IA physique dans l’UE : comment articuler les règles sur les machines, le règlement sur l’IA et la cybersécurité

Définir la machine et chaque fonction d’IA

L’IA physique désigne ici l’IA utilisée pour percevoir un environnement et influencer les actions physiques d’une machine, par exemple pour sélectionner des objets, planifier une préhension ou circuler dans un entrepôt. L’analyse juridique commence par le produit et sa fonction réels. Le règlement sur l’IA définit lui-même le système d’IA ; l’appellation « IA physique » du fournisseur ne détermine pas les règles applicables.

Recensez le robot, les outils, le contrôleur, les capteurs, les versions logicielles, les utilisateurs prévus et l’environnement d’exploitation. Distinguez les tâches de production des fonctions qui protègent les personnes. Identifiez qui fournit la machine complète, intègre l’application, fournit l’IA et assure la maintenance des logiciels connectés. Ce guide porte sur les machines industrielles ; les robots médicaux, les véhicules routiers, le traitement de données personnelles et l’utilisation au travail peuvent relever de règles supplémentaires ou différentes.

Trois cadres répondent à des questions différentes

Établissez une conclusion distincte sur le champ d’application de chaque cadre, puis reliez les justificatifs. Une déclaration relative à la machine, une description du modèle d’IA et un rapport de test d’intrusion répondent à des aspects différents de l’examen. Vérifiez, le cas échéant, les autres textes sur les produits, notamment ceux relatifs aux équipements radio ou à la compatibilité électromagnétique.

La sécurité des machines inclut les logiciels et le comportement d’apprentissage

La directive Machines 2006/42/EC reste le cadre applicable aux produits avant la transition. Le règlement (UE) 2023/1230 la remplace à partir du 20 janvier 2027. Déterminez quand chaque machine sera mise sur le marché de l’UE ou mise en service pour la première fois ; sa date de conception ou le lancement antérieur d’un modèle ne suffit pas à trancher la transition.

Dans le cadre du règlement, évaluez l’évolution prévisible du comportement autonome, la protection des logiciels et données liés à la sécurité et les défaillances des systèmes de commande. Définissez les limites des tâches et des mouvements et montrez comment empêcher que l’apprentissage ou des réglages modifiés créent des dangers. Incluez dans l’examen l’accès à distance, les mises à jour et la réaction aux défaillances des capteurs ou des communications.

Choisissez la procédure de conformité selon la catégorie réelle. L’annexe I, partie A, inclut certains composants de sécurité fondés sur l’apprentissage automatique et systèmes intégrés assurant des fonctions de sécurité ; ils nécessitent une procédure faisant intervenir un organisme notifié. Une fonction d’IA destinée à une tâche ordinaire de production ne classe pas à elle seule l’ensemble du robot dans cette catégorie.

Vérifier le régime actuel des machines dans le règlement sur l’IA

Pour le régime des produits de l’article 6(1), les deux conditions comptent : l’IA doit être un composant de sécurité, ou elle-même un produit couvert, et le produit concerné doit être soumis à une évaluation de conformité par un tiers pour la santé et la sécurité. L’IA utilisée uniquement pour l’optimisation de la production ou le contrôle qualité sans lien avec la sécurité se distingue des composants de sécurité. Examinez les conséquences d’une défaillance : une fonction dont la défaillance met en danger la santé et la sécurité peut toujours être concernée.

Le règlement (UE) 2026/1744 est entré en vigueur le 27 juillet 2026 et a transféré les machines à l’annexe I, section B, du règlement sur l’IA. Pour l’IA à haut risque relevant de l’article 6(1) associée à ces machines, l’article 2(2) limite l’application directe du règlement sur l’IA. Les exigences pertinentes de sécurité de l’IA doivent être intégrées par des actes délégués au titre du règlement Machines, applicables au plus tard le 2 août 2028. Planifiez selon ce régime sectoriel et vérifiez les actes délégués applicables avant la mise à disposition.

Évaluez séparément chaque autre usage de l’IA. Par exemple, la gestion des travailleurs ou les fonctions biométriques peuvent soulever leurs propres questions au titre de l’annexe III ou des pratiques interdites. Le régime des machines est propre à l’IA liée au produit qui remplit les critères ; il ne permet pas de conclure globalement pour tous les systèmes d’IA utilisés dans une usine.

Ajouter la cybersécurité des produits et une procédure de notification

Examinez le robot, les logiciels fournis séparément et le traitement à distance nécessaire au regard du CRA. Vérifiez les connexions entre appareils ainsi que la connexion à Internet et examinez les exclusions. Pour les produits couverts, préparez l’évaluation des risques de cybersécurité, la gestion des vulnérabilités, les mises à jour de sécurité et une période d’assistance définie. Reliez ces dossiers à l’évaluation de la machine lorsqu’une cyberattaque pourrait affecter les mouvements ou les fonctions de protection.

Les obligations de notification CRA des fabricants s’appliquent depuis le 11 septembre 2026, y compris aux produits couverts mis sur le marché avant l’application des exigences principales. Une vulnérabilité activement exploitée et un incident grave affectant la sécurité du produit constituent des déclencheurs distincts. Organisez le processus de la plateforme unique de notification : alerte précoce dans les 24 heures suivant la prise de connaissance et notification dans les 72 heures, sans retard injustifié. Les délais du rapport final diffèrent pour les vulnérabilités et les incidents.

Inscrire les différentes dates dans votre calendrier de mise à disposition

Selon l’examen du 29 octobre 2026, les dates ci-dessous concernent des obligations différentes. La date générale d’application du règlement sur l’IA était le 2 août 2026, avec des exceptions spécifiques. Ses dates ultérieures pour les systèmes à haut risque ne reportent ni les obligations existantes de sécurité des machines ni les notifications CRA.

Exemple : une cellule de prélèvement par IA pour mars 2027

Supposons qu’un fournisseur mette pour la première fois sur le marché de l’UE une cellule robotisée clôturée en mars 2027. Un modèle de vision sélectionne les pièces, des équipements de protection distincts commandent l’accès et l’arrêt, et un diagnostic à distance relie la cellule au fournisseur. Cet exemple hypothétique illustre les questions à résoudre ; il ne classe pas un produit particulier.

• Machine : examinez la cellule complète au titre du règlement Machines, y compris les outils, l’intégration, les commandes de sécurité et la procédure d’évaluation correcte.
• Fonction d’IA : documentez si la sélection des pièces est exclusivement sans lien avec la sécurité et si ses défaillances pourraient mettre des personnes en danger. Confirmez l’indépendance et la couverture du système de protection avant de vous appuyer sur cette conclusion.
• Produit connecté : vérifiez le champ du CRA et les procédures de notification déjà requises. Planifiez séparément les unités fournies après le 11 décembre 2027 et les modifications des unités antérieures.

Demander au fournisseur un ensemble cohérent de justificatifs

Utilisez la liste suivante pour examiner un achat. Certains dossiers sous-jacents font partie de la documentation technique du fabricant plutôt que d’un dossier obligatoirement remis au client ; convenez des justificatifs que le fournisseur mettra à disposition.

1. Champ d’application et rôles. La configuration exacte, la destination prévue, les fonctions d’IA, la date de fourniture et les entreprises responsables de la machine, de l’intégration, de l’IA et de l’assistance logicielle.
2. Une cartographie réglementaire motivée. Les textes applicables, les exclusions, l’analyse du composant de sécurité d’IA, les procédures de conformité et les dates retenues pour chaque conclusion.
3. Les preuves de sécurité. Les résultats pertinents de l’appréciation des risques, les limites d’exploitation, les résultats de validation, les instructions et le comportement en cas de défaillance des capteurs, des communications ou des sorties de l’IA.
4. Cybersécurité et assistance. Les contrôles d’accès à distance, l’identification des composants et logiciels, le contact pour les vulnérabilités, le processus de mise à jour, la fin de l’assistance et les responsabilités de notification des incidents.
5. Les dossiers de mise à disposition et de modification. Les déclarations et certificats applicables correspondant au modèle et à sa configuration, ainsi que la responsabilité d’évaluer les mises à jour du modèle, les nouveaux outils ou les tâches modifiées.

Réexaminer l’évaluation lorsque l’application change

Consignez les modifications du modèle, des fonctions de sécurité, de la charge utile, de la vitesse, des outils et de l’espace de fonctionnement. Au titre du règlement Machines, une modification physique ou numérique peut faire de son auteur un fabricant si tous les critères de la modification substantielle sont remplis. Une mise à jour seule ne suffit pas à établir ce résultat. Revérifiez la définition juridique, les risques affectés et les changements de protection requis, puis documentez la conclusion avant le déploiement.

Rechercher vos exigences en matière d’IA physique avec Regunow

Utilisez Regunow pour étudier les exigences relatives aux machines, à l’IA et à la cybersécurité, examiner les références et analyser les documents des fournisseurs. Rassemblez les résultats pour l’examen de votre équipe.