L’essentiel
- L’évaluation de la conformité est la procédure qui démontre qu’un système d’IA à haut risque satisfait aux exigences du chapitre III, section 2 du règlement IA avant sa mise sur le marché.
- L’article 43 ouvre deux voies : le contrôle interne prévu à l’annexe VI, ou l’examen du système de management de la qualité et de la documentation technique par un organisme notifié, selon l’annexe VII.
- Seul le point 1 de l’annexe III, la biométrie, peut basculer vers un organisme notifié. Les points 2 à 8 relèvent de l’auto-évaluation.
- L’omnibus numérique a repoussé l’échéance des systèmes autonomes à haut risque au 2 décembre 2027, et au 2 août 2028 pour l’IA intégrée à des produits réglementés.
- Aucune norme harmonisée n’a été citée au Journal officiel et aucun organisme notifié n’a été désigné : personne ne peut aujourd’hui revendiquer la présomption de conformité.
Ce qu’est réellement une évaluation de la conformité
L’évaluation de la conformité n’a pas été inventée pour l’IA. Le marché intérieur s’en sert depuis des décennies pour répondre à une seule question : ce produit respecte-t-il les règles qui lui sont applicables ? La Commission européenne en fait un pilier de la libre circulation des marchandises, et la CEI la définit comme l’ensemble des activités démontrant que des exigences spécifiées sont satisfaites.
Ces activités sont familières à quiconque a déjà certifié un produit : essais, inspection, audit, validation et vérification, certification. Au-dessus se place l’accréditation, qui atteste de la compétence de l’organisme qui teste ou certifie. L’ANSI National Accreditation Board retient le même découpage.
Le second axe tient à l’auteur du contrôle. L’évaluation de première partie est celle que le fournisseur mène sur son propre produit avant d’émettre une déclaration. L’évaluation de deuxième partie est celle de l’acheteur. L’évaluation de tierce partie est confiée à un organisme indépendant. La plupart des textes sectoriels combinent les trois, en réservant l’intervention extérieure aux catégories où l’erreur coûte cher.
Un système d’IA rompt toutefois le schéma sur un point. Il n’existe aucun échantillon physique à poser sur un banc d’essai. Une évaluation de la conformité portant sur un logiciel apprenant ne peut inspecter un objet fini : elle inspecte donc le processus et la trace écrite. Comment le système a-t-il été conçu, sur quelles données a-t-il été entraîné, comment a-t-il été testé, quels risques ont été identifiés et traités, et selon quelles modalités un être humain peut-il intervenir. C’est pour cette raison que la version du règlement IA ressemble davantage à un audit de système de management qu’à un essai de produit, et qu’elle avantage les organisations disposant déjà d’un programme structuré de conformité IA.
En avez-vous seulement besoin ? Le filtre de l’article 6
Avant de choisir une voie, il faut établir que l’obligation s’applique. Beaucoup d’équipes se croient concernées et constituent un dossier qu’elles ne doivent pas. D’autres s’estiment hors champ sans jamais documenter ce raisonnement, ce qui constitue en soi un manquement.
Produits de l’annexe I et systèmes autonomes de l’annexe III
L’article 6 ouvre deux portes vers le haut risque. Le paragraphe 1 vise l’IA constituant un composant de sécurité d’un produit déjà couvert par la législation d’harmonisation de l’Union listée à l’annexe I, ou constituant elle-même un tel produit : dispositifs médicaux, machines, ascenseurs, jouets, dès lors que ce texte impose déjà une évaluation par tierce partie. Le paragraphe 2, combiné à l’annexe III, couvre huit domaines autonomes : biométrie, infrastructures critiques, éducation, emploi, services essentiels, forces de l’ordre, migration et administration de la justice.
La distinction a des conséquences commerciales directes. Dans l’univers de l’annexe I, l’article 43(3) intègre les exigences relatives à l’IA dans la procédure d’évaluation de la conformité que votre secteur applique déjà. Vous n’héritez pas d’une seconde procédure, mais d’un contenu nouveau dans une procédure existante. Dans l’univers de l’annexe III, la procédure du règlement IA constitue l’intégralité du dispositif.
La dérogation de l’article 6(3) et l’exception du profilage
L’article 6(3) est la porte de sortie, et elle est plus étroite que ne le laissent croire la plupart des résumés. Un système relevant de l’annexe III n’est pas à haut risque lorsqu’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, à condition de remplir au moins l’une de quatre conditions : accomplir une tâche procédurale étroite ; améliorer le résultat d’une activité humaine déjà achevée ; détecter des schémas décisionnels ou des écarts par rapport à des schémas antérieurs sans se substituer à l’appréciation humaine ni l’influencer en l’absence de vérification appropriée ; ou accomplir une tâche préparatoire à une évaluation relevant de l’annexe III.
Une règle prime sur les quatre. Un système qui effectue un profilage de personnes physiques est toujours à haut risque, aussi étroite ou préparatoire que paraisse la tâche. Les équipes qui construisent des fonctions de classement de candidatures ou de scoring client se trompent régulièrement sur ce point, ce qui explique le nombre de fournisseurs pris en défaut par la réglementation de l’IA dans le recrutement.
La dérogation n’est d’ailleurs pas gratuite. Le fournisseur qui l’invoque doit documenter son appréciation avant la mise sur le marché ou la mise en service, puis enregistrer le système. Dans les deux cas vous produisez un livrable de conformité. Toute la question est de savoir s’il s’agit d’un dossier technique complet ou d’une note d’exemption motivée.
Les deux voies d’évaluation de la conformité prévues à l’article 43
L’article 43 est court, et ses quatre premiers paragraphes répondent à presque toutes les questions pratiques.
Annexe VI : le contrôle interne
Le contrôle interne relève de l’auto-évaluation. Le fournisseur vérifie que son système de management de la qualité est conforme à l’article 17, confronte la documentation technique aux exigences du chapitre III, section 2, et s’assure que la conception ainsi que le dispositif de surveillance après commercialisation concordent avec cette documentation. Aucun tiers n’intervient. Le fournisseur établit ensuite la déclaration, appose le marquage et enregistre le système.
Le contrôle interne n’abaisse pas le niveau d’exigence. Il applique la même norme, avec moins de lecteurs.
Annexe VII : système de management de la qualité et documentation technique
L’annexe VII fait entrer un organisme notifié en cinq sections. Celui-ci apprécie la conformité du système de management de la qualité à l’article 17 et son caractère adéquat et efficace dans la durée. Il examine ensuite la documentation technique au regard de la section 2, et peut aller plus loin : exiger des preuves complémentaires, conduire ses propres essais, accéder aux jeux de données d’entraînement, de validation et de test, et, sur demande motivée, aux modèles entraînés eux-mêmes.
L’approbation n’est pas un événement isolé. L’organisme mène des audits de surveillance périodiques, et le fournisseur doit lui signaler toute modification envisagée afin qu’il décide entre une certification complémentaire et un réexamen complet.
Qui a réellement le choix
C’est le point le plus souvent formulé de façon imprécise. L’article 43(1) ne concerne que le point 1 de l’annexe III, les systèmes biométriques. Ces fournisseurs peuvent opter pour l’annexe VI ou l’annexe VII lorsqu’ils ont appliqué des normes harmonisées ou des spécifications communes. Lorsque ces normes n’existent pas, n’ont été appliquées que partiellement, ou que le fournisseur n’a pas appliqué les spécifications communes disponibles, la voie de l’annexe VII devient obligatoire.
L’article 43(2) couvre les points 2 à 8 de l’annexe III et ne laisse place à aucune ambiguïté : ces fournisseurs suivent la procédure de contrôle interne de l’annexe VI, sans intervention d’un organisme notifié. Si votre système attribue un score de crédit, corrige des examens, filtre des CV ou trie des urgences, aucun organisme indépendant ne le validera. C’est vous qui signez.
Deux réserves méritent d’être retenues. D’abord, lorsqu’un système à haut risque est destiné à être mis en service par des autorités répressives, migratoires ou d’asile, ou par des institutions de l’Union, c’est l’autorité de surveillance du marché qui joue le rôle d’organisme notifié. Ensuite, l’article 43(6) permet à la Commission d’étendre par acte délégué la voie de l’annexe VII aux points 2 à 8, en mettant en balance l’efficacité du contrôle interne et la capacité disponible des organismes notifiés. L’auto-évaluation d’aujourd’hui n’est pas garantie de le rester.
Les preuves qu’inspecte une évaluation de la conformité
Quelle que soit la voie retenue, la liste de lecture est identique. Une évaluation de la conformité consomme les livrables que le chapitre III, section 2 vous impose déjà de tenir à jour.
- Article 9, un système de gestion des risques couvrant tout le cycle de vie, avec risques identifiés, mesures adoptées et appréciation des risques résiduels. C’est là qu’une pratique rigoureuse de gestion des risques liés à l’IA se rentabilise.
- Article 10, gouvernance des données : provenance, pertinence, représentativité et examen des biais des jeux d’entraînement, de validation et de test.
- Article 11 et annexe IV, la documentation technique, établie avant la mise sur le marché et maintenue à jour. C’est le livrable le plus volumineux et le plus long à constituer, ce qui justifie de traiter la documentation des systèmes d’IA comme un chantier à part entière.
- Article 12, enregistrement automatique des événements sur toute la durée de vie du système.
- Article 13, transparence et notice d’utilisation permettant au déployeur d’interpréter et d’exploiter les sorties.
- Article 14, supervision humaine intégrée dès la conception, obligation distincte du choix opérationnel entre human in the loop et human on the loop.
- Article 15, exactitude, robustesse et cybersécurité, avec des métriques déclarées.
- Article 17, le système de management de la qualité qui relie l’ensemble en politiques, procédures et responsabilités documentées.
Relisez cette liste et une constante apparaît. Rien ne peut être fabriqué rétrospectivement dans les semaines précédant l’examen. Les preuves de gouvernance des données se collectent au moment où les données sont assemblées. Les arbitrages de risque se consignent au moment où ils sont rendus. Une évaluation de la conformité ne crée pas la conformité, elle la photographie.
Ce que vous signez au terme de la procédure
Trois actes formels closent l’évaluation de la conformité, chacun régi par son propre article.
L’article 47 impose une déclaration UE de conformité, établie pour chaque système à haut risque, conservée dix ans après la mise sur le marché ou la mise en service, et communiquée aux autorités nationales compétentes sur demande. En la signant, le fournisseur assume la responsabilité de la conformité.
L’article 48 régit le marquage CE, soumis aux principes généraux de l’article 30 du règlement (CE) n° 765/2008. Il doit être apposé de façon visible, lisible et indélébile, ou, lorsque la nature du système ne le permet pas, sur l’emballage ou la documentation d’accompagnement. Pour les systèmes fournis par voie numérique, un marquage CE numérique n’est admis que s’il reste facilement accessible depuis l’interface ou via un code lisible par machine. Lorsqu’un organisme notifié est intervenu, son numéro d’identification suit le marquage : c’est la trace visible de la voie empruntée.
L’article 49 et l’annexe VIII imposent l’enregistrement dans la base de données de l’UE avant la mise sur le marché, y compris pour les fournisseurs ayant conclu au titre de l’article 6(3) que leur système relevant de l’annexe III n’est pas à haut risque. L’enregistrement étant un acte public, mieux vaut traiter la fiche comme une communication externe que comme un formulaire.
L’infrastructure qui n’existe pas encore
Voici le point que les articles les mieux classés passent sous silence, et il change la nature d’un plan raisonnable.
La voie de l’annexe VII repose sur les organismes notifiés. Selon les informations disponibles au printemps 2026, aucun organisme n’avait encore été désigné pour l’évaluation de la conformité au titre du règlement IA, des procédures de désignation étant en cours dans plusieurs États membres et la base NANDO de la Commission étant étendue aux notifications relatives à l’IA. La capacité, lorsqu’elle arrivera, sera limitée et partagée à l’échelle de l’Union.
La voie de l’annexe VI repose, pour sa praticabilité, sur les normes harmonisées. La Commission a mandaté le CEN et le CENELEC en mai 2023, puis amendé la demande en juin 2025 pour l’aligner sur le texte final. Les travaux ont manqué leur échéance d’août 2025 et, à la mi-2026, aucun livrable du JTC 21 n’avait été cité au Journal officiel, étape qui confère la présomption de conformité. Le CEN et le CENELEC ont répondu par un dispositif exceptionnel autorisant la publication directe après un vote d’enquête favorable, afin d’atteindre une disponibilité vers la fin 2026. Le panorama de la normalisation suit l’état d’avancement, et la foire aux questions de la Commission reconnaît elle-même la tension calendaire.
Rapprochez les deux constats et l’impasse apparaît. L’article 43(1) oriente les fournisseurs de biométrie vers un organisme notifié précisément lorsque les normes harmonisées ne sont pas appliquées, et ne pas les appliquer est aujourd’hui la seule option possible. Pendant ce temps, tout fournisseur relevant des points 2 à 8 doit s’auto-évaluer face au texte juridique brut, sans norme pour le traduire en critères testables.
La réponse raisonnable n’est pas d’attendre. Constituez dès maintenant le dossier de l’annexe IV, exécutez la procédure de l’annexe VI à blanc contre la section 2 en consignant les écarts, surveillez les citations au Journal officiel pour revendiquer la présomption dès qu’elle sera accessible et, si vous relevez de la biométrie, engagez tôt le dialogue avec les organismes candidats. En attendant, aligner vos contrôles sur ISO/IEC 42001 et le règlement IA reste le meilleur substitut disponible.
Quand faut-il tout recommencer
Une évaluation de la conformité n’est pas définitive. L’article 43(4) en impose une nouvelle dès lors qu’un système à haut risque fait l’objet d’une modification substantielle, que le système modifié soit distribué de nouveau ou reste utilisé par le déployeur en place.
L’exception prévue au même paragraphe mérite qu’on conçoive autour d’elle. Les modifications que le fournisseur a prédéterminées et documentées dans la documentation technique au moment de l’évaluation initiale ne constituent pas des modifications substantielles, y compris pour les systèmes qui continuent d’apprendre après leur mise sur le marché. Cette phrase est le fondement juridique sur lequel un modèle mis à jour en continu demeure conforme entre deux examens. Elle implique aussi d’inscrire dès le départ, de façon délibérée et large, l’enveloppe de changement dans le dossier : tout ce qui en sort déclenche une reprise complète.
Sous l’annexe VII, l’obligation est continue plutôt que ponctuelle. Le fournisseur informe l’organisme notifié des modifications envisagées du système de management de la qualité approuvé ou des spécifications du système, et l’organisme arbitre entre certification complémentaire et nouvel examen. Des audits de surveillance périodiques s’y ajoutent, raison pour laquelle la surveillance continue de la conformité compte davantage qu’un sprint vers une date de lancement.
Le nouveau calendrier et les douze prochains mois
Tous les articles concurrents sur ce sujet citent encore le 2 août 2026. Cette date n’est plus la bonne.
Le règlement (UE) 2026/1744, omnibus numérique sur l’IA, a été approuvé par le Parlement européen le 16 juin 2026 par 423 voix contre 57 et 174 abstentions, a reçu l’aval final du Conseil le 29 juin 2026, a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026, six jours avant l’échéance initiale. Les obligations applicables aux systèmes autonomes à haut risque de l’annexe III s’appliquent désormais à compter du 2 décembre 2027, soit un report de seize mois. L’IA intégrée aux produits de l’annexe I bascule au 2 août 2028. Les pratiques interdites, en vigueur depuis le 2 février 2025, et les obligations relatives à l’IA à usage général restent inchangées. Le tableau complet figure dans notre guide opérationnel du règlement IA et dans le panorama réglementaire 2026.
Seize mois paraissent confortables jusqu’à ce qu’on séquence le travail. Classifier au titre de l’article 6 et consigner le raisonnement. Mettre en place le système de management de la qualité de l’article 17, examiné dans les deux voies. Constituer l’annexe IV, dont la durée se compte en trimestres et non en semaines pour un système un tant soit peu complexe. Conduire une analyse d’écarts exigence par exigence face à la section 2. Arrêter la voie retenue et, s’il s’agit de l’annexe VII, réserver un organisme. Préparer seulement ensuite la déclaration, le marquage et la fiche d’enregistrement. Les équipes qui verront dans la nouvelle date un répit plutôt qu’un calendrier l’atteindront avec un dossier incomplet, et c’est précisément ce qu’une évaluation de la conformité est conçue pour révéler.
Questions fréquentes
Que signifie évaluation de la conformité ?
L’évaluation de la conformité désigne le processus par lequel on démontre qu’un produit, un service, un système, un processus ou une personne satisfait aux exigences d’une norme ou d’une réglementation déterminée. Elle recouvre les essais, l’inspection, l’audit, la validation et la vérification, ainsi que la certification. Elle peut être menée par le fournisseur lui-même, par l’acheteur ou par un tiers indépendant, l’accréditation venant confirmer la compétence de l’organisme évaluateur.
Qu’est-ce qu’une évaluation de la conformité appliquée à l’IA ?
Au titre du règlement IA, il s’agit de la procédure que le fournisseur doit achever avant de mettre un système à haut risque sur le marché, afin de démontrer qu’il satisfait aux exigences du chapitre III, section 2. Contrairement à un essai de produit, elle porte sur la documentation et les processus : gestion des risques, gouvernance des données, documentation technique, journalisation, transparence, supervision humaine, exactitude et système de management de la qualité.
Ai-je besoin d’un organisme notifié pour mon système à haut risque ?
Probablement pas. En vertu de l’article 43(2), les systèmes relevant des points 2 à 8 de l’annexe III suivent le contrôle interne de l’annexe VI, sans organisme notifié. Seuls les systèmes biométriques du point 1 peuvent en exiger un, principalement lorsque les normes harmonisées ou les spécifications communes n’ont pas été pleinement appliquées. Les systèmes couverts par la législation produits de l’annexe I suivent la procédure sectorielle existante.
Quelle différence entre l’annexe VI et l’annexe VII ?
L’annexe VI organise le contrôle interne : le fournisseur vérifie lui-même son système de management de la qualité et sa documentation technique, puis signe la déclaration. L’annexe VII ajoute un organisme notifié indépendant qui évalue le système de management de la qualité, examine la documentation technique, peut réclamer des preuves supplémentaires, des essais, des jeux de données et jusqu’aux modèles entraînés, puis conduit des audits de surveillance périodiques.
Une évaluation de la conformité expire-t-elle ?
Le règlement IA n’assortit pas l’examen lui-même d’une date de péremption, mais il ne s’agit pas pour autant d’un acquis définitif. Sous l’annexe VII, l’organisme notifié conduit des audits périodiques et doit être informé des modifications envisagées. En vertu de l’article 43(4), toute modification substantielle déclenche un nouvel examen. La déclaration de conformité se conserve dix ans.
Que se passe-t-il si je réentraîne ou mets à jour le modèle ?
Tout dépend de l’anticipation. L’article 43(4) exclut de la notion de modification substantielle les changements que le fournisseur a prédéterminés et documentés dans la documentation technique lors de l’évaluation initiale, ce qui permet aux systèmes apprenants de rester conformes. Tout changement débordant de cette enveloppe documentée constitue une modification substantielle et impose un nouvel examen.
Conclusion
Le report de seize mois a changé l’échéance, pas la charge de travail. Au titre du règlement IA, l’évaluation de la conformité est un exercice de lecture mené sur un dossier que vous devez déjà détenir, et c’est ce dossier qui constitue le livrable. Les fournisseurs relevant des points 2 à 8 de l’annexe III signeront eux-mêmes leur déclaration, sans organisme extérieur pour repérer un registre des risques fragile ou une traçabilité des données insuffisante : la rigueur interne devient alors le seul contrôle. Ceux de la biométrie affrontent un écosystème d’évaluation par tierce partie encore en construction, où la place dans la file comptera. Dans les deux cas, ce qui décide du résultat se joue maintenant, dans la manière dont les preuves sont collectées, et non en décembre 2027. Pour un point de départ structuré, notre cadre de gouvernance de l’IA relie ces obligations aux contrôles qui produisent les preuves.