Parlement européen IA vote certification : les enjeux 2026

1. Contexte du vote : le Parlement européen et la certification IA

Le 12 mars 2026, le Parlement européen a adopté en séance plénière le rapport final sur le mécanisme de certification obligatoire pour les systèmes d’intelligence artificielle. Ce vote fait suite à la proposition de la Commission européenne de décembre 2025, elle-même issue des enseignements du EU AI Act (Règlement 2024/1689). Le texte adopté introduit un chapitre spécifique intitulé « Certification de conformité pour les systèmes d’IA à haut risque ».

« Ce vote n’est pas une surprise pour les observateurs avertis. Il concrétise l’approche européenne fondée sur le risque et la confiance. Les entreprises qui n’auront pas anticipé ces obligations se verront interdire la mise sur le marché de leurs solutions dès 2027. » — Me. Julien Fontaine, avocat au barreau de Paris, spécialiste droit du numérique.

Le texte prévoit une entrée en vigueur progressive : les dispositions générales s’appliquent depuis janvier 2026, mais les obligations de certification deviennent effectives à partir du 1er juillet 2026 pour les systèmes déjà commercialisés. Les nouvelles mises sur le marché doivent être certifiées dès le 1er janvier 2026. Ce calendrier serré impose une action rapide.

2. Champ d’application : quels systèmes sont concernés ?

Le vote du Parlement européen précise les critères de classification. Sont soumis à certification obligatoire les systèmes d’IA à haut risque définis à l’article 6 du règlement de base, mais également ceux qui, sans être présumés à haut risque, sont utilisés dans des domaines sensibles (santé, éducation, justice, accès aux services essentiels). La certification devient un prérequis pour le marquage CE.

2.1 Liste des systèmes concernés

L’annexe III révisée inclut désormais : les systèmes de scoring social, les outils de reconnaissance biométrique à distance (sauf exceptions strictes), les IA utilisées pour l’évaluation de la solvabilité, les systèmes de recrutement et de gestion des ressources humaines, et les IA affectant les droits fondamentaux (liberté d’expression, accès à la justice).

2.2 Exemptions et allègements

Les systèmes d’IA utilisés exclusivement à des fins de recherche scientifique ou ceux qui sont publiés en open source sous licence libre, à condition qu’ils ne soient pas mis sur le marché à titre onéreux, sont exemptés. Toutefois, si ces systèmes sont intégrés dans un produit commercial, la certification redevient obligatoire.

« Attention aux fausses exemptions : un algorithme open source utilisé dans un logiciel SaaS payant est soumis à certification. La Commission a été claire sur ce point dans son guide d’interprétation de mars 2026. » — Me. Anna Kowalski, avocate au barreau de Bruxelles.

3. Procédure de certification : étapes et acteurs

La certification repose sur une évaluation par un organisme notifié (article 43 du règlement). Le fournisseur doit soumettre un dossier technique complet, incluant la description du système, les données d’entraînement, les mesures de sécurité et les résultats des tests de robustesse. L’organisme notifié dispose de 90 jours pour rendre sa décision, renouvelable une fois.

3.1 Rôle des organismes notifiés

Ces organismes sont accrédités par les autorités nationales compétentes. En France, il s’agit de l’ANSSI et du LNE. Ils vérifient la conformité aux normes harmonisées (EN 17007, EN 17021) et aux spécifications techniques de la Commission. Le vote du Parlement a renforcé leurs pouvoirs d’inspection in situ.

3.2 Étapes clés

• 1. Auto-évaluation préalable par le fournisseur (documentation technique).
• 2. Demande de certification auprès d’un organisme notifié.
• 3. Examen documentaire et tests pratiques.
• 4. Décision de certification (valide 3 ans, renouvelable).
• 5. Marquage CE et déclaration de conformité UE.

« La charge de la preuve incombe au fournisseur. L’organisme notifié peut exiger des audits complémentaires en cas de doute sérieux. Prévoyez un budget de 20 000 à 100 000 euros selon la complexité du système. » — Me. Sophie Morel, avocate associée, cabinet LexNum.

4. Obligations des fournisseurs et des utilisateurs

Le vote du Parlement européen impose des obligations distinctes selon le rôle dans la chaîne de valeur. Le fournisseur (celui qui met le système sur le marché) est le premier responsable. L’utilisateur professionnel (déployeur) a également des devoirs de surveillance et de signalement.

4.1 Obligations du fournisseur

• Mettre en place un système de gestion des risques documenté.
• Assurer la transparence et la traçabilité des algorithmes.
• Garantir la supervision humaine effective.
• Notifier les incidents graves à l’autorité compétente sous 72 heures.
• Conserver la documentation technique pendant 10 ans après la mise sur le marché.

4.2 Obligations du déployeur

Le déployeur (ex : une entreprise qui utilise un logiciel de recrutement certifié) doit respecter les instructions du fournisseur, effectuer une analyse d’impact relative aux droits fondamentaux (AIRD) et signaler tout dysfonctionnement. Il ne peut pas modifier le système sans nouvelle certification.

« Un déployeur qui utilise un système non certifié engage sa responsabilité civile et pénale. Même si le fournisseur est le principal débiteur, le déployeur peut être sanctionné pour défaut de vigilance. » — Me. Thomas Dubois, avocat en droit des affaires numériques.

5. Sanctions et voies de recours

Le régime de sanctions a été durci par le vote de 2026. Les amendes administratives peuvent atteindre 6% du chiffre d’affaires annuel mondial ou 40 millions d’euros (le montant le plus élevé étant retenu). En cas de récidive, la suspension immédiate de la commercialisation peut être ordonnée.

5.1 Sanctions spécifiques

• Défaut de certification : amende jusqu’à 4% du CA mondial.
• Fausse déclaration de conformité : 6% du CA mondial + interdiction de marché.
• Non-signalement d’incident grave : 2% du CA mondial.

5.2 Voies de recours

Toute décision d’un organisme notifié ou d’une autorité nationale peut faire l’objet d’un recours devant la juridiction compétente de l’État membre. Le Parlement a également créé un comité d’appel européen pour les litiges transfrontaliers. Les délais de recours sont de deux mois à compter de la notification.

6. Impact sur les startups et les champions industriels

Le Parlement européen a prévu des mesures de soutien pour les PME et les startups. Un guichet unique « IA Certification Helpdesk » sera opérationnel dès juillet 2026. Les frais de certification peuvent être réduits de 30% pour les entreprises de moins de 50 salariés. En revanche, les grands groupes devront supporter l’intégralité des coûts.

6.1 Avantages compétitifs

Les entreprises certifiées pourront utiliser le label « IA de confiance – Certifié UE », un argument marketing puissant face aux concurrents non européens. Les marchés publics seront réservés aux systèmes certifiés à partir de 2027, conformément au vote.

6.2 Risques pour les champions

Les entreprises qui exportent vers l’UE devront se conformer, sous peine de se voir refuser l’accès au marché. La certification devient une barrière à l’entrée, mais aussi un outil de souveraineté numérique. Les acteurs européens doivent investir dans la conformité pour ne pas perdre leur avantage.

« Les startups françaises comme Mistral AI ou LightOn ont tout intérêt à obtenir la certification rapidement. Cela leur ouvrira les portes des appels d’offres publics et rassurera les investisseurs. » — Me. Pierre Lefèvre, avocat en droit des technologies.

7. Articulation avec le RGPD et les autres réglementations

La certification IA ne remplace pas le RGPD. Les deux régimes coexistent et se complètent. L’analyse d’impact relative à la protection des données (AIPD) reste obligatoire pour les traitements de données personnelles. En revanche, la certification IA présume le respect de certaines exigences du RGPD (licéité, transparence).

7.1 Convergence avec le Data Act

Le Data Act (Règlement 2023/2854) impose des obligations de partage de données. Les systèmes d’IA certifiés devront démontrer qu’ils respectent ces règles. Le Parlement a voté une clause de cohérence : une certification IA obtenue après le 1er juillet 2026 intègre automatiquement les vérifications Data Act.

7.2 Normes sectorielles

Dans le secteur médical (Règlement MDR) ou automobile (Règlement UE 2018/858), la certification IA peut être combinée avec les certifications existantes. La Commission a publié un guide de correspondance en avril 2026.

« Ne négligez pas l’articulation des textes. Une IA médicale doit être certifiée à la fois selon le MDR et selon l’EU AI Act. Les audits peuvent être coordonnés pour réduire les coûts. » — Me. Clara Schmidt, avocate en droit de la santé numérique.

8. Préparer 2026 : feuille de route juridique

Le vote du Parlement européen est entré en vigueur. Voici les étapes clés pour être en conformité au 1er janvier 2026 (nouveaux systèmes) ou au 1er juillet 2026 (systèmes existants).

• Septembre 2025 : Audit de classification de vos systèmes d’IA.
• Octobre 2025 : Constitution du dossier technique (description, données, tests).
• Novembre 2025 : Demande de certification auprès d’un organisme notifié.
• Décembre 2025 : Réalisation des tests complémentaires éventuels.
• Janvier 2026 : Obtention de la certification pour les nouveaux systèmes.
• Juin 2026 : Mise en conformité des systèmes existants.

« La plupart des entreprises sous-estiment le temps nécessaire pour rassembler la documentation technique. Commencez dès maintenant. Un retard peut entraîner une interdiction de commercialisation. » — Me. Antoine Girard, avocat managing partner.