Les normes techniques harmonisées demandées par la Commission européenne au soutien d’une législation européenne jouent cependant un rôle croissant dans la règlementation du numérique (particulièrement dans l’IA Act) de plus en plus fondée sur les risques et la conformité, notamment technique. Le Parlement européen n’a pas de pouvoir de contrôle contraignant sur ces normes élaborées par les organismes de normalisation européens. Ainsi se pose de manière accrue la question de la légitimité du processus d’élaboration de ces normes dites harmonisées dont le respect donne lieu à une présomption de conformité aux exigences essentielles d’une législation. Un arrêt de la CJUE du 5 mars 2024 vient de juger que l’accès à ces normes techniques harmonisées relevait d’un intérêt public supérieur, les personnes devant les connaître pour pouvoir éventuellement contester la conformité d’un produit ou service. La Cour s’inscrit ainsi dans le sillage d’un arrêt du 27 octobre 2016 qui avait estimé que des normes adoptées sur le fondement d’une directive et dont les références sont publiées au JOUE font parties du droit de l’Union en raison de leurs effets juridiques. La CJUE affirme ainsi la nécessité d’un contrôle judiciaire sur ces organismes privés de normalisation mandatés pour établir des règles qui s’inscrivent dans le cadre juridique européen.

Ces normes harmonisées sont particulièrement appelées à avoir un poids central dans l’application du futur règlement sur l’intelligence artificielle (IA Act). Son article 40 prévoit en effet que les systèmes d’IA à haut risque qui seront conformes à des normes harmonisées ou à des parties de normes harmonisées dont les références auront été publiées au Journal officiel de l’Union européenne, seront présumés conformes aux exigences applicables à ces systèmes d’IA à haut risque.

Ces normes harmonisées sont donc spécifiquement conçues pour soutenir la législation de l’UE, et leur respect entraîne une présomption de conformité aux exigences essentielles des systèmes d’IA à haut risques. En théorie, les fournisseurs ne sont pas tenus de les suivre et pourraient interpréter eux-mêmes ces exigences essentielles de l’IA Act. Mais en pratique, cela apparaît difficile et onéreux d’autant que ces normes constituent souvent des points de référence nécessaires pour le respect de ces exigences, considérées comme un élément fondamental de la législation.

Ces normes harmonisées sont cependant peu connues des personnes étrangères à leur processus d’élaboration. Comme le rappelle l’arrêt de la CJUE du 5 mars dernier, « même si l’élaboration de ces normes est confiée à un organisme de droit privé, seule la Commission est habilitée à demander qu’une norme harmonisée soit développée en vue de mettre en œuvre une directive ou un règlement. En vertu de l’article 10, paragraphe 1, dernière phrase, du règlement no 1025/2012, elle détermine les critères de contenu que la norme harmonisée demandée doit respecter et fixe une échéance en vue de son adoption. Cette élaboration est supervisée par la Commission, qui fournit également un financement conformément à l’article 15 de ce règlement. Conformément à l’article 11, paragraphe 1, sous a), dudit règlement, elle décide de publier, de ne pas publier ou de publier partiellement les références à la norme harmonisée concernée au Journal officiel de l’Union européenne ».

Délégation du pouvoir réglementaire

La Commission européenne détermine donc les détails sur le champ d’application, les délais et les exigences juridiques auxquelles les normes doivent répondre. Ces exigences juridiques garantissent que les normes élaborées répondront directement aux exigences essentielles définies dans la législation. Elles figurent dans un projet de demande de normalisation qu’elle rédige pour le Comité européen de normalisation (CEN), le Comité européen de normalisation électrotechnique (CENELEC) et l’Institut européen des normes de télécommunications (ETSI). La première demande de normalisation harmonisée à destination de l’IA Act a été publiée en mai 2022 et dans une version amendée, la Commission a décidé de cantonner l’ETSI à un rôle consultatif car suspecté d’être proche du secteur privé. Et la finalisation des normes est attendue en 2025, avant l’application de la loi sur l’IA.
Le processus d’élaboration et de diffusion est très différent de la règlementation puisque les normes sont établies, au sein des organismes de normalisation, par des experts issus majoritairement d’entreprises privées et ne fait pas l’objet d’un contrôle du Parlement européen. La pratique consistant à déléguer l’élaboration des règles à des organismes de droit privé tels que le CEN/CENELEC commence à susciter des réserves. « La CJUE semble reconnaître peu à peu que les organismes privés de normalisation mandatés pour établir de facto les règles du nouveau cadre législatif ne peuvent être exempts de contrôle judiciaire. Si ces organismes de normalisation ne sont pas exempts de tout contrôle judiciaire, le modèle de normes harmonisées risque d’être qualifié d’illégitime et considéré comme une délégation illégale du pouvoir réglementaire de la Commission à des organismes privés (…). En résumé, la longue pratique de la Commission consistant à externaliser en privé des négociations complexes est controversée depuis des années, notamment dans le projet de règlement sur l’IA pourrait attirer davantage l’attention sur cette question », peut-on lire dans un article de la Computer Law Review International1.

De son côté, Matthieu Quiniou, Avocat, maître de conférences estime que « la composition des groupes d’experts au niveau du CEN-CENELEC et la prévalence de la norme ISO sur les normes techniques de construction européenne, déjà problématiques pour des normes harmonisées purement techniques devient difficilement justifiable lorsque ces normes techniques viennent à l’appui de textes réglementaires visant à préserver des valeurs européennes fondamentales, comme dans le cas de la proposition de règlement européen sur l’IA. Cette situation crée un paradoxe européen où des valeurs humanistes à portée universelle, essentiellement promues par l’Europe, se trouvent potentiellement inhibées, dans cette même Europe, par des normes techniques volontaires créées par des entreprises dans le cadre de consensus internationaux guidés par des intérêts économiques »2.

Avec ces rares décisions de la CJUE, les normes techniques harmonisées sont sorties de l’ombre. Si la Cour a introduit un début de contrôle judiciaire dans le domaine de la normalisation, celui-ci reste pour l’instant cantonné aux normes harmonisées qui sont liées au droit de l’Union. Cela ne concerne donc pas les normes techniques non harmonisées, les normes managériales ou algorithmiques, considérées comme de l’autorégulation et non du droit.