son article 5 prévoit qu’elle expire le 28 février 2027.
Son annexe I n’a pas pu être obtenue. C’est elle qui porte la liste des livrables demandés, leurs intitulés officiels et les échéances individuelles. Aucune page ne peut donc citer cette annexe ni annoncer un nombre de livrables : la liste de domaines qui circule est le libellé d’une FAQ de la Commission, pas celui de l’annexe.
Un projet de décision modificative a été notifié le 30 juillet 2026. Son considérant est explicite sur le motif, en anglais :
“CEN and Cenelec have informed the Commission that the standards could not be completed by the deadline set in Implementing Decision C(2025)3871 and it is therefore necessary to extend the deadline for the delivery of the requested standards, as well as the deadline of the final report and the expiry date”
Deux précautions s’imposent, et elles sont massivement ignorées. C’est un projet, pas un acte adopté : son en-tête porte « Brussels, XXX » et aucune date d’adoption. Et le 28 février 2027 n’est pas une date nouvelle : c’était déjà la date d’expiration de la décision en vigueur, que le projet transformerait en date de livraison, en repoussant l’expiration au 31 août 2028.
Écrire « la Commission a repoussé la livraison des normes au 28 février 2027 » cumule donc deux erreurs.
Existe-t-il une voie de secours en l’absence de normes ?
L’article 41 permet à la Commission d’adopter par acte d’exécution des spécifications communes, avec le même effet de présomption. Quatre situations l’ouvrent : aucune organisation européenne de normalisation n’a accepté la demande ; les normes n’ont pas été présentées dans le délai ; elles « ne répondent pas suffisamment aux préoccupations en matière de droits fondamentaux » ; ou elles ne sont pas conformes à la demande. Les deux dernières ne sont ni un échec ni un retard : une norme livrée à l’heure mais jugée insuffisante ouvre la voie.
Mais il faut, cumulativement, qu’aucune référence n’ait été publiée au Journal officiel et qu’aucune ne doive l’être dans un délai raisonnable. Cette seconde condition est la plus restrictive, et le règlement ne dit pas qui l’apprécie ni sur quels éléments.
Un fournisseur qui n’appliquerait pas des spécifications communes pourrait toujours justifier avoir adopté des solutions techniques d’un niveau au moins équivalent. Et dès qu’une norme harmonisée est publiée au Journal officiel, la Commission abroge les spécifications correspondantes.
Aucune spécification commune n’a été identifiée à ce jour au titre du règlement sur l’IA.
Que change réellement l’absence de normes harmonisées ?
La présomption de conformité n’est activable pour personne, et la charge de la preuve reste entière. Trois conséquences en découlent, et la première est la plus dure.
Pour les systèmes biométriques de l’annexe III, elle ferme la voie du contrôle interne. Le règlement y laisse en principe le choix entre l’auto-évaluation et l’évaluation par un organisme notifié, mais à la condition d’avoir appliqué les normes harmonisées ou les spécifications communes. Aucune n’existant, la condition n’est remplie par personne : l’évaluation par un tiers s’impose en fait.
Ce n’est pas un durcissement du texte, c’est un effet de l’état de la normalisation. Et il tombe au moment où les organismes notifiés français restent inconnus.
Pour les autres cas d’usage de l’annexe III, elle déplace la charge sur la documentation. Sans présomption, ce sont la documentation technique, le système de gestion de la qualité et la gestion des risques qui devront porter la démonstration, quand ces exigences deviendront applicables, le 2 décembre 2027 pour l’annexe III et le 2 août 2028 pour l’annexe I.
Pour les fournisseurs de modèles à usage général, elle prolonge la fenêtre du code de bonne pratique. L’article 53, paragraphe 4 leur permet de s’appuyer sur un code approuvé « jusqu’à la publication d’une norme harmonisée ». Tant qu’aucune n’est publiée, cette voie reste ouverte, et c’est aujourd’hui la voie la plus praticable pour démontrer la conformité au chapitre V, l’article 53, paragraphe 4 laissant par ailleurs au fournisseur la possibilité de démontrer « d’autres moyens appropriés de mise en conformité » soumis à l’appréciation de la Commission.
La conséquence pratique est donc l’inverse de celle qu’on entend : l’absence de normes n’est pas une raison d’attendre.
Sur quoi cette page s’appuie
Les articles 40 à 42 et 53, paragraphe 4 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, le texte qui fait foi restant celui publié au Journal officiel. La décision d’exécution C(2025) 3871 final du 23 juin 2025 et le projet de décision modificative notifié le 30 juillet 2026, tous deux consultés au registre de la Commission et cités en anglais. L’état de la normalisation harmonisée est vérifié sur quatre sources officielles au 24 août 2026 ; c’est une affirmation datée, revérifiée à chaque mise à jour.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 27 août 2026. L’absence de référence de norme harmonisée se vérifie sur le portail des normes harmonisées de la Commission, consulté le 27 août 2026.
Questions fréquentes
Combien de normes harmonisées existent au titre de l’IA Act ?
Aucune. Au 24 août 2026, date de notre dernière vérification, aucune référence de norme harmonisée n’a été publiée au Journal officiel de l’Union européenne au titre du règlement (UE) 2024/1689. Quatre sources officielles concordent. C’est un fait daté qui se périme : nous le revérifions à chaque mise à jour.
EN 18286:2026 n’est-elle pas la norme harmonisée de l’IA Act ?
Non, malgré son intitulé et malgré la communication du CEN-CENELEC, qui emploie le mot « harmonized ». C’est une norme européenne publiée en juillet 2026 et rattachée à l’article 17, dont la référence n’est pas citée au Journal officiel. Elle n’ouvre donc aucune présomption. La formule exacte est : norme européenne publiée, non encore harmonisée.
Les normes harmonisées sont-elles obligatoires ?
Non, et c’est une confusion fréquente. Elles ne créent aucune obligation : elles ouvrent une présomption de conformité, c’est-à-dire un renversement de la charge de la preuve. Un fournisseur peut toujours démontrer sa conformité par d’autres moyens, à charge pour lui de le justifier.
Faut-il attendre les normes avant de se mettre en conformité ?
Non, et pour deux raisons opposées. D’un côté les exigences du chapitre III ne sont pas encore applicables : elles le deviendront le 2 décembre 2027 pour les systèmes de l’annexe III et le 2 août 2028 pour ceux de l’annexe I. De l’autre, l’absence de normes durcit dès aujourd’hui la situation des systèmes biométriques de l’annexe III, pour lesquels elle ferme la voie du contrôle interne. Attendre ne réduit aucun risque.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.