Première norme de l’AI Act : dans quel cas votre PME doit s’en occuper
La Commission européenne a annoncé le 19 octobre la publication au Journal officiel de la référence de la norme EN 18286, qui décrit le système qualité attendu des fournisseurs d’IA à haut risque. La plupart des PME ne sont pas visées. Celles qui vendent ou adaptent un outil d’IA sensible ont désormais un mode d’emploi.
Écouter le résumé
0:52 · Voix de synthèse
Lire la transcription du résumé
Daily AI. La première norme harmonisée de l’AI Act est officielle depuis le 14 octobre. La norme EN 18286 décrit le système qualité attendu des fournisseurs d’intelligence artificielle à haut risque, comme un outil qui trie des candidatures ou évalue la solvabilité d’un particulier. Si vous utilisez ChatGPT ou Copilot pour écrire et résumer, elle ne vous oblige à rien. En revanche, si vous développez ce type d’outil, même pour votre propre usage, si vous le modifiez en profondeur ou si vous le vendez sous votre nom, elle devient votre meilleure protection en cas de contrôle. Vous avez du temps : pour ces usages, les exigences s’appliqueront à partir du 2 décembre 2027. Au Luxembourg, la norme se commande auprès de l’ILNAS et se consulte gratuitement dans cinq lieux, dont la Chambre des Métiers. Première étape : listez vos usages de l’IA et votre rôle pour chacun. Le détail est juste en dessous.
En bref : la norme EN 18286 concerne les entreprises qui fournissent un système d’IA à haut risque, par exemple un outil de tri des candidatures. Si vous utilisez seulement ChatGPT ou Copilot pour vos courriers, elle ne vous oblige à rien. Si vous développez ou revendez ce type d’outil, elle devient votre référence.
Sommaire
Ce qui s’est passé
Le règlement européen sur l’intelligence artificielle, l’AI Act, fixe des exigences pour les systèmes d’IA dits à haut risque. Il ne dit pas en détail comment les respecter : ce travail revient aux normes harmonisées, rédigées par les organismes européens de normalisation CEN et CENELEC à la demande de la Commission.
La première de ces normes est désormais officielle. La décision d’exécution (UE) 2026/2274, signée le 12 octobre 2026 et publiée au Journal officiel le 14 octobre, inscrit la norme EN 18286:2026 sur la liste des normes harmonisées de l’AI Act. La Commission l’a annoncé le 19 octobre.
Son objet : le système de gestion de la qualité que l’article 17 du règlement (UE) 2024/1689 impose aux fournisseurs d’IA à haut risque. Un fournisseur qui l’applique bénéficie d’une présomption de conformité pour les exigences qu’elle couvre. Autrement dit, en cas de contrôle, le fournisseur n’a pas à justifier sa propre méthode : pour les exigences qu’elle couvre, il lui suffit de montrer qu’il a correctement appliqué la norme.
Selon la Commission, la norme est construite autour du cycle de vie du système d’IA plutôt qu’autour de l’organisation. Elle est pensée pour se greffer sur un système existant, comme ISO 9001 ou ISO/IEC 42001, plutôt que pour le remplacer.
Ce que ça change pour une PME
Tout dépend de votre rôle. L’AI Act distingue le fournisseur, qui développe un système d’IA et le met sur le marché ou le met en service sous son nom, y compris pour son propre usage, et le déployeur, qui l’utilise dans son activité. La norme EN 18286 s’adresse aux fournisseurs, et seulement pour des usages classés à haut risque.
Ces usages sont listés à l’annexe III du règlement : par exemple le recrutement et la sélection de candidats, l’évaluation de la solvabilité de personnes physiques, l’accès à l’éducation ou l’évaluation des élèves. Rédiger des offres commerciales, résumer des réunions ou répondre aux clients avec un assistant conversationnel n’en fait pas partie.
Trois situations se dessinent :
- Vous utilisez des outils grand public pour écrire, traduire ou résumer : la norme ne vous concerne pas. Vos obligations portent surtout sur la maîtrise de l’IA par vos équipes et, dans certains cas (hypertrucages, textes d’information du public publiés sans relecture humaine), sur la transparence : c’est le sujet de notre article sur l’AI Act et la formation des équipes.
- Vous utilisez, sans le modifier, un outil à haut risque acheté à un éditeur, par exemple un logiciel qui classe les candidatures : vous êtes déployeur. La norme ne s’impose pas à vous, mais elle vous donne une grille pour interroger votre fournisseur.
- Vous développez un tel outil, y compris pour votre propre usage interne, vous le modifiez de façon substantielle ou vous le vendez sous votre nom : vous êtes fournisseur. EN 18286 devient la façon la plus sûre de prouver votre conformité.
Ce qu’il faut prévoir
Le calendrier laisse du temps. Le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA, a reporté l’application des exigences : au 2 décembre 2027 pour les systèmes de l’annexe III, et au 2 août 2028 pour les systèmes à haut risque intégrés dans des produits réglementés de l’annexe I, comme les machines ou les dispositifs médicaux.
Un système qualité ne se bâtit pas en un trimestre : il faut décrire comment le système est conçu, testé, documenté, surveillé après sa mise sur le marché, et comment les incidents sont remontés. Pour un fournisseur, commencer en 2026 n’a rien de prématuré.
Bonne nouvelle pour les petites structures : depuis l’omnibus, l’article 17 précise que ce système qualité est proportionné à la taille du fournisseur, en particulier pour une PME ou une jeune pousse, et l’article 63 autorise les PME sans entreprise partenaire ni liée à appliquer de façon simplifiée certains éléments, que la Commission doit préciser dans des lignes directrices. Le niveau de protection exigé, lui, reste le même.
Côté coût direct, la norme est vendue par les organismes de normalisation. Au Luxembourg, elle se commande auprès de l’ILNAS, l’organisme national de normalisation, qui accorde sur demande une réduction de 50 % aux jeunes pousses. Elle peut aussi être consultée gratuitement en lecture seule dans cinq lieux, dont la Chambre des Métiers au Kirchberg.
À retenir : la norme n’est pas obligatoire en soi. Un fournisseur peut prouver sa conformité autrement, mais il devra alors tout démontrer seul, sans la présomption de conformité.
Le piège à éviter
Le piège, c’est de se croire simple utilisateur alors qu’on est devenu fournisseur. L’article 25 de l’AI Act prévoit qu’un déployeur endosse les obligations du fournisseur s’il met son nom ou sa marque sur un système à haut risque, s’il le modifie de façon substantielle, ou s’il détourne un outil généraliste vers un usage classé à haut risque.
Concrètement, une agence de recrutement qui assemble un assistant de présélection des candidats à partir d’un modèle du marché, puis le propose à ses clients sous son nom, n’est plus un simple utilisateur. C’est à elle de tenir le système qualité.
Par où commencer
- Listez vos usages de l’IA, outil par outil, et repérez ceux qui touchent au recrutement, au crédit, à l’éducation ou à un autre domaine de l’annexe III.
- Qualifiez votre rôle pour chacun : utilisateur d’un outil acheté, ou fournisseur d’un outil que vous développez, modifiez de façon substantielle ou vendez sous votre nom.
- Si vous êtes déployeur d’un outil à haut risque, demandez à l’éditeur s’il suit EN 18286 et comment il documente ses mises à jour.
- Si vous êtes fournisseur, consultez la norme, comparez son contenu à votre organisation actuelle et planifiez l’écart avant décembre 2027.
Pour le reste de vos obligations, notre article sur les points à vérifier sur le site de votre PME depuis le 2 août 2026 reste à jour.
Notre lecture
Cette norme est une bonne nouvelle, même pour ceux qu’elle ne vise pas : elle transforme une obligation floue en liste de contrôle. Pour la grande majorité des PME, la priorité reste ailleurs, dans la maîtrise des outils du quotidien. Mais si vous vendez un service qui trie, note ou classe des personnes avec l’IA, c’est le moment d’ouvrir le dossier, tant que le calendrier laisse de la marge.
Questions fréquentes
Une PME est obligée d’appliquer la norme EN 18286 ?
Non. Aucune norme harmonisée n’est obligatoire en soi. Elle concerne les fournisseurs d’IA à haut risque, qui peuvent l’appliquer pour bénéficier d’une présomption de conformité à l’article 17 de l’AI Act.
J’utilise ChatGPT dans mon entreprise : cette norme me concerne ?
Pas par cette norme. Un usage de rédaction, de traduction ou de résumé n’est pas classé à haut risque. Vos obligations portent surtout sur la maîtrise de l’IA par vos équipes et, dans certains cas, comme la diffusion d’hypertrucages, sur la transparence.
Quelles sont les dates d’application pour l’IA à haut risque ?
Depuis le règlement omnibus numérique sur l’IA, le 2 décembre 2027 pour les systèmes de l’annexe III, et le 2 août 2028 pour ceux intégrés dans des produits réglementés de l’annexe I.
Où consulter la norme au Luxembourg ?
Elle se commande auprès de l’ILNAS. Elle peut aussi être consultée gratuitement en lecture seule dans cinq lieux recensés par Guichet.lu, dont la Chambre des Métiers au Kirchberg.
Vous ne savez pas si l’un de vos outils est à haut risque ?
Nous faisons avec vous l’inventaire de vos usages de l’IA et nous vous disons, outil par outil, quel est votre rôle au sens de l’AI Act.
Daily AI, la quotidienne de l’IA par AR Digital : chaque jour, une actualité IA et ce qu’elle change pour votre entreprise. Pour ne rien manquer, recevez Daily AI par email ou suivez Radu Ulea sur LinkedIn.
Sources
- Commission européenne, First harmonised standard supporting the AI Act published in the Official Journal, 19 octobre 2026.
- Journal officiel de l’UE, décision d’exécution (UE) 2026/2274 de la Commission du 12 octobre 2026, publiée le 14 octobre 2026.
- Journal officiel de l’UE, règlement (UE) 2026/1744 du 8 juillet 2026, omnibus numérique sur l’IA.
- Journal officiel de l’UE, règlement (UE) 2024/1689 sur l’intelligence artificielle, articles 17, 25 et annexe III.
- Guichet.lu, Recherche des normes et spécifications techniques applicables, ILNAS.
