Évaluation de la conformité au règlement sur l’IA : auto-évaluation ou organisme notifié

Les dispositifs médicaux suivent leur propre voie par organisme notifié, intégrée au titre de l’article 43, paragraphe 3, voir organismes notifiés et IA médicale.

L’essentiel

• L’évaluation de la conformité est obligatoire avant qu’un système d’IA à haut risque puisse être mis sur le marché de l’Union ou mis en service. Les obligations autonomes à haut risque s’appliquent à compter du 2 décembre 2027, reportées du 2 août 2026 par le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026).
• Voie 1, auto-évaluation (annexe VI) : disponible pour la plupart des systèmes à haut risque de l’annexe III. Le fournisseur vérifie la conformité en interne, établit la déclaration UE de conformité et appose le marquage CE. Aucun auditeur externe n’est requis.
• Voie 2, organisme notifié (annexe VII) : obligatoire pour les systèmes d’identification biométrique à distance (annexe III, point 1) et pour les systèmes d’IA qui sont des composants de sécurité de produits déjà soumis à une évaluation par un tiers au titre de la législation d’harmonisation de l’Union (annexe I, section A).
• L’auto-évaluation est plus rapide (des semaines) et moins chère (5 000 à 30 000 EUR de coûts internes), mais elle porte des risques de crédibilité et de responsabilité.
• L’évaluation par un organisme notifié dure 6 à 24 mois et coûte 15 000 à plus de 100 000 EUR, mais elle fournit une validation externe et un certificat valable jusqu’à cinq ans.
• Les modifications substantielles d’un système après l’évaluation initiale déclenchent une nouvelle évaluation au titre de l’article 43, paragraphe 4.
• Même lorsque l’auto-évaluation est permise, les fournisseurs peuvent volontairement recourir à un organisme notifié pour les systèmes à enjeux plus élevés.
• Après l’évaluation, des obligations continues subsistent : gestion de la qualité, surveillance après mise sur le marché, signalement d’incidents et mise à jour de la documentation.

Qu’est-ce que l’évaluation de la conformité et pourquoi conditionne-t-elle l’accès au marché ?

L’évaluation de la conformité est la procédure formelle par laquelle un fournisseur démontre qu’un système d’IA à haut risque satisfait à chaque exigence énoncée au chapitre III, section 2, du règlement sur l’IA. Sans évaluation de la conformité achevée, un fournisseur ne peut pas établir licitement une déclaration UE de conformité, apposer le marquage CE, ni mettre le système sur le marché de l’Union.

Les exigences à vérifier couvrent tout le cycle de vie de l’IA :

• Gestion des risques (article 9)
• Gouvernance des données (article 10)
• Documentation technique (article 11, annexe IV)
• Enregistrement automatique (article 12)
• Transparence et fourniture d’informations aux déployeurs (article 13)
• Contrôle humain (article 14)
• Exactitude, robustesse et cybersécurité (article 15)

Après une évaluation réussie, le fournisseur établit une déclaration UE de conformité (article 47), appose le marquage CE (article 48) et enregistre le système dans la base de données de l’UE (article 49).

La conséquence d’une évaluation omise ou échouée est nette : le système ne peut pas entrer licitement sur le marché de l’Union. Les autorités de surveillance du marché peuvent ordonner le retrait ou le rappel, et les amendes pour non-conformité aux obligations à haut risque peuvent aller jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. Voir le guide des sanctions pour le détail.

Voie 1 : auto-évaluation (évaluation de la conformité par contrôle interne, annexe VI)

Qui peut l’utiliser

La voie de l’auto-évaluation est disponible pour la plupart des systèmes d’IA à haut risque énumérés à l’annexe III. C’est la voie par défaut pour les systèmes autonomes à haut risque qui ne sont pas soumis à une législation de sécurité des produits de l’Union exigeant déjà une évaluation par un tiers, et qui ne sont pas des systèmes d’identification biométrique à distance.

Exemple concret, outil de présélection RH : une entreprise SaaS qui fournit un système d’IA de présélection de candidatures (annexe III, point 4, a), recrutement et sélection) peut recourir à l’auto-évaluation. Aucun organisme notifié n’est requis, puisque le système n’est ni une identification biométrique ni un composant de sécurité d’un produit réglementé.

Exemple concret, modèle d’évaluation de la solvabilité : une fintech qui construit un algorithme propriétaire d’évaluation de la solvabilité (annexe III, point 5, b), évaluation de la solvabilité) relève de l’auto-évaluation. Le fournisseur documente la conformité en interne et établit la déclaration UE de conformité.

Les cinq étapes de l’auto-évaluation (annexe VI)

Au titre de l’annexe VI, le fournisseur accomplit les étapes suivantes :

1. Vérifier le système de gestion de la qualité. Confirmer que le SGQ documenté au titre de l’article 17 est conforme, en couvrant la stratégie réglementaire, les contrôles de conception, les procédures d’essai, la gestion des données, la surveillance après mise sur le marché, le signalement d’incidents, la gestion des ressources et la responsabilisation. Le SGQ doit être opérationnel avant le début de l’évaluation ; c’est un prérequis, pas un livrable.

2. Examiner la documentation technique. Revoir de manière systématique la documentation de l’annexe IV au regard de chaque exigence des articles 8 à 15. Pour chaque article, identifier la preuve précise dans la documentation qui démontre la conformité. Là où des écarts existent, y remédier avant de poursuivre.

3. Vérifier la cohérence de la conception, du développement et de la surveillance. Confirmer que le processus réel de conception et de développement, et pas seulement la documentation, est cohérent avec les procédures documentées. De même, vérifier que les processus de surveillance après mise sur le marché décrits dans la documentation sont effectivement mis en œuvre et opérationnels.

4. Établir la déclaration UE de conformité. Préparer la déclaration formelle au titre de l’article 47 (contenu détaillé plus bas).

5. Apposer le marquage CE. Appliquer le marquage CE au titre de l’article 48 (règles pour les systèmes uniquement logiciels détaillées plus bas).

Le fournisseur accomplit toutes ces étapes en interne ; aucun auditeur externe ni organisme de certification n’intervient. L’évaluation doit toutefois être documentée de façon approfondie. Les autorités de surveillance du marché peuvent demander et examiner la documentation à tout moment, et la charge de la preuve que l’évaluation a été correctement menée repose entièrement sur le fournisseur.

Avantages de l’auto-évaluation

• Plus rapide. Pas de planification, de coordination ni d’attente auprès d’un organisme externe. Un fournisseur bien préparé peut achever l’évaluation en 2 à 4 semaines.
• Coût direct plus faible. Pas de frais d’évaluation par un tiers. Les coûts internes vont typiquement de 5 000 à 30 000 EUR selon la complexité du système et les taux de l’équipe, pour le temps d’ingénierie, de mise en conformité et de conseil juridique.
• Maîtrise complète. Le fournisseur gère le calendrier de l’évaluation, ce qui est critique lorsqu’on vise l’échéance du 2 décembre 2027.

Risques de l’auto-évaluation

• Pas de validation externe. Les erreurs, angles morts ou interprétations généreuses dans l’évaluation sont de la responsabilité du fournisseur. Il n’y a pas de second regard.
• Exposition complète à la responsabilité. Si une autorité de surveillance du marché constate plus tard des manques, le fournisseur ne peut pas se prévaloir de l’approbation d’un organisme notifié. Toute la charge de conformité retombe sur le fournisseur.
• Écart de crédibilité. Les clients d’entreprise, les organismes d’achat, les acheteurs du secteur public et les investisseurs peuvent accorder moins de confiance à un système auto-évalué qu’à un système certifié par un organisme notifié, surtout pour les usages à enjeux élevés.
• Qualité d’évaluation variable. Sans expérience de l’évaluation de la conformité, les fournisseurs risquent une revue superficielle qui satisfait la forme mais pas le fond des exigences.

Voie 2 : évaluation par un organisme notifié (annexe VII)

Qui doit l’utiliser

L’évaluation par un tiers auprès d’un organisme notifié est obligatoire dans deux situations :

1. Systèmes d’identification biométrique à distance (annexe III, point 1)

Si votre système d’IA à haut risque procède à une identification biométrique à distance, c’est-à-dire identifie des personnes physiques à distance en comparant des données biométriques à une base de référence, vous devez recourir à un organisme notifié. Cela couvre les systèmes de reconnaissance faciale utilisés pour la vérification d’identité dans l’espace public, l’enquête des autorités répressives (identification a posteriori) et le contrôle d’accès à grande échelle.

Exemple concret, service de vérification d’identité : une entreprise qui fournit de la reconnaissance faciale pour le contrôle aux frontières aéroportuaires (identification a posteriori, pas en temps réel) doit recourir à un organisme notifié. L’auto-évaluation n’est pas permise, quel que soit le degré de maturité du programme interne de mise en conformité du fournisseur.

2. Composants de sécurité de produits relevant de l’annexe I, section A

Si votre système d’IA est un composant de sécurité d’un produit réglementé par la législation d’harmonisation de l’Union existante, dispositifs médicaux (MDR), machines (règlement machines), jouets, véhicules à moteur, aviation, équipements marins, et que cette législation exige déjà une évaluation de la conformité par un tiers, alors l’évaluation au titre du règlement sur l’IA suit la même voie. L’organisme notifié déjà désigné au titre de cette législation produit réalise l’évaluation du règlement sur l’IA dans le cadre du processus existant.

Exemple concret, dispositif médical fondé sur l’IA : une entreprise qui développe un système d’IA analysant des images de radiologie pour détecter des tumeurs est un dispositif médical au titre du MDR. Puisque les dispositifs médicaux au-dessus de la classe I exigent déjà une évaluation par un organisme notifié au titre du MDR, l’évaluation de la conformité au titre du règlement sur l’IA doit aussi passer par un organisme notifié.

Le processus d’évaluation par un organisme notifié (annexe VII)

Au titre de l’annexe VII, l’organisme notifié :

1. Examine le système de gestion de la qualité. L’organisme notifié évalue si le SGQ du fournisseur au titre de l’article 17 est adéquat et correctement mis en œuvre. Cela comporte typiquement une revue documentaire, des entretiens avec les personnes clés, et des audits sur site ou à distance.

2. Examine la documentation technique. L’organisme notifié revoit la documentation de l’annexe IV pour vérifier que le système satisfait aux exigences des articles 8 à 15. C’est une revue de fond, pas un exercice de cases à cocher ; l’organisme notifié peut demander des preuves supplémentaires, des résultats d’essais ou des clarifications.

3. Émet des constats et, le cas échéant, des rapports de non-conformité. Si l’organisme notifié identifie des écarts, il émet des constats que le fournisseur doit corriger avant la certification. Plusieurs tours de correction sont fréquents.

4. Délivre un certificat. Si l’évaluation est réussie, l’organisme notifié délivre un certificat valable pour une durée maximale de cinq ans, sous réserve d’audits de surveillance périodiques (typiquement annuels).

5. Le fournisseur établit la déclaration UE de conformité et appose le marquage CE, en mentionnant le numéro de certificat et l’identification de l’organisme notifié.

Trouver un organisme notifié

Les États membres désignent les organismes notifiés par l’intermédiaire de leurs autorités notifiantes (article 28). Les organismes notifiés doivent être accrédités, indépendants, et satisfaire aux exigences de compétence technique énoncées aux articles 31 à 39. La Commission européenne publie les organismes notifiés désignés dans la base NANDO.

En avril 2026, le processus de désignation est encore en cours dans la plupart des États membres. Le nombre d’organismes notifiés accrédités spécifiquement pour le règlement sur l’IA reste limité. Cela crée un goulot de capacité : les fournisseurs qui ont besoin d’une évaluation par un organisme notifié subissent un désavantage de premier arrivé s’ils attendent.

Étapes concrètes pour trouver un organisme notifié :

1. Consulter la base NANDO pour les organismes désignés au titre du règlement sur l’IA.
2. Contacter les organismes nationaux d’accréditation (par exemple UKAS au Royaume-Uni, DAkkS en Allemagne, COFRAC en France) pour le dernier état des désignations.
3. Si votre système d’IA est un composant de sécurité au titre d’une législation existante, contacter votre organisme notifié actuel, il peut étendre son champ pour couvrir le règlement sur l’IA.
4. S’engager tôt. Les organismes notifiés ont des créneaux d’évaluation limités, et la demande montera à l’approche de décembre 2027.

Avantages de l’évaluation par un organisme notifié

• La validation externe augmente la crédibilité auprès des régulateurs, des clients d’entreprise, des organismes d’achat public et des investisseurs.
• L’identification des écarts : l’organisme notifié peut attraper des manques de conformité que le fournisseur a manqués, ce qui réduit le risque d’exécution.
• Le certificat comme actif commercial. Un certificat de cinq ans fournit un artefact concret pour les processus d’achat, la diligence raisonnable et les négociations de partenariat.
• Un risque d’exécution réduit. Les autorités de surveillance du marché sont moins susceptibles de contester un système certifié par un organisme notifié qu’un système auto-évalué.

Risques de l’évaluation par un organisme notifié

• Délai. Attendez-vous à 6 à 24 mois selon la complexité du système, la préparation du fournisseur et la charge de l’organisme notifié. Pour les fournisseurs qui visent le 2 décembre 2027, il peut déjà être trop tard.
• Coût. Les honoraires vont de 15 000 EUR pour des évaluations simples à plus de 100 000 EUR pour des systèmes complexes. Les frais de surveillance annuelle ajoutent 5 000 à 20 000 EUR.
• Contraintes de capacité. La disponibilité limitée des organismes notifiés allonge les files. Les premiers arrivés obtiennent des créneaux ; les retardataires subissent des reports.
• Cycles de correction. Les constats de non-conformité exigent correction et nouvelle revue, ce qui ajoute du temps et du coût au-delà des estimations initiales.

Annexe VI ou annexe VII : comparaison côte à côte

Schéma de décision : quelle voie s’applique à votre système ?

Suivez ces étapes dans l’ordre :

1. Votre système d’IA est-il classé à haut risque ? Si non, l’évaluation de la conformité ne s’applique pas. Voir le guide de classification.

2. Le système est-il un composant de sécurité d’un produit énuméré à l’annexe I, section A, qui exige déjà une évaluation de la conformité par un tiers au titre de la législation d’harmonisation de l’Union existante ? Si oui → organisme notifié requis (voie 2).

3. Le système est-il utilisé pour l’identification biométrique à distance (annexe III, point 1) ? Si oui → organisme notifié requis (voie 2).

4. Le système tombe-t-il sous un autre domaine à haut risque de l’annexe III (points 2 à 8) ? Si oui → auto-évaluation permise (voie 1).

5. Choix volontaire : même si l’auto-évaluation est permise, vous pouvez volontairement recourir à un organisme notifié. Envisagez-le pour les systèmes à forte sensibilité commerciale, un déploiement dans le secteur public, des populations vulnérables comme destinataires finaux, ou lorsque des clients B2B exigent une certification par un tiers.

Estimations de coûts : budgéter l’évaluation de la conformité

Ces fourchettes reflètent un seul système de complexité moyenne. Les organisations avec plusieurs systèmes à haut risque doivent budgéter par système, même si des économies d’échelle s’appliquent : le SGQ et de nombreux éléments procéduraux sont réutilisables d’un système à l’autre.

Planification du calendrier

Pour l’auto-évaluation : commencez la documentation maintenant si ce n’est pas déjà fait. Une équipe bien préparée peut atteindre le marquage CE en 3 à 6 mois à partir du début de la documentation.

Pour l’évaluation par un organisme notifié : si vous n’avez pas engagé un organisme notifié d’ici avril 2026, tenir l’échéance du 2 décembre 2027 pour les nouveaux systèmes est probablement irréaliste. Donnez la priorité aux systèmes déjà sur le marché qui ont besoin d’une évaluation rétroactive.

Déclaration UE de conformité : contenu requis (article 47)

La déclaration UE de conformité au titre de l’article 47 doit contenir :

1. Identification du fournisseur, nom, adresse du siège et coordonnées.
2. Identification du système d’IA, nom du système, désignation de type, et toute référence supplémentaire non équivoque (par exemple numéro de version, numéro de modèle, identifiant unique de produit).
3. Déclaration de conformité, une déclaration explicite selon laquelle le système d’IA est conforme aux exigences du chapitre III, section 2, du règlement sur l’IA.
4. Normes harmonisées ou spécifications communes appliquées, si elles ont été utilisées pour démontrer la conformité, les lister avec numéros de référence et dates. Si aucune n’était disponible ou appliquée, indiquer quelles exigences ont été traitées par d’autres moyens.
5. Coordonnées de l’organisme notifié (le cas échéant), nom, numéro d’identification, et référence du certificat délivré.
6. Date de délivrance, signature et identification du signataire, le signataire doit être une personne habilitée à engager le fournisseur.

La déclaration doit être conservée pendant 10 ans après que le système d’IA a été mis sur le marché ou mis en service. Les autorités de surveillance du marché peuvent la demander à tout moment.

Règles de marquage CE pour les systèmes d’IA uniquement logiciels

Au titre de l’article 48, le marquage CE doit être apposé de façon visible, lisible et indélébile sur le système d’IA à haut risque. Pour les produits physiques, cela signifie typiquement une étiquette sur l’appareil ou l’emballage.

Pour les systèmes d’IA uniquement logiciels, ce qui inclut la plupart des plateformes SaaS, des API et des services d’IA en nuage, le marquage CE pose une difficulté pratique puisqu’il n’y a pas de surface physique. Le règlement sur l’IA y répond :

• Le marquage CE doit figurer dans la documentation numérique qui accompagne le système.
• Lorsque le système a une interface, inclure le marquage CE dans l’interface ou dans une documentation accessible (par exemple une rubrique « À propos » ou « Conformité »).
• Le marquage CE doit aussi figurer sur l’emballage ou les documents d’accompagnement ; pour le logiciel, cela signifie les conditions d’utilisation, la documentation produit ou le contrat de licence.
• Si un organisme notifié est intervenu, le marquage CE doit être suivi du numéro d’identification de l’organisme notifié.

Exemple concret, IA de recrutement en nuage : un fournisseur d’un outil d’IA de recrutement livré en SaaS inclut le marquage CE dans la page de documentation de conformité de la plateforme, les conditions d’utilisation, et le pied de page de l’interface d’administration du système. La déclaration UE de conformité est liée depuis la même documentation.

Ce qui déclenche une nouvelle évaluation : les modifications substantielles (article 43, paragraphe 4)

Une évaluation de la conformité achevée n’est pas permanente. Au titre de l’article 43, paragraphe 4, toute modification substantielle du système déclenche une nouvelle évaluation de la conformité. Une modification est substantielle si elle :

• Change la destination du système d’une manière qui n’était pas anticipée dans l’évaluation initiale des risques.
• Affecte la conformité du système à l’une des exigences des articles 8 à 15.
• Comporte des changements des données d’entraînement, de l’architecture ou des paramètres opérationnels du système qui pourraient modifier ses caractéristiques de performance d’une manière pertinente pour la conformité.

Exemples de modifications qui déclenchent probablement une nouvelle évaluation :

• Réentraîner le modèle sur un jeu de données matériellement différent.
• Changer la destination du système (par exemple, de la présélection de candidatures à l’évaluation des performances des salariés).
• Modifier la logique de sortie d’une manière qui change comment le système influe sur les décisions.
• Étendre le système à de nouveaux groupes démographiques ou de nouvelles géographies non couverts par l’évaluation initiale des risques.
• Passer d’un modèle d’apprentissage automatique classique à une ossature de grand modèle de langage.

Exemples de modifications qui ne déclenchent probablement pas de nouvelle évaluation :

• Des corrections de bogues qui n’altèrent pas la logique de décision du système.
• Des changements d’infrastructure (par exemple, migrer d’un fournisseur de nuage à un autre) qui n’affectent ni le modèle ni ses sorties.
• Des changements d’interface qui n’altèrent ni la fonctionnalité du système ni les mesures de transparence.

En cas de doute, documentez la modification, analysez-la au regard des articles 8 à 15, et conservez l’analyse. S’il existe un argument raisonnable que la conformité pourrait être affectée, procédez à la nouvelle évaluation.

Après l’évaluation : obligations continues

L’évaluation de la conformité est un prérequis à l’accès au marché, pas la ligne d’arrivée. Après l’évaluation, les fournisseurs doivent maintenir :

• Système de gestion de la qualité (article 17), continûment opérationnel, mis à jour à mesure que les processus évoluent.
• Documentation technique (article 11), tenue à jour avec tout changement du système. Voir le guide de documentation de l’annexe IV.
• Surveillance après mise sur le marché (article 72), surveillance active et proportionnée tout au long de la durée de vie du système. Les données nourrissent le système de gestion des risques.
• Signalement d’incidents graves (article 73), signaler les incidents aux autorités de surveillance du marché dans les 15 jours après en avoir eu connaissance.
• Renouvellement du certificat de l’organisme notifié, les certificats expirent après cinq ans et exigent une évaluation de renouvellement.
• Mises à jour de l’enregistrement dans la base de données de l’UE, tenir les informations d’enregistrement à jour lorsque les détails du système changent.

Évaluation volontaire par un tiers

Même lorsque l’auto-évaluation est juridiquement suffisante, certains fournisseurs recourent volontairement à un organisme notifié ou à un auditeur indépendant. Les raisons incluent :

• Les clients du secteur public peuvent exiger une certification par un tiers comme condition d’achat.
• Les usages à enjeux élevés qui touchent des populations vulnérables (éducation, santé, prestations sociales) bénéficient d’une validation externe.
• La diligence des investisseurs, les fonds de capital-risque et de capital-investissement demandent de plus en plus la maturité de la gouvernance de l’IA.
• La réduction préventive du risque, une revue externe attrape des angles morts que les équipes internes manquent par biais de familiarité.

L’évaluation volontaire suit le même processus de l’annexe VII et produit le même certificat. La seule différence est que le fournisseur a choisi de la poursuivre plutôt que d’y être tenu.

Erreurs fréquentes dans l’évaluation de la conformité

Erreur 1 : traiter l’évaluation comme un exercice de documentation

L’évaluation de la conformité exige de vérifier que le système satisfait réellement aux exigences, pas seulement que la documentation le dit. Les fournisseurs qui rédigent des documents d’annexe IV soignés sans tester si les atténuations de risques décrites fonctionnent réellement en pratique échouent sur le fond de l’évaluation.

Erreur 2 : commencer l’évaluation avant que la documentation soit complète

L’évaluation revoit la documentation. Si la documentation technique de l’annexe IV est incomplète, l’évaluation ne peut pas avancer de manière significative. Achevez d’abord la documentation, puis évaluez.

Erreur 3 : ignorer l’exigence de SGQ

L’évaluation de la conformité évalue le système de gestion de la qualité en même temps que la documentation technique. Les fournisseurs qui se concentrent exclusivement sur le système lui-même et négligent d’établir un SGQ documenté au titre de l’article 17 échouent à l’évaluation dès la première étape.

Erreur 4 : croire que l’auto-évaluation signifie pas de documentation

L’auto-évaluation ne signifie pas informel ou non documenté. Le fournisseur doit documenter le processus d’évaluation, les constats et les conclusions aussi soigneusement qu’un organisme notifié le ferait. Les autorités de surveillance du marché demanderont cette documentation, et « nous l’avons évalué en interne » sans pièces à l’appui n’est pas défendable.

Erreur 5 : oublier les déclencheurs de nouvelle évaluation

Les fournisseurs qui achèvent l’évaluation initiale puis apportent des modifications substantielles sans nouvelle évaluation sortent de la conformité. Intégrez le suivi des modifications dans votre processus de gestion des changements.

Questions fréquentes

Puis-je commencer l’évaluation de la conformité avant décembre 2027 pour un système déjà sur le marché ?

Oui. Les fournisseurs de systèmes d’IA à haut risque déjà sur le marché devraient viser à achever l’évaluation de la conformité avant le 2 décembre 2027. Le règlement n’exige pas de retirer le système pendant que l’évaluation est en cours, mais le système doit être conforme à l’échéance. Commencer tôt vous donne le temps de corriger les écarts trouvés pendant l’évaluation.

Que se passe-t-il si aucun organisme notifié n’a encore été désigné pour mon type de système d’IA ?

C’est une contrainte réelle au début de 2026. Si votre système exige une évaluation par un organisme notifié et qu’aucun organisme adapté n’est disponible, vous ne pouvez pas achever l’évaluation. Contactez votre autorité nationale compétente pour comprendre le calendrier de désignation. En attendant, achevez toutes les autres étapes de préparation, documentation, SGQ, gestion des risques, afin d’être prêt dès qu’un organisme notifié est disponible. Les dispositions transitoires de l’article 111 peuvent offrir une certaine souplesse, mais n’en faites pas une stratégie.

L’évaluation volontaire par un organisme notifié me donne-t-elle une protection juridique ?

Un certificat d’organisme notifié ne transfère pas la responsabilité du fournisseur. Même avec un certificat, le fournisseur reste juridiquement responsable de la conformité du système. Un certificat démontre toutefois une diligence raisonnable, ce qui peut atténuer les conséquences d’une exécution si un écart est trouvé plus tard.

Comment les normes harmonisées affectent-elles l’évaluation de la conformité ?

Une fois publiées, les normes harmonisées fournissent une présomption de conformité : si vous satisfaites à la norme, vous êtes présumé satisfaire à l’exigence correspondante du règlement sur l’IA. En avril 2026, le CEN/CENELEC n’avait pas encore publié toutes les normes harmonisées pour le règlement sur l’IA. Les fournisseurs ne devraient pas attendre ces normes pour commencer l’évaluation. Utilisez directement les exigences des articles 8 à 15, et mettez à jour votre évaluation pour citer les normes harmonisées dès qu’elles sont disponibles.

Puis-je combiner l’évaluation de la conformité au règlement sur l’IA avec des certifications existantes (ISO 42001, ISO 27001) ?

Oui, partiellement. ISO 42001 (système de gestion de l’IA) et ISO 27001 (sécurité de l’information) couvrent certains domaines qui se recoupent. Les preuves issues de ces certifications peuvent étayer votre évaluation au titre du règlement sur l’IA, par exemple le cadre de gestion des risques d’ISO 42001 peut satisfaire à certaines exigences de l’article 9. Toutefois, aucune norme ISO ne couvre entièrement toutes les exigences du règlement sur l’IA. Utilisez-les comme briques, pas comme substituts.

Que se passe-t-il si mon système échoue à l’évaluation par un organisme notifié ?

L’organisme notifié émet des constats de non-conformité précisant quelles exigences ne sont pas satisfaites. Vous avez la possibilité de corriger, combler les écarts, mettre à jour la documentation, et resoumettre. Il n’y a pas de limite au nombre de tentatives de correction, mais chaque tour ajoute du temps et du coût. Si vous ne pouvez pas atteindre la conformité, le système ne peut pas être mis sur le marché de l’Union. Cela rend la préparation précoce et l’analyse des écarts critiques : n’utilisez pas l’évaluation formelle comme votre premier contrôle de conformité.

Lancez l’évaluation gratuite au titre du règlement sur l’IA pour déterminer votre classification et votre voie d’évaluation de la conformité.

Pour une orientation article par article, voir le guide complet du règlement sur l’IA.

Legalithm est un outil d’aide à la mise en conformité, et non un conseil juridique. Les décisions finales de conformité doivent être revues par un conseil juridique qualifié.