Les normes harmonisées de l'AI Act de l'UE sont des spécifications techniques en cours d'élaboration pour soutenir la conformité avec la loi européenne sur l'intelligence artificielle (AI Act), un règlement qui établit un cadre réglementaire et juridique commun pour intelligence artificielle au sein de l'UE. L'AI Act est entré en vigueur le 1er août 2024, avec des dispositions mises en œuvre progressivement sur 6 à 36 mois. Les normes harmonisées visent à offrir des mécanismes pratiques de présomption de conformité pour les fournisseurs et les déployeurs d'IA, traduisant les obligations basées sur les risques de la loi en exigences mesurables et auditable. Elles sont élaborées par des organismes européens de normalisation, tels que le CEN et le CENELEC, en réponse à une demande de normalisation de la Commission européenne, et devraient jouer un rôle crucial dans la mise en œuvre de la loi, en particulier pour les systèmes d'IA à haut risque et les modèles d'IA à usage général.
Le développement de ces normes est un effort collaboratif impliquant des experts de l'industrie, des régulateurs et d'autres parties prenantes. Le processus est supervisé par la Commission européenne, qui émet des mandats de normalisation, et par le Conseil européen de l'intelligence artificielle, qui favorise la coopération nationale et assure une application cohérente. Les normes ne sont pas encore entièrement finalisées en 2025, mais des projets et des programmes de travail ont été publiés, couvrant des domaines tels que la gestion des risques, la gouvernance des données, la transparence, la supervision humaine et les procédures d'évaluation de la conformité. Une fois adoptées, la conformité à ces normes harmonisées offrira une présomption de conformité avec les exigences de l'AI Act, allégeant la charge réglementaire pour les organisations.
Contexte et cadre juridique
L'AI Act, proposé par la Commission européenne le 21 avril 2021, a été adopté par le Parlement européen le 13 mars 2024 et approuvé à l'unanimité par le Conseil de l'UE le 21 mai 2024. Il couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour les usages militaires, de sécurité nationale, de recherche et non professionnels. La loi classe les applications d'IA en quatre niveaux de risque - inacceptable, élevé, limité et minimal - plus une catégorie distincte pour l'IA à usage général. Les applications à risque inacceptable, telles que la notation sociale ou l'identification biométrique à distance en temps réel dans les espaces publics, sont interdites. Les applications à haut risque, y compris celles dans la santé, l'éducation, le recrutement et l'application de la loi, doivent respecter des obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité. Les applications à risque limité, comme les deepfakes, ont des obligations de transparence, tandis que les applications à risque minimal, comme les filtres anti-spam, ne sont pas réglementées. La loi s'applique également de manière extraterritoriale aux fournisseurs hors de l'UE s'ils ont des utilisateurs dans l'UE.
Les normes harmonisées sont un mécanisme clé pour opérationnaliser ces obligations. Elles sont conçues pour être volontaires, mais leur adhésion offre un « refuge sûr » pour la conformité, réduisant le besoin d'évaluations au cas par cas par les autorités nationales. Les normes sont élaborées en alignement avec les normes internationales, telles que l'ISO/IEC 42001, mais adaptées aux exigences spécifiques de l'AI Act.
Processus de développement
La Commission européenne a émis une demande de normalisation au CEN et au CENELEC en 2023, leur demandant de rédiger des normes harmonisées pour l'AI Act. La demande a identifié des domaines prioritaires, notamment la gestion des risques, la qualité des données, la transparence, la supervision humaine et la cybersécurité. Le processus de développement implique plusieurs comités techniques, avec la contribution de l'industrie, du monde académique, de la société civile et des organismes nationaux de normalisation. Les projets de normes sont soumis à une consultation publique et à des révisions avant leur adoption finale. En 2025, plusieurs projets de normes ont été publiés pour commentaires, mais aucun n'a été formellement adopté comme norme harmonisée sous l'AI Act. Le calendrier de finalisation devrait s'étendre jusqu'en 2026, compte tenu de la complexité et de la nécessité d'alignement avec la mise en œuvre progressive de la loi.
Domaines clés de normalisation
Les normes harmonisées couvrent plusieurs domaines critiques :
- Gestion des risques : Normes pour identifier, évaluer et atténuer les risques tout au long du cycle de vie du système d'IA, y compris les exigences pour les systèmes de gestion des risques et la documentation.
- Gouvernance des données : Spécifications pour la qualité des données, y compris les données d'entraînement, de validation et de test, pour garantir l'exactitude, l'exhaustivité et la représentativité, et pour traiter les biais.
- Transparence : Exigences pour informer les utilisateurs qu'ils interagissent avec un système d'IA, et pour fournir des informations claires sur les capacités et les limites du système.
- Supervision humaine : Normes pour concevoir des systèmes d'IA permettant l'intervention humaine, la surveillance et la capacité de remplacer les décisions, en particulier pour les applications à haut risque.
- Évaluation de la conformité : Procédures pour évaluer les systèmes d'IA avant leur mise sur le marché, y compris des évaluations internes ou par des tiers, selon le niveau de risque.
- Cybersécurité : Mesures pour protéger les systèmes d'IA contre les attaques et garantir la robustesse, y compris des tests adverses pour les modèles à fort impact.
Ces normes sont conçues pour être neutres sur le plan technologique, applicables à diverses techniques d'IA, y compris apprentissage automatique, apprentissage profond et IA générative comme grands modèles de langage.
IA à usage général et modèles de fondation
Un accent significatif des normes harmonisées est mis sur l'IA à usage général, une catégorie ajoutée en 2023 pour traiter des systèmes comme ChatGPT. Pour les modèles open-source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur, tandis que les modèles closed-source font face à des exigences de transparence plus larges. Les modèles à fort impact qui nécessitent plus de 10^25 opérations en virgule flottante pour l'entraînement sont considérés comme posant des risques systémiques et doivent subir des évaluations supplémentaires, y compris des tests adverses et des rapports d'incidents. Le Code de pratique pour l'IA à usage général, publié le 10 juillet 2025, complète les normes en décrivant des mesures de transparence, de droits d'auteur et de sécurité. Les normes harmonisées fourniront des spécifications techniques pour soutenir ces obligations, telles que des méthodes pour calculer la puissance de calcul d'entraînement et mener des évaluations de modèles.
Relation avec les réglementations existantes
Les normes harmonisées sont conçues pour s'aligner sur d'autres réglementations de l'UE, telles que le Règlement général sur la protection des données (RGPD) et la Directive sur la responsabilité du fait des produits défectueux. Elles prennent également en compte les normes internationales pour faciliter le commerce mondial. Par exemple, les normes sur la gouvernance des données s'inspirent des principes du RGPD, et celles sur la cybersécurité référencent la Loi européenne sur la cybersécurité. Cet alignement vise à réduire la duplication et à garantir un environnement réglementaire cohérent pour l'IA.
Défis et controverses
Le développement de normes harmonisées pour l'AI Act a rencontré des défis. Un problème est le rythme du changement technologique, en particulier dans IA générative, qui peut dépasser la définition des normes. Un autre est l'équilibre entre innovation et sécurité, car des normes trop prescriptives pourraient étouffer le développement, tandis que des normes laxistes pourraient ne pas protéger les droits fondamentaux. Il y a aussi des débats sur la portée des normes pour les applications à haut risque, certains parties prenantes appelant à des exigences plus rigoureuses, tandis que d'autres cherchent de la flexibilité. De plus, la nature volontaire des normes soulève des questions sur leur efficacité, car certaines organisations pourraient choisir de ne pas se conformer, entraînant une application incohérente dans l'UE.
Perspectives d'avenir
En 2025, les normes harmonisées sont encore en développement, avec une finalisation attendue d'ici 2026. La Commission européenne et les organismes de normalisation travaillent pour garantir qu'elles soient pratiques et à jour. Une fois adoptées, les normes seront publiées au Journal officiel de l'Union européenne, leur donnant un effet juridique. Elles devraient évoluer au fil du temps pour répondre aux nouvelles applications et risques de l'IA. Le succès de l'AI Act dépendra, en partie, de la qualité et de l'adoption de ces normes, qui façonneront la manière dont l'IA est développée et déployée dans l'UE et au-delà.
Conclusion
Les normes harmonisées de l'AI Act de l'UE sont un composant critique du cadre réglementaire de l'UE pour l'IA, fournissant des conseils techniques pour soutenir la conformité. Elles sont développées à travers un processus collaboratif et couvrent des domaines clés tels que la gestion des risques, la gouvernance des données et la transparence. Bien que des défis subsistent, les normes sont prêtes à jouer un rôle central pour garantir que les systèmes d'IA dans l'UE soient sûrs, transparents et respectueux des droits fondamentaux. Leur développement reflète une tendance plus large vers la normalisation dans la gouvernance de l'IA, avec des implications pour la réglementation mondiale de l'IA.