Première norme harmonisée au titre de la loi sur l'IA de l'UE

La décision mentionne la référence : EN 18286:2026, intitulée « Artificial intelligence – Quality management system for EU AI Act regulatory purposes ». C’est la première norme harmonisée citée à l’appui du règlement européen sur l’intelligence artificielle.

Cette publication est significative parce que la loi sur l’IA formule ses exigences en termes généraux, et que les normes harmonisées sont censées les traduire en pratiques vérifiables. Jusqu’au 14 octobre 2026, aucune norme n’avait été citée offrant aux fournisseurs de systèmes d’IA à haut risque une voie vers une présomption légale de conformité. Avec cette décision, il en existe désormais une, ce qui pourrait donner aux fournisseurs, aux auditeurs et aux autorités un point de référence commun sur ce à quoi ressemble un système de management de la qualité conforme.

Ce qui change

L’effet pratique découle de l’article 40 de la loi sur l’IA, tel que cité dans la décision. Les systèmes d’IA à haut risque conformes à une norme harmonisée, ou à des parties de celle-ci, dont la référence a été publiée au Journal officiel, sont présumés conformes aux exigences couvertes par cette norme. La décision entre en vigueur le jour de sa publication ; la présomption s’applique donc à partir du 14 octobre 2026.

La décision décrit l’objet de la norme comme les systèmes de management de la qualité des fournisseurs de systèmes d’IA, y compris les processus de surveillance après commercialisation. Cela correspond à l’article 17 de la loi sur l’IA, qui impose aux fournisseurs de systèmes d’IA à haut risque de mettre en place un système de gestion de la qualité documenté. Des praticiens de la communauté de la normalisation indiquent que la présomption se rapporte à ces exigences de l’article 17. La décision ne précise pas dans quelle mesure la norme couvre l’article 17, et la présomption ne s’applique qu’aux exigences que la norme couvre effectivement.

Ce que demande l’article 17

L’article 17, paragraphe 1, de la loi sur l’IA de l’UE énumère au moins treize aspects que le système doit traiter, sous la forme de politiques, procédures et instructions écrites. Ils comprennent notamment les suivants :

• Essais et validation. Le point d) exige des « procédures d’examen, d’essai et de validation à réaliser avant, pendant et après le développement » du système, « et la fréquence à laquelle elles doivent être réalisées ».
• Surveillance après commercialisation. Le point h) exige un système de surveillance après commercialisation conformément à l’article 72, et le point i) des procédures de signalement des incidents graves au titre de l’article 73.
• Gestion des risques et des données. Les points g) et f) portent sur le système de gestion des risques visé à l’article 9 et sur les procédures de gestion des données, de l’acquisition à la conservation.
• Normes et lacunes. Le point e) exige que les fournisseurs précisent les normes appliquées et, lorsque les normes harmonisées « ne sont pas appliquées intégralement ou ne couvrent pas toutes les exigences pertinentes », les moyens utilisés pour garantir la conformité. Un fournisseur qui s’appuie uniquement sur EN 18286 pourrait donc devoir documenter comment il satisfait aux exigences que la norme ne couvre pas.
• Proportionnalité. L’article 17, paragraphe 2, prévoit que la mise en œuvre doit être proportionnée à la taille de l’organisation du fournisseur, tout en respectant la rigueur nécessaire à la conformité.

Les points d) et h) fixent une attente récurrente, et non ponctuelle : des procédures à fréquence définie et une surveillance après le déploiement.

Une règle spéciale pour les établissements financiers

L’obligation de gestion de la qualité incombe aux fournisseurs, c’est-à-dire aux organisations qui développent un système d’IA à haut risque, ou le font développer, et le mettent sur le marché ou en service sous leur propre nom. En vertu de l’article 17, paragraphe 4, un fournisseur qui est un établissement financier réglementé dans l’UE, par exemple une banque disposant de son propre modèle de scoring de crédit, est réputé satisfaire à l’obligation s’il respecte ses règles de gouvernance interne au titre du droit européen des services financiers. Trois aspects en sont exclus : le système de gestion des risques, la surveillance après commercialisation et le signalement des incidents graves. L’article ajoute que les normes harmonisées « sont prises en compte ». La manière dont EN 18286 s’insère dans ce dispositif ne ressort pas de la décision et pourrait n’apparaître qu’à la lecture du texte de la norme.

L’application de cette règle aux établissements suisses est moins claire. La Suisse n’est pas soumise au droit européen des services financiers ; l’allègement pourrait donc ne pas être accessible à une banque suisse, dont la situation dépendrait d’abord de l’applicabilité de la loi sur l’IA à son égard.

Ce qu’est l’harmonisation, et ce qu’elle n’est pas

Les normes sont, selon la description de l’UE elle-même, des lignes directrices volontaires sur la manière dont les produits, les services et les processus d’entreprise devraient fonctionner. Elles sont élaborées par des organisations européennes de normalisation privées : le CEN, le Cenelec et, pour les télécommunications, l’ETSI. Les organismes nationaux de normalisation les adoptent ensuite comme normes nationales identiques. Une norme harmonisée est une catégorie particulière, élaborée à la suite d’une demande de la Commission européenne.

La voie vers ce statut suit le cadre européen de normalisation, le règlement (UE) n° 1025/2012, que la décision cite. La Commission adresse d’abord une demande de normalisation, ici la décision C(2025) 3871 du 23 juin 2025. Le CEN et le Cenelec élaborent ensuite la norme, et la Commission évalue si elle satisfait aux exigences qu’elle est censée couvrir. Ce n’est que lorsque la Commission publie la référence de la norme au Journal officiel qu’elle devient une norme harmonisée.

L’effet juridique de cette étape est étroit. La norme ne devient pas du droit, et son texte n’est pas publié au Journal officiel. Ce que la citation ajoute, c’est la présomption de conformité de l’article 40 de la loi sur l’IA : un fournisseur qui applique la norme est présumé satisfaire aux exigences qu’elle couvre. Selon les indications de l’UE, le recours aux normes harmonisées est généralement volontaire, tandis que les exigences techniques de la législation européenne sont toujours obligatoires. Les fournisseurs peuvent satisfaire à ces exigences par une norme harmonisée ou par d’autres solutions techniques atteignant le même niveau de conformité.

En pratique, cela signifie ce qui suit :

• Elle est volontaire. La loi sur l’IA fixe les obligations légales. Une norme harmonisée est un moyen de démontrer la conformité, pas le seul. Les fournisseurs peuvent choisir d’autres moyens, mais doivent alors prouver que ceux-ci satisfont aux exigences.
• Une présomption n’est pas un certificat. L’application de la norme pourrait faciliter la démonstration de la conformité. Elle ne remplace pas les procédures d’évaluation de la conformité applicables à un système donné.
• Elle ne couvre qu’un domaine. La décision ne cite que la norme sur la gestion de la qualité. Les normes sur la gestion des risques, la gouvernance des données, la journalisation, l’exactitude, la robustesse et la cybersécurité n’en font pas partie. Des représentants du CEN-CENELEC ont indiqué que les travaux se poursuivent.

Calendrier

La citation intervient avant l’application des règles relatives aux systèmes à haut risque. Dans le cadre de l’AI Omnibus, comme rapporté dans notre analyse d’août 2026, ces règles sont reportées au 2 décembre 2027, et celles relatives aux systèmes à haut risque intégrés dans des produits réglementés au 2 août 2028. Les fournisseurs pourraient donc disposer de plus d’un an pour aligner leurs systèmes de management sur la norme avant l’entrée en application des obligations.

Pertinence pour les organisations suisses

La Suisse n’est pas liée par la décision. Les fournisseurs suisses qui mettent sur le marché de l’UE des systèmes d’IA à haut risque, ainsi que les filiales suisses de groupes de l’UE, pourraient néanmoins juger la norme pertinente, la loi sur l’IA pouvant s’appliquer à eux indépendamment du droit national (voir La réglementation de l’IA en Suisse).

La norme pourrait aussi intéresser les organisations qui travaillent déjà avec l’ISO/IEC 42001, la norme internationale relative aux systèmes de management de l’IA. La manière dont les deux s’articulent en détail fait l’objet d’études et mérite une analyse plus approfondie.

Un système de management de la qualité comprenant une surveillance après commercialisation suppose que les organisations puissent mesurer les performances de leurs systèmes d’IA en exploitation. Cela relie la norme au thème de la preuve qui traverse les attentes suisses et européennes : des affirmations quantifiées, reproductibles et vérifiables sur le comportement des systèmes, plutôt que des assertions ponctuelles.

Sources

• La décision : décision d’exécution (UE) 2026/2274 de la Commission du 12 octobre 2026 relative aux normes harmonisées pour les systèmes d’IA à haut risque élaborées à l’appui du règlement (UE) 2024/1689, Journal officiel de l’Union européenne, série L, 14 octobre 2026. Consultable gratuitement sur EUR-Lex. Elle contient la référence et le titre de la norme EN 18286:2026, mais pas le texte de celle-ci.
• La loi sur l’IA : règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle. L’article 17 (système de gestion de la qualité) et l’article 40 (normes harmonisées) sont cités ci-dessus. Disponible sur EUR-Lex.
• La demande de normalisation : décision d’exécution C(2025) 3871 de la Commission du 23 juin 2025 relative à une demande de normalisation adressée au CEN et au Cenelec, citée au considérant 2 de la décision.
• Les normes en Europe : guide de l’Union européenne à l’intention des entreprises sur les normes et les normes harmonisées, Your Europe.
• La norme elle-même : EN 18286:2026, disponible auprès des organismes nationaux de normalisation membres du CEN et du Cenelec, généralement contre paiement.