Évaluation de conformité et marquage CE

Pourquoi ce chapitre est le plus utile

Classer un système comme « à haut risquehaut risqueConformitéCatégorie de l'AI Act regroupant les usages soumis à conditions strictes : recrutement, crédit, éducation, infrastructures critiques. Elle impose documentation, examen des biais et contrôle humain effectif.Voir dans le glossaire » n'est que la première étape. Ce qui détermine réellement le calendrier d'un projet, son budget et sa faisabilité commerciale, c'est la procédure d'évaluation de conformité qui en découle. Deux fournisseurs qui développent un système équivalent peuvent se retrouver sur des trajectoires totalement différentes : l'un signe une auto-déclaration en interne en quelques semaines, l'autre doit faire auditer son dossier technique par un organisme tiers avant même de pouvoir vendre le produit.

Ce chapitre décrit ce parcours pas à pas, depuis la classification jusqu'à la surveillance après commercialisation. L'objectif n'est pas de mémoriser des articles de règlement, mais de savoir répondre à une question opérationnelle très concrète : « qu'est-ce qui doit être prêt, et par qui, avant que ce système puisse légalement porter le marquage CE ? »

Le principe : conformité avant mise sur le marché

L'AI ActAI ActConformitéRèglement européen sur l'intelligence artificielle, adopté en 2024. Il classe les systèmes en quatre niveaux de risque selon leur usage — jamais selon leur technologie.Voir dans le glossaire reprend la logique du « nouveau cadre législatif » déjà utilisée pour les dispositifs médicaux ou les machines : un produit ne peut être mis sur le marché ou mis en service dans l'Union que s'il satisfait à un ensemble d'exigences essentielles, et cette satisfaction doit être démontrée par une procédure formelle avant la commercialisation, pas après.

Pour un système d'IAintelligence artificielleIAEnsemble des techniques permettant à un programme d'accomplir une tâche qui demanderait de l'intelligence humaine. Le terme couvre aussi bien les systèmes à règles écrites que ceux qui apprennent de données.Voir dans le glossaire à haut risque, cela signifie concrètement que le fournisseur doit, avant toute mise sur le marché :

1. avoir mis en place un système de gestion des risques et de gestion de la qualité ;
2. avoir constitué une documentation technique complète (architecture, données d'entraînementdonnéesIAEnsemble d'informations structurées ou non utilisées pour entraîner, évaluer ou alimenter un modèle. La qualité, la quantité et la représentativité des données sont les facteurs décisifs pour les performances en apprentissage automatique.Voir dans le glossaire, métriques de performance, mesures de robustesse) ;
3. avoir fait évaluer la conformité de ce dossier selon l'une des deux procédures prévues ;
4. avoir signé une déclaration UE de conformité ;
5. avoir apposé le marquage CE ;
6. avoir enregistré le système dans la base de données publique de l'UE, lorsque cela est requis.

La conformité n'est pas un état figé obtenu une fois pour toutes. Toute modification substantielle du système — changement d'objectif, de population cible, ou modification qui affecte significativement la performance ou les risques — réenclenche l'obligation d'évaluation. Un modèle réentraîné sur un nouveau jeu de données n'est pas automatiquement « le même » produit aux yeux du règlement.

Les deux voies d'évaluation

Le règlement distingue deux procédures d'évaluation de conformité, décrites respectivement en Annexe VI et Annexe VII.

Voie A — Contrôle interne (Annexe VI). C'est la voie par défaut pour la grande majorité des systèmes à haut risque listés à l'Annexe III (recrutement, éducation, accès aux services essentiels, application de la loi dans certains cas, etc.). Le fournisseur évalue lui-même la conformité de son système au regard des exigences essentielles, constitue le dossier technique, et signe la déclaration UE de conformité sous sa seule responsabilité. Aucun tiers n'intervient obligatoirement, mais le dossier doit être tenu à disposition des autorités de surveillance du marché pendant dix ans après la mise sur le marché.

Voie B — Intervention d'un organisme notifié (Annexe VII). Cette voie s'applique principalement aux systèmes de identification biométrique à distance, ainsi qu'à certains cas où le fournisseur n'a pas appliqué, ou a appliqué partiellement, les normes harmonisées reconnues. Un organisme tiers accrédité audite le système de gestion de la qualité et/ou examine la documentation technique, puis délivre un certificat.

Anticipez la voie applicable dès la phase de conception, pas au moment du lancement commercial. Si votre système entre potentiellement dans le périmètre biométrique, budgétez plusieurs mois de délai pour trouver un organisme notifié disponible dans votre secteur — leur nombre reste limité au démarrage du dispositif, et les créneaux d'audit se réservent à l'avance.

Le rôle des organismes notifiés

Un organisme notifié est une entité tierce, accréditée par une autorité nationale et notifiée à la Commission européenne, habilitée à réaliser les évaluations de conformité de la voie B. Son rôle s'apparente à celui d'un organisme de certification ISO : il audite un système de management (ici, le système de gestion de la qualité de l'IA), examine des preuves documentaires, et peut demander des essais complémentaires.

Ce que fait concrètement un organisme notifié :

• audit du système de gestion de la qualité du fournisseur (processus de développement, de test, de gestion des versions) ;
• examen du dossier technique : données d'entraînement, méthodes de validation, mesures de robustesse face aux biaisbiaisIARégularité correctement apprise dans des données qui ne représentent pas la réalité visée, ou qui enregistrent des décisions passées avec leurs préjugés. Changer d'algorithme ne le corrige pas.Voir dans le glossaire et aux dérives ;
• vérification de la traçabilité (journalisation des événements, capacité à reconstituer une décision) ;
• délivrance d'un certificat, valable pour une durée déterminée, avec surveillance périodique.

Ce que ne fait pas un organisme notifié : il ne réécrit pas le code, ne conçoit pas les mesures de mitigation à la place du fournisseur, et n'endosse aucune responsabilité juridique sur le produit final — celle-ci reste entièrement portée par le fournisseur.

Une entreprise développe un système de reconnaissance faciale utilisé dans des contrôles d'accès à distance pour des infrastructures sensibles. Le système entre dans le périmètre de la biométrie à distance de l'Annexe III et relève donc de la voie B. L'entreprise sollicite un organisme notifié six mois avant la date de lancement prévue. L'audit révèle une insuffisance de documentation sur les taux d'erreur différenciés par sous-groupe démographique — le fournisseur doit compléter ses tests avant d'obtenir le certificat, ce qui décale le lancement de deux mois supplémentaires.

La déclaration UE de conformité

Que la voie A ou la voie B ait été suivie, le fournisseur signe in fine une déclaration UE de conformité. Ce document, dont le contenu minimal est fixé par le règlement (Annexe V), doit notamment mentionner :

• l'identification du système d'IA (nom, version, identifiant unique) ;
• l'identité et les coordonnées du fournisseur ;
• une déclaration affirmant la conformité aux exigences applicables ;
• les références aux normes harmonisées ou spécifications communes utilisées, le cas échéant ;
• l'identité de l'organisme notifié et le numéro de certificat, si la voie B a été suivie.

Ce document engage juridiquement le fournisseur : le signer sans que la documentation technique sous-jacente soit réellement complète expose à des sanctions et à un retrait forcé du marché en cas de contrôle.

La déclaration UE de conformité n'est pas un simple formulaire administratif à cocher en fin de projet. Les autorités de surveillance du marché peuvent exiger, à tout moment, la production intégrale du dossier technique justifiant chaque affirmation de la déclaration. Une déclaration signée sans dossier technique équivalent constitue une non-conformité en soi, indépendamment de la qualité réelle du système.

Le marquage CE

Le marquage CE est le symbole visible attestant que la procédure ci-dessus a été menée à son terme. Il doit être apposé :

• de manière visible, lisible et indélébile sur le système d'IA lui-même lorsque celui-ci est un produit physique ou une interface qui le permet ;
• sur la documentation d'accompagnement et l'emballage lorsque l'apposition physique n'est pas possible (cas fréquent pour un logiciel autonome) ;
• accompagné, le cas échéant, du numéro d'identification de l'organisme notifié ayant participé à l'évaluation.

Pour un logiciel pur, sans support physique, le marquage figure généralement dans l'interface d'administration, la documentation technique jointe et les métadonnées du produit distribué. Le principe reste le même que pour un dispositif médical logiciel : l'absence de support physique ne dispense pas de l'obligation de marquage, elle en déplace simplement le support.

Le registre européen des systèmes à haut risque

Avant la mise sur le marché, les fournisseurs de systèmes à haut risque doivent enregistrer leur système dans la base de données publique de l'UE dédiée, gérée par la Commission. Cette base contient notamment :

• l'identité du fournisseur et ses coordonnées de contact ;
• une description du système et de sa finalité prévue ;
• son statut de conformité (déclaration signée, certificat le cas échéant) ;
• les États membres dans lesquels le système est mis à disposition.

Certains systèmes utilisés dans des contextes régaliens sensibles (application de la loi, migration, contrôle aux frontières) bénéficient d'un régime d'enregistrement adapté, avec un accès restreint pour préserver la confidentialité opérationnelle, mais l'obligation de traçabilité demeure.

Ce registre est distinct des registres tenus au titre du RGPDRGPDConformitéRèglement européen sur la protection des données personnelles. Il s'applique dès qu'un système d'IA traite de telles données, et se cumule avec l'AI Act.Voir dans le glossaire (registre des traitements) et de la documentation de gouvernance exigée par ISO/IEC 42001. Les trois coexistent et se recoupent partiellement : un même système à haut risque traitant des données personnelles nécessite un enregistrement AI Act, un registre de traitement RGPD, et, si l'organisation vise la certification, une entrée dans son système de management de l'IA conforme à ISO 42001. Documenter une seule fois la finalité du système et la référencer dans les trois registres évite les incohérences entre déclarations.

La surveillance post-marché

La conformité obtenue au lancement ne dispense pas d'obligations continues. Le fournisseur doit mettre en place un système de surveillance post-commercialisation, proportionné à la nature du système, qui permet notamment :

• de collecter et d'analyser les données d'usage réel pour détecter des dérives de performance ;
• d'identifier les incidents et dysfonctionnements remontés par les déployeurs ou les utilisateurs ;
• de déterminer si un incident constitue un incident grave au sens du règlement — c'est-à-dire un événement ayant causé ou pouvant causer la mort, un dommage grave à la santé, aux biens ou à l'environnement, ou une perturbation grave de la gestion d'infrastructures critiques ;
• de notifier ces incidents graves à l'autorité de surveillance du marché compétente dans les délais impartis, généralement de l'ordre de quinze jours après la connaissance du lien de causalité probable.

Cette surveillance rejoint, sans s'y substituer, les obligations de gestion des risques exigées par ISO/IEC 42001 : un système de management de l'IA certifié fournit typiquement les processus organisationnels (comités de revue, procédures d'escalade) sur lesquels s'appuie la surveillance post-marché imposée par l'AI Act. Elle est en revanche distincte des obligations NIS2, qui portent sur la cybersécurité des réseaux et systèmes d'information au sens large, et non sur la performance ou l'équité du modèle d'IA en tant que tel.

Checklist de sortie de projet

Avant de considérer qu'un système à haut risque est prêt pour le marché européen, vérifiez :

• La classification de risque est documentée et datée, avec justification de l'inclusion ou non dans l'Annexe III.
• La voie d'évaluation (A ou B) applicable a été déterminée et, si voie B, un organisme notifié a délivré son certificat.
• Le dossier technique complet existe et est cohérent avec la déclaration UE de conformité.
• La déclaration UE de conformité est signée par une personne habilitée et référence les bonnes versions du système.
• Le marquage CE est apposé selon les modalités adaptées au support (physique, logiciel, documentation).
• Le système est enregistré dans la base de données UE avant sa première mise à disposition.
• Un processus de surveillance post-marché est opérationnel, avec des critères clairs de qualification d'un incident grave et un circuit de notification testé.
• Un processus de réévaluation est déclenché automatiquement en cas de modification substantielle du système.

Cette checklist ne remplace pas un conseil juridique spécialisé, mais elle permet de vérifier qu'aucune étape structurante n'a été oubliée avant d'engager les démarches formelles auprès des autorités ou d'un organisme notifié.