Navigation – Plan du site

AccueilVaria29Dossier Thématique : Aux petites ...Etudes de casLa normalisation technique dans l...

Dossier Thématique : Aux petites sources des droits et libertés
Etudes de cas

La normalisation technique dans le cadre de l’EU AI Act : logique et enjeux d’une normativité déléguée

Claudia Amodio

Résumés

L’AI Act transpose le New Legislative Framework (NLF) à la régulation des systèmes d’IA à haut risque, en les appréhendant principalement comme des produits mis sur le marché et en déléguant la concrétisation d’exigences étroitement liées à la protection des droits fondamentaux aux normes techniques harmonisées. Bien que formellement volontaires et d’origine privée, ces normes acquièrent, par le biais du mécanisme de présomption de conformité (art. 40), une force quasi contraignante. Cette architecture soulève des enjeux démocratiques majeurs, liés à l’opacité des processus d’élaboration et à la surreprésentation des acteurs industriels. Elle révèle également des enjeux épistémiques : la normalisation tend à naturaliser des choix fondamentalement normatifs sous le registre de la rationalité technique, servant à objectiver des risques pourtant incertains et contextuels.

Haut de page

Texte intégral

  • 1 UNION EUROPÉENNE, Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 étab (...)
  • 2 Selon GORNET (M.) et HERMAN (H.), A Peek into European Standards Making for AI : Between Geopolitic (...)
  • 3 COMMISSION EUROPÉENNE, Décision d’exécution C(2023) 3215 du 22 mai 2023 relative à une demande de n (...)

1En 2024, alors que l’Union européenne venait d’adopter son nouveau Règlement en matière d’intelligence artificielle (ci-après : AI Act)1, la normalisation technique s’est discrètement imposée au centre de la gouvernance de l’IA2. En réponse à une demande formelle émise par la Commission européenne3, les organismes européens de normalisation - le CEN et le CENELEC - ont engagé, par l’intermédiaire de leur comité technique conjoint sur l’intelligence artificielle (JTC 21), l’élaboration d’une série de normes techniques harmonisées destinées à rendre opérationnelles certaines dispositions de l’AI Act. Ces travaux visent en particulier les régimes applicables aux systèmes d’IA à haut risque ainsi qu’aux modèles d’IA à usage général, y compris ceux susceptibles de présenter un risque systémique.

  • 4 Le New Legislative Framework (NLF) est décrit par les documents institutionnels comme un ensemble d (...)
  • 5 CJUE, 27 octobre 2016, James Elliott, aff. C-613/14, EU :C :2016 :821, point 40.

2Le recours à la normalisation technique comme instrument central de mise en œuvre du droit de l’Union n’est toutefois pas inédit. Il s’inscrit dans une trajectoire bien établie de la régulation européenne, notamment depuis l’adoption du New Legislative Framework (ci-après : NLF), historiquement conçu pour la régulation des produits industriels4. Dès 2016, la Cour de justice de l’Union européenne a reconnu le caractère quasi incontournable des normes harmonisées, en soulignant que le choix de ne pas s’y conformer fait peser sur le fabricant la charge de démontrer, par d’autres moyens, la conformité de son produit aux exigences légales. Elle en a ainsi reconnu l’intégration fonctionnelle à l’ordre juridique de l’UE, en affirmant qu’une norme harmonisée « fait partie du droit de l’Union »5.

3La « division du travail »6 normatif à l’œuvre dans l’AI Act peut être décrite de la manière suivante : le règlement se borne à énoncer des exigences générales de sécurité, de fiabilité et de conformité applicables aux systèmes d’IA à haut risque, tandis que la concrétisation technique de ces exigences est renvoyée aux processus de normalisation. L’AI Act se caractérise ainsi par une abstention volontaire de précision, confiant aux comités d’experts chargés de la normalisation la tâche d’en préciser la portée opérationnelle, en misant sur la capacité des standards techniques à refléter l’« état de la technique généralement reconnu en matière d’IA »7.

4À la date de rédaction de ce papier, une grande partie de ce travail demeure en cours. Cette phase transitoire est porteuse d’interrogations sur le rôle et les conditions de production de ces normes techniques, les acteurs qui participent à leur élaboration, ainsi que les formes de savoir reconnues comme légitimes pour définir les protocoles de conformité juridique.

5L’enjeu est loin d’être purement technique. En effet, si les systèmes d’IA relevant des catégories à haut risque doivent satisfaire aux exigences réglementaires avant de pouvoir être mis sur le marché européen, l’article 40 de l’AI Act prévoit que, une fois les normes harmonisées publiées, les fournisseurs qui s’y conforment bénéficient d’une présomption de conformité. La normalisation devient ainsi une source matérielle déterminante du droit de l’IA, appelée à façonner concrètement la portée des obligations juridiques issues du règlement.

6Comment s’articulent les normes réglementaires et les normes techniques, et selon quelle logique ces dernières participent-elles, en pratique, à la production du droit européen de l’intelligence artificielle ? Qui, dans ce dispositif, précise les critères opérationnels d’une IA « sûre », « fiable » ou « non discriminatoire » au regard des exigences du règlement ? Quels sont les enjeux démocratiques et épistémiques d’une telle division du travail normatif ?

7À partir de ces interrogations, l’article adopte une démarche en deux temps.

8La section I examine la manière dont l’approche de l’AI Act, communément qualifiée de « fondée sur le risque » (risk-based), se déploie dans le régime applicable aux systèmes d’IA à haut risque à travers une double transposition du NLF. Elle montre comment l’importation de ce cadre conduit à une appréhension largement produit-centrée des risques algorithmiques, tout en organisant - par le biais de la présomption de conformité - un déplacement significatif de la normativité vers des standards formellement volontaires et d’origine privée.

9La section II prolonge cette analyse en s’intéressant au paysage institutionnel de la normalisation européenne tel qu’il se structure actuellement, et aux dynamiques de pouvoir et savoir qui traversent les comités de normalisation et les pratiques effectives d’élaboration des standards. Elle mobilise notamment les apports de la science post-normale pour proposer une lecture critique de la gouvernance par les normes techniques dans un contexte d’incertitude radicale, de valeurs en débat, d’enjeux élevés et de décisions urgentes.

I-La double transposition du New Legislative Framework (NLF) à la régulation des systèmes d’IA à haut risque 

  • 8 AI Act, considérant 26. Pour une discussion critique, v. EBERS (M.), « Truly Risk-Based Regulation (...)

10L’AI Act adopte une logique de régulation différenciée en fonction du niveau de risque (risk-based approach), modulant les obligations applicables aux différents opérateurs de la chaîne de valeur de l’intelligence artificielle selon la gravité des atteintes potentielles aux droits fondamentaux. Le continuum normatif ainsi établi s’étend des exigences minimales applicables aux systèmes à risque négligeable jusqu’à l’interdiction de certaines pratiques jugées incompatibles avec les valeurs de l’Union8.

  • 9 AI Act, considérant 46.

11Au cœur de ce dispositif se trouve la catégorie, à la fois centrale et conceptuellement délicate, des systèmes d’IA à haut risque. Aux termes de l’article 6 de l’AI Act, relèvent de cette catégorie les systèmes destinés à être utilisés comme composants de sécurité de produits (par exemple certains dispositifs médicaux, machines, jouets, etc.), ou qui sont eux-mêmes des produits couverts par la législation d’harmonisation de l’Union, ainsi que ceux destinés à être utilisés dans l’un des domaines énumérés à l’annexe III, dès lors qu’ils présentent un risque pour la santé, la sécurité ou les droits fondamentaux9. Cette annexe vise notamment des usages dans des domaines tels que le recrutement et la gestion des ressources humaines, l’évaluation de la solvabilité, l’accès aux prestations sociales, l’éducation, la migration ou encore certaines activités relevant de l’application de la loi.

12Dans ce domaine, l’AI Act s’inscrit dans la continuité d’une architecture normative initialement conçue pour les produits industriels  : le NLF. Introduit à partir de 2008, ce cadre vise à améliorer le fonctionnement du marché intérieur des biens en renforçant la sécurité des produits, en harmonisant la législation technique, en généralisant les procédures d’évaluation de la conformité, et en articulant étroitement exigences légales essentielles et normalisation technique.

13L’influence du NLF sur l’AI Act peut être appréhendée à deux niveaux  : d’une part, une logique de régulation centrée sur l’IA considérée comme un produit mis sur le marché (A)  ; d’autre part, une délégation normative étendue vers la normalisation, dont le rôle structurant se déploie principalement par le biais de la présomption de conformité attachée aux normes techniques harmonisées (B).

A-L’IA appréhendée comme produit

  • 10 V. SMORTO (G.), « Human Vulnerability and AI : The Risk of Risk Regulation », in AMODIO (C.) et DIU (...)

14Le régime applicable aux systèmes d’IA à haut risque se caractérise par une tension interne entre, d’une part, la reconnaissance partielle de l’incertitude inhérente à ces technologies quant à leurs effets potentiels sur les droits fondamentaux et, d’autre part, l’ancrage persistant dans une approche produit-centrée héritée du NLF10.

  • 11 BAGNI (F.) et al., White Paper on Regulatory Sandboxes for AI and Cybersecurity, SSRN, 2025 ; JOHNS (...)
  • 12 MANTELERO (A.), « The Fundamental Rights Impact Assessment (FRIA) in the AI Act : Roots, Legal Obli (...)

15Certaines dispositions de l’AI Act semblent admettre le caractère évolutif et contextuel des risques liés à l’IA. L’article 9 impose la mise en place de systèmes de gestion des risques couvrant l’ensemble du cycle de vie des systèmes, incluant des évaluations ex ante et une surveillance post-mise sur le marché. De même, les bacs à sable réglementaires (regulatory sandboxes) prévus aux articles 57 à 59 instaurent des espaces d’expérimentation sous supervision, visant à identifier et atténuer des effets indésirables, anticiper des conséquences non intentionnelles et réduire l’écart entre innovation technologique et protection des droits fondamentaux11. Les exigences relatives à l’évaluation des impacts sur les droits fondamentaux témoignent également d’une tentative d’intégrer des considérations contextuelles et socio-juridiques dans l’appréhension des risques algorithmiques12.

  • 13 FRASER (H.) et al., « Acceptable Risks in Europe’s Proposed AI Act : Reasonableness and Other Princ (...)

16Pour autant, cette approche demeure partielle et étroitement encadrée. En pratique, l’AI Act reste largement ancré dans une logique qui conduit à appréhender les systèmes d’IA à haut risque comme des dispositifs susceptibles d’être évalués et certifiés au moyen de méthodologies classiques de gestion des risques. La liste relativement stable des applications d’IA qualifiées à haut risque (annexe III) et la focalisation sur les risques « raisonnablement prévisibles » (article 9, § 2, lettre a), appréciés à l’aune de « l’état de la technique généralement reconnu » (art. 8, § 1), illustre bien cette objectivation des risques socio-algorithmiques. Dès lors, celle-ci conduit à une requalification implicite des atteintes potentielles aux droits fondamentaux en problèmes essentiellement techniques, susceptibles d’être ramenés à un niveau « acceptable » (article 9, § 5) par des garanties procédurales, des systèmes de management des risques et des mécanismes de contrôle interne13.

  • 14 COMMISSION EUROPÉENNE, « Response to Corporate Europe Observatory (CEO) », 8 janvier 2025 (en ligne (...)
  • 15 RUDSCHIES (C.) et SCHNEIDER (I.), « The Long and Winding Road to Bans for Artificial Intelligence : (...)
  • 16 RUDSCHIES (C.) et SCHNEIDER (I.), Ibid., spéc. p. 13.

17Si la Commission européenne se dit consciente des défis que la garantie d’un niveau élevé de protection des droits fondamentaux pose à l’assimilation des systèmes d’IA à haut risque à des produits au sens du NLF14, cette assimilation a néanmoins été largement critiquée dans la doctrine. Les obligations conçues pour des risques anticipables et stabilisés apparaissent mal adaptées à l’appréhension de risques émergents, systémiques ou fortement dépendants des contextes d’usage. Des usages inédits, des environnements socio-techniques spécifiques ou encore des détournements fonctionnels peuvent ainsi générer des atteintes substantielles aux droits fondamentaux sans nécessairement déclencher ni les procédures de conformité associées à la qualification de « haut risque » (art. 8 et 9), ni l’interdiction des systèmes présentant un risque inacceptable (art. 5)15. Cette dernière mesure - la seule véritablement précautionneuse du règlement - apparaît d’ailleurs elle-même fragilisée par l’existence d’exceptions importantes, notamment dans le domaine de la sécurité nationale16.

18L’influence du NLF ne se limite toutefois pas à cette logique produit. Elle structure également la normativité effective du règlement, notamment à travers le recours massif à la normalisation technique pour la mise en œuvre des obligations applicables aux systèmes d’IA à haut risque.

B- Délégation normative et présomption de conformité attachée aux normes techniques harmonisées

19En ce qui concerne les systèmes d’IA à haut risque, l’autorité de l’AI Act est fondamentalement médiatisée. Sa normativité effective dépend moins du texte législatif lui-même que de l’élaboration et de l’adoption de normes harmonisées, produites en grande partie par des acteurs privés au sein des organismes européens de normalisation CEN et CENELEC, par l’intermédiaire de leur comité technique conjoint sur l’intelligence artificielle (JTC 21).

20Le mécanisme de délégation se déploie en plusieurs étapes : premièrement, la Commission adresse des mandats de normalisation au titre du règlement (UE) 1025/2012, ciblant les exigences de l’AI Act à traduire techniquement - en particulier celles relatives au système de management des risques, cœur de l’architecture réglementaire des systèmes à haut risque ; deuxièmement, les organismes de normalisation réunissent des comités techniques qui rédigent les normes ; troisièmement, la Commission évalue l’adéquation de la norme aux exigences législatives ; enfin, si l’évaluation est positive, la référence de la norme est publiée au Journal officiel de l’Union européenne.

21La clé de voûte de cet agencement réside dans l’article 40, al. 1, de l’AI Act :

22« Les systèmes d’IA à haut risque ou les modèles d’IA à usage général conformes à des normes harmonisées ou à des parties de normes harmonisées dont les références ont été publiées au Journal officiel de l’Union européenne conformément au règlement (UE) no 1025/2012 sont présumés conformes aux exigences visées à la section 2 du présent chapitre ou, le cas échéant, aux obligations énoncées au chapitre V, sections 2 et 3, du présent règlement, dans la mesure où ces exigences ou obligations sont couvertes par ces normes ».

  • 17 COMMISSION EUROPÉENNE, Vademecum de la normalisation européenne à l’appui de la législation et des (...)

23Ce mécanisme invite à adopter une lecture nuancée du statut juridique des normes techniques harmonisées. D’un point de vue strictement formel, elles constituent des instruments de mise en œuvre du droit de l’Union, dont la portée juridique dépend de leur rattachement procédural au AI Act et de la publication de leur référence au Journal officiel. C’est dans cette perspective que le Vademecum de la normalisation européenne à l’appui de la législation et des politiques de l’Union de 2015 précise qu’« en émettant une demande de normalisation, la Commission ne délègue pas de pouvoirs politiques aux OEN ni à leurs membres, mais reconnaît leurs rôles techniques particuliers dans le processus »17.

24Toutefois, d’un point de vue substantiel, une telle présentation apparaît réductrice à un double titre. Premièrement, elle tend à invisibiliser la dimension hautement normative - et donc politique - des choix techniques opérés. En effet, les organismes européens de normalisation font bien plus que traduire des exigences juridiques préexistantes : ils déterminent les conditions concrètes dans lesquelles un système d’IA à haut risque peut être qualifié de « conforme », et donc licitement mis sur le marché européen. Le degré d’indétermination de nombreuses exigences de l’AI Act - on aura l’occasion d’y revenir - confère aux organismes de normalisation une marge d’appréciation qui excède largement la simple transposition technique. La normalisation participe ainsi à la définition substantielle de ce qui est considéré comme acceptable au regard du droit de l’Union, participant d’une forme de co-production normative entre instances législatives et organismes techniques.

  • 18 Conclusions de l’avocate générale MEDINA, 22 juin 2023, CJUE, aff. C-588/21 P, Public.Resource.Org (...)

25Deuxièmement, une fois élaborées et adoptées, les normes harmonisées structurent les pratiques industrielles, définissent des critères de preuve, orientent les audits de conformité et produisent des effets contraignants de fait. Comme l’a souligné l’avocate générale dans l’affaire Public.Resource.Org, l’architecture même du système européen de normalisation repose sur l’hypothèse que tous les acteurs utilisent les normes harmonisées18.

26Bien que formellement qualifiées de « volontaires »19, celles-ci tendent ainsi à devenir, de facto, des instruments de régulation quasi obligatoires dès lors que leur référence est publiée au Journal officiel.

27Certes, l’AI Act laisse théoriquement ouvertes d’autres voies de démonstration de la conformité pour les fournisseurs de systèmes d’IA à haut risque. En pratique, cependant, ces voies alternatives impliquent des coûts élevés, une incertitude juridique accrue et des désavantages concurrentiels significatifs, notamment en matière d’accès aux marchés publics et de couverture assurantielle.

28Ces observations appellent une analyse attentive des structures institutionnelles, des rapports de pouvoir et des régimes de savoir qui façonnent la normalisation européenne - ce à quoi est consacrée la section suivante.

II-La normalisation technique comme source du droit de l’IA : une dépolitisation de choix normatifs lourde d’enjeux démocratiques et épistémiques

  • 20 COMMISSION EUROPÉENNE, « Décision d’exécution C(2023) 3215 du 22 mai 2023 », op. cit.

29Les travaux de normalisation technique relatifs à l’AI Act - pour la plupart encore en cours - ont été engagés selon un calendrier initial particulièrement contraint. La feuille de route fixée dans la demande formelle de normalisation émise par la Commission européenne en mai 2023 prévoyait l’adoption de la majorité des normes dans un délai compris entre douze et trente-six mois, soit dans une temporalité étroitement imbriquée avec l’entrée en application progressive des obligations substantielles de l’AI Act. L’ambition assignée à ce processus était considérable : il s’agissait de couvrir l’ensemble des exigences applicables aux systèmes d’IA à haut risque (articles 8 à 15), incluant notamment le système de gestion des risques, la gouvernance et la qualité des données, la documentation technique, la transparence, la supervision humaine, ainsi que la précision, la robustesse et la cybersécurité20.

  • 21 COMMISSION EUROPÉENNE, « Response to Corporate Europe Observatory (CEO) », op. cit., p. 1. Cette ré (...)
  • 22 ETUC, AI standardisation : Inclusiveness, lettre d’information CEN-CENELEC, éd. 12, déc. 2025 (en l (...)

30La complexité technique des sujets abordés - pour la première fois, des normes harmonisées sont explicitement mobilisées afin de rendre effectives des exigences étroitement liées à la protection des droits fondamentaux21 - ainsi que leur fonction juridique centrale dans l’établissement d’une présomption de conformité, ont conduit à des retards significatifs par rapport aux échéances initialement prévues. Selon les informations disponibles à ce stade22, une part substantielle des normes demeure à l’état de projets avancés ou de consultations internes, notamment celles relatives à la gestion des risques. Certains projets ont toutefois atteint des stades plus avancés, à l’image du projet de norme prEN 18286 AI relatif aux systèmes de gestion de la qualité, mis à l’enquête publique à l’automne 2025 afin de permettre aux organismes nationaux de normalisation de formuler des observations en vue d’une adoption finale désormais envisagée pour 2026.

31À ce jour, aucune norme harmonisée adoptée sur le fondement de l’AI Act n’a encore été publiée au Journal officiel de l’Union européenne. En parallèle, la Commission a engagé un processus distinct – reposant également sur la participation d’acteurs privés – ayant conduit à l’adoption d’un Code of Practice applicable aux modèles d’IA à usage général. Bien que ce dernier soit susceptible de jouer un rôle structurant dans l’interprétation et la mise en œuvre des obligations légales, il ne bénéficie pas du même statut juridique que les normes harmonisées au sens de l’article 4023.

32Face à l’accumulation des retards et à l’urgence réglementaire, les comités techniques de normalisation - le CEN et le CENELEC, déjà mentionnés - ont adopté, à l’automne 2025, des mesures exceptionnelles destinées à accélérer l’achèvement de certains projets clés. Celles-ci incluent notamment la possibilité, sous conditions, de publier directement certains projets à l’issue d’un vote d’enquête positif, sans recourir à une seconde phase de vote formel, ainsi que la constitution de groupes de rédaction restreints chargés de consolider techniquement les textes les plus en retard, avec pour objectif affiché de garantir la disponibilité des normes essentielles d’ici le quatrième trimestre 202624.

33Si les comités de normalisation ont insisté sur le caractère exceptionnel et temporaire de ces mesures, ainsi que sur le maintien des procédures d’enquête publique, cette accélération procédurale ne saurait occulter une tendance plus générale à la dépolitisation de choix normatifs pourtant lourds d’enjeux démocratiques (A) et épistémiques (B).

A-Enjeux démocratiques

  • 25 ANEC et BEUC, For a Standardisation Governance Act : Recommendations to adapt Regulation (EU) 1025/ (...)
  • 26 MÉDIATEUR EUROPÉEN, How the European Commission ensures transparency, inclusiveness and accountabil (...)

34Ces évolutions récentes relatives au processus de normalisation s’inscrivent dans un contexte où plusieurs garanties traditionnellement associées à l’élaboration des normes - transparence des processus, pluralité des intérêts représentés, effectivité de la prise en compte des droits fondamentaux – y apparaissent structurellement fragilisées. En témoignent les critiques formulées par plusieurs organisations de la société civile25, dont une plainte déposée en juillet 2025 par le Corporate Europe Observatory et actuellement examinée par le Médiateur européen, relative à l’opacité des travaux de normalisation et à l’accès restreint aux documents préparatoires26.

  • 27 COMMISSION EUROPÉENNE, « Response to Corporate Europe Observatory (CEO) », op. cit., p. 1.

35Dans ce cadre, la Commission européenne a soutenu que les procès-verbaux des réunions et la liste des participants au comité technique mixte sur l’IA (JTC 21) ne pouvaient être communiqués qu’aux seuls participants, en invoquant à la fois la protection des données à caractère personnel et le droit d’auteur27.

  • 28 MICKLITZ (H.-W.), « The Role of Standards in Future EU Digital Policy Legislation : A Consumer Pers (...)
  • 29 CORPORATE EUROPE OBSERVATORY, Bias Baked In : How Big Tech Sets Its Own AI Standards, 9 janvier 202 (...)
  • 30 Ibid.
  • 31 Ibid. ; selon le même rapport, au sein du comité « intelligence artificielle » de l’AFNOR, organism (...)

36Cette position alimente les critiques d’un dispositif dans lequel le pouvoir de définition concrète des risques, des obligations et des garanties applicables aux systèmes d’IA se déplace de l’arène démocratique vers des espaces technico-experts dont la légitimité et la représentativité demeurent contestées28. Selon des estimations récentes, plus de la moitié des membres participant au JTC21 sont issus d’entreprises ou de cabinets de conseil, tandis que les organisations de la société civile, les syndicats et les associations de consommateurs restent très minoritaires, souvent en deçà de 10 %29. Cette asymétrie est encore accentuée par des écarts considérables de ressources, la participation effective aux travaux de normalisation supposant un investissement financier, humain et temporel élevé, dont disposent principalement les grandes entreprises technologiques30. Le mécanisme de représentation indirecte par l’intermédiaire des organismes nationaux de normalisation, fréquemment présenté comme un vecteur de légitimation démocratique, peine dès lors à corriger ces déséquilibres, dans la mesure où la composition des délégations nationales tend à refléter les structures de pouvoir propres aux écosystèmes de normalisation31.

  • 32 CJUE, aff. C-588/21 P, Public.Resource.Org et Right to Know CLG c. Commission européenne, point 58.
  • 33 COMMISSION EUROPÉENNE, « AI Act : Standardisation », op. cit.
  • 34 COMMISSION EUROPÉENNE, « Response to Corporate Europe Observatory (CEO) », op. cit., p. 1.

37S’agissant enfin du rôle des institutions européennes, le discours officiel met en avant un modèle de » délégation normative » supervisée ou « contrôlée »32, dans lequel les normes harmonisées sont élaborées par les organismes européens de normalisation mais validées par la Commission, qui « évalue si elles répondent aux objectifs visés et aux exigences juridiques de la législation sur l’IA »33. Cette présentation se heurte toutefois à la posture institutionnelle ambivalente récemment adoptée par la Commission : d’une part, elle a assuré jouer un rôle plus actif dans les travaux de normalisation relatifs à l’IA que dans d’autres domaines techniques ; d’autre part, elle a affirmé ne pas être responsable du contenu des normes élaborées par les organismes européens de normalisation ni des modalités de leur élaboration34. Il en découle une difficulté ultérieure au regard des exigences classiques de légitimité démocratique, puisque les arbitrages opérés dans les comités de normalisation non seulement échappent à toute délibération politique transparente et pluraliste, mais se trouvent également soustraits à des mécanismes robustes de responsabilité publique.

  • 35 VEALE (M.) / BORGESIUS (F. Z.), « Demystifying the Draft EU Artificial Intelligence Act - Analysing (...)
  • 36 CHAMPEIL-DESPLATS (V.), « Droit, pluralité des modes de normativité et internormativité. Regard jur (...)

38Certes, « the Commission’s long practice of privately outsourcing complex negotiations has been controversial for years »35, et ce déplacement du centre de gravité normatif des textes législatifs vers les standards techniques s’inscrit dans une évolution plus large de la régulation technologique, marquée par la montée en puissance d’acteurs privés « prétendant produire de la normativité dont la qualification de juridique devient un sujet d’interrogation et un enjeu »36. Ce mouvement, déjà bien identifié dans d’autres secteurs, acquiert toutefois une acuité particulière lorsqu’il est transposé au champ de l’IA, en raison du degré élevé d’incertitude scientifique et de la charge axiologique des choix techniques qu’il implique, lesquels conditionnent directement l’effectivité de la protection des droits fondamentaux.

B-Enjeux épistémiques

  • 37 Car, comme le souligne avec cette métaphore éclairante FLORIDI (L.), « Soft Ethics and the Governan (...)

39Car en effet, la normalisation de l’IA repose non seulement sur une division du travail normatif, mais également sur une politique du savoir spécifique, matérialisée par des normes techniques présentées comme alignées sur l’« état de l’art », alors même que celui-ci demeure profondément instable et contesté. De plus, le caractère technologiquement exceptionnel de l’IA - complexité technique, rapidité de déploiement, capacité de transformation sociale et économique - renforce la pression en faveur de décisions rapides, souvent prises au détriment d’une mise en débat approfondie des incertitudes et des désaccords scientifiques37.

  • 38 CORPORATE EUROPE OBSERVATORY, « Bias Baked In : How Big Tech Sets Its Own AI Standards », op. cit.

40La normalisation apparaît ainsi comme un espace intermédiaire, situé à la frontière de l’épistémologie et de la gouvernance, au sein duquel certaines manières de connaître, de qualifier et de gouverner les systèmes d’intelligence artificielle sont naturalisées et stabilisées, tandis que d’autres sont marginalisées ou rendues invisibles38.

  • 39 Dès 2020, le Parlement européen avait explicitement appelé à l’application du principe de précautio (...)

41Il est désormais largement établi que les relations entre les grandes entreprises technologiques et le processus d’élaboration de l’AI Act ont été marquées par des tensions et des conflits d’intérêts, les premières ayant mobilisé des ressources considérables pour infléchir les arbitrages réglementaires en faveur de solutions qui leur étaient favorables39. Or l’entrée en vigueur du règlement ne met pas un terme à cette dynamique d’influence : celle-ci se prolonge et se reconfigure au sein même de l’écosystème de la normalisation technique.

  • 40 EBERS (M.), « Truly Risk-Based Regulation of Artificial Intelligence : How to Implement the EU’s AI (...)

42C’est à cet égard que l’indétermination de nombreuses exigences juridiques de l’AI Act revêt une portée particulière40. Ainsi, l’article 15, paragraphe 1, impose aux systèmes d’IA à haut risque d’atteindre « un niveau approprié […] de robustesse ». Mais que recouvre une robustesse appropriée ? Quels scénarios de stress tests doivent être retenus, selon quelles méthodologies et avec quels seuils de réussite ? Le texte législatif ne fournit à cet égard aucune indication substantielle. De même, l’article 10, paragraphe 3, exige que les jeux de données d’entraînement soient « pertinents », « suffisamment représentatifs » et « exempts d’erreurs ». La traduction standardisée de ces notions suppose toutefois de fixer des critères et des méthodes hautement controversés : pertinents par rapport à quel usage ? Représentatifs de quelle population ? Selon quelles métriques statistiques et à partir de quels seuils ? Enfin, que faut-il qualifier d’« erreur » - défaut d’annotation, valeurs aberrantes, biais de collecte ? Des indéterminations analogues concernent l’« examen permettant de repérer d’éventuels biais » dans la gouvernance des données (article 10, paragraphe 2) et l’exigence de transparence, définie comme un niveau « adéquats » (article 13, paragraphe 1) pour permettre aux utilisateurs d’interpréter les résultats du système et d’en faire un usage approprié.

43Dans tous ces cas, l’élaboration de normes techniques implique des arbitrages à la fois épistémiques et axiologiques, qui conditionnent directement la portée effective des obligations juridiques. Or ces arbitrages sont largement délégués à des processus de normalisation dominés par des acteurs dont les cadres épistémiques et les intérêts matériels convergent structurellement vers la réduction des coûts de conformité plutôt que vers la maximisation de la protection des droits fondamentaux. Dans ce contexte, la posture institutionnelle adoptée par la Commission européenne - consistant à se dissocier du contenu des normes élaborées par les organismes européens de normalisation - revient, en pratique, à entériner la porosité croissante entre expertise présentée comme indépendante et formes renouvelées de plaidoyer industriel.

  • 41 Sur le lien foucaldien entre pouvoir et savoir comme matrice constitutive de la gouvernance algorit (...)
  • 42 International AI Safety Report, 2025, p. 100 (en ligne : arXiv :2501.17805)

44Autrement dit, la normalisation fonctionne comme une véritable technologie de gouvernement, au sens foucaldien du terme, dont les effets normatifs ne sauraient être neutralisés par leur habillage technique41. Ceci est d’autant plus vrai que, comme l’a souligné l’International Scientific Report on the Safety of Advanced AI publié en janvier 2025, les risques associés aux systèmes d’IA se caractérisent par un degré inhabituel d’incertitude quant à leur probabilité, leur nature et leur temporalité. Si cette incertitude est structurelle et résulte notamment de l’autonomie croissante des systèmes et de l’imbrication étroite entre performances techniques, contextes d’usage et comportements humains, les méthodes d’évaluation des risques demeurent émergentes et largement insuffisantes pour appréhender de manière systématique les dommages potentiels, qu’ils soient intentionnels ou non42.

  • 43 FUNTOWICZ (S.) et RAVETZ (J.), « Science for the Post-Normal Age », Futures, 1993, vol. 25, n° 7, p (...)
  • 44 V. not. JASANOFF (S.), States of Knowledge : The Co-Production of Science and Social Order, Routled (...)
  • 45 Pour une discussion plus approfondie sur ce point, qu'il soit permis de renvoyer à AMODIO (C.), « A (...)
  • 46 Pour un rapprochement avec la standpoint theory, voir McQUILLAN (D.), Resisting AI : An Anti-Fascis (...)

45Les apports de la Post-Normal Science (PNS)43, en dialogue avec d’autres approches issues des Science and technology studies44, permettent d’éclairer les limites des modèles technocratiques classiques d’expertise. Sans qu’il soit nécessaire de s’y attarder longuement45, ce cadre souligne qu’en situation d’incertitude élevée, de valeurs en débat, d’enjeux importants et de décisions urgentes - conditions réunies de manière paradigmatique dans la régulation de l’IA - la production normative ne peut se fonder sur l’illusion d’un savoir technique stabilisé. Elle suppose, au contraire, une ouverture explicite et effective à une communauté élargie de pairs, incarnant une pluralité de savoirs, y compris interdisciplinaires, critiques et situés46.

  • 47 Que d'aucuns qualifieraient de « démocratie technique ». V. notamment CALLON (M.), LASCOUMES (p. ) (...)
  • 48 Memorandum of Understanding between CEN, CENELEC and the European Union Agency for Fundamental Righ (...)

46Cette exigence d’ouverture47 demeure aujourd’hui largement inaboutie dans les configurations de la normalisation technique, de sorte que celle-ci contribue moins à réduire l’incertitude qu’à la redistribuer, en la faisant peser de manière asymétrique sur les individus et les groupes les plus exposés aux effets des systèmes d’IA. Pour conclure, une évolution récente mérite toutefois d’être soulignée. En janvier 2026, un mémorandum d’entente a été signé entre le CEN-CENELEC et l’Agence de l’Union européenne pour les droits fondamentaux (FRA), visant à intégrer plus étroitement l’expertise en matière de droits fondamentaux au sein des travaux de normalisation du JTC 2148. Si cette initiative demeure à un stade précoce et ne saurait, à elle seule, remédier aux déséquilibres structurels du système de normalisation, elle constitue néanmoins un signal important : celui d’une reconnaissance institutionnelle du caractère intrinsèquement normatif et controversé des standards techniques en matière d’IA, ainsi que de la nécessité d’élargir les cadres épistémiques mobilisés pour en définir le contenu.

Haut de page

Notes

1 UNION EUROPÉENNE, Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle et modifiant les règlements (CE) n° 300/2008, (UE) n° 167/2013, (UE) n° 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l’intelligence artificielle), Journal officiel de l’Union européenne L 2024/1689, 12 juillet 2024.

2 Selon GORNET (M.) et HERMAN (H.), A Peek into European Standards Making for AI : Between Geopolitical and Economic Interests, 2024, p. 43 (HAL : hal-04784035), un écart significatif existe entre « the importance of standardisation and the interest shown in it by academic literature, the scientific world and the general public as a whole ». Parmi les travaux académiques ayant spécifiquement porté sur la normalisation technique dans le contexte de l’AI Act, v. not. : MICKLITZ (H.-W.), The Role of Standards in Future EU Digital Policy Legislation : A Consumer Perspective, rapport commandé par BEUC et ANEC, juill. 2023 ; BAEVA (D. G.) et al., Power to the Standards : Expert Consultation on the Role of Norms and Standards in the European Regulation of Artificial Intelligence, White Paper, The Center for Trustworthy Artificial Intelligence, 2023 ; SOLER GARRIDO (J.) et al., Harmonised Standards for the European AI Act, Commission européenne, Joint Research Centre, Report No. JRC139430, 2024 ; GORNET (M.), Regulation through standardisation : the legitimacy issue of European AI standards, 2024 (HAL : hal-04785178) ; KILIAN (R.) et al., « European AI standards : technical standardisation and implementation challenges under the EU AI Act », European Journal of Risk Regulation, 2025, p. 1 et s.

3 COMMISSION EUROPÉENNE, Décision d’exécution C(2023) 3215 du 22 mai 2023 relative à une demande de normalisation adressée au Comité européen de normalisation et au Comité européen de normalisation électrotechnique à l’appui de la politique de l’Union en matière d’IA (abrogée et remplacée par la décision C(2025) 3871 final du 23 juin 2025 relative aux systèmes d’IA à haut risque en soutien au règlement (UE) 2024/1689).

4 Le New Legislative Framework (NLF) est décrit par les documents institutionnels comme un ensemble de principes et d’instruments de l’Union (v. not. la décision n° 768/2008/CE, le règlement (CE) n° 765/2008 et le règlement (UE) 2019/1020). V. PARLEMENT EUROPÉEN, Interplay between the AI Act and the EU Digital Legislative Framework, PE 778575, oct. 2025, p. 65 ; et, pour une « généalogie » institutionnelle, COMMISSION EUROPÉENNE, « Le Guide bleu relatif à la mise en œuvre de la réglementation de l’UE sur les produits 2022 », Journal officiel de l’Union européenne C 247, 29 juin 2022, spéc. § 1.1.3.

5 CJUE, 27 octobre 2016, James Elliott, aff. C-613/14, EU :C :2016 :821, point 40.

6 « Standard setting overview » (en ligne : https://artificialintelligenceact.eu/standard-setting-overview).

7 AI Act, considérant 64. V. également considérant 52.

8 AI Act, considérant 26. Pour une discussion critique, v. EBERS (M.), « Truly Risk-Based Regulation of Artificial Intelligence : How to Implement the EU’s AI Act », European Journal of Risk Regulation, vol. 16, n° 2, 2025, p. 684.

9 AI Act, considérant 46.

10 V. SMORTO (G.), « Human Vulnerability and AI : The Risk of Risk Regulation », in AMODIO (C.) et DIURNI (A.) (dir.), Human Vulnerability in Interaction with AI in European Private Law, Springer, 2026 (à paraître) ; EBERS (M.), art. préc.

11 BAGNI (F.) et al., White Paper on Regulatory Sandboxes for AI and Cybersecurity, SSRN, 2025 ; JOHNSON (W. G.), « Caught in Quicksand ? Compliance and Legitimacy Challenges in Using Regulatory Sandboxes to Manage Emerging Technologies », Regulation & Governance, vol. 17, n° 3, 2023, p. 709.

12 MANTELERO (A.), « The Fundamental Rights Impact Assessment (FRIA) in the AI Act : Roots, Legal Obligations and Key Elements for a Model Template », Computer Law & Security Review, 2024, arXiv :2411.15149.

13 FRASER (H.) et al., « Acceptable Risks in Europe’s Proposed AI Act : Reasonableness and Other Principles for Deciding How Much Risk Management Is Enough », European Journal of Risk Regulation, vol. 15, n° 2, 2024, p. 431.

14 COMMISSION EUROPÉENNE, « Response to Corporate Europe Observatory (CEO) », 8 janvier 2025 (en ligne : https://corporateeurope.org/sites/default/files/2025-01/response-CEO-8Jan.pdf).

15 RUDSCHIES (C.) et SCHNEIDER (I.), « The Long and Winding Road to Bans for Artificial Intelligence : From Public Pressure and Regulatory Initiatives to the EU AI Act », Digital Society, 2025, vol. 4, 57.

16 RUDSCHIES (C.) et SCHNEIDER (I.), Ibid., spéc. p. 13.

17 COMMISSION EUROPÉENNE, Vademecum de la normalisation européenne à l’appui de la législation et des politiques de l’Union, partie I, 27 octobre 2015, p. 10 (en ligne : https://ec.europa.eu/docsroom/documents/13507/attachments/1/translations).

18 Conclusions de l’avocate générale MEDINA, 22 juin 2023, CJUE, aff. C-588/21 P, Public.Resource.Org et Right to Know CLG c. Commission européenne, spéc. pts 42-43.

19 COMMISSION EUROPÉENNE, « AI Act : Standardisation », (en ligne : https://digital-strategy.ec.europa.eu/fr/policies/ai-act-standardisation) ; COMMISSION EUROPÉENNE, « Le Guide bleu relatif à la mise en œuvre de la réglementation de l’UE sur les produits 2022 », op. cit., § 1.1.3.

20 COMMISSION EUROPÉENNE, « Décision d’exécution C(2023) 3215 du 22 mai 2023 », op. cit.

21 COMMISSION EUROPÉENNE, « Response to Corporate Europe Observatory (CEO) », op. cit., p. 1. Cette réponse a été rédigée dans le cadre de la plainte dont il est question plus bas dans le texte.

22 ETUC, AI standardisation : Inclusiveness, lettre d’information CEN-CENELEC, éd. 12, déc. 2025 (en ligne : https://www.etuc.org/sites/default/files/page/file/2025-12/AI %20standardisation %20Inclusiveness_Newsletter12.pdf).

23 COMMISSION EUROPÉENNE, « AI Code of Practice », (en ligne : https://digital-strategy.ec.europa.eu/en/policies/ai-code-practice), v. spéc. la rubrique « Questions and answers ».

24 CEN-CENELEC, « AI standardization », Brief News, 23 octobre 2025 (en ligne : https://www.cencenelec.eu/news-events/news/2025/brief-news/2025-10-23-ai-standardization/).

25 ANEC et BEUC, For a Standardisation Governance Act : Recommendations to adapt Regulation (EU) 1025/2012, janv. 2024 (en ligne : https://www.beuc.eu/sites/default/files/publications/BEUC-X-2024-001_For_a_standardisation_governance_act.pdf) ; Joint Civil Society Letter Urging the EU Institutions to Protect Fundamental Rights in the Code of Practice for General Purpose AI – Final Draft, mars 2025 (en ligne : https://cdt.org/insights/joint-civil-society-letter-urging-the-eu-institutions-to-protect-fundamental-rights-in-the-code-of-practice-for-general-purpose-ai-final-draft/).

26 MÉDIATEUR EUROPÉEN, How the European Commission ensures transparency, inclusiveness and accountability in the adoption of harmonised standards related to artificial intelligence, Opening Summary, affaire 1974/2025/MIK, 26 septembre 2025 (en ligne : https://www.ombudsman.europa.eu/it/opening-summary/en/212090).

27 COMMISSION EUROPÉENNE, « Response to Corporate Europe Observatory (CEO) », op. cit., p. 1.

28 MICKLITZ (H.-W.), « The Role of Standards in Future EU Digital Policy Legislation : A Consumer Perspective », op. cit., p. 13.

29 CORPORATE EUROPE OBSERVATORY, Bias Baked In : How Big Tech Sets Its Own AI Standards, 9 janvier 2025 (en ligne : https://corporateeurope.org/en/2025/01/bias-baked).

30 Ibid.

31 Ibid. ; selon le même rapport, au sein du comité « intelligence artificielle » de l’AFNOR, organisme national de normalisation représentant la France au niveau européen et international, les organisations de la société civile ne représenteraient qu’environ 4 % des participants.

32 CJUE, aff. C-588/21 P, Public.Resource.Org et Right to Know CLG c. Commission européenne, point 58.

33 COMMISSION EUROPÉENNE, « AI Act : Standardisation », op. cit.

34 COMMISSION EUROPÉENNE, « Response to Corporate Europe Observatory (CEO) », op. cit., p. 1.

35 VEALE (M.) / BORGESIUS (F. Z.), « Demystifying the Draft EU Artificial Intelligence Act - Analysing the good, the bad, and the unclear elements of the proposed approach », Computer Law Review International, 2021, n° 4, p. 106.

36 CHAMPEIL-DESPLATS (V.), « Droit, pluralité des modes de normativité et internormativité. Regard juridique », La Revue des droits de l’homme, 2019, n° 16, p. 2.

37 Car, comme le souligne avec cette métaphore éclairante FLORIDI (L.), « Soft Ethics and the Governance of the Digital », Philosophy & Technology, 2018, vol. 31, p. 6 : « the best way to catch the technology train is not to chase it, but to be at the next station ».

38 CORPORATE EUROPE OBSERVATORY, « Bias Baked In : How Big Tech Sets Its Own AI Standards », op. cit.

39 Dès 2020, le Parlement européen avait explicitement appelé à l’application du principe de précaution aux technologies fondées sur l’IA, affirmant ainsi un choix normatif fort en faveur de la protection des droits fondamentaux. Cette orientation n’a toutefois été que partiellement retenue dans la version finale de l’AI Act. Voir FRASER (H.) et BELLO Y VILLARINO (J.-M.), « Acceptable Risks in Europe’s Proposed AI Act : Reasonableness and Other Principles for Deciding How Much Risk Management Is Enough », European Journal of Risk Regulation, 2024, 15.2 (2024) : 431-446 et RUDSCHIES (C.) et SCHNEIDER (I.), « The Long and Winding Road to Bans for Artificial Intelligence : From Public Pressure and Regulatory Initiatives to the EU AI Act », op. cit.

40 EBERS (M.), « Truly Risk-Based Regulation of Artificial Intelligence : How to Implement the EU’s AI Act », op. cit.

41 Sur le lien foucaldien entre pouvoir et savoir comme matrice constitutive de la gouvernance algorithmique, voir Jarke (J.) et al., « Knowing in Algorithmic Regimes : An Introduction », in Jarke (J.) et al. (dir.), Algorithmic Regimes : Methods, Interactions, and Politics, Amsterdam, Amsterdam University Press, 2024, p. 7-34.

42 International AI Safety Report, 2025, p. 100 (en ligne : arXiv :2501.17805)

43 FUNTOWICZ (S.) et RAVETZ (J.), « Science for the Post-Normal Age », Futures, 1993, vol. 25, n° 7, p. 739-755 ;

44 V. not. JASANOFF (S.), States of Knowledge : The Co-Production of Science and Social Order, Routledge, 2004.

45 Pour une discussion plus approfondie sur ce point, qu'il soit permis de renvoyer à AMODIO (C.), « A Post-Normal Science Framework for Rethinking EU AI Governance », The Italian Law Journal, 2026 (à paraître).

46 Pour un rapprochement avec la standpoint theory, voir McQUILLAN (D.), Resisting AI : An Anti-Fascist Approach to Artificial Intelligence, Bristol University Press, 2022, p. 109.

47 Que d'aucuns qualifieraient de « démocratie technique ». V. notamment CALLON (M.), LASCOUMES (p. ) et BARTHE (Y.), Agir dans un monde incertain. Essai sur la démocratie technique, Seuil, 2001, p. 396.

48 Memorandum of Understanding between CEN, CENELEC and the European Union Agency for Fundamental Rights on cooperation in AI standardisation, 20 janvier 2026 (en ligne : https://www.cencenelec.eu/news-events/news/2026/press-releases/2026-01-19-mou-with-fra/ ?utm_ )

Haut de page

Pour citer cet article

Référence électronique

Claudia Amodio, « La normalisation technique dans le cadre de l’EU AI Act : logique et enjeux d’une normativité déléguée »La Revue des droits de l’homme [En ligne], 29 | 2026, mis en ligne le 24 février 2026, consulté le 05 juin 2026. URL : http://journals.openedition.org/revdh/24944 ; DOI : https://doi.org/10.4000/15qfd

Haut de page

Auteur

Claudia Amodio

Claudia Amodio est Professeure de Droit comparé à l’ Université de Ferrare et Chercheuse Associée au CREDOF à l’ Université Paris Nanterre

Du même auteur

Haut de page

Droits d’auteur

CC-BY-NC-ND-4.0

Le texte seul est utilisable sous licence CC BY-NC-ND 4.0. Les autres éléments (illustrations, fichiers annexes importés) sont susceptibles d’être soumis à des autorisations d’usage spécifiques.

Haut de page
Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search