Vingt-six pour cent des TPE et PME françaises déclaraient utiliser l'intelligence artificielle en 2025, contre 13 % un an plus tôt (France Num, Direction générale des Entreprises, 2025). Dans l'industrie, cette adoption ne passe presque jamais par un grand projet de transformation. Elle passe par la machine : une caméra de contrôle qualité ajoutée sur une ligne, un modèle de détection d'anomalie branché sur un automate, un capteur de maintenance prédictive posé sur une presse de quinze ans.
Le paradoxe est là. Pendant que ces ajouts se banalisent, 95 % des projets d'IA générative ne produisent aucun retour mesurable (MIT NANDA, The GenAI Divide, juillet 2025), et presque personne, côté dirigeant, ne se demande ce que ces ajouts font au statut réglementaire de la machine elle-même. Le 20 janvier 2027, la question cesse d'être théorique : la directive Machines de 2006 est abrogée et remplacée par un règlement qui traite le logiciel et l'IA comme des composants de sécurité à part entière. Cet article documente ce qui change réellement pour une PME ou une ETI industrielle, ce qui a encore bougé le 27 juillet 2026, et ce qu'il faut avoir tranché avant l'échéance.
Ce qui disparaît le 20 janvier 2027, et ce qui prend sa place
La directive 2006/42/CE, la « directive Machines » que tout industriel connaît, est abrogée. Elle est remplacée par le règlement (UE) 2023/1230 du 14 juin 2023, publié au Journal officiel de l'Union européenne le 29 juin 2023 et applicable à compter du 20 janvier 2027.
Deux différences de nature, avant même de parler de contenu.
D'abord, c'est un règlement et non une directive : il s'applique directement, sans transposition nationale. Il n'y a plus d'écart possible entre le texte européen et sa version française, ni de délai de transposition sur lequel s'appuyer.
Ensuite, il n'existe pas de période de recouvrement entre les deux textes. Une machine mise sur le marché avant le 20 janvier 2027 reste valablement conforme à la directive. Une machine mise sur le marché à partir de cette date relève du règlement, sans exception ni régime transitoire pour les modèles conçus antérieurement.
Une échéance réglementaire sans période de transition n'est pas une date limite. C'est une bascule.
Pour un fabricant de machines spéciales, pour un intégrateur, pour une ETI qui vend des équipements sous sa marque, la conséquence pratique est simple : les projets de conception lancés aujourd'hui, dont la mise sur le marché est prévue en 2027, sont déjà des projets « règlement ».
Le vrai changement : le logiciel devient un composant de sécurité
La directive de 2006 a été écrite pour un monde de mécanique et d'automatismes câblés. Le règlement de 2023 assume que la fonction de sécurité peut être portée par du code.
C'est dans l'annexe I que cela se voit le mieux. Cette annexe liste les catégories de produits à risque élevé, et elle est désormais scindée en deux parties. La partie B autorise l'autocertification par le fabricant, s'il applique intégralement les normes harmonisées. La partie A l'interdit : elle impose le passage par un organisme notifié, quelle que soit la rigueur du fabricant.
Or figurent en partie A, entre autres catégories à facteur de risque élevé :
- les composants de sécurité au comportement totalement ou partiellement auto-évolutif recourant à des approches d'apprentissage automatique ;
- les machines intégrant de tels systèmes lorsque ces systèmes assurent une fonction de sécurité.
Autrement dit : si un modèle d'apprentissage automatique participe à l'arrêt d'une machine, à la détection d'une présence humaine dans une zone dangereuse, au bridage d'un mouvement ou à toute autre fonction de sécurité, la certification par tierce partie devient obligatoire. Pas recommandée : obligatoire.
C'est le point que la plupart des PME ratent, parce qu'elles ne se pensent pas comme des fabricants d'IA. Elles se pensent comme des utilisateurs d'une caméra intelligente vendue par un fournisseur. La question de savoir qui porte la responsabilité de la fonction de sécurité, du fournisseur du module ou de celui qui l'intègre à la machine, est exactement celle que le règlement tranche, et la réponse dépend de qui met la machine complète sur le marché.
Sur le terrain : ce que les praticiens signalent cet été
Le signal le plus net, en juillet 2026, ne vient pas des institutions mais de la chaîne d'approvisionnement industrielle.
Un distributeur européen de composants électroniques résumait fin juillet la situation des constructeurs à l'approche de l'échéance : ils font face à de nouvelles exigences portant sur le logiciel, la cybersécurité et la sécurité fonctionnelle, trois domaines qui n'étaient pas traités ensemble jusqu'ici. Un fournisseur britannique de solutions de sécurité machine a jugé utile, en juin, de remettre en ligne l'enregistrement d'un webinaire de rattrapage sur le règlement, signe que la demande d'explication vient après coup plutôt qu'en anticipation. Un équipementier électrotechnique de premier plan structure quant à lui sa pédagogie autour de trois sujets seulement : IA, cybersécurité, documentation numérique.
Le résumé le plus juste vient d'un praticien de la sécurité machine qui décrit la bascule comme le plus important remaniement du droit européen de la sécurité industrielle depuis plus de vingt ans, et pointe l'essentiel : le texte de 2006 était pré-numérique. Ce n'est pas une mise à jour, c'est un changement de référentiel.
Ce que ces signaux disent en creux mérite d'être noté. À six mois de l'échéance, la conversation publique est encore tenue par les fournisseurs de composants de sécurité et les organismes de certification. Elle porte sur la conformité du produit. Elle ne porte pas encore sur ce que le règlement fait aux projets IA déjà déployés en atelier, qui est pourtant le sujet des dirigeants que nous rencontrons.
Le retournement du 27 juillet 2026 : pour une machine, l'AI Act n'est plus le bon texte
Voici l'information la moins diffusée en France, et probablement la plus structurante.
Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet 2026, modifie simultanément l'AI Act, le règlement sur l'aviation civile et le règlement Machines. C'est le volet IA de l'omnibus numérique.
Pour les machines, son effet est le suivant : le règlement Machines passe de la section A à la section B de l'annexe I de l'AI Act. En clair, les obligations techniques de l'AI Act applicables aux systèmes d'IA à haut risque ne s'appliquent plus directement aux machines. Les exigences correspondantes sont réintégrées dans le règlement Machines lui-même, la Commission devant adopter d'ici le 2 août 2028 les actes délégués qui complètent son annexe III. Dans l'intervalle, un mécanisme transitoire permet de s'appuyer sur les normes harmonisées référencées au titre de l'AI Act.
L'objectif affiché est la simplification : un seul cadre de conformité au lieu de deux évaluations parallèles, et la fin des interprétations divergentes entre autorités.
L'effet pratique, lui, est un déplacement de responsabilité interne. Dans beaucoup d'ETI, la préparation à l'AI Act a été confiée à la direction juridique ou à la conformité, pendant que la sécurité machine restait au bureau d'études et au QHSE. Ce partage vient de perdre sa justification. Pour une machine, la conformité de l'IA embarquée se joue maintenant dans le dossier technique du produit, pas dans un registre de systèmes d'IA tenu à part.
Un dirigeant qui a préparé l'AI Act pour ses machines a préparé le bon sujet dans le mauvais texte.
Nous détaillons ailleurs ce qui reste applicable au titre de l'AI Act, notamment les obligations de transparence qui, elles, n'ont pas bougé : voir notre analyse de ce que l'AI Act impose réellement aux PME.
Modification substantielle : la clause qui transforme un rétrofit en mise sur le marché
C'est la disposition qui concerne le plus grand nombre d'entreprises, y compris celles qui ne fabriquent aucune machine.
Le règlement définit à son article 3 la modification substantielle comme toute modification d'une machine, par des moyens physiques ou numériques, intervenant après sa mise sur le marché ou sa mise en service, et non prévue par le fabricant d'origine. La personne physique ou morale qui réalise une telle modification est considérée comme le fabricant de la machine modifiée. Elle en assume toutes les obligations : analyse de risques, dossier technique, évaluation de la conformité, déclaration UE de conformité, marquage CE.
Les mots « par des moyens numériques » changent tout. Ils couvrent le rétrofit, la reprogrammation, la mise à niveau logicielle, et donc, très directement, l'ajout d'une couche d'intelligence sur un équipement existant.
Trois situations très courantes en PME industrielle méritent d'être passées au filtre :
- Ajout d'une vision par ordinateur sur un poste existant. Si le modèle se contente de trier des pièces en aval, l'impact sécurité est nul. S'il pilote un rejet automatique, un convoyeur ou un arrêt, il touche la fonction de sécurité.
- Maintenance prédictive branchée sur l'automate. Lire des données depuis un automate est sans conséquence. Écrire vers l'automate, même pour un simple ralentissement préventif, en a une.
- Reprogrammation d'un robot pour une nouvelle cellule. Le passage d'une cellule grillagée à une cellule collaborative modifie l'analyse de risques d'origine, indépendamment de tout logiciel.
La ligne de partage est toujours la même : est-ce que la modification agit sur une fonction de sécurité ou sur les conditions d'usage prévues par le constructeur d'origine ? Cette question se tranche sur pièces, machine par machine, à partir du dossier technique existant. Ce travail relève exactement de la cartographie que nous menons dans un audit IA orienté processus industriels : on part de l'atelier et des équipements réels, pas d'un inventaire d'outils.
Cybersécurité : la protection contre la corruption devient une exigence essentielle
Le règlement introduit dans son annexe III des exigences que la directive de 2006 ignorait.
Le point 1.1.9, protection contre la corruption, impose que tout composant matériel de transmission de signaux ou de données soit adéquatement protégé contre une corruption accidentelle ou intentionnelle. Le point 1.2.1 étend la même logique aux systèmes de commande, qui doivent rester sûrs et fiables y compris face à une action externe non prévue.
Ce que cela recouvre, concrètement : intégrité du logiciel embarqué, contrôle des accès aux paramètres de sécurité, traçabilité des modifications, sécurisation des mises à jour. Autrement dit, un industriel doit être capable de démontrer que personne, ni un tiers ni un opérateur, ne peut altérer silencieusement le comportement de sécurité de la machine.
Cette exigence ne doit pas être confondue avec celles du Cyber Resilience Act, qui traite les produits comportant des éléments numériques et impose depuis peu des délais de signalement très courts. Les deux textes se recouvrent partiellement sur les machines connectées, mais ne posent pas les mêmes obligations : nous avons détaillé la mécanique de signalement dans notre article sur les 24 heures du Cyber Resilience Act, qui sert de table de dispatch du cluster conformité.
La notice numérique : une obligation documentaire qui est d'abord un problème de données
Autre nouveauté peu commentée, et pourtant très concrète : la notice d'instructions peut être fournie par défaut au format numérique.
Les conditions sont strictes. L'accès doit être clairement indiqué sur la machine ou son emballage. Le format doit permettre l'impression, le téléchargement et l'enregistrement. Le contenu doit rester accessible en ligne pendant la durée de vie de la machine et au minimum dix ans après sa mise sur le marché. Et l'utilisateur qui en fait la demande doit recevoir gratuitement une version papier, dans un délai d'un mois.
Lu comme une contrainte, c'est une charge documentaire. Lu correctement, c'est une contrainte de gestion de données sur dix ans : versionner la documentation par machine et par numéro de série, garantir une adresse stable, savoir quelle version a été livrée à quel client, être capable de rééditer une notice conforme à une configuration précise longtemps après la vente.
Peu de PME industrielles disposent aujourd'hui d'un référentiel capable de répondre à ces quatre exigences. C'est le même socle qui sert ensuite à tout le reste : exploitation des données machines, suivi de parc, maintenance prédictive. Nous développons cette logique dans notre panorama de l'IA dans l'industrie pour les PME et sur notre page d'expertise IA industrie.
Sanctions : le régime français n'est pas encore stabilisé
L'article 50 du règlement laisse aux États membres le soin de fixer les sanctions, en exigeant qu'elles soient effectives, proportionnées et dissuasives, avec possibilité de sanctions pénales pour les infractions graves. Les États doivent notifier leur régime à la Commission au plus tard le 14 octobre 2026.
La France n'a pas terminé. Le dispositif d'adaptation figure dans un projet de loi déposé le 10 novembre 2025 et transmis à l'Assemblée nationale le 20 février 2026, dont l'article 63 prévoit notamment une amende administrative pouvant atteindre 50 000 €, doublée en cas de récidive, en cas de défaut de transmission des documents exigés. Dans l'intervalle, ce sont les sanctions issues du régime actuel qui s'appliquent, avec l'amende de 10 000 € portée à 30 000 € en récidive prévue à l'article L. 4741-1 du code du travail.
L'ordre de grandeur compte moins que la trajectoire : le plafond est multiplié par cinq, et le contrôle documentaire devient un motif de sanction autonome. Le risque ne porte plus seulement sur l'accident, il porte sur la capacité à produire le dossier.
La séquence à dérouler d'ici janvier 2027
Six mois suffisent, à condition de commencer par le périmètre et non par l'outillage.
- Semaine 1 : lister ce que vous mettez sur le marché. Machines complètes, quasi-machines, composants de sécurité, équipements vendus sous votre marque même s'ils sont fabriqués ailleurs. C'est cette liste qui détermine si vous êtes fabricant au sens du règlement.
- Semaines 2 à 4 : identifier les fonctions de sécurité portées par du logiciel. Sur chaque produit, une seule question : du code peut-il déclencher, empêcher ou moduler un arrêt, un bridage, une détection de présence ?
- Mois 2 : trancher l'annexe I. Pour chaque produit concerné, déterminer s'il relève de la partie A, avec organisme notifié obligatoire, ou de la partie B. Ce point conditionne les délais et le budget, et un organisme notifié ne se réserve pas au dernier trimestre.
- Mois 3 : passer le parc modifié au filtre de la modification substantielle. Y compris les rétrofits IA réalisés par vos équipes ou par un intégrateur ces trois dernières années.
- Mois 4 à 6 : mettre à niveau la documentation. Analyse de risques incluant les menaces numériques, dossier technique, notice conforme aux règles du format numérique.
Une PME qui applique cette séquence découvre en général deux choses. La première est que son périmètre réel de fabricant est plus large qu'elle ne le croyait. La seconde est que la moitié du travail consiste à mettre de l'ordre dans des données produit dispersées entre le bureau d'études, l'ERP et des dossiers partagés, ce qui n'a rien de réglementaire et sert à tout le reste.
Questions fréquentes
Faut-il refaire le marquage CE de tout le parc existant ?
Non. Les machines mises sur le marché avant le 20 janvier 2027 restent conformes au titre de la directive 2006/42/CE. Le sujet se déplace ailleurs : sur les machines que vous modifiez. Une modification substantielle, y compris purement logicielle, fait entrer la machine modifiée dans le champ du nouveau règlement et fait de son auteur un fabricant.
Combien coûte cette mise en conformité ?
Il n'existe pas de chiffre de référence honnête, parce que le coût dépend entièrement du nombre de produits concernés et du basculement ou non en partie A de l'annexe I. Ce qui se chiffre, ce sont les composantes : le passage éventuel devant un organisme notifié, la reprise du dossier technique, et la charge documentaire à dix ans de la notice numérique. Notre recommandation est de chiffrer d'abord le périmètre, produit par produit, avant tout investissement d'outillage. C'est l'objet d'un workshop de cadrage d'une journée à 2 500 €, qui produit la liste, la qualification annexe I et l'estimation de charge.
En combien de temps voit-on un effet ?
Sur la qualification du périmètre, quatre à six semaines suffisent. Sur la maîtrise réelle de la documentation produit et des données machines, comptez deux à trois trimestres, avec une montée en compétence progressive des équipes plutôt qu'un projet unique. C'est le format de nos sessions d'intelligence mensuelles à 800 € par mois, facturées mois par mois, qui installent la compétence en interne plutôt que de la louer indéfiniment.
Ce que ça change pour un dirigeant
Le règlement Machines ne se traite pas comme un dossier de bureau d'études. Il touche trois décisions de direction générale.
La première : jusqu'où vous laissez l'IA toucher aux fonctions de sécurité de vos équipements. Ce n'est pas une question technique, c'est un arbitrage entre gain opérationnel et exposition réglementaire, et il se prend en connaissance du coût d'un organisme notifié.
La deuxième : qui, chez vous, a autorité pour valider une modification de machine. Tant que le rétrofit reste une affaire de maintenance, personne ne mesure qu'un ajout logiciel peut transformer l'entreprise en fabricant.
La troisième : quel niveau de maîtrise vous avez de vos propres données produit, sur dix ans. C'est celle qui décide de la difficulté des deux autres.
Ces trois décisions ne s'achètent pas, elles se prennent, à partir d'un état des lieux honnête du parc et du catalogue. C'est la raison pour laquelle nous abordons ces sujets par la donnée avant de les aborder par la conformité : un référentiel produit propre rend la conformité mécanique, alors qu'aucun outil de conformité ne compensera un référentiel absent. Pour démarrer sans engager de budget, notre checklist d'audit IA donne la trame des questions à poser en interne.
Le reste est du travail d'ingénierie, et il tient dans les six mois qui viennent.
Sources
- Règlement (UE) 2023/1230 du Parlement européen et du Conseil du 14 juin 2023 sur les machines, abrogeant la directive 2006/42/CE, articles 3 et 50, annexes I et III.
- Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230, publié au JOUE le 24 juillet 2026, en vigueur le 27 juillet 2026.
- Eurogip, Machinery Regulation 2023/1230: what the Digital Omnibus on AI changes, 30 juillet 2026.
- INRS, Nouveau règlement machines : quelles évolutions ?, focus juridique.
- Lexing Avocats, Règlement machines applicable en 2027 : régime des sanctions, mars 2026.
- France Num, Direction générale des Entreprises, baromètre de la maturité numérique des TPE-PME, 2025.
- MIT NANDA, The GenAI Divide: State of AI in Business, juillet 2025.
Signaux de terrain (juin et juillet 2026)
- Exigences logiciel, cybersécurité et sécurité fonctionnelle à l'approche de l'échéance 2027, Mouser Electronics Europe, 30 juillet 2026.
- Webinaire de rattrapage sur le règlement machines, Fortress Safety, 18 juin 2026.
- Préparation de la transition et exigences documentaires numériques, Onix, 25 juin 2026.
- Lecture d'ensemble de la bascule sécurité, cyber et IA, Machinery Safety Decoded, 19 mai 2026.
