Marquage CE et base de données de l’UE pour les systèmes d’IA

L’essentiel

• Le marquage CE est la porte d’entrée du marché de l’Union. Aucun système d’IA à haut risque ne peut être mis sur le marché de l’Union ou mis en service sans un marquage CE valable. Pour les systèmes d’IA autonomes classés au titre de l’annexe III, cela s’applique à compter du 2 décembre 2027 (reporté du 2 août 2026 par le Digital Omnibus, règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). Pour les systèmes d’IA intégrés dans des produits déjà soumis à la législation d’harmonisation de l’Union énumérée à l’annexe I, cela s’applique à compter du 2 août 2028.
• L’article 48 régit l’apposition du marquage CE sur les systèmes d’IA, y compris les produits uniquement numériques pour lesquels une étiquette physique est impossible. Le marquage doit être visible, lisible et indélébile, ou accompagner le système par voie numérique.
• L’article 47 exige de chaque fournisseur qu’il établisse une déclaration UE de conformité avant d’apposer le marquage CE. La déclaration doit être tenue à jour aussi longtemps que le système reste sur le marché.
• Les articles 49 et 71 instituent une base de données de l’UE obligatoire pour les systèmes d’IA à haut risque. Les fournisseurs et certains déployeurs doivent s’enregistrer avant que le système ne soit mis sur le marché ou mis en service.
• L’annexe VIII énumère les informations détaillées à soumettre à la base de données de l’UE, de l’identité du fournisseur et de la description du système aux résultats de l’évaluation de la conformité et au statut de déploiement.
• La voie d’évaluation de la conformité (auto-évaluation ou organisme notifié) détermine quelle documentation alimente le marquage CE et l’enregistrement. Voir le guide de l’évaluation de la conformité pour le choix de la voie.
• L’omission du marquage CE, l’omission de l’enregistrement ou la fourniture de données d’enregistrement inexactes peut déclencher des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu, au titre de l’article 99, paragraphe 4.

Ce que le marquage CE signifie pour les systèmes d’IA

Le marquage CE n’est pas nouveau. Depuis des décennies, c’est l’indicateur obligatoire de conformité pour les produits vendus dans l’Espace économique européen, des dispositifs médicaux et des machines aux jouets et aux équipements radioélectriques. Les deux lettres signifient Conformité Européenne, et elles signalent qu’un produit satisfait toutes les exigences applicables de l’Union en matière de santé, de sécurité et d’environnement.

Ce qui est nouveau, c’est que le règlement sur l’IA (règlement (UE) 2024/1689) étend le marquage CE aux systèmes d’IA pour la première fois. Au titre de l’article 48, les systèmes d’IA à haut risque doivent porter le marquage CE avant de pouvoir être mis sur le marché de l’Union ou mis en service. Cela inclut les produits uniquement logiciels, un écart notable par rapport aux origines du marquage CE, conçues pour des produits physiques.

Comment le règlement sur l’IA s’articule avec les régimes de marquage CE existants

Le règlement sur l’IA n’opère pas isolément. Beaucoup de systèmes d’IA sont intégrés dans des produits qui portent déjà le marquage CE au titre de la législation d’harmonisation de l’Union existante, le « nouveau cadre législatif ». Le règlement traite explicitement ce recoupement :

• L’annexe I, section A, énumère la législation d’harmonisation de l’Union qui s’applique aux côtés du règlement sur l’IA : le règlement sur les machines, la directive relative à la sécurité des jouets, le règlement relatif aux dispositifs médicaux (MDR), le règlement relatif aux dispositifs médicaux de diagnostic in vitro (IVDR), la directive sur les équipements radioélectriques, et d’autres.
• L’annexe I, section B, énumère une législation supplémentaire où les exigences de marquage CE s’articulent avec le règlement sur l’IA, mais où l’intégration de l’évaluation de la conformité suit une autre voie.

Lorsqu’un système d’IA est un composant de sécurité d’un produit couvert par la législation de l’annexe I, section A, les exigences du règlement sur l’IA sont évaluées dans le cadre de l’évaluation de la conformité existante de ce produit. Le fabricant n’appose pas un marquage CE distinct pour le composant d’IA : un seul marquage CE couvre la conformité à toute la législation applicable, y compris le règlement sur l’IA.

Pour les systèmes d’IA autonomes à haut risque non intégrés dans un produit physique (par exemple une présélection de candidatures ou une évaluation de la solvabilité en SaaS), le marquage CE au titre du règlement sur l’IA est l’obligation première, et souvent la seule, de marquage CE.

L’échéance de décembre 2027

Les dispositions à haut risque du chapitre III du règlement sur l’IA, y compris les articles 47, 48 et 49, s’appliquent à compter du 2 décembre 2027, reportées du 2 août 2026 par le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). Après cette date :

• Aucun nouveau système d’IA à haut risque ne peut entrer sur le marché de l’Union sans marquage CE.
• Aucun système d’IA à haut risque ne peut être mis en service sans enregistrement préalable dans la base de données de l’UE.
• Les systèmes déjà sur le marché avant le 2 décembre 2027 relèvent des dispositions transitoires de l’article 111 tel que modifié par le règlement (UE) 2026/1744 ; une modification substantielle au sens de l’article 3, point 23, fait basculer le système dans le régime plein.

Les organisations devraient travailler à la conformité dès maintenant. L’évaluation de la conformité, la documentation et l’enregistrement prennent des mois, pas des jours. Pour le calendrier des dates clés, voir le guide des échéances du règlement sur l’IA et le calendrier après le Digital Omnibus.

Quand un système d’IA a-t-il besoin du marquage CE ?

Tous les systèmes d’IA n’exigent pas le marquage CE. L’obligation est déclenchée par la classification des risques du système et par son rapport à la réglementation des produits de l’Union. Voici comment déterminer si votre système en a besoin.

Systèmes d’IA autonomes à haut risque (annexe III)

Si votre système d’IA entre dans l’une des catégories à haut risque énumérées à l’annexe III, et qu’il n’est pas intégré dans un produit soumis à une autre législation d’harmonisation de l’Union, il exige le marquage CE au titre du règlement sur l’IA seul.

L’annexe III couvre notamment :

• L’identification et la catégorisation biométriques
• La gestion et l’exploitation des infrastructures critiques
• L’éducation et la formation professionnelle (accès, évaluation, surveillance)
• L’emploi, la gestion des travailleurs et le recrutement
• L’accès à des services privés et publics essentiels (évaluation de la solvabilité, tarification d’assurance, orientation des secours d’urgence)
• Les activités répressives, la migration, l’asile et le contrôle aux frontières
• L’administration de la justice et les processus démocratiques

Exemple : une fintech construit un modèle d’évaluation de la solvabilité assisté par l’IA, offert comme plateforme SaaS. C’est un système d’IA autonome à haut risque au titre de l’annexe III, point 5, b). Il a besoin du marquage CE au titre du règlement sur l’IA. Aucune directive produit distincte n’intervient, parce que le système est purement numérique.

Si vous n’êtes pas sûr que votre système qualifie comme à haut risque, utilisez le guide de classification ou l’outil d’évaluation Legalithm au titre du règlement sur l’IA pour déterminer votre obligation.

IA intégrée dans des produits couverts par la législation harmonisée de l’annexe I

Lorsqu’un système d’IA sert de composant de sécurité d’un produit déjà soumis à la législation d’harmonisation de l’Union énumérée à l’annexe I, section A, le marquage CE du produit doit aussi couvrir la conformité au règlement sur l’IA. Le fabricant suit une évaluation de la conformité unique et intégrée qui traite à la fois la directive produit et le règlement sur l’IA.

Exemple : un fabricant produit un robot chirurgical assisté par l’IA. Le robot est un dispositif médical au titre du règlement relatif aux dispositifs médicaux (UE) 2017/745. Le module d’IA qui commande le mouvement du bras chirurgical est un composant de sécurité. L’évaluation de la conformité du fabricant au titre du MDR doit désormais aussi vérifier la conformité aux articles 8 à 15 du règlement sur l’IA. Un seul marquage CE couvre les deux.

Produits relevant du règlement sur l’IA et d’une régulation sectorielle

Pour les produits régulés au titre de plusieurs cadres, l’interaction est nuancée. Le tableau de décision ci-dessous aide à identifier quelles règles de marquage CE s’appliquent.

Le point à retenir : le marquage CE est déclenché par la classification à haut risque. Si votre système d’IA n’est pas à haut risque, le marquage CE au titre du règlement sur l’IA n’est pas exigé, même si des obligations de transparence et d’autres devoirs peuvent encore s’appliquer.

Article 48, marquage CE de conformité

L’article 48 est la disposition précise qui impose le marquage CE pour les systèmes d’IA à haut risque. Elle est courte mais précise, et ses exigences s’emboîtent dans le cadre plus large du marquage CE établi par le règlement (CE) n° 765/2008.

Ce qu’indique le marquage CE

Lorsqu’un fournisseur appose le marquage CE sur un système d’IA à haut risque, il déclare formellement que :

1. Le système est conforme aux exigences énoncées au chapitre III, section 2, du règlement sur l’IA (articles 8 à 15).
2. Une évaluation de la conformité a été menée à bien au titre de l’article 43, soit par auto-évaluation (annexe VI), soit par évaluation d’un organisme notifié (annexe VII).
3. Une déclaration UE de conformité a été établie conformément à l’article 47.
4. Le système a été enregistré dans la base de données de l’UE conformément à l’article 49.

Le marquage CE n’est pas une simple étiquette : c’est une représentation juridique. L’apposer sans avoir achevé les obligations sous-jacentes est une infraction qui peut entraîner des amendes importantes et un retrait forcé du marché.

Exigences de visibilité et d’apposition

L’article 48 pose les règles suivantes pour l’application du marquage CE :

• Produits physiques : le marquage CE doit être apposé de façon visible, lisible et indélébile sur le système d’IA à haut risque ou sur sa plaque signalétique. Si la nature physique du système ne le permet pas, le marquage doit être apposé sur l’emballage ou la documentation d’accompagnement.
• Systèmes uniquement numériques / logiciels : lorsque le système d’IA n’est fourni que par voie numérique (c’est le cas de la plupart des plateformes d’IA en SaaS), le marquage CE doit figurer dans la documentation numérique qui accompagne le système. Cela inclut les conditions d’utilisation, l’interface, ou d’autres moyens numériques aisément accessibles avant l’achat ou le déploiement.
• Directives produit existantes : lorsque le système d’IA fait partie d’un produit qui exige déjà le marquage CE au titre de la législation de l’annexe I, un seul marquage CE est utilisé pour indiquer la conformité à toute la législation applicable, le règlement sur l’IA plus la directive produit. Il n’y a pas d’exigence d’un marquage CE distinct et supplémentaire pour le composant d’IA.

Rapport à la déclaration UE de conformité

Le marquage CE et la déclaration UE de conformité sont les deux faces d’une même pièce. La déclaration (article 47) est le document juridique qui sous-tend le marquage. Le marquage (article 48) est l’indicateur visible de conformité. On ne peut pas avoir l’un sans l’autre.

Un fournisseur qui appose le marquage CE sans déclaration valable, ou qui établit une déclaration qui ne correspond pas à l’état réel de conformité du système, enfreint le règlement sur l’IA. Les autorités de surveillance du marché peuvent, et vont, demander à voir la déclaration lors d’inspections, d’enquêtes sur réclamation ou de contrôles aléatoires du marché.

Déclaration UE de conformité (article 47)

La déclaration UE de conformité est une déclaration formelle, écrite, par laquelle le fournisseur affirme que le système d’IA à haut risque satisfait toutes les exigences applicables du règlement sur l’IA. C’est un prérequis du marquage CE et un artefact de conformité clé que les autorités de surveillance du marché examineront.

Contenu exigé

Au titre de l’article 47, la déclaration doit contenir, au minimum :

1. Identification du fournisseur, nom, nom commercial enregistré ou marque, et l’adresse à laquelle le fournisseur peut être contacté.
2. Confirmation de la responsabilité exclusive, une déclaration selon laquelle la déclaration est établie sous la seule responsabilité du fournisseur.
3. Identification du système, le nom du système d’IA, le type, et toute référence univoque supplémentaire permettant l’identification (y compris la version logicielle et la version matérielle le cas échéant).
4. Déclaration de conformité, une déclaration selon laquelle le système d’IA à haut risque est conforme au chapitre III, section 2, du règlement sur l’IA et, le cas échéant, à d’autres législations d’harmonisation de l’Union.
5. Références aux normes harmonisées ou aux spécifications communes, identification de toute norme harmonisée (article 40) ou spécification commune (article 41) appliquée pendant l’évaluation de la conformité.
6. Informations sur l’organisme notifié (le cas échéant), le nom, le numéro d’identification et les détails du certificat délivré par l’organisme notifié, si un organisme notifié a participé à l’évaluation de la conformité (voie de l’annexe VII).
7. Lieu et date d’établissement, le lieu où la déclaration a été établie et la date.
8. Signataire, le nom, la fonction et la signature de la personne habilitée à signer au nom du fournisseur.

Structure type

Le règlement sur l’IA ne prescrit pas un modèle rigide ; une déclaration bien structurée suit typiquement ce format :

DÉCLARATION UE DE CONFORMITÉ

Pour un guidage détaillé sur la préparation de la documentation technique qui étaye cette déclaration, voir le modèle de documentation technique de l’annexe IV.

Exigences linguistiques

La déclaration doit être traduite dans la ou les langues exigées par le ou les États membres dans lesquels le système d’IA est mis sur le marché ou mis en service. Pour un système commercialisé dans toute l’Union, cela peut signifier des traductions dans les 24 langues officielles de l’Union, même si, en pratique, la plupart des fournisseurs commencent par l’anglais et les langues de leurs marchés cibles premiers.

Lorsque le système d’IA fait partie d’un produit soumis à une législation produit supplémentaire de l’Union, les exigences linguistiques de cette législation s’appliquent aussi.

Obligation de mise à jour continue

La déclaration UE de conformité n’est pas un document unique. L’article 47, paragraphe 4, impose au fournisseur de tenir à jour la déclaration, le cas échéant. Cela comprend :

• Les mises à jour suivant une modification substantielle du système d’IA.
• Les changements des normes harmonisées ou spécifications communes référencées.
• Les changements de statut de certification par un organisme notifié.
• L’extension du déploiement à de nouveaux États membres avec des exigences linguistiques supplémentaires.

La déclaration doit être conservée pendant 10 ans après que le système d’IA a été mis sur le marché ou mis en service, la date la plus tardive étant retenue.

Enregistrement dans la base de données de l’UE pour les systèmes d’IA à haut risque

Au-delà du marquage CE et de la déclaration UE de conformité, le règlement sur l’IA crée une base de données centralisée de l’UE pour les systèmes d’IA à haut risque. Cette base sert un double objet : elle permet aux autorités de surveillance du marché de suivre les systèmes d’IA disponibles dans l’Union, et elle fournit un degré de transparence publique sur les systèmes à haut risque en fonctionnement.

Article 71, la base de données de l’UE expliquée

L’article 71 établit la base juridique de la base de données de l’UE pour les systèmes d’IA à haut risque. La base est développée et tenue par la Commission européenne, en collaboration avec les États membres, et est accessible au public, même si certaines informations (par exemple les données d’enregistrement des déployeurs pour les systèmes d’activités répressives) peuvent être réservées aux autorités nationales compétentes.

Caractéristiques clés de la base :

• Accessible au public, les portions non restreintes sont interrogeables par quiconque, y compris les entreprises, les consommateurs, les organisations de la société civile et les chercheurs.
• Lisible par machine, les données sont fournies dans un format qui permet un traitement automatisé, ce qui rend possibles des intégrations avec des outils de gestion de la conformité et des procédures de surveillance du marché.
• Reliée aux autorités nationales, les autorités nationales de surveillance du marché ont accès à l’ensemble des données, y compris les entrées restreintes, pour appuyer les activités d’exécution.

La base est le mécanisme premier par lequel l’Union vise à créer un registre de l’IA à haut risque déployée sur le marché unique. C’est un pas important vers le type de transparence que les parties prenantes ont demandé pour les systèmes d’IA qui touchent les droits fondamentaux.

Qui doit s’enregistrer

Les obligations d’enregistrement pèsent sur deux catégories d’acteurs :

1. Les fournisseurs de systèmes d’IA à haut risque

Tout fournisseur d’un système d’IA à haut risque doit enregistrer le système dans la base de données de l’UE avant de le mettre sur le marché ou de le mettre en service. Cela s’applique que le fournisseur soit établi dans l’Union ou dans un pays tiers (les fournisseurs de pays tiers s’enregistrent typiquement par l’intermédiaire de leur mandataire).

2. Les déployeurs qui sont des organismes publics ou agissent pour leur compte

Au titre de l’article 49, paragraphe 3, les déployeurs de systèmes d’IA à haut risque qui sont eux-mêmes des autorités publiques, des institutions, organes, offices ou agences de l’Union, ou qui déploient pour le compte de telles entités, doivent aussi s’enregistrer dans la base de données de l’UE. C’est une obligation côté déployeur, au-delà de l’enregistrement initial du fournisseur.

Exemple, déployeur du secteur public : une agence nationale de l’emploi qui déploie un système d’IA pour l’évaluation de l’éligibilité à des prestations (annexe III, point 5, a)) doit s’enregistrer comme déployeur dans la base de données de l’UE, même si le fournisseur du système d’IA a déjà enregistré le système. L’enregistrement du déployeur saisit comment et où le système est déployé en pratique.

Les déployeurs du secteur privé ne sont en général pas tenus de s’enregistrer dans la base de données de l’UE, même s’ils peuvent être soumis à d’autres exigences de conservation des documents au titre de l’article 26.

Quand s’enregistrer

Le calendrier est critique et strictement séquencé :

• Les fournisseurs doivent s’enregistrer avant de mettre le système d’IA sur le marché ou de le mettre en service, au titre de l’article 49, paragraphe 1.
• Les déployeurs du secteur public doivent s’enregistrer avant de mettre le système en service, au titre de l’article 49, paragraphe 3.
• L’enregistrement doit être mis à jour chaque fois que l’information enregistrée change, y compris les changements de statut (par exemple système rappelé, retiré, ou qui n’est plus sur le marché).

Mettre un système sur le marché sans enregistrement préalable est une violation de conformité et peut déclencher une mesure d’exécution des autorités de surveillance du marché, distincte de toute sanction pour marquage CE manquant.

Annexe VIII, informations d’enregistrement exigées

L’annexe VIII fournit la liste exhaustive des informations que les fournisseurs doivent soumettre lors de l’enregistrement d’un système d’IA à haut risque. Les exigences sont détaillées et couvrent les domaines opérationnel, technique et juridique.

Détails du fournisseur et du mandataire

Identification et description du système

Détails de l’évaluation de la conformité

Informations de déploiement et géographiques

Les informations d’enregistrement doivent être exactes, complètes et à jour. Les fournisseurs sont responsables de mettre à jour la base lorsque toute information enregistrée change, y compris les modifications du système, les changements de statut ou l’extension géographique. Fournir sciemment des données inexactes à la base de données de l’UE est en soi une violation du règlement sur l’IA, passible d’amendes administratives.

La voie d’évaluation de la conformité jusqu’au marquage CE

Le marquage CE est le point d’arrivée de l’évaluation de la conformité, pas le point de départ. Avant qu’un fournisseur puisse apposer le marquage, le système doit passer par une évaluation de la conformité qui vérifie la conformité à toutes les exigences du chapitre III, section 2. Le règlement sur l’IA prévoit deux voies d’évaluation principales, plus une voie intégrée pour les produits déjà soumis à une législation de l’Union.

Auto-évaluation (la plupart des systèmes de l’annexe III)

La voie de l’auto-évaluation (aussi appelée contrôle interne, définie à l’annexe VI) est la voie par défaut pour la plupart des systèmes d’IA à haut risque classés au titre de l’annexe III. Dans cette voie, le fournisseur mène l’évaluation de la conformité en interne :

• L’équipe de conformité du fournisseur revoit le système de gestion de la qualité, examine la documentation technique et vérifie que les processus de conception et de développement correspondent à ce qui est documenté.
• Aucun auditeur externe ni organisme de certification n’est requis.
• Le fournisseur établit la déclaration UE de conformité et appose le marquage CE de sa propre autorité.

Quand l’auto-évaluation est disponible : pour tous les systèmes d’IA à haut risque de l’annexe III sauf ceux qui relèvent du point 1 (systèmes d’identification biométrique utilisés pour l’identification biométrique à distance par les autorités répressives ou d’autres catégories désignées par l’article 43, paragraphe 1), l’auto-évaluation est permise.

Avantages : plus rapide (typiquement 2 à 8 semaines pour un fournisseur bien préparé), coût direct plus faible (5 000 à 30 000 EUR d’effort interne), et le fournisseur garde la maîtrise complète du calendrier.

Risques : pas de validation externe. Si les autorités de surveillance du marché déterminent plus tard que l’évaluation était inadéquate, le fournisseur porte la responsabilité entière. Pour une comparaison plus profonde, voir le guide auto-évaluation ou organisme notifié.

Évaluation par un organisme notifié (biométrie, infrastructures critiques)

La voie de l’organisme notifié (annexe VII) est obligatoire pour :

• Les systèmes d’identification biométrique à distance classés au titre de l’annexe III, point 1, spécifiquement ceux destinés à un usage dans les activités répressives ou des contextes analogues de sécurité publique.
• Les systèmes d’IA qui sont des composants de sécurité de produits déjà soumis à une évaluation de la conformité par un tiers au titre de la législation d’harmonisation de l’annexe I, section A, lorsque la directive produit existante impose l’intervention d’un organisme notifié.

Dans cette voie :

• Un organisme notifié désigné (un organisme d’évaluation indépendant accrédité par un État membre au titre de l’article 28) revoit le système de gestion de la qualité et la documentation technique du fournisseur.
• L’organisme notifié peut conduire des essais, auditer le processus de développement et vérifier les mécanismes de conformité continue.
• Si le système satisfait les exigences, l’organisme notifié délivre un certificat valable jusqu’à cinq ans, renouvelable sur réévaluation.
• La référence du certificat et le numéro d’identification de l’organisme notifié figurent dans l’enregistrement de la base de données de l’UE et dans la déclaration UE de conformité.

Délais et coûts : les évaluations par un organisme notifié prennent typiquement 6 à 24 mois et coûtent 15 000 à plus de 100 000 EUR, selon la complexité du système et la capacité de l’organisme notifié.

Recours volontaire : même lorsque l’auto-évaluation est permise, un fournisseur peut volontairement recourir à un organisme notifié. C’est stratégiquement utile pour les systèmes déployés dans des contextes sensibles (par exemple la santé, les services financiers) où une validation externe renforce la confiance des clients, des régulateurs et du public.

Produits déjà soumis à une législation produit de l’Union

Pour les systèmes d’IA intégrés dans des produits soumis à la législation de l’annexe I, section A, l’évaluation de la conformité intègre les exigences du règlement sur l’IA dans la procédure d’évaluation produit existante.

Comment cela fonctionne en pratique :

• Le fabricant suit la procédure d’évaluation de la conformité énoncée dans la directive produit pertinente (par exemple la voie d’évaluation clinique du MDR pour les dispositifs médicaux, ou la voie d’évaluation des risques du règlement machines pour les machines industrielles).
• Dans cette évaluation, le fabricant vérifie en outre que le composant d’IA satisfait les articles 8 à 15 du règlement sur l’IA.
• Si la directive produit exige un organisme notifié, le même organisme notifié évalue aussi la conformité au règlement sur l’IA.
• Le marquage CE qui en résulte couvre la conformité à toute la législation applicable.

Processus pas à pas : du développement au marquage CE

Le parcours du développement d’un système d’IA jusqu’à un marquage CE valable et un enregistrement dans la base de données de l’UE suit une séquence structurée. Sauter ou inverser des étapes crée des écarts de conformité que les autorités de surveillance du marché identifieront.

Étape 1, classer votre système d’IA

Avant toute autre chose, déterminez si votre système d’IA est à haut risque au titre du règlement sur l’IA. Cela exige d’évaluer :

• Le système entre-t-il dans l’un des domaines énumérés à l’annexe III ?
• Le système est-il un composant de sécurité d’un produit couvert par la législation d’harmonisation de l’annexe I ?
• Une exemption au titre de l’article 6, paragraphe 3 s’applique-t-elle ? (Les systèmes qui accomplissent des tâches procédurales étroites, qui assistent sans remplacer les décisions humaines, ou qui servent à des fonctions purement préparatoires, peuvent être exclus.)

Outil : utilisez l’évaluation de classification Legalithm au titre du règlement sur l’IA pour déterminer le niveau de risque de votre système en quelques minutes.

Si le système n’est pas à haut risque, le marquage CE au titre du règlement sur l’IA n’est pas exigé, mais les obligations de transparence (article 50), les règles des modèles d’IA à usage général (chapitre V) ou les règles des pratiques interdites (article 5) peuvent encore s’appliquer. Voir la liste de contrôle 2026 du règlement sur l’IA pour une carte complète des obligations.

Étape 2, satisfaire les exigences du chapitre III

Une fois classé à haut risque, le fournisseur doit mettre en œuvre les exigences de fond du chapitre III, section 2 ; elles exigent des changements d’ingénierie, d’exploitation et de gouvernance :

• Gestion des risques (article 9) : gestion des risques continue et itérative tout au long du cycle de vie du système d’IA.
• Gouvernance des données (article 10) : jeux de données d’entraînement, de validation et de test satisfaisant des critères de qualité. Voir le guide de la gouvernance des données.
• Documentation technique (article 11, annexe IV) : documentation complète selon le modèle de l’annexe IV.
• Enregistrement automatique (article 12) : enregistrement automatique permettant la traçabilité.
• Transparence (article 13) : notice claire pour les déployeurs sur les capacités et les limites.
• Contrôle humain (article 14) : conception permettant une surveillance et une intervention humaines effectives. Voir le guide du contrôle humain.
• Exactitude, robustesse, cybersécurité (article 15) : niveaux appropriés de chacun, documentés et testés.

Le fournisseur doit aussi établir un système de gestion de la qualité (article 17) et une surveillance après mise sur le marché (article 72) avant que l’évaluation de la conformité ne commence.

Étape 3, préparer la documentation technique

La documentation technique au titre de l’annexe IV est l’épine dorsale probatoire du processus de conformité. Elle doit être préparée avant le début de l’évaluation de la conformité, et couvrir : la description générale du système et sa destination ; les détails du processus de développement (méthodes d’entraînement, données, choix de conception, architecture) ; les informations de surveillance, de fonctionnement et de contrôle, y compris les niveaux d’exactitude ; les mesures de gestion des risques ; l’historique des changements du cycle de vie ; les normes harmonisées appliquées ; une copie de la déclaration UE de conformité ; et la description du système de surveillance après mise sur le marché.

La documentation doit être conservée pendant 10 ans et fournie aux autorités compétentes sur demande. Voir le guide du modèle de documentation de l’annexe IV pour un parcours détaillé.

Étape 4, mener l’évaluation de la conformité

Une fois la conformité atteinte et la documentation préparée, menez l’évaluation de la conformité au titre de l’article 43 :

• Auto-évaluation (annexe VI) : revoir en interne le SGQ, vérifier la documentation au regard de chaque exigence, et confirmer que les processus correspondent à la documentation. Rigoureuse et documentée, mais aucun auditeur externe n’est requis.
• Organisme notifié (annexe VII) : recourir à un organisme accrédité qui revoit le SGQ, évalue la documentation, peut conduire des essais, et délivre un certificat. Planifiez longtemps à l’avance : la capacité peut être contrainte près de l’échéance de décembre 2027.

L’évaluation doit être pleinement achevée avant de poursuivre. Une évaluation partielle ne suffit pas pour la déclaration UE de conformité.

Étape 5, établir la déclaration UE de conformité

Après une évaluation de la conformité réussie, établissez la déclaration UE de conformité au titre de l’article 47 dans la ou les langues exigées, contenant toutes les informations obligatoires détaillées plus haut, signée par une personne habilitée, et conservée pendant 10 ans. L’URL de la déclaration est soumise dans le cadre de l’enregistrement dans la base de données de l’UE.

Étape 6, apposer le marquage CE

La déclaration en place, le fournisseur appose le marquage CE au titre de l’article 48 :

• Produits physiques : apposer le marquage CE de façon visible et indélébile sur le produit, sa plaque signalétique ou son emballage.
• Systèmes uniquement numériques / logiciels : inclure le marquage CE dans la documentation numérique, l’interface du système, les conditions d’utilisation, ou un autre emplacement numérique accessible.
• Produits intégrés : utiliser un seul marquage CE couvrant à la fois la directive produit et le règlement sur l’IA.

Le marquage CE doit suivre le dessin visuel prescrit par le règlement (CE) n° 765/2008, article 30 : les lettres « CE » dans le format proportionnel spécifié, avec une hauteur minimale de 5 mm (pour l’apposition physique). Il ne doit pas être confondu avec d’autres marques ni rendu illisible.

Étape 7, enregistrer dans la base de données de l’UE

La dernière étape, et celle qui doit être achevée avant que le système ne soit mis sur le marché, est l’enregistrement dans la base de données de l’UE au titre de l’article 49.

Le fournisseur soumet toutes les informations de l’annexe VIII à la base de données de l’UE :

• Identification du fournisseur et du mandataire.
• Nom, version, type et destination du système d’IA.
• Référence de classification des risques (catégorie de l’annexe III).
• Détails de l’évaluation de la conformité et certificat de l’organisme notifié (le cas échéant).
• États membres dans lesquels le système sera mis à disposition.
• Statut du système.
• Lien vers la déclaration UE de conformité et la notice d’utilisation.

Important : l’enregistrement doit être achevé avant que le système ne soit mis sur le marché ou mis en service. C’est une exigence de séquence stricte, pas une obligation « enregistrez quand vous en aurez le temps ».

Après l’enregistrement, le fournisseur reçoit un numéro d’enregistrement unique dans la base de données de l’UE qui devrait être référencé dans la documentation du système et mis à la disposition des déployeurs.

Pièges fréquents et erreurs de conformité

D’après les schémas de conformité qui émergent et les orientations des autorités nationales, voici les erreurs les plus fréquentes des organisations sur le marquage CE et l’enregistrement dans la base de données de l’UE :

1. Traiter le marquage CE comme une formalité plutôt que comme un engagement juridique. Le marquage CE est une déclaration juridique selon laquelle toutes les exigences applicables ont été satisfaites. L’apposer trop tôt, avant que l’évaluation de la conformité ne soit achevée, avant que la déclaration ne soit établie, ou avant que l’enregistrement dans la base de données de l’UE ne soit soumis, est une violation grave, pas un oubli administratif.

2. Ne pas mettre à jour la base de données de l’UE après des modifications du système. L’obligation d’enregistrement n’est pas un acte unique. Lorsque le système subit une modification substantielle (article 3, point 23), lorsque son statut change (par exemple rappelé, retiré), ou lorsqu’il est déployé dans de nouveaux États membres, l’entrée dans la base doit être mise à jour. Des données périmées ou inexactes constituent en soi une violation de conformité.

3. Se tromper de voie d’évaluation de la conformité. Les fournisseurs qui devraient recourir à la voie de l’organisme notifié (par exemple pour les systèmes d’identification biométrique) mais qui procèdent à une auto-évaluation constateront que leur marquage CE est invalide. À l’inverse, les fournisseurs qui recourent inutilement à un organisme notifié peuvent s’exposer à des coûts et des retards évitables. Identifier correctement la voie est essentiel : voir le guide de l’évaluation de la conformité.

4. Négliger les exigences linguistiques de la déclaration UE de conformité. Une déclaration qui n’existe qu’en anglais mais accompagne un système déployé en France, en Allemagne et en Italie peut ne pas satisfaire les exigences linguistiques des États membres. Les fournisseurs doivent anticiper leurs marchés cibles et préparer les traductions.

5. Ne pas s’enregistrer avant la mise sur le marché. L’enregistrement dans la base de données de l’UE doit avoir lieu avant que le système n’entre sur le marché, pas simultanément, pas peu après. Les autorités de surveillance du marché peuvent vérifier l’horodatage, et un enregistrement tardif est un manquement de conformité autonome.

6. Oublier les obligations d’enregistrement des déployeurs pour les organismes publics. Les déployeurs du secteur public supposent souvent que l’enregistrement du fournisseur suffit. Ce n’est pas le cas. L’article 49, paragraphe 3, crée une obligation d’enregistrement distincte pour les déployeurs qui sont des autorités publiques ou agissent pour le compte d’autorités publiques.

7. Confondre le marquage CE au titre du règlement sur l’IA et le marquage CE au titre des directives produit. Pour les systèmes d’IA intégrés dans des produits, un seul marquage CE couvre toute la législation applicable. Apposer plusieurs marquages CE, un pour le règlement sur l’IA et un autre pour la directive produit, est incorrect et non conforme au règlement (CE) n° 765/2008.

8. Ne pas conserver la documentation pendant la période exigée de 10 ans. La déclaration UE de conformité et la documentation technique doivent toutes deux être conservées pendant 10 ans à compter de la mise sur le marché ou de la mise en service du système. Les organisations qui font tourner leurs systèmes documentaires, changent d’hébergeur ou se restructurent sans préserver ces dossiers créent des risques de conformité latents.

Pour une vue d’ensemble des sanctions associées à la non-conformité, voir le guide des sanctions et amendes du règlement sur l’IA.

Questions fréquentes

Le marquage CE s’applique-t-il aux systèmes d’IA déployés dans un seul État membre de l’Union ?

Oui. Le marquage CE est exigé pour la mise sur le marché ou la mise en service d’un système d’IA à haut risque dans n’importe quel État membre de l’Union. Il n’y a pas d’exemption pour un déploiement dans un seul pays. Le marquage CE indique la conformité aux exigences de l’ensemble de l’Union, indépendamment de la portée géographique à l’intérieur de l’Union.

Puis-je utiliser un marquage CE existant sur mon produit pour couvrir la conformité au règlement sur l’IA ?

Seulement si l’évaluation de la conformité qui a produit le marquage CE existant a aussi évalué les exigences du règlement sur l’IA. Si vous avez un marquage CE au titre du règlement relatif aux dispositifs médicaux mais n’avez pas évalué le composant d’IA au regard des articles 8 à 15 du règlement sur l’IA, le marquage existant ne couvre pas la conformité au règlement sur l’IA. Après le 2 août 2028, l’évaluation de la conformité doit être mise à jour pour intégrer les exigences du règlement sur l’IA, et le marquage CE couvre alors les deux.

Que se passe-t-il si je mets un système d’IA à haut risque sur le marché sans marquage CE ?

Les autorités de surveillance du marché peuvent ordonner le retrait ou le rappel du système du marché. Le fournisseur peut s’exposer à des amendes administratives allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial total de l’exercice précédent (le montant le plus élevé étant retenu) au titre de l’article 99, paragraphe 4. En outre, les systèmes non conformes qui causent un préjudice exposent le fournisseur à des actions en responsabilité civile.

L’enregistrement dans la base de données de l’UE est-il visible du public ?

Partiellement. Le public général peut accéder à la plupart des données d’enregistrement, y compris l’identité du fournisseur, la destination du système, sa classification des risques et l’état de son évaluation de la conformité. Toutefois, certains enregistrements, en particulier ceux liés aux systèmes d’IA d’activités répressives et de contrôle aux frontières, sont réservés aux autorités nationales compétentes, et la section non publique de la base n’est accessible qu’aux autorités de surveillance du marché.

À quelle fréquence l’enregistrement dans la base de données de l’UE doit-il être mis à jour ?

Il n’y a pas de calendrier fixe. L’obligation est déclenchée par les événements : le fournisseur doit mettre à jour l’enregistrement chaque fois que l’information enregistrée change. Cela comprend les modifications du système, les changements de statut (par exemple de « sur le marché » à « rappelé »), les changements de l’évaluation de la conformité (par exemple renouvellement de certificat) et l’extension à de nouveaux États membres. Les fournisseurs devraient établir des processus internes pour déclencher les mises à jour de la base lorsqu’un changement pertinent survient.

Les fournisseurs de pays tiers (hors Union) doivent-ils apposer le marquage CE et s’enregistrer ?

Oui. Le règlement sur l’IA s’applique aux fournisseurs qui mettent des systèmes d’IA à haut risque sur le marché de l’Union, quel que soit le lieu d’établissement du fournisseur. Un fournisseur établi aux États-Unis, en Chine ou au Royaume-Uni qui vend dans l’Union doit se conformer intégralement au marquage CE (article 48) et à l’enregistrement dans la base de données de l’UE (article 49). Les fournisseurs de pays tiers doivent désigner un mandataire établi dans l’Union au titre de l’article 22, responsable de certaines tâches de conformité, y compris l’enregistrement dans la base.

Prochaines étapes

Le marquage CE et l’enregistrement dans la base de données de l’UE sont le point d’aboutissement d’un effort de conformité d’ensemble, pas des tâches isolées. Ils dépendent d’une classification des risques correcte, d’une conformité de fond aux exigences techniques, d’une documentation approfondie et d’une évaluation de la conformité correctement menée.

Si vous vous préparez à l’échéance de décembre 2027, commencez par comprendre où vos systèmes d’IA tombent dans le cadre de classification. Utilisez l’outil d’évaluation Legalithm au titre du règlement sur l’IA pour identifier vos obligations, puis parcourez les exigences de conformité de façon systématique.

Guides connexes :

• Mon système d’IA est-il à haut risque ? Guide de classification
• Évaluation de la conformité : auto-évaluation ou organisme notifié
• Modèle de documentation technique de l’annexe IV
• Liste de contrôle 2026 du règlement sur l’IA
• Sanctions et amendes du règlement sur l’IA expliquées
• Règlement sur l’IA, santé et dispositifs médicaux