AI Act : la première norme harmonisée parle de management

L'AI Act, le règlement européen sur l'intelligence artificielle, vient de franchir une étape décisive : sa première norme harmonisée est publiée. Et contrairement à ce que beaucoup attendaient, elle ne porte pas sur la robustesse des modèles ou la qualité des données. Elle porte sur le management.

Pour les organisations qui développent ou fournissent des systèmes d'IA, c'est le signal que la conformité se joue d'abord dans l'organisation, avant de se jouer dans le code.

Ce qui a été publié

Mi-octobre, la Commission européenne a publié au Journal officiel de l'Union européenne la référence de la norme EN 18286, par la décision d'exécution (UE) 2026/2274 du 12 octobre. Son objet : le système de management de la qualité des fournisseurs de systèmes d'IA.

Une norme harmonisée n'est pas une obligation en soi. Mais une fois sa référence publiée au Journal officiel, l'appliquer donne une présomption de conformité aux exigences du règlement qu'elle couvre. Ici, il s'agit des exigences de management de la qualité de l'article 17 de l'AI Act, applicables aux fournisseurs d'IA à haut risque.

En pratique, c'est le chemin le plus direct pour démontrer à une autorité, à un client ou à un organisme notifié que votre organisation respecte cette partie du règlement.

Ce que recouvre le management de la qualité de l'AI Act

L'article 17 demande aux fournisseurs d'IA à haut risque de mettre en place un système de management de la qualité documenté. Il couvre notamment :

une stratégie de conformité réglementaire et la gestion des modifications des systèmes
les procédures de conception, de développement, de contrôle et de validation
la gestion des données utilisées pour entraîner et tester les systèmes
le système de gestion des risques
la surveillance après la mise sur le marché et la notification des incidents graves
la tenue des documents et des enregistrements, et les responsabilités de chacun

Autrement dit, il ne suffit pas qu'un système d'IA fonctionne bien. Il faut pouvoir prouver comment il a été conçu, testé, surveillé et corrigé, et qui en répond.

EN 18286, ISO 42001 et ISO 9001 : laquelle choisir ?

Selon la presse spécialisée, EN 18286 est conçue pour s'ajouter à ISO/IEC 42001 ou à ISO 9001, pas pour les remplacer.

ISO/IEC 42001 est la norme internationale du système de management de l'intelligence artificielle : gouvernance, inventaire des usages, analyse d'impact, gestion des risques propres à l'IA.
ISO 9001 est la norme de référence du management de la qualité, déjà en place dans de nombreuses entreprises.
EN 18286 vient faire le lien avec les exigences précises de l'AI Act.

Une organisation déjà engagée dans ISO 42001 ou ISO 9001 n'a donc pas à repartir de zéro : elle doit compléter son système existant pour couvrir les attendus du règlement. C'est une bonne nouvelle pour celles qui ont anticipé.

Les échéances à retenir

Depuis l'adoption de l'AI Omnibus, le calendrier d'application de l'AI Act a été ajusté :

Décembre 2026 : interdiction des outils de « nudification »
2 décembre 2027 : obligations applicables aux systèmes d'IA à haut risque de l'annexe III, qui couvre notamment les ressources humaines, l'éducation et les infrastructures critiques
2 août 2028 : obligations applicables à l'IA intégrée dans des produits réglementés

Deux ans peuvent sembler confortables. Ils ne le sont pas. Construire un système de management qui tienne un audit demande d'inventorier ses usages de l'IA, de qualifier les risques, de rédiger les procédures, de les appliquer réellement, puis de conserver les preuves. Les organisations qui attendront 2027 découvriront qu'il faut plusieurs cycles pour qu'un système de management soit réellement vivant.

Par où commencer

Faire l'inventaire de vos systèmes d'IA, développés en interne ou achetés, et identifier ceux qui pourraient relever du haut risque.
Mesurer l'écart entre vos pratiques actuelles et les exigences de l'article 17.
Choisir le socle : ISO 42001, ISO 9001 ou les deux, complétés par EN 18286.
Tester votre dispositif avant le contrôle, par un audit blanc mené dans les conditions réelles.

Notre regard

L'AI Act ne demande pas seulement des IA performantes. Il demande des organisations capables de les gouverner. Nos spécialistes accompagnent la mise en place ISO 42001, l'analyse d'écart avec l'AI Act et les audits blancs avant certification.

Parlons de votre gouvernance de l'IA : écrivez-nous.