Certification et marquage CE des IA à haut risque : ce que les éditeurs B2B doivent savoir
L'AI Act européen impose aux systèmes d'intelligence artificielle classés « à haut risque » un parcours de conformité rigoureux avant toute mise sur le marché. Pour les éditeurs de logiciels B2B — RH, crédit, cybersécurité, santé — le marquage CE n'est plus une option : c'est une condition d'accès au marché européen. Voici un guide opérationnel pour comprendre le processus, identifier les bons interlocuteurs et calibrer vos plannings.
Qu'est-ce qu'un système IA à haut risque selon l'AI Act ?
L'AI Act (Règlement UE 2024/1689) distingue plusieurs niveaux de risque. La catégorie « haut risque » couvre les systèmes listés à l'Annexe III du règlement, notamment :
- les outils de scoring RH (recrutement, évaluation de performance)
- les systèmes de scoring de crédit ou d'assurance
- les IA utilisées dans l'éducation, la justice ou les services d'urgence
- les dispositifs médicaux intégrant de l'IA (soumis également au MDR/IVDR)
- les systèmes de biométrie et de surveillance des infrastructures critiques
Un éditeur qui doute de la classification de son produit peut s'appuyer sur les lignes directrices publiées par l'AI Office de la Commission européenne, dont la première version est attendue courant 2025.
Le parcours d'évaluation de la conformité : deux voies possibles
L'AI Act prévoit deux mécanismes d'évaluation selon la nature du système.
1. L'auto-évaluation (évaluation interne)
Pour la majorité des systèmes à haut risque ne relevant pas d'une législation sectorielle harmonisée, le fournisseur peut conduire lui-même son évaluation de la conformité. Il doit :
- mettre en place un système de gestion de la qualité (article 17)
- constituer une documentation technique complète (Annexe IV)
- réaliser une évaluation de l'impact sur les droits fondamentaux (FRIA)
- enregistrer le système dans la base de données EU AI avant déploiement
Cette voie ne signifie pas l'absence de rigueur : la documentation doit être auditée en interne et tenue à jour à chaque modification substantielle du modèle.
2. L'intervention d'un organisme notifié (tiers)
Le recours obligatoire à un organisme notifié s'applique dans deux cas précis :
- les systèmes d'IA qui sont également des dispositifs médicaux (MDR/IVDR) ou des composants de sécurité sous d'autres directives harmonisées (machines, équipements sous pression…)
- les systèmes de biométrie en temps réel dans les espaces publics (usage très encadré)
Dans ce cas, l'organisme notifié réalise un examen du type UE ou un audit du système qualité, puis délivre un certificat permettant d'apposer le marquage CE.
Les organismes notifiés : où en est le réseau européen ?
C'est ici que le calendrier se complique. Au printemps 2025, aucun organisme notifié spécifiquement accrédité pour l'AI Act n'est encore opérationnel. La désignation des organismes notifiés relève des autorités nationales d'accréditation (en France : le COFRAC) et suppose que celles-ci aient publié leurs critères, ce qui est en cours.
Des organismes historiques comme TÜV SÜD, Bureau Veritas, DNV ou Applus+ ont déjà annoncé leur intention de se faire désigner. Plusieurs proposent dès maintenant des pré-audits volontaires sur la base de la norme ISO 42001 et des exigences de l'AI Act — une démarche utile pour identifier les écarts avant l'ouverture officielle des dossiers.
Délais réalistes : construire votre rétro-planning
Les dates clés de l'AI Act à retenir :
- Août 2025 : interdiction des pratiques d'IA inacceptables et entrée en vigueur des obligations de gouvernance
- Août 2026 : application des obligations pour les systèmes à haut risque (Annexe III)
- Août 2027 : extension aux systèmes IA embarqués dans des produits réglementés existants
Sur cette base, voici une estimation des délais internes pour un éditeur B2B :
- Documentation technique (Annexe IV) : 3 à 6 mois pour un produit mature, selon la profondeur de l'architecture existante
- Système de gestion de la qualité IA : 4 à 8 mois si le SMQ ISO 9001 n'est pas encore en place
- Évaluation FRIA : 1 à 3 mois avec un consultant externe spécialisé
- Audit par organisme notifié (si requis) : 3 à 6 mois supplémentaires une fois les organismes opérationnels
Conclusion : pour être prêt en août 2026, un éditeur dont le produit relève de l'Annexe III devrait démarrer sa mise en conformité au plus tard au premier trimestre 2025. Pour ceux qui nécessitent un organisme notifié, la marge est quasi nulle.
Ce que les éditeurs B2B sous-estiment souvent
Trois points sont régulièrement négligés lors des premiers audits de préparation :
- La traçabilité des données d'entraînement : l'Annexe IV exige de documenter les jeux de données, leur provenance, leur biais potentiel et les mesures correctives prises.
- La gestion des modifications substantielles : tout changement significatif du modèle (nouveau jeu de données, modification architecturale) relance une partie du parcours de conformité.
- L'articulation avec le RGPD : la FRIA et l'AIPD (analyse d'impact RGPD) se recoupent mais ne se substituent pas. Les DPO doivent être intégrés dès la phase de conception.
Le rôle d'une plateforme de gouvernance IA
Centraliser les preuves de conformité, gérer les versions de documentation technique, surveiller les dérives de modèle en production et générer des rapports auditables : c'est exactement ce que permet une solution de gouvernance IA comme Yvoria AI. Pour les cabinets de conseil qui accompagnent plusieurs clients simultanément, disposer d'un référentiel unique évite la dispersion dans des tableurs et réduit considérablement le temps de préparation aux audits.
Checklist rapide avant de démarrer
- ☑ Confirmer la classification du système (haut risque Annexe III ou hors champ)
- ☑ Identifier si un organisme notifié est obligatoire (double réglementation sectorielle ?)
- ☑ Désigner un responsable conformité IA interne ou externe
- ☑ Lancer l'inventaire de la documentation technique existante
- ☑ Planifier la FRIA en coordination avec le DPO
- ☑ Surveiller la désignation des organismes notifiés COFRAC / accréditations nationales
FAQ
Tous les systèmes IA à haut risque doivent-ils passer par un organisme notifié ?
Non. La majorité peut recourir à l'auto-évaluation. L'intervention d'un organisme notifié n'est obligatoire que pour les systèmes relevant simultanément d'une autre législation harmonisée (ex. dispositifs médicaux) ou pour certains usages biométriques encadrés.
Quand les organismes notifiés pour l'AI Act seront-ils opérationnels en France ?
Aucune date officielle n'est confirmée au printemps 2025. Le COFRAC travaille à l'élaboration des critères de désignation. Des acteurs comme TÜV SÜD ou Bureau Veritas proposent des pré-audits volontaires dans l'attente de leur désignation formelle.
Quelle est la différence entre la FRIA de l'AI Act et l'AIPD du RGPD ?
La FRIA (Fundamental Rights Impact Assessment) évalue l'impact du système IA sur l'ensemble des droits fondamentaux, au-delà de la seule protection des données personnelles. L'AIPD reste spécifique au RGPD. Les deux démarches se complètent et doivent être conduites conjointement.
Un système IA modifié après obtention du marquage CE doit-il être recertifié ?
Toute modification substantielle — changement de jeu de données d'entraînement, évolution architecturale significative, extension du périmètre d'usage — impose de relancer tout ou partie du parcours d'évaluation de la conformité.
L'enregistrement dans la base de données EU AI est-il obligatoire avant ou après le marquage CE ?
L'enregistrement doit intervenir avant la mise sur le marché ou la mise en service du système à haut risque, conformément à l'article 49 de l'AI Act. Il conditionne la légalité du déploiement, indépendamment du marquage CE.