Définition des normes

Mise à jour : 21 juillet 2025.

Cette page vise à fournir une vue d'ensemble facilement accessible de l'établissement des normes de sécurité de l'IA en vertu de la loi sur l'IA de l'UE. Elle présente le contexte général et la raison d'être de l'établissement des normes de l'UE en matière d'IA, le processus d'établissement des normes et les questions relatives à la date à laquelle les normes de la loi sur l'IA pourraient être achevées.

Cette ressource a été élaborée pour la première fois en 2023 par Hadrien Pouget, alors expert en politique d'IA à la Carnegie Endowment for International Peace. Elle a été mise à jour en juin 2025 par Koen Holtman, expert en normes au AI Standards Lab, et Tekla Emborg, chercheuse en politique européenne au Future of Life Institute.

Remarque : nous nous concentrons sur l'explication de l'effort formel de normalisation de la sécurité de l'IA basé sur l'UE qui est en cours au sein du comité de normalisation CEN-CENELEC JTC21. comité de normalisation CEN-CENELEC JTC21. D'autres efforts de rédaction de normes sur l'IA, comme le comité de normalisation ISO/CEIne sont pas couverts.

1. Contexte : Détails du processus de normalisation de l'UE en matière d'IA

L'UE dispose d'un mécanisme particulier qui prévoit la rédaction de normes techniques qui deviennent des "manuels" officiellement approuvés décrivant la manière dont les entreprises et autres acteurs peuvent se conformer à la réglementation de l'UE en matière de sécurité. L'idée centrale est que ces normes, appelées "normes harmonisées et citées" lorsqu'elles sont approuvées, peuvent fournir une présomption de conformité aux exigences légales. Si une entreprise démontre que son produit ou son système est conforme à une norme harmonisée et citée, les autorités de surveillance du marché et les tribunaux présumeront qu'elle respecte l'exigence légale correspondante. 

Pour la loi sur l'IA, la Commission européenne a demandé qu'un premier lot de normes soit rédigé pour la loi sur l'IA et la rédaction est actuellement en cours. Ce premier lot couvrira les exigences applicables aux fournisseurs de systèmes d'IA à haut risque. La Commission pourrait demander des normes supplémentaires couvrant d'autres parties de la loi sur l'IA à l'avenir. 

Le mécanisme de demande de normes de l'UE implique une division du travail. Il permet au législateur européen de simplement spécifier dans la loi sur l'IA que certains résultats liés à la sécurité doivent être atteints par les fournisseurs de modèles ou de systèmes d'IA, et de préciser que les méthodes d'ingénierie de la sécurité généralement reconnues doivent être appliquées pour atteindre ces résultats. Le texte de la loi n'entre pas dans les détails techniques de ces méthodes de pointe. On s'attend à ce que les experts techniques qui rédigent les normes apportent ces précisions. Le législateur prévoit en outre que ces normes seront mises à jour si l'état de la technique évolue.

Il convient de noter d'emblée que les normes ne sont pas les seuls documents susceptibles d'expliquer en détail comment se conformer à la loi sur l'IA. Par exemple, les exigences pour les fournisseurs d'IA à usage général sont clarifiées dans un effort de rédaction de code de pratique. En outre, certaines exigences de la loi sur l'IA seront précisées dans des documents d'orientation rédigés par la Commission européenne.

L'utilisation des normes comme moyen de mise en conformité reste volontaire. Les prestataires peuvent ignorer les normes harmonisées et s'en remettre à une interprétation indépendante du texte juridique. Pour cette interprétation, ils peuvent s'appuyer sur des livres, des guides, des sites web ou des avis juridiques rédigés par des auteurs indépendants ou des alliances sectorielles. Ces travaux indépendants n'ont pas le statut de normes officiellement approuvées et ne donnent pas lieu à une présomption de conformité, mais ils peuvent être disponibles plus tôt ou être mieux adaptés à une situation spécifique.

2. Acteurs clés

Pour comprendre l'élaboration des normes européennes relatives à la loi sur l'IA, il est utile de commencer par une vue d'ensemble des principaux acteurs du processus.

1. La Commission européenne: Elle est composée de 27 commissaires proposés par les États membres et approuvés par le Parlement européen. Elle agit en tant que branche exécutive de l'UE. La Commission est chargée de demander et d'approuver les normes européennes auprès des organismes européens de normalisation.
2. Les organismes européens de normalisation (OEN) : Trois organismes sont responsables de l'ensemble des activités de normalisation de l'UE : Le CEN, le CENELEC et l'ETSI. Les deux premiers dirigent la création des normes de la loi sur l'IA par l'intermédiaire de leur comité mixte appelé CEN/CENELEC JTC21. Ces organismes sont indépendants des institutions de l'UE, y compris de la Commission, et peuvent également créer d'autres normes de leur propre initiative. Les OEN sont tenus de réunir différentes parties prenantes, dont certaines sont présentées ci-dessous.
3. Les organismes nationaux de normalisation (ONN) : Ils sont responsables des normes dans chacun des États membres. Voir par exemple la liste de tous les ONN membres du CEN. Chaque organisme national représente les intérêts de toutes les parties prenantes dans le pays concerné : le gouvernement, l'industrie et la société civile, en permettant aux parties au niveau national de devenir membres de leurs comités, en exigeant généralement des frais de participation. Ces comités discutent et déterminent les votes nationaux et les commentaires sur les projets de normes. Les comités peuvent également nommer des membres en tant qu'experts techniques contribuant à la rédaction au sein des groupes de travail de l'OCSE. Ces experts techniques sont liés par un code de conduite qui les oblige à "travailler pour le bénéfice net de la communauté européenne".¹ce qui peut nécessiter de mettre de côté les préférences des parties prenantes nationales qui paient leur salaire, leurs frais de déplacement et leurs frais de participation.
4. Organisations européennes de parties prenantes : D'autres organisations représentent divers intérêts au sein de l'UE, par exemple ceux des petites et moyennes entreprises (PME), des syndicats, de l'environnement et des consommateurs. Certaines d'entre elles ont le droit de formuler des commentaires et de participer sans devenir membre d'un comité au niveau de l'organe national, ainsi que de bénéficier d'un financement de l'UE pour participer, conformément à l'annexe III du règlement (UE) n° 1025/2012. 
5. Consultants en normes harmonisées : Pour certains projets de normes, des consultants privés sont engagés par la Commission pour s'assurer que les normes élaborées par les OEN sont aptes à être publiées par l'UE. Toutefois, pour la loi sur l'IA, la Commission a décidé d'effectuer elle-même l'évaluation de l'adéquation requise. Le rôle des consultants en normes harmonisées est décrit plus en détail ici.
   

3. Étapes du processus

Le processus d'élaboration des normes harmonisées est complexe. Il commence par une demande de normes émanant de la Commission, suivie d'une rédaction par l'OEN compétent, d'une enquête, d'un vote et d'une publication, avant l'étape finale de la citation des normes au Journal officiel de l'Union européenne. Chaque étape est expliquée ci-dessous. Pour un aperçu plus complet, voir le site web du CEN.

Étape 1 : La Commission crée une demande de normalisation pour les OEN

Une telle demande comprend des détails sur la partie de la législation correspondante qui doit être couverte par les normes demandées, ainsi qu'une date de livraison. Un projet de demande est affiné en consultation avec les OEN et les autres parties prenantes afin d'être acceptable pour tous. Une fois approuvée par la Commission et les représentants des gouvernements de l'UE, la demande est publiée et les OEN doivent y répondre officiellement. Bien qu'il soit possible de rejeter une demande, les OEN l'acceptent généralement, même s'ils ont des doutes sur la faisabilité de l'achèvement des travaux dans les délais prévus. Voir le Vademecum sur la normalisation européenne pour plus de détails. 

Étape 2 : Les OEN rédigent les normes

Les normes sont élaborées par des comités techniques composés d'experts techniques des ONN. Un comité comprend également une sélection de parties prenantes en tant qu'observateurs. Comme mentionné ci-dessus, le comité technique pour la loi sur l'IA est un comité conjoint entre le CEN et le CENELEC appelé CEN/CENELEC JTC21. Des groupes de travail sont constitués au sein du comité, où des experts techniques rédigent les documents de normalisation. Ces experts sont tous bénévoles, en ce sens qu'ils ne sont pas rémunérés par le CEN et le CENELEC pour leur temps et leurs efforts. Les experts sont soumis à des règles de confidentialité, par exemple ils ne peuvent pas révéler les détails des discussions en cours ou le contenu des projets de travail en cours. L'accord unanime des experts, ou le consensus des experts si l'unanimité n'est pas possible, est nécessaire pour faire passer les projets à l'étape suivante du processus.

En général, les OEN européens s'efforcent de tirer parti des travaux existants dans les normes internationales rédigées par l'ISO/CEI (l'Organisation internationale de normalisation et la Commission électrotechnique internationale) et de ne pas les annuler. Cette démarche vise à garantir la cohérence internationale et constitue un élément important de l'accord de l'OMC sur les obstacles techniques au commerce, qui empêche les pays d'utiliser les normes pour bloquer le commerce international.

Étape 3 : Demande de renseignements

L'enquête est une étape de vote et de commentaire au cours de laquelle un projet de norme complet préparé par un groupe de travail est évalué par les parties prenantes nationales. Les ONN recueillent et envoient des commentaires, qui sont renvoyés aux experts du groupe de travail qui peuvent mettre à jour le projet sur la base de ces commentaires. Il n'est pas rare que différents ONN émettent des commentaires contradictoires, un pays souhaitant un changement dans une direction, un autre pays souhaitant un changement différent. Il appartient aux experts du groupe de travail de gérer ces conflits en trouvant un compromis ou en rejetant purement et simplement certains commentaires. Un rejet pur et simple risque de conduire le pays à voter "non" lors de l'étape suivante, le vote formel. Un retour d'information très négatif au cours de l'enquête peut déclencher une réinitialisation du processus, au cours de laquelle de grandes parties du projet sont entièrement réécrites, la nouvelle version étant ensuite soumise à un second vote d'enquête. Un groupe de travail peut également décider de résoudre les problèmes en omettant simplement les éléments qui se sont avérés très controversés. Il peut en résulter une norme qui ne couvre plus entièrement les sujets demandés dans la demande de normalisation.

Étape 4 : Vote formel

Au cours de cette étape, les ONN votent officiellement pour accepter ou rejeter la norme dans laquelle leurs commentaires ont été incorporés au cours de l'étape précédente. Un vote négatif peut entraîner un nouveau cycle de rédaction et une nouvelle soumission à un nouveau vote. Un vote positif peut encore être accompagné de commentaires, mais ceux-ci ne doivent proposer que des modifications mineures.

Étape 5 : Publication

Si le vote est positif, la norme est publiée par le CEN et le CENELEC. Les normes publiées sont généralement disponibles à l'achat dans des boutiques en ligne, bien que certaines soient disponibles gratuitement. Une affaire récente portée devant la Cour de justice des Communautés européennes a porté sur l'opportunité pour les OEN de faire payer les normes qui soutiennent directement la législation de l'UE. À l'heure où nous écrivons ces lignes, nous ne savons pas encore quels seront les effets de ces procès sur le modèle de financement payant des OEN.

Étape 6 : Évaluation suivie d'une citation au Journal officiel de l'Union européenne

Lors de la dernière étape, la Commission européenne évalue si les normes publiées remplissent correctement les conditions de la demande de normalisation et correspondent au texte de la loi sur l'IA. Cependant, la Commission européenne est également impliquée dans le processus de rédaction, en fournissant un retour d'information sous la forme d'évaluations préliminaires des projets. Après une évaluation réussie, la Commission peut adopter un acte d'exécution citant la norme au Journal officiel de l'Union européenne (JOUE). La norme devient alors une norme harmonisée et citée qui apporte une "présomption de conformité" avec les parties applicables de la loi.

La Commission tient à jour un site web répertoriant toutes les normes harmonisées citées pour des domaines réglementés spécifiques. Dans les domaines matures, il peut y avoir des dizaines ou des centaines de normes de ce type, élaborées et mises à jour au fil des décennies.

Vue simplifiée du processus de normalisation de la loi européenne sur l'IA

Chronologie de l'établissement des normes de la loi sur l'IA

Le calendrier ci-dessous est basé sur les informations publiques connues en juin 2025.

5. Exemples de la manière dont les normes peuvent clarifier la loi sur l'IA

Pour comprendre comment les normes pourraient clarifier le texte de la loi sur l'AI, prenons l'exemple des articles 9 et 8, paragraphe 1, de la loi sur l'AI. 

L'article 9 de la loi sur l'IA exige qu'un système d'IA à haut risque soit équipé de "mesures de gestion des risques" afin que "le risque résiduel pertinent associé à chaque danger, ainsi que le risque résiduel global des systèmes d'IA à haut risque, soient jugés acceptables". L'article 8, paragraphe 1, précise en outre que ce jugement doit être effectué en tenant compte de "l'état de l'art généralement reconnu en matière d'IA et de technologies liées à l'IA".

En tant que manuel sur la manière de remplir ces obligations, une norme pourrait.. :

• Précisez ce que signifie le terme "acceptable" : acceptable pour qui ?
• Détailler comment juger de l'acceptabilité du risque restant. Par exemple, cela pourrait impliquer une équipe interdisciplinaire d'experts qui connaissent à la fois le domaine d'application, les attentes de la société à cet égard et l'état de l'art de la technologie de l'IA.
• Décrire l'état de l'art sur la question de savoir si et quand un processus de consultation des parties prenantes est approprié pour déterminer si les risques sont acceptables, et sur la conception de ces consultations des parties prenantes.
• Détailler les techniques appropriées pour estimer les risques résiduels dans des situations données
• Présenter des listes de contrôle qui énumèrent les risques, les dangers ou les considérations spécifiques qui sont censés être connus des praticiens de l'état de la technique.

Dans des domaines matures et étroits comme la sécurité alimentaire ou l'ingénierie électrique, les experts en la matière sont souvent en mesure de déterminer des seuils numériques testés en laboratoire et éprouvés par le temps pour obtenir des résultats sûrs. Par exemple, dans le domaine de la sécurité alimentaire, ils peuvent définir que le risque de saturnisme lié à un aliment de type A est à un niveau acceptable si un test de laboratoire sur un échantillon représentatif montre que la teneur en plomb est inférieure à B parties par million. Il appartient alors aux non-experts d'utiliser les normes de sécurité et de garantir des résultats sûrs conformément à l'état de l'art. 

En revanche, il est peu probable que les experts qui travaillent sur les normes d'IA à haut risque en vertu de la loi sur l'IA soient en mesure de proposer des prescriptions numériques similaires. Le domaine de l'IA couvert par la loi sur l'IA est tout simplement trop diversifié et, contrairement à la sécurité alimentaire, il ne peut s'appuyer sur une expérience de longue durée avec des types de produits qui sont sur le marché depuis des décennies ou des siècles. Ainsi, les processus de pointe définis dans les normes de sécurité de l'IA nécessiteront probablement l'intervention d'une expertise et d'un jugement d'expert pour être mis en œuvre correctement.

6. Préoccupations et controverses

6.1. Problèmes de délais et mesures d'atténuation

Selon la loi sur l'IA, les exigences légales relatives à une première catégorie de systèmes d'IA à haut risque entreront en vigueur en octobre 2026. Dans l'idéal, les normes correspondantes devraient être disponibles d'ici octobre 2025 afin que les fournisseurs disposent d'un temps de préparation suffisant. Toutefois, comme le montre clairement l'aperçu du calendrier ci-dessus, il est peu probable que ces normes soient achevées d'ici là.

Par le passé, les OEN ont souvent eu des difficultés à fournir les normes demandées dans les délais, même lorsqu'ils s'y prenaient tôt, par exemple en ce qui concerne la mise à jour du règlement sur les dispositifs médicaux et la directive sur les équipements hertziens. 

L'article 41 de la loi sur l'IA prévoit des retards potentiels dans l'élaboration des normes. Il permet à la Commission européenne d'établir des "spécifications communes", qui feraient office d'orientations officielles provisoires jusqu'à ce que les normes concernées soient officiellement approuvées. Au moment de la dernière mise à jour de ce billet, la Commission n'avait pas encore fait part publiquement de son intention d'utiliser cette disposition. Comme le montre le calendrier ci-dessus, la Commission a toutefois indiqué que l'option consistant à reporter l'entrée en vigueur des exigences à haut risque à une date postérieure à octobre 2026 pourrait être envisagée.

6.2. Inquiétudes concernant les résultats démocratiquement valides

Le processus de normalisation, ainsi que les freins et contrepoids qui l'accompagnent, ont été conçus dans le but d'obtenir des résultats fiables et démocratiques. Toutefois, le processus d'élaboration des normes a fait l'objet de critiques sur plusieurs points. On lui reproche notamment de se dérouler à huis clos, sans transparence. Il a également été critiqué pour ses caractéristiques de conception jouables qui, dans la pratique, conduisent les entreprises technologiques disposant de ressources importantes à dominer le processus et les acteurs de mauvaise foi à s'en emparer. D'aucuns se sont également demandé si le processus actuel était adapté à la mise en place de normes légales pour les technologies numériques dans le cadre de l'agenda numérique de l'UE. Cette préoccupation est particulièrement pertinente pour l'élaboration de normes en matière d'IA, étant donné la nature complexe et parfois controversée de la technologie de l'IA.

6.3. Réforme potentielle du système européen de normalisation

La Commission européenne a annoncé en 2022 qu'elle prendrait des mesures pour "améliorer la gouvernance et l'intégrité du système européen de normalisation". À l'heure où nous écrivons ces lignes, cette initiative d'amélioration est toujours en cours. Dans le cadre de cette initiative, la Commission a recueilli des contributions par le biais d'appels ouverts en 2023 et 2024. Les contributions écrites de 2024 n'ont pas été publiées en détail, mais les contributions écrites de 2023 peuvent toutes être lues ici. Ces contributions montrent une grande diversité d'opinions entre les parties prenantes. Certaines parties prenantes indiquent que le système de normalisation de l'UE fonctionne bien et qu'il n'est pas nécessaire de procéder à des mises à jour importantes, tandis que d'autres indiquent qu'il ne fonctionne pas bien du tout et que des réformes importantes sont nécessaires.

Dans ce deuxième groupe, un thème commun est la nécessité d'assurer une plus grande participation des acteurs non industriels, tels que les experts universitaires indépendants. La nécessité d'augmenter le financement pour soutenir ces acteurs et d'éliminer d'autres obstacles à la participation est souvent mentionnée. Une caractéristique importante du processus actuel est que, bien qu'il soit ouvert à la participation de représentants et d'experts d'un très large éventail de parties prenantes, par défaut, aucun de ces représentants ou experts n'est rémunéré pour son travail, ni remboursé pour les frais de déplacement associés. Bien qu'il existe quelques sources de financement limitées pour soutenir les participants issus du monde universitaire, des petites et moyennes entreprises et des organisations de la société civile, de nombreuses parties prenantes estiment qu'un financement beaucoup plus important serait nécessaire pour surmonter le problème de l'inclusion d'un plus grand nombre de parties prenantes et d'experts. L'inclusion d'un plus grand nombre de parties serait justifiée par la nécessité de créer des résultats plus équilibrés sur le plan démocratique (confiance dans ces résultats) et de veiller à ce que le comité dispose d'une expertise et d'une main-d'œuvre suffisantes pour achever le processus de rédaction des normes dans des délais raisonnables.

7. Autres lectures

Informations officielles sur le JTC21 :

• La page "Comité technique mixte 21 : Intelligence artificielle" est ici. 
• Le site web de sensibilisation du JTC21 est ici.
• Le JTC21 publie également des bulletins d'information qui rendent compte de ses activités de normalisation et les font mieux connaître.
• Des informations complémentaires sur le programme de travail du JTC21 (qui couvre également les normes non liées à la demande de normalisation et la rédaction de certains rapports techniques) sont disponibles ici.

Sur le fonctionnement de la normalisation dans le contexte de l'UE et de la loi sur l'intelligence artificielle : 

• Le règlement (UE) n° 1025/2012, disponible ici, contient une description complète de la normalisation européenne.
• Le règlement intérieur du CEN-CENELEC régissant les travaux de normalisation est disponible ici.
• Pour une couverture spécifique de la loi sur l'IA, voir également ce document de 2021 et ce rapport de 2024.

Documents de recherche et rapports sur divers aspects de l'élaboration des normes de la loi sur l'IA. Certains de ces documents contiennent des informations issues d'entretiens avec des experts travaillant au sein du JTC21 :

• Christine Galvagna Gouvernance inclusive de l'IA, participation de la société civile à l'élaboration des normes. 2023. Voir également ici le résumé d'un événement consacré à ce document.
• Mélanie Gornet, Hélène Herman. Un aperçu de l'élaboration des normes européennes pour l'IA : entre intérêts géopolitiques et économiques. 2024. hal-04784035
• Mélanie Gornet. Too broad to handle : can we "fix" harmonised standards on artificial intelligence by focusing on vertical sectors ? 2024. hal-04785208

Notes et références

1.  Il convient de noter que la "Communauté européenne" n'est pas la même chose que l'Union européenne, mais se réfère à tous les pays qui sont membres du CEN et du CENELEC. Cela inclut par exemple le Royaume-Uni. ︎