prEN 18229-1 : ce que dit réellement la norme de journalisation du règlement sur l’IA

L’essentiel

prEN 18229-1 est le projet de norme européenne sur la journalisation des systèmes d’IA, destiné à être harmonisé au titre du règlement sur l’IA et à porter une présomption de conformité à l’article 12. Nous avons lu le projet d’enquête en entier et déposé neuf observations auprès du DIN le 5 août 2026. Cinq choses largement répétées sur ce document sont fausses :

1. Le titre est Logging, pas « logging, transparency and human oversight ». Le contrôle humain est la partie 3. Citer 18229-1 pour des exigences de contrôle humain, c’est citer le mauvais document.
2. L’enquête a déjà eu lieu. Elle n’est pas « partie en enquête le 23 janvier 2026 ». La fenêtre du BSI allait du 28 mai au 21 juillet 2026 ; la fenêtre nationale du DIN jusqu’au 5 août 2026. Les deux sont closes. La partie 3 reste ouverte jusqu’au 22 septembre 2026.
3. L’article 12 ne s’applique pas le 2 août 2026. Les obligations à haut risque de l’annexe III, pour les systèmes autonomes, s’appliquent à compter du 2 décembre 2027, et celles de l’annexe I, pour les systèmes intégrés, à compter du 2 août 2028, au titre du Digital Omnibus en vigueur depuis le 27 juillet 2026.
4. L’article 12, paragraphe 2, ne vous donne pas une liste de champs. Il énonce des finalités. Le seul schéma de journal itemisé dans tout le règlement est l’article 12, paragraphe 3, et il ne s’applique qu’à l’identification biométrique à distance.
5. La norme ne vous tendra pas non plus une liste de champs, du moins pas dans ce projet. Chaque catégorie d’événements renvoie son contenu à un autre document, et les numéros de clauses qu’elle cite ne se résolvent pas dans l’édition que les examinateurs peuvent obtenir.

Si vous construisez une journalisation d’IA contre une échéance maintenant, les points 3 et 4 changent ce que vous construisez, et quand.

Ce qu’est réellement ce document

Le projet publié pour enquête est E DIN EN 18229-1:2026-07, AI trustworthiness framework, Part 1: Logging (version anglaise de prEN 18229-1:2026). Le titre allemand du DIN est simplement Protokollierung.

Le titre plus long qui circule encore sur les agrégateurs et dans les articles d’éditeurs, « Logging, transparency and human oversight », décrit le sujet de travail d’origine, pas le document parti en revue. La série s’est scindée :

Cela compte plus qu’une querelle de nom. La partie 3 renvoie normativement à la partie 1 à chaque fonction d’intervention du contrôle humain, donc les deux documents ne fonctionnent que lus ensemble. Un éditeur qui revendique une « conformité 18229-1 » pour la journalisation du contrôle humain la revendique contre la mauvaise partie.

Les fenêtres d’enquête, et le piège qu’elles recèlent

La chose la plus utile que nous ayons apprise est procédurale, et nous l’avons apprise à la dure.

Un projet CEN n’a pas une seule date limite d’observations. Il en a une par organisme national de normalisation. Le même prEN 18229-1 était ouvert au BSI du 28 mai au 21 juillet 2026, et au DIN jusqu’au 5 août 2026. Nous avions d’abord noté la partie 1 comme close et hors d’atteinte après la fermeture de la fenêtre BSI, et c’était faux de deux semaines et d’un organisme national.

Si vous voulez figurer au dossier d’un projet dont la fenêtre britannique est close, vérifiez le DIN, l’AFNOR, le NEN, l’UNI et les autres avant de conclure que vous l’avez manqué. Ils tiennent leurs propres horloges sur le même texte.

Deux notes pratiques de plus pour quiconque s’y essaie :

• Le portail en ligne du DIN ne peut pas servir au dernier moment. Il exige une demande séparée de droits d’observation plus une déclaration signée de cession de droits d’auteur (Erklärung der Einräumung der Urhebernutzungsrechte), une boucle de plusieurs jours. La voie formulaire à din.de/de/mitwirken/entwuerfe/stellungnahme-formular n’a pas cette condition préalable.
• Une enquête en allemand sur la traduction suit l’enquête anglaise. La clôture n’est pas définitive, même au niveau national.

Ce que l’article 12 exige réellement, et à partir de quand

C’est là que la plus grande partie des commentaires publiés se trompe, et elle se trompe dans le sens qui vend des logiciels.

Sur le calendrier. L’article 12 siège au chapitre III, section 2, du règlement. Le Digital Omnibus, en vigueur depuis le 27 juillet 2026, a reporté l’application de ces obligations au 2 décembre 2027 pour les systèmes autonomes de l’annexe III et au 2 août 2028 pour les systèmes intégrés de l’annexe I. Ce sont des dates de calendrier inconditionnelles. Le déclencheur lié à la maturité des normes, issu de la proposition de novembre 2025, n’a pas survécu au trilogue, donc elles ne peuvent pas glisser sans un nouveau règlement modificatif.

Ce qui s’applique à compter du 2 août 2026, ce sont les obligations de transparence de l’article 50. C’est une autre obligation, d’un autre champ, et les confondre est l’erreur la plus fréquente que nous voyons.

Sur le contenu. L’article 12, paragraphe 2, dit ce que la journalisation doit permettre : identifier les situations susceptibles de présenter un risque ou de conduire à une modification substantielle, étayer la surveillance après mise sur le marché, et surveiller le fonctionnement par le déployeur. Ce sont des finalités, pas des champs. Il n’y a pas de schéma là.

La seule liste itemisée de ce qu’un journal doit contenir, dans tout le règlement sur l’IA, est l’article 12, paragraphe 3, et selon ses propres termes il s’applique aux systèmes à haut risque de l’annexe III, point 1 a), l’identification biométrique à distance. Pas à votre outil de présélection de candidatures, pas à votre modèle de crédit, pas à votre agent.

Le projet de norme le reflète exactement : sa clause 5.6, les exigences de conservation, porte entièrement sur les systèmes d’identification biométrique à distance. Quiconque vous vend un « schéma de journal de l’article 12 » pour un système à haut risque général vous vend une interprétation, pas une exigence.

Ce que la norme ajoute, et ce qu’elle renvoie

Lue structurellement, la clause 5 de la partie 1 se divise nettement :

• 5.3 identification des événements (5.3.1 e) range les fonctions de contrôle humain parmi les facteurs qu’un fournisseur prend en compte)
• 5.4 comment journaliser, en reprenant le modèle d’information d’ISO/IEC 24970
• 5.5 quels événements doivent être journalisés : situations dangereuses (5.5.2), risques manqués par la gestion des risques (5.5.3), événements indiquant une modification substantielle (5.5.4), surveillance après mise sur le marché y compris les événements de contrôle humain (5.5.5), surveillance par le déployeur (5.5.6)
• 5.6 conservation, systèmes d’identification biométrique à distance seulement

Le tableau 2 résume les déclencheurs contre cinq objectifs de journalisation. Notamment, la plupart des cellules sont conditionnelles plutôt qu’obligatoires.

Le hic : chaque catégorie d’événements en 5.5 renvoie son contenu réel à FprEN ISO/IEC 24970. La partie 1 vous dit que les événements de contrôle humain doivent être journalisés, et pointe vers 24970 pour ce qu’ils sont.

Cette référence ne se résout pas actuellement. La partie 1 cite les clauses 8.2.x, 8.3.x, 8.5 et 9.1 de 24970. La seule édition qu’un examinateur peut obtenir (ISO/IEC DIS 24970:2025, publiée nationalement comme DIN EN ISO/IEC 24970:2025-12) a une clause 8 qui ne contient que 8.1 et 8.2. Il n’y a pas de 8.3 ni de 8.5. La matière visée siège un niveau de clause plus bas : déclencheurs opérationnels en 7.2.x, déclencheurs de surveillance automatisée en 7.3.x, et déclencheurs de contrôle humain en 7.4. Le décalage est systématique.

Soit l’édition EN finale a renuméroté et la renumérotation n’est pas déclarée, soit les citations sont fausses. Dans les deux cas, un examinateur ne peut pas vérifier les exigences contre ce qu’elles visent, ce qui est le fond de ce qu’une enquête demande aux examinateurs de faire. C’était l’une de nos deux observations techniques.

Le trou de l’annexe ZA

L’annexe ZA est la partie qui compte commercialement. C’est le tableau qui fait correspondre les clauses de la norme aux exigences du règlement sur l’IA qu’elles satisfont, et c’est ce qui convertit le respect d’une norme en présomption de conformité au droit.

Dans ce projet, le tableau ZA.1 fait correspondre l’article 12, paragraphe 3, points a) à d), aux seules clauses 5.6.1 et 5.6.2. Or les clauses qui mettent réellement en œuvre les points b), c) et d) du paragraphe 3 sont 5.6.3, 5.6.4 et 5.6.5, que 5.6.1 elle-même énumère.

Lu à la lettre, la présomption de conformité couvre une des quatre exigences et en manque trois. C’était notre seconde observation technique, et c’est celle qui a des conséquences réelles : un fabricant qui s’appuierait sur l’annexe ZA telle que rédigée aurait une allégation de conformité plus faible que le corps même de la norme ne le soutient.

Les sept observations restantes étaient rédactionnelles, et elles disent quelque chose de l’état du dossier : un en-tête courant portant le mauvais numéro de document sur chaque page, neuf champs de renvoi cassés dans la clause des définitions (qui s’affichent comme des erreurs danoises « bookmark not defined » au milieu du texte normatif), un substitut de modèle de rédaction laissé dans un titre de clause, une citation d’un numéro de document qui n’existe pas, et une liste d’exigences étiquetée a), a), b), c), d).

Rien de tout cela n’est fatal, et rien n’est inhabituel au stade de l’enquête. C’est la raison d’être de ce stade. Mais cela veut dire que ce texte est loin d’être la chose stable contre laquelle on construit un produit.

Que faire si vous construisez une journalisation d’IA maintenant

1. Ne construisez pas contre une échéance d’août 2026 pour l’article 12. C’est décembre 2027 pour l’annexe III, août 2028 pour l’annexe I. Vérifiez plutôt si l’article 50 vous concerne, parce que celui-là est en vigueur.
2. Ne traitez pas l’article 12, paragraphe 3, comme un schéma général. Si vous ne faites pas d’identification biométrique à distance, il ne vous lie pas, et construire contre lui est un choix que vous devriez faire en connaissance de cause.
3. Ne vous liez pas à une norme au stade de l’enquête. Aucune norme harmonisée au titre du règlement sur l’IA n’a encore été citée au Journal officiel. Tant qu’aucune ne l’est, aucune présomption de conformité n’est disponible à partir de ces documents, et leur numérotation de clauses bouge encore.
4. Journalisez selon vos finalités, et consignez pourquoi. Les trois finalités de l’article 12, paragraphe 2, sont stables, l’Omnibus ne les a pas modifiées, et un dossier défendable sur pourquoi vous journalisez ce que vous journalisez survit à une renumérotation. Notre guide de conservation des journaux couvre le plancher de six mois au titre des articles 19 et 26, paragraphe 6.
5. Si vous voulez de l’influence plutôt que de la conformité, la partie 3 est ouverte jusqu’au 22 septembre 2026. C’est gratuit, c’est ouvert à quiconque, et la participation est proche de zéro.

D’où nous le savons

Tout ce qui précède vient de la lecture directe des projets d’enquête, via une licence universitaire, pas d’une couverture de seconde main. Nous avons déposé neuf observations sur prEN 18229-1 auprès du DIN le 5 août 2026 (deux techniques, sept rédactionnelles) et trois observations sur prEN 18229-3 auprès du BSI le 3 août 2026, à titre personnel, comme premiers commentaires sur ce dossier.

Nous n’avons pas reproduit le texte des normes ici, et nous ne le pouvons pas : elles sont protégées par le droit d’auteur, et la valeur de les lire est dans la structure et les renvois, pas dans la citation.

Si nous nous trompons, nous préférerions être corrigés plutôt que cités. Chaque affirmation ci-dessus est datée et pointe vers une clause que vous pouvez vérifier.

L’état d’avancement de ce projet, et de chaque autre livrable du CEN/CENELEC JTC 21 à l’appui du règlement sur l’IA, est suivi et daté dans notre suivi des normes d’IA, y compris si chacun est déjà cité au Journal officiel. À ce jour, aucun ne l’est, ce qui signifie qu’aucune présomption de conformité n’est disponible par l’un d’eux.