Une mise à jour, un mauvais classement, une question de responsabilité
Imaginez une entreprise qui prépare l’achat d’un logiciel de recrutement. Le fournisseur annonce appliquer la nouvelle norme européenne. Le dossier paraît rassurant, jusqu’à cette question du juridique : « Si une mise à jour écarte des candidats à tort, qui aura vérifié quoi ? »
Prenons l’hypothèse d’un outil de classement des candidatures relevant des systèmes d’IA à haut risque. La conformité ne se résume pas à la qualité de sa démonstration commerciale. Il faut organiser les tests, les validations, la surveillance et la réponse aux incidents.
La première norme harmonisée apporte un cadre pour cette organisation. Elle ne remplace pas le droit applicable au système.
Ce qui a été publié en octobre 2026
La Décision d’exécution (UE) 2026/2274 du 12 octobre 2026, publiée au Journal officiel de l’Union européenne le 14 octobre, référence la première norme harmonisée à l’appui de l’AI Act.
La Commission précise qu’elle concerne le système de gestion de la qualité des fournisseurs d’IA à haut risque. Elle peut compléter une organisation qualité existante plutôt qu’imposer un dispositif entièrement séparé : Commission européenne, « Première norme harmonisée à l’appui du règlement sur l’IA publiée au Journal officiel », 19 octobre 2026.
Il faut distinguer deux événements : la publication de la référence qui permet de bénéficier de la présomption, et l’entrée en application des obligations légales concernées. La première n’accélère pas automatiquement la seconde.
Article 17 : que doit contenir le système qualité ?
Le Règlement (UE) 2024/1689, article 17 : système de gestion de la qualité prévoit des politiques, procédures et instructions écrites. Ses treize composantes minimales peuvent se lire autour de cinq ensembles :
- Piloter la conformité : stratégie réglementaire, responsabilités de la direction et des équipes, ressources et sécurité d’approvisionnement.
- Maîtriser le développement : conception, contrôle qualité, tests et validations avant, pendant et après le développement, avec une fréquence définie.
- Encadrer les données et les risques : collecte, analyse, étiquetage, conservation, gestion des risques et choix des spécifications techniques.
- Gérer les évolutions : procédure de modification du système et organisation de la surveillance après commercialisation.
- Traiter les alertes et conserver les preuves : signalement des incidents graves, échanges avec les autorités, clients et autres acteurs, documentation pertinente.
Dans notre exemple, l'analyse doit permettre de retrouver les tests effectués avant la mise à jour, la personne ayant autorisé sa diffusion et la procédure de traitement de l’anomalie. La liste des procédures n’a d’intérêt que si elles fonctionnent réellement.
Une norme volontaire, une présomption limitée
La Commission le rappelle dans Commission européenne, « Standardisation of the AI Act » : un fournisseur peut retenir une autre méthode pour démontrer sa conformité. L’absence de recours à la norme n’est donc pas, en soi, une violation de l’AI Act.
Le Règlement (UE) 2024/1689, article 40 : normes harmonisées et travaux de normalisation encadre l’avantage associé aux normes harmonisées dont les références sont publiées au Journal officiel : la présomption porte sur les exigences qu’elles couvrent. La Commission précise ici le rattachement aux exigences du système qualité de l’article 17.
Le fournisseur doit pouvoir démontrer l’application réelle de la norme. Il ne suffit pas de la mentionner dans une présentation commerciale. La présomption ne couvre pas automatiquement toutes les exigences concernant les données, la robustesse, la cybersécurité ou le contrôle humain.
Elle ne dispense pas non plus des autres obligations du fournisseur, dont l’évaluation de conformité applicable et les mesures correctrices, prévues par le Règlement (UE) 2024/1689, article 16 : obligations des fournisseurs de systèmes d’IA à haut risque.
Fournisseur ou simple utilisateur : qui est concerné ?
L’obligation de système qualité vise d’abord le fournisseur. L’entreprise qui utilise professionnellement le logiciel, le déployeur, conserve ses propres obligations, notamment d’utilisation conforme aux instructions, de surveillance et de contrôle humain, selon le Règlement (UE) 2024/1689, article 26 : obligations des déployeurs de systèmes d’IA à haut risque.
Les rôles peuvent cependant évoluer. Une modification substantielle d’un système à haut risque, ou un changement de destination faisant devenir un système à haut risque, peut conduire un acteur à assumer les obligations du fournisseur dans les conditions du Règlement (UE) 2024/1689, article 25 : responsabilités dans la chaîne de valeur de l’IA.
Pour l’acheteur, la question n’est donc pas seulement « mon éditeur suit-il la norme ? ». Il faut également déterminer ce que l’entreprise fera du système, qui contrôlera ses modifications et quelles informations resteront disponibles après son intégration.
À partir de quand les obligations deviennent-elles applicables ?
Selon le calendrier du Règlement (UE) 2024/1689, article 113 : entrée en vigueur et application, dans sa rédaction consolidée, les obligations des sections 1 à 3 du chapitre III s’appliquent, en principe, le 2 décembre 2027 aux systèmes à haut risque relevant de l’annexe III, et le 2 août 2028 à ceux relevant de l’article 6, paragraphe 1, et de l’annexe I.
Ces dates concernent notamment les obligations de qualité des fournisseurs. Les situations transitoires des systèmes déjà commercialisés doivent être vérifiées séparément.
En novembre 2026, la norme fournit donc un outil de préparation. Sa publication ne signifie pas que tout fournisseur s’expose déjà à une amende pour absence de système qualité au titre de ces dispositions.
Quelles conséquences en cas de non-respect ?
Il faut distinguer ne pas suivre la norme et ne pas respecter la loi.
Dans le premier cas, le fournisseur peut choisir une autre méthode et en justifier l’adéquation. Dans le second, une fois les obligations applicables, l’absence de système qualité conforme à l’article 17 constitue un manquement à l’obligation de l’article 16, point c).
Le Règlement (UE) 2024/1689, article 99 : sanctions prévoit alors un plafond de 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu pour une entreprise, sous réserve des régimes particuliers. Pour les petites et moyennes entreprises, y compris les jeunes pousses, le plafond le plus faible s’applique. Le texte prévoit également cette règle pour les petites entreprises à moyenne capitalisation concernant cette catégorie de manquements.
Ce sont des plafonds, pas des amendes automatiques. La gravité, la durée, les conséquences et les mesures correctrices entrent dans l’appréciation.
L’exposition peut aussi être opérationnelle : lorsque les conditions du Règlement (UE) 2024/1689, article 79 : procédure applicable aux systèmes d’IA présentant un risque sont réunies, les autorités peuvent exiger des corrections et, selon la situation, le retrait, le rappel ou la restriction du système.
Ce que le juridique devrait demander avant de signer
Revenons au logiciel de recrutement. Une réponse utile du fournisseur devrait permettre d’identifier le produit et la version concernés, les exigences couvertes et les éventuels écarts restant à traiter.
Nous recommandons ensuite de négocier des éléments vérifiables : résultats des tests pertinents, notification des modifications importantes, procédure d’incident, responsabilités de correction et accès aux justificatifs nécessaires. Le détail dépend du contrat et de la sensibilité du système ; il ne s’agit pas d’une liste contractuelle universellement imposée par la norme.
Une nuance supplémentaire compte : si un contrat soumis au droit français impose expressément l’application de la norme, son non-respect peut aussi constituer une inexécution contractuelle, au regard du Code civil, article 1103 : force obligatoire du contrat. C’est une conséquence distincte de l’amende administrative.
Conclusion : une méthode reconnue, pas un blanc-seing
La normalisation doit encore couvrir d’autres sujets, notamment les risques, les données, la transparence, le contrôle humain et la cybersécurité. Cette première publication est donc une étape, pas l’achèvement du programme.
La méthode reste volontaire ; les obligations légales, elles, ne le sont pas lorsqu’elles deviennent applicables. Pour les entreprises, la valeur de cette norme réside dans une démonstration de conformité mieux structurée, pas dans la possibilité de cesser de vérifier.
La première norme harmonisée de l’AI Act est-elle obligatoire ?
Non. Une autre méthode reste possible pour satisfaire aux obligations correspondantes. Le fournisseur doit être en mesure d’en démontrer l’efficacité juridique et opérationnelle.
Le non-respect de la norme entraîne-t-il une amende ?
Pas à lui seul. Ce sont les manquements aux obligations de l’AI Act qui peuvent être sanctionnés, selon leur calendrier d’application et les conditions de l’article 99.
Une certification ISO suffit-elle pour bénéficier de cette présomption ?
Non, pas à elle seule. La Commission présente la nouvelle norme comme complémentaire des systèmes qualité existants. Une certification ISO ne remplace pas la vérification des exigences européennes couvertes.
L’acheteur peut-il se reposer entièrement sur la conformité du fournisseur ?
Non. Le déployeur conserve ses propres obligations. Il doit aussi vérifier que les garanties présentées concernent bien le système, sa version et l’usage envisagé.