Publication des normes harmonisées de l'EU AI Act : Mise en œuvre de l'EN ISO/IEC 42001 et de l'EN 18286

La publication des premières normes harmonisées au Journal officiel par la Commission européenne marque un tournant dans l'application du règlement européen sur l'IA (EU AI Act). Pour les directeurs de l'IA (CAIO), les responsables de la gouvernance de l'IA et les responsables de la conformité, la transition des textes législatifs théoriques vers la conformité technique est officiellement engagée.

Les normes harmonisées adoptées en vertu de l'article 40 du règlement fournissent aux déployeurs et aux fournisseurs un levier juridique déterminant : la présomption de conformité. Le respect de ces normes européennes donne aux organisations une base juridique solide et directe pour démontrer leur conformité aux exigences obligatoires de la législation.

Ce guide présente le champ d'application de ces normes, leurs destinataires, les risques opérationnels en cas d'inaction et la manière dont RiskOnyx permet une conformité continue et automatisée.

Que sont les normes harmonisées ?

Dans le cadre du mandat de normalisation confié par la Commission européenne au CEN et au CENELEC (JTC 21), l'Europe standardise les exigences techniques relatives à la gestion de la qualité, à la gouvernance des données, à la cybersécurité et à la gestion des risques. Deux piliers fondamentaux structurent cette publication :

1. EN ISO/IEC 42001:2025 (Système de management de l'intelligence artificielle - SMIA / AIMS)

   • Le socle : Publiée et référencée pour garantir la responsabilité de la direction, les structures de gouvernance, les politiques opérationnelles et les contrôles systémiques tout au long du cycle de vie de l'IA.
   • Périmètre : Établit les processus organisationnels d'évaluation des risques liés à l'IA, de suivi des systèmes, de gestion des compétences et de contrôles opérationnels.

2. EN 18286 (Évaluation de la conformité de l'IA et exigences opérationnelles)

   • La passerelle technique : Élaborée par le CEN-CENELEC pour concrétiser l'évaluation technique, les méthodologies de test et les protocoles de vérification adaptés aux exigences réglementaires européennes.
   • Périmètre : Relie les engagements de gouvernance à des points de contrôle concrets d'évaluation de la conformité, des formats de documentation technique et des preuves de contrôle mesurables.

Conjointement, l'EN ISO/IEC 42001 et l'EN 18286 convertissent les obligations applicables aux systèmes à haut risque de l'Annexe III et les principes de gouvernance en un référentiel technique exploitable.

À qui s'appliquent ces normes ?

Ces normes harmonisées concernent directement toute organisation opérant sur le marché de l'Union européenne :

• Fournisseurs de systèmes d'IA à haut risque (Annexe III et Annexe I) : Organisations développant ou adaptant des modèles déployés dans les infrastructures critiques, l'emploi, l'évaluation de crédit, le maintien de l'ordre ou la biométrie. Démontrer la conformité via les normes harmonisées est la voie la plus directe vers le marquage CE et la réussite des évaluations de conformité.
• Déployeurs en aval (Entreprises et institutions financières) : Organisations exploitant des systèmes d'IA commerciaux ou personnalisés en interne. En vertu de l'article 26, les déployeurs doivent surveiller le fonctionnement des systèmes, respecter les instructions des fournisseurs, conserver les journaux d'activité et assurer la transparence en milieu de travail.
• Fournisseurs de modèles d'IA à usage général (GPAI) : Les équipes développant ou hébergeant des modèles de fondation doivent justifier leurs contrôles des risques systémiques et leurs évaluations techniques par des méthodes d'essai vérifiables.
• Directeurs de l'IA (CAIO) et comités de gouvernance : Dirigeants responsables devant certifier auprès des conseils d'administration et des auditeurs externes que les systèmes d'IA opèrent dans des paramètres auditables.

Les risques d'une non-conformité aux normes harmonisées

L'exploitation de systèmes d'IA sans système de management aligné ni structure technique de conformité expose l'organisation à de réelles vulnérabilités opérationnelles :

• Absence de présomption de conformité : Sans recours aux normes harmonisées, la charge incombe à votre organisation de prouver que des spécifications techniques alternatives répondent à chaque clause du règlement. Cela accroît fortement la complexité, les coûts et les délais d'audit.
• Blocages lors des appels d'offres : Les acheteurs d'entreprise et partenaires européens intègrent déjà les exigences de certification EN ISO/IEC 42001 dans leurs processus d'achat et leurs évaluations des risques fournisseurs.
• Sanctions réglementaires : Le non-respect des obligations obligatoires expose les organisations à des amendes au titre de l'article 99 pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.
• Silos de preuves fragmentés : Les documents de politiques statiques et les feuilles de calcul ne résistent pas aux contrôles de surveillance post-commercialisation. Les régulateurs exigent des journaux opérationnels audités et continus.

Plan de remédiation en 4 étapes

Si votre organisation n'a pas encore rendu opérationnelles l'EN ISO/IEC 42001 et l'EN 18286, appliquez les étapes suivantes :

1. Mettre en place un inventaire automatisé des systèmes

Il est impossible de gouverner ce qui n'est pas répertorié. Cartographiez chaque modèle d'IA, intégration d'API tierce, pipeline RAG et modèle entraîné en interne. Enregistrez la traçabilité des données, la finalité du modèle, le niveau de risque et les responsables désignés.

2. Rapprocher les référentiels existants des exigences normatives

Établissez des passerelles entre vos certifications actuelles (ISO/IEC 27001, SOC 2, NIST CSF) et les clauses de l'EN ISO/IEC 42001 ainsi que les contrôles de test de l'EN 18286. Repérez les points couverts et les lacunes spécifiques à l'IA, notamment l'évaluation des invites (prompts), la surveillance de dérive et les tests d'équité.

3. Passer des politiques statiques aux contrôles au moment de l'exécution

Traduisez les règles de gouvernance en garde-fous logiciels exécutables. Activez la journalisation automatisée des entrées et sorties, déployez des filtres anti-injection et établissez des procédures strictes d'intervention humaine.

4. Collecte continue de preuves pour les audits

L'évaluation de la conformité sous le règlement européen sur l'IA est continue. Remplacez les audits périodiques par une collecte automatisée agrégeant journaux, métriques d'évaluation et approbations au sein d'un registre de conformité vérifiable.

Opérationnaliser les normes harmonisées avec RiskOnyx

RiskOnyx a été conçu pour éliminer la lourdeur manuelle de la mise en conformité avec l'EU AI Act :

• Correspondance automatisée normes-obligations : Décompose l'EN ISO/IEC 42001, l'EN 18286 et l'EU AI Act en obligations exploitables par machine et les associe directement à vos systèmes d'IA déployés.
• Inventaire et traçabilité des responsabilités en temps réel : Maintenez un registre centralisé et prêt pour audit détaillant la provenance des modèles, le statut opérationnel, la classification des risques et les responsables désignés.
• Vérification continue des contrôles : Reliez les pipelines techniques directement aux contrôles RiskOnyx pour collecter automatiquement télémétrie, résultats de tests, validations humaines et analyses de risques dans un journal vérifiable.
• Rapports de conformité instantanés : Générez des dossiers techniques et revues de direction structurés selon les exigences CEN-CENELEC, exploitables immédiatement par les organismes notifiés et les comités de risque.

Évaluez votre conformité et accédez aux référentiels

Mesurer le niveau de préparation de votre portefeuille d'IA face aux normes harmonisées récemment publiées est indispensable avant tout déploiement :

1. Réalisez notre évaluation gratuite sur RiskOnyx pour identifier vos obligations exactes et mesurer votre conformité dès aujourd'hui.
2. Demandez un accès anticipé aux modules des référentiels EN ISO/IEC 42001 et EN 18286 afin d'engager le mappage automatisé des contrôles directement dans RiskOnyx.