Article 40 : Normes harmonisées et travaux de normalisation
L’article 40 est une pierre angulaire de l’architecture de conformité du règlement sur l’IA. Les systèmes d’IA à haut risque ou les modèles d’IA à usage général (GPAI) qui sont conformes aux normes harmonisées, ou aux parties pertinentes de celles-ci, dont les références ont été publiées au Journal officiel de l’UE, sont présumés conformes aux exigences du chapitre III, section 2 (pour les systèmes à haut risque) ou aux obligations du chapitre V (pour le GPAI), dans la mesure où ces normes couvrent ces exigences. La Commission peut demander aux organisations européennes de normalisation (CEN, CENELEC, ETSI) d’élaborer de telles normes. Cela crée le pont critique de présomption de conformité entre normes techniques et exigences juridiques.
À qui cela s’applique-t-il ?
- -Fournisseurs de systèmes d’IA à haut risque qui peuvent utiliser des normes harmonisées pour démontrer une présomption de conformité aux exigences du chapitre III, section 2
- -Organismes européens de normalisation (CEN, CENELEC, ETSI) qui élaborent des normes harmonisées spécifiques à l’IA à la demande de la Commission
- -Organismes d’évaluation de la conformité qui évaluent si les fournisseurs ont correctement appliqué les normes harmonisées
Scénarios
Un fournisseur d’un système d’IA à haut risque d’évaluation de la solvabilité applique la norme harmonisée EN XXXXX (élaborée par CEN/CENELEC pour la gestion des risques de l’IA) dont la référence a été publiée au Journal officiel. La norme couvre la gestion des risques de l’article 9 et les exigences d’exactitude et de robustesse de l’article 15.
La Commission demande à CEN/CENELEC d’élaborer une norme harmonisée pour la gouvernance des données de l’IA. La norme est adoptée mais sa référence n’a pas encore été publiée au Journal officiel.
Le mécanisme de présomption de conformité
L’article 40 établit la présomption de conformité, concept bien établi du droit de l’Union sur la sécurité des produits (le « nouveau cadre législatif »). Le mécanisme fonctionne ainsi :
1. La Commission demande aux organisations européennes de normalisation (CEN, CENELEC, ETSI) d’élaborer des normes harmonisées pour le règlement sur l’IA 2. Les organismes de normalisation adoptent les normes par leurs processus fondés sur le consensus 3. La Commission publie les références des normes adoptées au Journal officiel de l’UE 4. Une fois publiées, le respect de la norme (ou des parties pertinentes) crée une présomption juridique que les exigences correspondantes du règlement sur l’IA sont remplies
Cette présomption est réfragable : les autorités de surveillance du marché peuvent encore contester la conformité si elles ont des preuves que le système ne satisfait pas réellement aux exigences malgré la revendication de suivre la norme.
Quelles normes sont en cours d’élaboration
La Commission a adressé une demande de normalisation à CEN/CENELEC en mai 2023. Les travaux clés du CEN/CENELEC JTC 21 portent notamment sur des normes traitant :
- de la gestion des risques (alignée sur l’article 9)
- de la gouvernance des données et de la qualité des données (alignée sur l’article 10)
- de la conservation des enregistrements et de l’enregistrement (alignée sur l’article 12)
- de la transparence et de la fourniture d’informations (alignée sur l’article 13)
- du contrôle humain (aligné sur l’article 14)
- de l’exactitude, de la robustesse et de la cybersécurité (alignées sur l’article 15)
- des systèmes de gestion de la qualité (alignés sur l’article 17)
Les fournisseurs devraient suivre l’avancement de ces normes et participer aux consultations publiques lorsque c’est possible. Le calendrier de publication au Journal officiel est critique : jusqu’alors, la présomption de conformité n’est pas disponible.
Limites de champ de la présomption
La présomption de conformité s’applique seulement dans la mesure où la norme harmonisée couvre les exigences pertinentes du règlement sur l’IA. Si une norme ne traite que de la gestion des risques (article 9) et non de la gouvernance des données (article 10), le respect de la norme ne fournit aucune présomption pour la gouvernance des données.
Les fournisseurs doivent donc : - Cartographier chaque exigence du règlement sur l’IA vers la norme harmonisée applicable (ou une partie de celle-ci) - Identifier les lacunes lorsqu’aucune norme harmonisée n’existe ou lorsque la norme ne couvre pas pleinement l’exigence - Combler les lacunes par d’autres moyens, éventuellement en utilisant des spécifications communes au titre de l’article 41 ou une démonstration directe de conformité
Lien de l’article 40 avec la boîte à outils de conformité
- Article 8, obligation générale de conformité des systèmes d’IA à haut risque aux exigences du chapitre III, section 2.
- Article 41, spécifications communes comme repli lorsque les normes harmonisées n’existent pas ou sont insuffisantes.
- Article 43, procédures d’évaluation de la conformité où les normes harmonisées servent de base de preuve.
- Article 51, obligations des modèles GPAI qui peuvent aussi bénéficier de normes harmonisées.
- Article 113, dates d’application.
Liste de conformité
- Suivre les travaux du CEN/CENELEC JTC 21 et les calendriers de publication des normes harmonisées du règlement sur l’IA.
- Consulter le Journal officiel pour les références publiées : seules les références publiées déclenchent la présomption de conformité.
- Cartographier chaque exigence du chapitre III, section 2, vers la norme harmonisée applicable (ou une partie de celle-ci) et identifier les lacunes de couverture.
- Lorsque des lacunes existent, envisager les spécifications communes de l’article 41 ou une démonstration directe de conformité.
- Documenter quelle version de chaque norme vous avez appliquée et quand : les versions évoluent et la version applicable au moment de l’évaluation compte.
- Se préparer à ce que les organismes d’évaluation de la conformité vérifient la correcte application des normes harmonisées revendiquées.
- Si vous êtes fournisseur de modèle GPAI, vérifier si des normes harmonisées ont été publiées pour les obligations du chapitre V.
Cartographier la couverture de vos normes par rapport aux exigences du règlement sur l’IA, lancer l’évaluation gratuite.
Démarrer l’évaluation gratuiteArticles connexes
Questions fréquentes
Le respect d’une norme harmonisée est-il obligatoire ?
Non. Les normes harmonisées sont volontaires. Les fournisseurs peuvent choisir de démontrer la conformité par d’autres moyens. Toutefois, utiliser une norme harmonisée dont la référence est publiée au Journal officiel fournit une présomption de conformité qui simplifie nettement le processus d’évaluation.
Que se passe-t-il si aucune norme harmonisée n’existe pour une exigence ?
Lorsque les normes harmonisées n’existent pas ou sont insuffisantes, l’article 41 permet à la Commission d’adopter des spécifications communes comme repli. Les fournisseurs peuvent aussi démontrer la conformité directement, sans s’appuyer sur l’un ou l’autre mécanisme.
Les normes ISO (par exemple ISO/IEC 42001) comptent-elles comme normes harmonisées ?
Pas automatiquement. Une norme harmonisée au titre du règlement sur l’IA doit être élaborée par une organisation européenne de normalisation (CEN, CENELEC, ETSI) et avoir sa référence publiée au Journal officiel. Les normes ISO peuvent servir de base à une norme harmonisée européenne, mais la norme ISO seule ne déclenche pas la présomption de l’article 40.