Le règlement (UE) 2024/1689 sur l'intelligence artificielle est entré en vigueur le 1er août 2024 et plusieurs de ses obligations sont déjà pleinement applicables. Pourtant, une question revient systématiquement chez les dirigeants de PME : comment prouver concrètement que l'on respecte la loi ? La réponse la plus directe s'appelle la présomption de conformité, et elle passe par les normes harmonisées produites par le CEN et le CENELEC, les deux organismes européens de normalisation mandatés par la Commission européenne pour accompagner le règlement IA.
Qu'est-ce qu'une norme harmonisée et pourquoi est-ce si important ?
Une norme harmonisée est une norme technique européenne (EN) élaborée sur mandat de la Commission et publiée au Journal officiel de l'Union européenne. Son effet juridique est précis et puissant : dès lors qu'un fournisseur ou un déployeur respecte une norme harmonisée applicable, il bénéficie d'une présomption de conformité aux exigences essentielles du règlement IA que cette norme couvre. Autrement dit, la charge de la preuve s'inverse : c'est à l'autorité de surveillance de démontrer une non-conformité, et non à l'entreprise de se justifier en permanence.
Ce mécanisme n'est pas propre à l'IA : il a fait ses preuves dans des secteurs comme la sécurité des machines, les dispositifs médicaux ou la compatibilité électromagnétique. Le règlement IA le reprend explicitement à son article 40. Le CEN et le CENELEC ont reçu le mandat M/585 de la Commission pour développer ce corpus normatif, et les premiers travaux sont en cours au sein du comité technique conjoint CEN-CENELEC/JTC 21.
Où en est le chantier normatif en octobre 2026 ?
Soyons directs : le corpus de normes harmonisées spécifiquement dédiées au règlement IA n'est pas encore complet. Le JTC 21 travaille sur plusieurs axes — gestion des risques, qualité des données, robustesse, transparence, supervision humaine — mais les publications au Journal officiel qui déclencheraient la présomption de conformité formelle prennent du temps. C'est le rythme normal de la normalisation européenne.
Cela ne signifie pas que les entreprises doivent attendre les bras croisés. Plusieurs normes connexes sont déjà mobilisables dès aujourd'hui :
- ISO/IEC 42001:2023 — le système de management de l'IA, souvent considéré comme la colonne vertébrale d'une démarche de conformité structurée ;
- ISO/IEC 23894:2023 — gestion des risques spécifiques à l'IA ;
- ISO/IEC 38507:2022 — gouvernance de l'IA au niveau organisationnel ;
- Les normes de la série ISO/IEC 27000 pour la sécurité de l'information, pertinentes pour les exigences de cybersécurité du règlement.
S'appuyer sur ces référentiels dès maintenant, c'est construire une documentation solide qui facilitera l'alignement avec les futures normes harmonisées CEN/CENELEC lorsqu'elles seront publiées.
Ce qui est déjà applicable et ce que les normes couvrent concrètement
Depuis le 2 février 2025, les obligations d'AI literacy (article 4) et d'interdiction des pratiques à risque inacceptable (article 5) sont pleinement en vigueur. Depuis le 2 août 2026, les obligations de transparence de l'article 50 s'appliquent également : informer les utilisateurs qu'ils interagissent avec une IA, marquer les contenus générés synthétiquement. Ce ne sont pas des options, ce sont des obligations actuelles.
Pour ces exigences déjà opposables, les normes jouent un rôle immédiat : elles fournissent des méthodes d'implémentation documentées. Par exemple, comment structurer un avertissement à l'utilisateur conforme à l'article 50 ? Comment tracer les décisions d'un système pour démontrer la supervision humaine ? Les spécifications techniques du JTC 21 — même celles qui ne sont pas encore formellement harmonisées — offrent des cadres méthodologiques que les autorités de surveillance reconnaissent comme des bonnes pratiques.
Pour les systèmes à haut risque de l'annexe III (recrutement, crédit, éducation, etc.), les exigences complètes ont été reportées au 2 décembre 2027 par le règlement omnibus (UE) 2026/1744, entré en vigueur le 27 juillet 2026. Ce report ne supprime pas les obligations : il donne un délai supplémentaire pour les satisfaire. Et la bonne nouvelle, c'est que les normes harmonisées devraient être suffisamment matures d'ici là pour offrir une voie de conformité claire. Les PME qui commencent leur alignement normatif maintenant auront une longueur d'avance significative.
Comment une PME exploite-t-elle concrètement la présomption de conformité ?
La démarche pratique se déroule en quatre étapes :
- Cartographier ses systèmes IA — identifier quels outils entrent dans le champ du règlement, leur catégorie de risque, leur rôle (fournisseur ou déployeur).
- Identifier les normes applicables — selon la catégorie du système, certaines normes du JTC 21 ou des référentiels ISO/IEC seront plus pertinents que d'autres.
- Implémenter et documenter — mettre en place les processus requis (gestion des risques, qualité des données, logs, notices d'information) et les documenter de façon traçable.
- Maintenir une veille normative — surveiller les publications au Journal officiel pour intégrer les normes harmonisées dès leur entrée en vigueur.
Cette démarche n'est pas réservée aux grandes entreprises dotées de services juridiques étoffés. Si vous cherchez à accélérer l'adoption de l'IA dans vos processus tout en restant dans les clous réglementaires, des ressources comme AInspiration, spécialiste de l'IA pour les PME et de la formation à l'automatisation, peuvent vous aider à identifier les bons outils et à former vos équipes — ce qui répond directement à l'obligation d'AI literacy de l'article 4.
Le piège à éviter : confondre certification et présomption de conformité
Un point de confusion fréquent mérite d'être clarifié. La présomption de conformité via les normes harmonisées n'est pas une certification obligatoire. Pour la grande majorité des systèmes IA, y compris de nombreux systèmes à haut risque, l'auto-évaluation documentée suffit — à condition d'être rigoureuse et traçable. La certification tierce par un organisme notifié n'est obligatoire que pour certaines catégories spécifiques (notamment les systèmes biométriques à distance en temps réel, soumis à des restrictions très strictes).
Cette nuance est importante pour les PME : elle signifie que la conformité est financièrement accessible, à condition de s'y prendre avec méthode. Investir dans la documentation et les processus internes est bien moins coûteux que de subir un audit de surveillance non préparé ou, pire, une sanction administrative pouvant atteindre des pourcentages significatifs du chiffre d'affaires mondial.
Conclusion : agir maintenant, même sans normes finalisées
L'absence de normes harmonisées CEN/CENELEC complètes n'est pas une excuse pour reporter la mise en conformité. Les obligations de l'article 4 et de l'article 50 sont déjà en vigueur. Les exigences haut risque arrivent au 2 décembre 2027. Et les référentiels ISO/IEC existants permettent dès aujourd'hui de construire une documentation solide, auditables et alignée sur ce que sera le corpus normatif européen.
La vraie question n'est pas « faut-il attendre les normes ? » mais « par où commencer maintenant pour être en position de force lorsqu'elles arriveront ? »
Audityo vous propose un diagnostic de conformité gratuit pour cartographier vos systèmes IA, identifier vos obligations actuelles et prioriser vos actions. Rendez-vous sur audityo.eu pour démarrer votre diagnostic — sans engagement, en moins de 20 minutes.