L’évaluation de conformité par un tiers est présentée comme la règle du haut risque. Le texte en fait une exception, et l’infrastructure qui devrait la rendre possible n’est pas identifiable en France.
Sur l’annexe III, l’organisme notifié ne concerne que le point 1, la biométrie. Les points 2 à 8, soit sept domaines sur huit, relèvent du contrôle interne de l’annexe VI, « qui ne prévoit pas d’intervention d’un organisme notifié ». Une organisation dont le système relève du recrutement, du scoring, de l’éducation ou des urgences n’a pas d’organisme notifié à chercher.
Faut-il un organisme notifié pour mon système à haut risque ?
Dans la grande majorité des cas, non. L’article 43, paragraphe 2 impose aux systèmes de l’annexe III, points 2 à 8, la procédure fondée sur le contrôle interne de l’annexe VI, « qui ne prévoit pas d’intervention d’un organisme notifié ». Sept domaines d’usage sur huit échappent donc au tiers évaluateur. Restent exposés le point 1, la biométrie, et les systèmes de l’annexe I selon leur droit sectoriel.
L’article 43 distribue les procédures selon la porte d’entrée. Cinq cas, et le troisième est celui qu’on ignore.
| Périmètre | Procédure | Organisme notifié |
|---|---|---|
| Annexe III, point 1, biométrie, si le fournisseur a appliqué les normes harmonisées ou les spécifications communes | Choix entre annexe VI et annexe VII | Au choix du fournisseur |
| Annexe III, point 1, dans les quatre cas du deuxième alinéa | Annexe VII imposée | Oui |
| Annexe III, points 2 à 8 | Annexe VI, contrôle interne | Non |
| Annexe I, section A | Procédure sectorielle | Selon la législation applicable |
| Cumul annexe I section A et annexe III | Procédure sectorielle | Selon la législation applicable |
Ce régime n’est pas gravé. Le paragraphe 6 habilite la Commission à modifier par acte délégué les paragraphes 1 et 2 « afin de soumettre les systèmes d’IA à haut risque visés à l’annexe III, points 2 à 8, à tout ou partie de la procédure d’évaluation de la conformité visée à l’annexe VII ». Écrire que ces sept domaines échapperont toujours au tiers évaluateur serait une faute de temps.
Le choix du premier cas est conditionnel, et la condition n’est remplie par personne. L’article 43, paragraphe 1 n’ouvre le choix que si le fournisseur « a appliqué les normes harmonisées visées à l’article 40 ou, le cas échéant, les spécifications communes visées à l’article 41 ». À défaut, le deuxième alinéa impose l’annexe VII dans quatre cas, dont le premier : les normes harmonisées n’existent pas et les spécifications communes font défaut.
Or au 24 août 2026, date de notre dernière vérification, aucune référence de norme harmonisée n’a été publiée au Journal officiel de l’Union européenne au titre du règlement (UE) 2024/1689, et aucune spécification commune n’a été adoptée. Sur l’annexe III, point 1, l’annexe VII s’impose donc en fait, par l’état de la normalisation et non par la lettre du texte. La nuance compte : le jour où des références seront publiées, le choix rouvrira sans qu’aucune disposition ait changé.
Le principe est le libre choix dans toute l’Union. Le troisième alinéa du paragraphe 1 dispose qu’« aux fins de la procédure d’évaluation de la conformité visée à l’annexe VII, le fournisseur peut choisir n’importe lequel des organismes notifiés ». Un fournisseur français n’est donc pas tenu de s’adresser à un organisme français, et l’absence d’organisme notifié en France ne ferme pas à elle seule la voie normale.
Une exception ferme ce choix. Lorsque le système est destiné à être mis en service par les autorités répressives, les services de l’immigration, les autorités d’asile ou les institutions de l’Union, c’est « l’autorité de surveillance du marché visée à l’article 74, paragraphe 8 ou 9, selon le cas », qui agit en tant qu’organisme notifié. Le fournisseur ne choisit pas.
Qu’est-ce qu’un organisme notifié, et qui le désigne ?
Un organisme d’évaluation désigné par un État membre, et qu’on ne fabrique pas. Il n’existe que par la notification d’une autorité notifiante nationale, sous réserve d’absence d’objection de la Commission ou des autres États membres. On ne devient pas organisme notifié en s’en déclarant un. Le fournisseur, lui, choisit librement parmi ceux qui existent dans l’Union : c’est la question précédente.
Une réserve, pour un périmètre particulier. Dans le champ de la compétence exclusive du Bureau de l’IA, article 75, paragraphe 1, cette chaîne ne joue pas de la même façon : l’interlocuteur est le Bureau de l’IA, et l’organisme notifié n’intervient plus pour son propre compte mais au nom de la Commission.
L’article 31 pose douze séries d’exigences. Trois méritent d’être connues du côté client.
Les trois exigences de l’article 31 à connaître du côté client
L’indépendance, paragraphe 4 :
Les organismes notifiés sont indépendants du fournisseur du système d’IA à haut risque pour lequel ils mènent les activités d’évaluation de la conformité. Les organismes notifiés sont également indépendants de tout autre opérateur ayant un intérêt économique dans les systèmes d’IA à haut risque qui font l’objet de l’évaluation, ainsi que de tout concurrent du fournisseur. […]
L’incompatibilité avec le conseil, paragraphe 5. Elle vise l’organisme lui-même, ses cadres supérieurs et son personnel d’évaluation : ils « n’exercent aucune activité susceptible d’entrer en conflit avec leur indépendance de jugement ou leur intégrité », et le texte précise : « Cela s’applique en particulier aux services de conseil. » On ne peut pas être à la fois le consultant qui prépare le dossier et l’évaluateur qui le juge.
L’assurance de responsabilité civile, paragraphe 9, sauf lorsque l’État membre couvre lui-même cette responsabilité.
La sous-traitance est possible sans dilution de responsabilité. L’article 33 l’autorise, mais l’organisme reste entièrement responsable, doit en informer l’autorité notifiante, et ne peut sous-traiter qu’avec l’accord du fournisseur. Les organismes notifiés rendent publique la liste de leurs filiales.
Existe-t-il un organisme notifié en France ?
Nous n’avons pas pu l’établir, et c’est un constat, pas une réponse par défaut.
Au 24 août 2026, date de notre dernière vérification, aucun organisme notifié français n’a pu être identifié au titre du règlement.
La base européenne qui recense les organismes notifiés a été absorbée par le Single Market Compliance Space, dont la consultation n’a pas permis d’établir de liste au titre de ce règlement.
Nous nous en tenons à ce constat, et pas au-delà : il est impossible d’affirmer qu’il en existe comme d’affirmer qu’il n’en existe pas.
L’absence n’a pas pu être établie de façon certaine : la base publique de l’article 35 est le seul instrument de vérification prévu, et c’est celui qui n’a pas pu être lu.
Côté autorité notifiante, la direction générale des entreprises annonce une extension du périmètre des autorités sectorielles existantes, sans autorité nouvelle, et ne désigne personne pour l’annexe III.
Si votre système relève de l’annexe III, points 2 à 8, la question ne se pose pas : vous relevez du contrôle interne. S’il relève de la biométrie, la procédure de l’annexe VII ouvre le choix de n’importe quel organisme notifié de l’Union, sauf dans les cas où l’autorité de surveillance du marché agit elle-même comme organisme notifié : la voie existe donc hors de France. S’il relève de l’annexe I, c’est le droit sectoriel qui désigne la procédure et l’organisme. Dans les deux cas, un plan de conformité qui suppose un organisme disponible doit dire lequel : aucun n’a pu être identifié en France, et l’offre européenne au titre de ce règlement n’a pas pu être établie.
Combien de temps un certificat est-il valable ?
Cinq ans au plus pour l’annexe I, quatre ans au plus pour l’annexe III, la durée réelle étant celle inscrite sur le certificat. Il n’est pas acquis pour autant : l’organisme notifié doit le suspendre, le retirer ou le restreindre s’il constate que le système ne répond plus aux exigences, et il doit motiver sa décision.
La prolongation du certificat
La prolongation se demande, s’accorde pour une durée maximale identique à chaque fois, et suppose une nouvelle évaluation selon les procédures applicables. Un document complémentaire ne survit pas au certificat qu’il complète.
L’organisme notifié suspend ou retire le certificat, ou l’assortit de restrictions, lorsqu’il constate que le système ne répond plus aux exigences de la section 2, « en tenant compte du principe de proportionnalité » et sauf mesures correctives du fournisseur dans le délai imparti. Ce n’est pas une faculté. L’organisme doit motiver sa décision.
Le recours contre la décision d’un organisme notifié
Un recours existe, et c’est la première question de tout fournisseur à qui l’on refuse un certificat :
Une procédure de recours contre les décisions des organismes notifiés, y compris concernant des certificats de conformité délivrés, est disponible.
Le texte n’en dit rien de plus : ni devant qui, ni dans quel délai, ni selon quelle procédure. L’organisation concrète de ce recours n’est établie par aucune source que nous ayons pu vérifier, en France comme ailleurs.
Et un refus circule. L’article 45 impose à l’organisme notifié de porter à la connaissance des autres organismes notifiés les certificats qu’il a refusés, suspendus, retirés ou restreints, et de partager les résultats négatifs avec ceux qui conduisent des évaluations similaires. Changer d’organisme après un refus n’efface pas le refus.
Que faire si aucun organisme notifié n’est disponible ?
L’article 46 ouvre une dérogation, et elle est étroite. Une autorité de surveillance du marché peut, sur demande dûment justifiée et pour des raisons exceptionnelles, autoriser une mise sur le marché par dérogation à l’article 43, c’est-à-dire sans la procédure d’évaluation de la conformité normalement due. Ce n’est ni un droit, ni une voie ordinaire : sept bornes l’encadrent, détaillées ci-dessous.
Par dérogation à l’article 43 et sur demande dûment justifiée, toute autorité de surveillance du marché peut, pour des raisons exceptionnelles de sécurité publique ou pour assurer la protection de la vie et de la santé humaines, la protection de l’environnement ou la protection d’actifs industriels et d’infrastructures d’importance majeure, autoriser la mise sur le marché ou la mise en service de systèmes d’IA à haut risque spécifiques sur le territoire de l’État membre concerné.
Ce que la dérogation permet, et à quelles conditions
Les motifs sont limitativement énumérés, et l’absence d’organisme notifié n’en fait pas partie. C’est le point décisif : la dérogation n’a pas été écrite pour compenser une carence d’infrastructure.
L’autorisation vaut sur le territoire d’un seul État membre. Elle est temporaire, accordée « pour une période limitée pendant la durée des procédures d’évaluation de la conformité nécessaires ». Elle n’est délivrée que si l’autorité conclut que le système satisfait aux exigences de la section 2, c’est-à-dire aux exigences de fond du haut risque : la dérogation porte sur la procédure, jamais sur celles-ci.
Elle est contrôlée. La Commission et les autres États membres sont informés, cette obligation ne couvrant pas « les données opérationnelles sensibles relatives aux activités des autorités répressives », et l’autorisation est réputée justifiée si aucune objection n’est émise dans un délai de quinze jours civils. En cas d’objection, la Commission consulte, entend les opérateurs et décide ; si elle juge l’autorisation injustifiée, celle-ci est retirée.
La voie d’urgence, et le cas de l’annexe I section A
Une voie d’urgence existe, et elle est brutale. Dans une situation d’urgence dûment justifiée, pour des raisons exceptionnelles de sécurité publique ou face à « une menace spécifique, substantielle et imminente pour la vie ou la sécurité physique des personnes physiques », les autorités répressives ou de protection civile peuvent mettre en service sans autorisation préalable, à charge de la demander sans retard injustifié. Si elle est refusée, l’utilisation cesse immédiatement et tous les résultats et sorties sont « immédiatement mis au rebut ».
Enfin, pour l’annexe I section A, ce ne sont pas les dérogations de l’article 46 qui jouent, mais celles du droit sectoriel applicable.
Comment un organisme devient-il notifié, faute de normes ?
L’article 32 prévoit qu’un organisme démontrant sa conformité aux normes harmonisées dont les références sont publiées au Journal officiel est présumé répondre aux exigences de l’article 31. Les trois mêmes conditions qu’ailleurs : une norme harmonisée, des références publiées, et « dans la mesure où » ces normes couvrent les exigences.
Aucune référence n’ayant été identifiée comme publiée, cette présomption n’est activable pour personne. Un organisme candidat passe donc par l’article 29, certificat d’accréditation lorsqu’il en existe un, ou preuves documentaires complètes à défaut.
Pourquoi les organismes notifiés existent-ils avant les obligations ?
Parce que l’infrastructure d’évaluation doit exister avant ce qu’elle contrôle, et le règlement l’a voulu ainsi. Un organisme ne se désigne pas le jour où la première demande arrive : accréditation, désignation et notification prennent des mois. Les articles qui les organisent sont donc applicables deux ans avant les exigences qu’ils servent.
Le détail des dates : la section 4 du chapitre III, articles 28 à 39, s’applique depuis le 2 août 2025 ; les articles 40 à 46 depuis le 2 août 2026. Les exigences que ces articles servent, sections 1 à 3 du chapitre III, ne sont exigibles qu’au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I.
Les organismes notifiés au titre de l’annexe I section A doivent en outre introduire une demande de désignation au plus tard le 28 janvier 2028.
Cinq questions à trancher avant de chercher un organisme
Votre système relève-t-il de l’annexe III, point 1 ? Si non, la question de l’organisme notifié ne se pose pas pour l’annexe III.
Relève-t-il de l’annexe I, section A ? Alors c’est le droit sectoriel qui commande la procédure, et l’article 43, paragraphe 3 précise que l’intégration d’un système à haut risque en tant que composant de sécurité n’oblige pas à elle seule à passer par un tiers, si le droit sectoriel ne l’exige pas.
Votre prestataire de conseil pourrait-il être votre évaluateur ? Non, et l’article 31, paragraphe 5 le dit expressément.
Votre plan de conformité suppose-t-il un organisme notifié disponible ? Si oui, cette hypothèse doit être écrite comme telle, faute d’avoir pu être vérifiée.
Avez-vous documenté votre évaluation interne ? Pour les points 2 à 8 de l’annexe III, c’est elle, et non un certificat, qui porte la démonstration.
Sur quoi cette page s’appuie
Les articles 28 à 46 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744. Les articles 43 et 46 ont été extraits d’EUR-Lex le 28 août 2026 et les citations qui en sont faites sont reproduites mot à mot. Le texte qui fait foi reste celui publié au Journal officiel, la version consolidée n’ayant qu’une valeur documentaire.
Quatre points sont ouverts et signalés comme tels : l’existence d’organismes notifiés français, que la base publique ne permet pas d’établir ; l’organisation concrète du recours contre une décision d’organisme notifié, que le texte n’organise pas ; les exigences de cybersécurité applicables aux organismes notifiés, que ni le règlement ni aucune norme publiée ne précisent ; et l’état de consolidation des articles 44 et 45, dont l’extraction utilisée ne porte aucun marqueur permettant de savoir si l’omnibus les a modifiés.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 28 août 2026.
Questions fréquentes
Tous les systèmes à haut risque doivent-ils passer par un organisme notifié ?
Non, et c’est l’idée reçue la plus coûteuse. L’article 43, paragraphe 2 dispose que pour les systèmes de l’annexe III, points 2 à 8, les fournisseurs suivent la procédure fondée sur le contrôle interne de l’annexe VI, « qui ne prévoit pas d’intervention d’un organisme notifié ». Sept domaines sur huit échappent donc au tiers évaluateur. Seul le point 1, la biométrie, y est exposé, ainsi que les systèmes relevant de l’annexe I selon leur droit sectoriel.
Existe-t-il des organismes notifiés en France au titre du règlement (UE) 2024/1689 ?
Aucun n’a pu être identifié. La base européenne qui les recense a été absorbée par le Single Market Compliance Space, dont la consultation n’a pas permis d’établir de liste au titre du règlement (UE) 2024/1689. Il est impossible d’affirmer qu’il en existe comme d’affirmer qu’il n’en existe pas, et nous ne faisons ni l’un ni l’autre.
Combien de temps un certificat est-il valable ?
Cinq ans au plus pour les systèmes relevant de l’annexe I, quatre ans au plus pour ceux de l’annexe III, la durée réelle étant celle indiquée sur le certificat. La prolongation se demande et suppose une nouvelle évaluation, pour une durée maximale identique à chaque fois. À ne pas confondre avec le régime de survie des certificats après retrait de la désignation de l’organisme : neuf mois, sous deux conditions cumulatives, prolongeables jusqu’à douze mois au total, et sans effet sur les certificats délivrés à tort. Ce sont deux mécanismes distincts.
Que faire s’il n’existe aucun organisme notifié compétent ?
La voie normale de mise sur le marché est fermée, mais l’article 46 ouvre une dérogation. Une autorité de surveillance du marché peut autoriser la mise sur le marché pour des raisons exceptionnelles limitativement énumérées, sur le territoire d’un seul État membre, pour une période limitée, et seulement si elle conclut que le système satisfait aux exigences de la section 2, celles du fond. L’absence d’organisme notifié n’est pas en elle-même un motif de dérogation.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.