Normes harmonisées AI Act : une seule publiée, ce qu'elle change et ce qui manque

Depuis le 14 octobre 2026, une norme harmonisée existe au titre de l’AI Act. Une seule, pour le système de gestion de la qualité. Pour tout le reste, données, documentation, contrôle humain, robustesse, cybersécurité, aucune référence n’est publiée, et la présomption de conformité de l’article 40 n’est activable pour personne. Cette page dit ce que la première norme change, pour qui, et où en sont les neuf autres.

Une norme harmonisée AI Act existe depuis le 14 octobre 2026 : êtes-vous concerné ?

La réponse dépend de votre rôle. Pour la plupart des lecteurs, rien ne change encore.

Fournisseur d’un système à haut risque : oui, pour le système qualité

L’article 17 vous impose un système de gestion de la qualité documenté. EN 18286:2026 décrit comment le construire. La Commission la présente comme ouvrant la présomption de conformité pour cet article. Vous n’êtes pas tenu de l’appliquer : vous pouvez démontrer autrement que votre système qualité répond à l’article 17, mais la charge de la preuve reste alors entière.

Pour les exigences techniques de la section 2 du chapitre III, gestion des risques, données, documentation technique, journalisation, transparence, contrôle humain, exactitude, robustesse et cybersécurité, aucune norme n’est publiée. La présomption ne joue pour aucune d’elles.

Ces exigences deviennent applicables le 2 décembre 2027 pour les systèmes de l’annexe III et le 2 août 2028 pour ceux de l’annexe I. L’article 40, lui, s’applique depuis le 2 août 2026.

Fabricant d’un produit de l’annexe I : oui, dans votre procédure sectorielle

Machines, dispositifs médicaux, ascenseurs, jouets : si votre produit intègre un système d’IA à haut risque, l’article 43 prévoit que l’évaluation du système de gestion de la qualité de l’article 17 est effectuée dans le cadre de votre procédure sectorielle. Une norme harmonisée sur l’article 17 y a donc un usage direct. Elle n’ajoute pas de tiers là où votre législation sectorielle n’en exige pas.

Déployeur, fournisseur de modèle à usage général, autres : rien ne change

Le déployeur n’est pas visé par l’article 17. Les fournisseurs de modèles d’IA à usage général relèvent du chapitre V, pour lequel aucune norme n’est publiée : la voie du code de bonne pratique reste ouverte. Et pour les systèmes qui ne sont pas à haut risque, les normes harmonisées n’ont jamais été le sujet.

Qu’est-ce qu’une norme harmonisée AI Act, et que vaut la présomption ?

Une norme harmonisée est une norme européenne élaborée par le CEN-CENELEC sur demande de la Commission, dont la référence est publiée au Journal officiel de l’Union européenne. C’est cette publication, et elle seule, qui produit un effet juridique.

Trois conditions dans l’article 40

« Les systèmes d’IA à haut risque ou les modèles d’IA à usage général conformes à des normes harmonisées ou à des parties de normes harmonisées dont les références ont été publiées au Journal officiel de l’Union européenne […] sont présumés conformes aux exigences visées à la section 2 du présent chapitre ou, le cas échéant, aux obligations énoncées au chapitre V, sections 2 et 3, du présent règlement, dans la mesure où ces exigences ou obligations sont couvertes par ces normes. »

Source : Article 40, paragraphe 1

La norme doit être harmonisée. Ses références doivent être publiées au Journal officiel. Et la présomption ne vaut que dans la mesure où la norme couvre l’exigence. Une norme de management de la qualité ne présume rien sur la gouvernance des données.

Le périmètre est borné : section 2 du chapitre III pour les systèmes à haut risque, chapitre V sections 2 et 3 pour les modèles à usage général. La présomption ne couvre pas le règlement entier.

Trois étages, un seul produit un effet

Trois statuts circulent sous le même mot, et c’est de là que vient presque toute l’erreur du marché.

Au 5 novembre 2026 : treize projets du comité JTC 21 à l’étage 1, un texte à l’étage 2 (EN ISO/IEC 42001:2026), un seul à l’étage 3, EN 18286:2026.

Un projet de norme n’est pas opposable et ne se cite pas comme une exigence. Une norme européenne publiée s’achète, s’applique et vaut bonne pratique, mais n’ouvre aucun renversement de la charge de la preuve. Seule la publication de la référence au Journal officiel, au titre du règlement (UE) n° 1025/2012, déclenche l’article 40.

Ce que la présomption ne fait pas

Elle ne rend pas la norme obligatoire. Elle ne dispense pas des exigences qu’elle ne couvre pas. Elle ne vaut pas évaluation de la conformité : appliquer la norme ne dispense ni du contrôle interne ni, quand il s’impose, de l’organisme notifié, et aucun organisme notifié français n’a pu être identifié. Elle renverse la charge de la preuve, et c’est déjà beaucoup.

EN 18286:2026 : la première norme harmonisée AI Act

Ses dates

EN 18286:2026 a été approuvée par le CEN le 12 juillet 2026 et publiée en juillet 2026, sous l’intitulé anglais “Artificial intelligence – Quality management system for EU AI Act regulatory purposes”. Son intitulé français, tel que publié au Journal officiel : « Intelligence artificielle — Système de management de la qualité pour le règlement européen sur l’IA ». Elle a été élaborée par le comité CEN/CLC/JTC 21, groupe de travail 2, en réponse au point 9 de la demande de normalisation de la Commission.

Sa référence a été publiée au Journal officiel le 14 octobre 2026, par la décision d’exécution (UE) 2026/2274 du 12 octobre 2026, sans restriction. La Commission l’a annoncé le 19 octobre : c’est la date de l’annonce, pas celle de la publication. Les organismes nationaux de normalisation doivent la reprendre au plus tard en janvier 2027 ; en France, elle paraît sous la référence NF EN 18286.

Entre juillet et le 14 octobre, c’était une norme européenne publiée, sans effet juridique. La publication de la référence a changé son statut. Elle n’a pas changé son périmètre.

Ce qu’elle couvre

Cinquante et une pages, sans aucune référence normative : la norme se suffit à elle-même. Après les définitions, ses clauses 4 à 10 décrivent le système de management de la qualité, la direction, la planification, le support, la réalisation du système d’IA, les opérations et le contrôle, puis l’évaluation des performances.

Trois points intéressent directement un fournisseur. La clause 8.8 traite des systèmes à apprentissage continu et de leurs modifications prédéterminées, celles que l’article 43 exclut de la notion de modification substantielle quand elles ont été inscrites dans la documentation technique. La clause 9.5 traite de la surveillance après commercialisation, la clause 9.6 du signalement des incidents graves. Deux annexes informatives donnent la correspondance avec EN ISO 9001:2015 et avec EN ISO/IEC 42001:2026.

L’annexe ZA, celle qui dit quelles exigences du règlement la norme prétend couvrir et lesquelles elle ne couvre pas, est dans la norme, qui est payante. Nous ne l’avons pas lue et nous n’en citons pas le contenu. Les analyses qui en détaillent les lignes ne sont pas vérifiables sans le texte.

Article 17 ou section 2 : la réserve que personne n’écrit

L’article 17, le système de gestion de la qualité, est dans la section 3 du chapitre III. L’article 40, paragraphe 1, n’accorde la présomption que pour les exigences de la section 2 et pour le chapitre V. L’omnibus a étendu la demande de normalisation aux sections 2 et 3, sans toucher à la phrase qui accorde la présomption.

La demande de normalisation elle-même, adoptée par la Commission le 23 juin 2025, décrit l’article 40 ainsi, en anglais :

“In accordance with Article 40 of Regulation (EU) 2024/1689, high-risk AI systems which are in conformity with harmonised standards or parts thereof, the references of which have been published in the Official Journal of the European Union in accordance with Regulation (EU) 2024/1689, are to be presumed to be in conformity with the essential requirements set out in Articles 9 to 15 of that Regulation, covered by those standards or parts thereof.”

Source : Décision d’exécution C(2025) 3871 final, considérant 4

Les articles 9 à 15, c’est la section 2. Le même document demande pourtant des normes couvrant aussi les articles 17 et 43. En octobre 2026, la Commission présente EN 18286:2026 comme ouvrant la présomption pour l’article 17. Ce que la norme présume, à la lettre de l’article 40, paragraphe 1, n’est pas tranché par le texte. Nous écrivons l’écart ; nous ne le tranchons pas.

En pratique, pour un fournisseur, la question est moins décisive qu’elle n’en a l’air : appliquer EN 18286:2026 reste un moyen de démontrer la conformité à l’article 17, présomption ou pas.

EN 18286 et ISO 42001 : deux objets différents

EN ISO/IEC 42001:2026 est une norme de système de management de l’IA à l’échelle d’une organisation. Elle n’a pas été élaborée dans le cadre de la demande de normalisation, sa référence n’est pas publiée au Journal officiel au titre de l’AI Act, et elle n’ouvre aucune présomption. EN 18286:2026 est calibrée sur l’article 17 et contient une table de correspondance avec ISO 42001 : une organisation déjà certifiée ISO 42001 y trouvera la correspondance clause par clause ; elle n’y trouvera pas de dispense.

Où en sont les neuf autres normes harmonisées AI Act ?

Les dix livrables demandés par la Commission

La demande de normalisation C(2025) 3871 final du 23 juin 2025, qui abroge la demande de 2023, liste en annexe I dix normes harmonisées ou publications de normalisation à élaborer. Les intitulés officiels sont en anglais ; nous les rendons en français.

Le point 9, dans son libellé anglais : “quality management systems for providers of AI systems, including post-market monitoring processes”. C’est celui que la décision (UE) 2026/2274 cite pour EN 18286:2026. La dernière colonne est un rapprochement par intitulé entre la liste de l’annexe I et celle des projets que le comité JTC 21 publie : l’annexe I ne nomme aucun projet. Le projet sur la gestion des biais (prEN 18283) n’a pas de ligne propre dans l’annexe I.

L’annexe II de la demande précise que les dix livrables doivent former un seul système cohérent, qu’aucune norme n’est demandée pour la documentation technique de l’article 11, qui doit être couverte par les autres, notamment celle du système qualité, et que chaque norme doit porter une annexe Z indiquant ce qu’elle couvre et ce qu’elle ne couvre pas.

L’échéance dépassée et le report non adopté

La demande fixait la livraison des dix livrables au 31 août 2025. Cette date est passée depuis plus d’un an. Un seul livrable a été publié au Journal officiel, treize mois après.

Le 30 juillet 2026, la Commission a notifié un projet de décision modificative. Son motif, en anglais :

“CEN and Cenelec have informed the Commission that the standards could not be completed by the deadline set in Implementing Decision C(2025)3871 and it is therefore necessary to extend the deadline for the delivery of the requested standards, as well as the deadline of the final report and the expiry date”

S’il était adopté, la livraison passerait au 28 février 2027 et l’expiration de la demande au 31 août 2028. Deux précautions s’imposent. C’est un projet, pas un acte adopté : son en-tête ne porte pas de date d’adoption, et il n’en portait toujours pas au 5 novembre 2026. Et le 28 février 2027 n’est pas une date nouvelle : c’était déjà la date d’expiration de la demande en vigueur, que le projet transformerait en date de livraison.

Écrire que la Commission a repoussé la livraison des normes au 28 février 2027 cumule donc deux erreurs.

Ce qu’on ne sait pas

Le programme de travail officiel du comité JTC 21 n’est pas lisible publiquement. Des veilles spécialisées rapportent que plusieurs projets, dont ceux sur la gestion des risques et la cybersécurité, ont été rejetés en enquête publique à l’été 2026 et renvoyés en rédaction. Nous n’avons pas pu le vérifier sur une source officielle, et nous ne publions ni statut d’avancement par projet, ni date prévisionnelle. Ce que le projet de report dit, lui, officiellement : les normes n’ont pas pu être achevées dans le délai.

Que faire sans normes harmonisées AI Act pour la section 2 ?

Hors l’article 17, la présomption n’est activable pour personne, et la charge de la preuve reste entière. Trois conséquences, et la première est la plus dure.

Biométrie de l’annexe III : l’organisme notifié s’impose

Pour les systèmes du point 1 de l’annexe III, le règlement laisse en principe le choix entre le contrôle interne et l’évaluation par un organisme notifié, mais à la condition d’avoir appliqué les normes harmonisées ou les spécifications communes couvrant les exigences de la section 2. EN 18286:2026 vise l’article 17, pas ces exigences : la condition n’est remplie par personne, et l’évaluation par un tiers s’impose en fait.

Ce n’est pas un durcissement du texte, c’est un effet de l’état de la normalisation. Et il tombe au moment où les organismes notifiés français restent inconnus.

Autres cas d’usage de l’annexe III : la documentation porte tout

Pour les points 2 à 8 de l’annexe III, l’évaluation se fait par contrôle interne, sans organisme notifié. Sans présomption, ce sont la documentation technique, le système de gestion de la qualité et la gestion des risques qui devront porter la démonstration quand les exigences deviendront applicables. L’inventaire et la documentation se construisent dès maintenant ; une norme publiée plus tard ne refera pas ce travail.

Modèles à usage général : le code de bonne pratique

L’article 53, paragraphe 4 permet aux fournisseurs de modèles d’IA à usage général de s’appuyer sur un code de bonne pratique approuvé « jusqu’à la publication d’une norme harmonisée ». Tant qu’aucune n’est publiée pour le chapitre V, cette voie reste ouverte, et c’est aujourd’hui la plus praticable. Le même paragraphe laisse au fournisseur la possibilité de démontrer « d’autres moyens appropriés de mise en conformité », soumis à l’appréciation de la Commission.

La conséquence pratique est l’inverse de celle qu’on entend : l’absence de normes n’est pas une raison d’attendre.

Et les spécifications communes ?

L’article 41 permet à la Commission d’adopter par acte d’exécution des spécifications communes, avec le même effet de présomption, dans quatre situations : aucune organisation de normalisation n’a accepté la demande, les normes n’ont pas été présentées dans le délai, elles ne répondent pas suffisamment aux préoccupations en matière de droits fondamentaux, ou elles ne sont pas conformes à la demande. Il faut en plus qu’aucune référence n’ait été publiée au Journal officiel et qu’aucune ne doive l’être dans un délai raisonnable.

Le délai de la demande est dépassé, mais une référence a été publiée et d’autres sont annoncées : la seconde condition ne paraît pas remplie. Aucune spécification commune n’a été identifiée à ce jour au titre de l’AI Act, et rien n’indique que la Commission en prépare.

Sur quoi cette page s’appuie

Les articles 40 à 43 et 53, paragraphe 4 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, le texte qui fait foi restant celui publié au Journal officiel. La décision d’exécution (UE) 2026/2274 du 12 octobre 2026, lue au Journal officiel. La décision d’exécution C(2025) 3871 final du 23 juin 2025, lue intégralement avec ses annexes, et le projet de décision modificative notifié le 30 juillet 2026, consulté au registre de la Commission, tous deux cités en anglais. Les pages de garde, l’avant-propos et le sommaire d’EN 18286:2026, lus sur l’extrait officiel ; le corps de la norme et son annexe ZA n’ont pas été lus. L’état de la normalisation est une affirmation datée, revérifiée à chaque mise à jour.

Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026, consulté le 27 août 2026. Décision d’exécution (UE) 2026/2274, consultée le 5 novembre 2026. Décision d’exécution C(2025) 3871 final, registre de la Commission, consultée le 5 novembre 2026. Projet de décision modificative du 30 juillet 2026, consulté le 5 novembre 2026. Annonce de la Commission du 19 octobre 2026, consultée le 5 novembre 2026.

Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.