Suivi des normes JTC 21 : livrables CEN-CENELEC du règlement IA

Ce qu'est le JTC 21 du CEN-CENELEC¶

Le comité technique mixte 21 « Intelligence artificielle » du CEN-CENELEC (CEN/CLC/JTC 21) a été créé le 1er juin 2021 par le CEN et le CENELEC, à la suite de la feuille de route du groupe de réflexion (Focus Group) CEN-CENELEC sur l'IA. Son secrétariat est assuré par DS (Danish Standards / Dansk Standard) et il réunit plus de 300 experts issus de 20 pays européens. L'identité du comité et la liste de ses membres sont documentées sur le site du JTC 21 et auprès du CEN-CENELEC.

Le JTC 21 produit les normes européennes et harmonisées qui sous-tendent le régime de conformité du règlement IA. Une fois une norme finalisée et sa référence publiée au Journal officiel, le respect de cette norme emporte une présomption légale de conformité aux exigences correspondantes du règlement IA, mécanisme prévu à l'article 40.

Le comité est organisé en cinq groupes de travail :

• GT1 — Groupe consultatif stratégique (SAG) : coordination du programme et orientation stratégique
• GT2 — Aspects opérationnels : livrables relatifs aux systèmes de gestion, dont la gestion des risques (prEN 18228), la gestion de la qualité (EN 18286) et l'évaluation de la conformité (prEN 18285)
• GT3 — Aspects d'ingénierie : méthodes d'ingénierie, dont la gestion des biais (prEN 18283) ainsi que la qualité et la gouvernance des jeux de données (prEN 18284)
• GT4 — Aspects fondamentaux et sociétaux : le cadre de fiabilité de l'IA (les parties de la prEN 18229 couvrant la journalisation, la transparence, le contrôle humain, l'exactitude et la robustesse) ainsi que les considérations sociétales transversales
• GT5 — Cybersécurité des systèmes d'IA : spécifications de cybersécurité pour les systèmes d'IA (prEN 18282)

La demande de normalisation : M/593 et l'amendement M/613¶

Le programme de travail du règlement IA est défini par une demande de normalisation formelle de la Commission européenne. La demande initiale est la M/593, émise sous la forme de la décision d'exécution de la Commission C(2023)3215 et adoptée le 22 mai 2023. La M/593 a chargé le CEN et le CENELEC de livrer les normes harmonisées appuyant le règlement IA, avec une échéance de remise initiale fixée au 30 avril 2025. Le JTC 21 n'a pas respecté cette échéance.

La M/613 est l'amendement 1 à cette demande, émis sous la forme de la décision d'exécution de la Commission C(2025)3871 et adopté le 23 juin 2025. La C(2025)3871 a abrogé et remplacé la C(2023)3215 initiale, en reconduisant le même périmètre et les mêmes livrables selon un calendrier prolongé ; la demande modifiée expire le 28 février 2027, des rapports d'avancement étant attendus tous les trois mois. Le CEN-CENELEC continue de décrire les livrables comme ceux « demandés au titre de la demande de normalisation M/593 (et de son amendement M/613) ».

La page de la Commission consacrée à la normalisation du règlement IA structure la demande autour de dix domaines : la gestion des risques, la gouvernance et la qualité des jeux de données, la tenue de registres, la transparence, le contrôle humain, l'exactitude, la robustesse, la cybersécurité, la gestion de la qualité et l'évaluation de la conformité. Chaque livrable prEN du programme de travail se rattache à un ou plusieurs de ces domaines.

En octobre 2025, le CEN et le CENELEC ont adopté un ensemble exceptionnel de mesures afin que les livrables prioritaires soient disponibles au plus tard au T4 2026. Ce repère du T4 2026 est l'objectif de disponibilité fixé à l'échelle du programme par le CEN-CENELEC et se distingue de l'expiration de la demande de la Commission au 28 février 2027. La note d'accélération du CEN-CENELEC expose deux mécanismes. Premièrement, après un résultat d'enquête publique positif, un projet peut être directement acheminé vers la publication en application du Règlement intérieur du CEN-CENELEC, ce qui raccourcit le parcours. Deuxièmement, un petit groupe de rédaction composé d'experts déjà actifs a été chargé de finaliser les projets les plus en retard. Les fenêtres d'enquête publique et d'approbation propres à chaque livrable continuent toutefois d'évoluer.

Le programme de travail : instantané de l'état des travaux¶

Le tableau ci-dessous constitue le suivi du programme de travail : la famille des prEN 18xxx, les articles du règlement IA que chacune opérationnalise, le groupe de travail responsable, le stade atteint et l'objectif. Les stades sont arrêtés à juin 2026 — vérifiez le programme de travail en vigueur du CEN-CENELEC avant de vous fier à un stade ou à une date. À la date de cet instantané, un livrable (EN 18286) est au stade Approbation, trois (prEN 18228, prEN 18229-1, prEN 18282) sont à l'enquête publique et les autres projets sont encore en cours de rédaction ; aucun n'est encore publié ni cité au Journal officiel.

Comment lire un stade et quel article chaque projet opérationnalise¶

Un livrable est proche de l'aboutissement. La EN 18286 (SGQ) a été la première à atteindre le stade Approbation (vote formel) ; les prEN 18228, prEN 18229-1 et prEN 18282 sont à l'enquête publique, et les autres sont encore en cours de rédaction. La date du T4 2026 retenue par le CEN-CENELEC est un objectif de disponibilité pour les livrables prioritaires et non une date de publication garantie pour chaque norme. Aucune de ces normes n'est publiée ni citée au Journal officiel en juin 2026 : aucune n'ouvre donc encore la présomption de conformité au titre de l'article 40.

L'attribution aux groupes de travail suit la répartition publiée du JTC 21. Les travaux sur les biais (prEN 18283) et la gouvernance des jeux de données (prEN 18284) relèvent du GT3 Aspects d'ingénierie ; les parties du cadre de fiabilité de l'IA (prEN 18229-1, prEN 18229-2, prEN 18229-3) relèvent du GT4 Aspects fondamentaux et sociétaux ; la cybersécurité (prEN 18282) relève du GT5 ; et les normes relatives aux systèmes de management et à l'évaluation de la conformité (prEN 18228, EN 18286, prEN 18285) relèvent du GT2. Pour la prEN 18283 en particulier, le projet de travail diffusé a fait l'objet d'une consultation de cinq semaines dont la date limite de commentaires était fixée au 30 avril 2026, un stade de maturité plus précoce que celui de la EN 18286.

Les projets du CEN-CENELEC progressent le long d'une échelle de stades numérotés. Plus le stade est élevé, plus le texte est proche de la publication. Les comités miroirs nationaux façonnent les projets tout au long du processus, et les débats qui s'y tiennent peuvent être substantiels, comme l'illustre le débat français autour de la prEN 18286.

Correspondance entre articles et livrables¶

Rattacher les livrables au règlement montre quelle exigence du règlement IA chaque projet est censé opérationnaliser. C'est l'inverse du tableau d'état et le moyen le plus rapide de trouver la norme rattachée à une obligation que vous devez déjà respecter.

Comment le JTC 21 utilise les normes ISO/IEC¶

La normalisation européenne s'appuie de préférence sur les normes internationales existantes de l'ISO/IEC lorsqu'elles répondent à l'objectif réglementaire. Le JTC 21 utilise les travaux fondamentaux de l'ISO/IEC comme base pour l'ensemble de la famille des prEN. La Commission explique cette logique dans sa FAQ sur la compréhension de la normalisation.

Lorsqu'un cadre international ne s'aligne pas sur une exigence du règlement IA, le JTC 21 rédige une norme européenne sur mesure. Le cas le plus net est celui de la gestion de la qualité. La Commission a constaté que les objectifs et les définitions de la norme ISO/IEC 42001:2023 ne sont pas alignés sur le système de gestion de la qualité exigé par le règlement IA ; la prEN 18286 a donc été élaborée comme une norme européenne dédiée. Pour une comparaison plus approfondie des cadres de SGQ, voir prEN 18286 face à l'ISO 9001 et à l'ISO 42001.

Une reprise sous forme d'EN ISO/IEC confère-t-elle aujourd'hui la présomption au titre de l'article 40 ?

Pas encore. Le JTC 21 peut reprendre certaines normes internationales sous forme de textes EN ISO/IEC, et les équipes qui exploitent déjà un système de management ISO/IEC 42001 disposent d'une structure transférable et réutilisable. Aucun texte EN ISO/IEC n'a encore été cité au Journal officiel en tant que norme harmonisée ouvrant la présomption au titre de l'article 40. Une couche de déclaration d'applicabilité peut être construite à l'aide de l'outil de déclaration d'applicabilité ISO 42001 tandis que les livrables européens sur mesure demeurent en cours d'élaboration.

Article 40 : du projet à la présomption de conformité¶

L'article 40 du règlement IA est l'aboutissement juridique du programme de normalisation. Un système d'IA à haut risque conforme à des normes harmonisées dont les références ont été publiées au Journal officiel de l'Union européenne est présumé conforme aux exigences énoncées au chapitre III, section 2 (les exigences des articles 8 à 15), et un modèle d'IA à usage général aux obligations correspondantes du chapitre V, dans la mesure où ces normes couvrent ces exigences. Le résumé de l'article 40 par l'AI Act Service Desk en expose le mécanisme.

L'article 17 (système de gestion de la qualité) figure au chapitre III, section 3, en dehors des exigences de la section 2 visées par l'article 40, paragraphe 1. La prEN 18286 opérationnalise cette obligation de l'article 17 et constitue le livrable le plus proche de la citation, et la gestion de la qualité relève bien de la demande de normalisation ; il convient donc de confirmer l'effet juridique précis de toute citation relative au SGQ au regard de la référence publiée, plutôt que de présumer une présomption automatique au titre de l'article 40 pour l'article 17. Cette articulation est détaillée dans la correspondance entre l'article 17 et la prEN 18286.

La présomption est subordonnée à deux conditions. La norme doit être finalisée et harmonisée, et sa référence doit être citée au Journal officiel. Tant que ces deux conditions ne sont pas réunies, un projet de norme (prEN ou projet de travail) n'ouvre aucune présomption de conformité ; s'aligner sur un projet renforce l'état de préparation et les preuves d'audit. La FAQ de la Commission indique que les premières normes harmonisées devraient être publiées par le CEN et le CENELEC en 2026, après quoi la Commission engage l'examen visant à déterminer si les références peuvent être citées au Journal officiel. La citation au JOUE intervient à l'issue de cet examen.

Pour chaque entrée du tableau d'état, cela signifie aujourd'hui la même chose. En juin 2026, aucun des livrables du JTC 21 n'ouvre la présomption, car aucun n'a été cité au Journal officiel. La EN 18286, au stade Approbation, est la plus avancée et la plus susceptible d'être citée la première.

Comment utiliser ce suivi dès maintenant¶

Les normes demeurent à l'état de projet tandis que les obligations relatives au haut risque approchent de leur application. Les articles 9 à 15 et l'article 17 s'appliquent à compter du 2 août 2026 en vertu de l'article 113, la règle de classification de l'article 6, paragraphe 1, pour les systèmes intégrés à des produits relevant de l'annexe I s'appliquant à compter du 2 août 2027. Le Digital Omnibus, ayant fait l'objet d'un accord provisoire en mai 2026 mais non encore adopté ni publié au Journal officiel en juin 2026, reporterait, une fois entré en vigueur, les obligations relatives aux systèmes à haut risque indépendants relevant de l'annexe III (y compris l'analyse d'impact sur les droits fondamentaux de l'article 27) au 2 décembre 2027. La posture défendable consiste à mettre en place dès maintenant les contrôles juridiquement requis sur la base du 2 août 2026 et à absorber rapidement les normes harmonisées une fois celles-ci citées.

• Tenez à jour une carte des écarts de normes : suivez chaque prEN au regard de vos contrôles existants afin de pouvoir adopter rapidement le texte harmonisé dès sa citation.
• Mettez en place dès maintenant les contrôles juridiquement requis (les articles 9 à 15 couvrant les risques, les données, la transparence, le contrôle humain, l'exactitude et la robustesse ; le SGQ de l'article 17) avec des preuves auditables, en vous appuyant sur le guide des exigences du règlement IA et le guide de classification à haut risque pour en délimiter correctement le périmètre.
• Surveillez les mouvements aux stades de l'enquête publique et de l'approbation, car ces stades signalent quelle norme est sur le point de devenir citable ; la EN 18286, au stade Approbation, est celle à suivre à court terme (voir la correspondance entre l'article 17 et la prEN 18286).
• Traitez votre inventaire des normes comme un document maîtrisé, doté d'un responsable nommé et d'une cadence de revue, conservé aux côtés de votre bibliothèque de contrôles sur la page dédiée aux normes.