Le règlement (UE) 2023/1230 s’applique le 20 janvier 2027. Mais le texte à lire n’est plus celui de juin 2023. Depuis sa publication, il a été rectifié une fois et modifié deux fois. La version consolidée publiée par EUR-Lex porte la date du 27 juillet 2026.
Notre premier article décrit le règlement article par article. Celui-ci fait le bilan : ce qui a changé depuis 2023, ce que le texte apporte, ce qu’il coûte, et à qui.
L’essentiel
- Trois retouches depuis 2023. Un rectificatif de dates en 2023, des procédures d’urgence en 2024, l’intelligence artificielle en 2026.
- L’IA passe par le règlement Machines. Depuis le 27 juillet 2026, le règlement sur l’IA ne s’applique plus directement à l’IA des machines. Ses exigences seront inscrites dans le règlement Machines, au plus tard le 2 août 2028.
- Les gains. Un texte unique dans toute l’Union, des rôles écrits pour chaque opérateur, une définition de la modification substantielle, une documentation qui peut être numérique.
- Les coûts. Une bascule sans recouvrement, des normes harmonisées pas encore citées, des exigences de cybersécurité sans norme de référence, un organisme notifié obligatoire pour six catégories.
- Une retouche de plus en attente. Elle porte sur la déclaration de conformité et la notice. Elle n’est pas adoptée.
Un texte déjà retouché trois fois
| Acte | Date | Ce qu’il change |
|---|---|---|
| Rectificatif, JO L 169 | 4 juillet 2023 | Corrige les dates : le 20 remplace le 14. Le règlement s’applique le 20 janvier 2027. |
| Règlement (UE) 2024/2748 | 9 octobre 2024 | Ajoute le chapitre IV bis : des procédures d’urgence pour les machines déclarées « biens nécessaires en cas de crise ». |
| Règlement (UE) 2026/1744 | 8 juillet 2026, en vigueur le 27 juillet 2026 | Fait passer par le règlement Machines les exigences applicables à l’IA à haut risque. Modifie les articles 8, 20 et 47. |
La version consolidée est un outil de documentation. Elle n’a pas de valeur juridique : seuls les textes publiés au Journal officiel font foi. C’est pourtant elle qu’il faut avoir sous les yeux, parce qu’elle réunit les quatre textes en un seul.
Les procédures d’urgence de 2024
Le règlement (UE) 2024/2748 accompagne le règlement sur les situations d’urgence dans le marché intérieur, (UE) 2024/2747. Il ajoute au règlement Machines les articles 25 bis à 25 sexies.
Ces articles restent sans effet tant que trois conditions ne sont pas réunies :
- la Commission a adopté un acte d’exécution visant les machines ;
- les machines concernées ont été qualifiées de biens nécessaires en cas de crise ;
- le mode d’urgence du marché intérieur est activé.
Alors seulement :
- les organismes notifiés traitent en priorité les dossiers de ces machines ;
- un État membre peut autoriser la mise sur le marché d’une machine sans l’intervention de l’organisme notifié normalement requise, si la conformité aux exigences essentielles est démontrée par une autre procédure ;
- une machine autorisée par cette voie ne porte pas le marquage CE ;
- la Commission peut désigner des normes ou établir des spécifications communes, valables le temps de la crise.
Pour un fabricant, il n’y a rien à faire aujourd’hui. Il faut seulement savoir que ce chapitre existe.
Intelligence artificielle : ce que change juillet 2026
Avant
Le règlement sur l’IA, (UE) 2024/1689, classe « à haut risque » un système d’IA qui est un composant de sécurité d’un produit soumis à l’évaluation d’un tiers. La législation Machines figurait à la section A de son annexe I. Une machine dont une fonction de sécurité repose sur l’IA relevait donc des deux règlements, appliqués en parallèle.
Après
Le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA, déplace le règlement Machines de la section A à la section B de cette annexe. Quatre effets.
- Le règlement sur l’IA ne s’applique plus directement. Pour ces systèmes, seuls restent applicables son article 6, paragraphe 1, son nouvel article 60 bis sur les essais en conditions réelles, et ses articles 102 à 112.
- Les exigences passent par le règlement Machines. La Commission doit compléter l’annexe III par acte délégué. Le nouvel alinéa de l’article 8 lui impose de reprendre les exigences du règlement sur l’IA : gestion des risques, données, documentation, journalisation, contrôle humain et robustesse, puis système de management de la qualité, conservation des journaux, surveillance après commercialisation et signalement des incidents graves.
- Une date butoir. Ces actes délégués s’appliquent au plus tard le 2 août 2028.
- Une passerelle pour les normes. Tant qu’aucune norme harmonisée ne couvre l’IA au titre du règlement Machines, un système conforme aux normes harmonisées ou aux spécifications communes du règlement sur l’IA est présumé conforme aux exigences de l’annexe III sur ce point. C’est le nouveau paragraphe 10 de l’article 20.
Le même texte resserre la définition du « composant de sécurité » dans le règlement sur l’IA. Un composant remplit une fonction de sécurité quand sa destination est de prévenir ou d’atténuer un risque pour la santé et la sécurité des personnes ou des biens. Le considérant qui l’explique écarte les systèmes d’IA qui servent seulement à assister l’utilisateur, à optimiser les performances ou à automatiser une tâche. Le seul fait d’être intégré à un produit réglementé ne suffit pas.
Ce qui ne bouge pas
L’omnibus ne touche ni à l’annexe I ni aux exigences déjà écrites à l’annexe III. Le 20 janvier 2027 :
- un composant de sécurité, ou le système intégré d’une machine, dont le comportement évolue par apprentissage automatique et qui assure une fonction de sécurité, reste en partie A de l’annexe I. L’organisme notifié est obligatoire ;
- les exigences sur le comportement évolutif s’appliquent. Les limites des fonctions de sécurité sont fixées à la conception. La machine n’agit pas hors de son espace de travail défini. Les décisions de sécurité prises par logiciel sont enregistrées et conservées un an.
L’incertitude porte donc sur le contenu des futurs actes délégués. Elle ne porte pas sur la date du 20 janvier 2027.
Directive et règlement : ce qui change
| Sujet | Directive 2006/42/CE | Règlement (UE) 2023/1230 |
|---|---|---|
| Nature du texte | Directive, transposée par chaque État | Règlement, directement applicable |
| Opérateurs visés | Fabricant et mandataire | Fabricant, mandataire, importateur, distributeur (articles 10 à 17) |
| Machine modifiée en service | Aucune règle | Modification substantielle définie ; son auteur devient fabricant (articles 3 et 18) |
| Machines à risque | Annexe IV, 23 catégories ; auto-certification possible avec des normes harmonisées | Annexe I : 6 catégories avec organisme notifié obligatoire, 19 avec auto-certification sous condition |
| Procédures | Contrôle interne, examen CE de type, assurance qualité complète | Modules A, B avec C, H, et G, la vérification à l’unité, qui est nouvelle |
| Composant de sécurité | Composant, sans mention du logiciel | Physique ou numérique, logiciel compris |
| Logiciel et cybersécurité | Absents | Protection contre la corruption, résistance aux actes malveillants, journaux |
| Autonomie et apprentissage | Absents | Comportement évolutif, machines mobiles autonomes, fonction de supervision |
| Notice | Jointe à la machine ; le papier était la règle | Numérique possible ; papier sur demande à l’achat |
| Déclaration de conformité | Jointe à la machine | Jointe, ou accessible par une adresse internet ou un code lisible par machine |
| Conservation du dossier technique | Dix ans après la fabrication | Dix ans après la mise sur le marché ou la mise en service |
| Norme harmonisée absente | Aucun autre moyen d’obtenir la présomption de conformité | Spécifications communes adoptées par la Commission, qui donnent la même présomption (article 20) |
| Situation de crise | Rien | Procédures d’urgence (chapitre IV bis) |
Le détail de chaque ligne est dans le premier article.
Les avantages
Ce qui suit est notre lecture du texte. Elle engage IndustryHub, pas le législateur.
Un seul texte dans toute l’Union. Il n’y a plus de loi nationale de transposition, donc plus d’écart de rédaction d’un pays à l’autre. Un fabricant qui vend dans plusieurs États lit une seule version.
Des rôles écrits. L’importateur et le distributeur ont désormais leurs obligations. L’importateur vérifie que le fabricant a fait son travail, appose son nom sur le produit et garde la déclaration dix ans. Pour un fabricant européen, c’est un appui face aux produits importés non conformes.
Une règle pour la machine modifiée. La directive se taisait. Le règlement pose quatre conditions et une conséquence. L’exploitant sait à quelle question répondre avant de transformer une ligne.
L’auto-certification maintenue pour l’essentiel. Hors annexe I, le fabricant reste en contrôle interne de la fabrication. C’est le cas de la grande majorité des machines.
Une voie pour la machine unique. Le module G, la vérification à l’unité, n’existait pas dans la directive. Il convient à une machine spéciale relevant de l’annexe I et produite à un seul exemplaire.
Une documentation qui peut être numérique. Notice, notice d’assemblage et déclaration peuvent être mises en ligne. L’impression systématique disparaît.
Le logiciel traité avec la sécurité. Cybersécurité et sécurité fonctionnelle entrent dans la même évaluation des risques et dans le même dossier technique.
Moins de double emploi pour l’IA. Depuis juillet 2026, les exigences applicables à l’IA d’une machine sont appelées à figurer dans un seul texte, le règlement Machines, avec une seule procédure d’évaluation.
Des solutions quand la norme manque. La Commission peut adopter des spécifications communes. Et un produit certifié selon un schéma européen de cybersécurité est présumé conforme aux exigences sur la corruption et sur les systèmes de commande, dans la limite de ce que couvre le certificat.
Le parc existant préservé. Une machine mise sur le marché selon la directive avant le 20 janvier 2027 peut continuer à être vendue. Elle n’est pas à recertifier. Les attestations d’examen CE de type restent valables jusqu’à leur expiration.
Les inconvénients
Une bascule sans recouvrement. La veille, la directive seule. Le jour même, le règlement seul. Un stock fabriqué en 2026 et mis sur le marché après la date relève du règlement.
Des normes harmonisées pas encore citées. Une norme ne donne la présomption de conformité qu’une fois sa référence publiée au Journal officiel au titre du règlement. Au 12 octobre 2026, la page de la Commission ne renvoie qu’aux normes citées pour la directive. Selon la fédération néerlandaise RAI Vereniging, la première liste n’est pas attendue avant la fin de 2026. Le risque est concret pour la partie B de l’annexe I : sans norme harmonisée ni spécification commune couvrant toutes les exigences, l’auto-certification est fermée et il faut un organisme notifié.
Pas de guide d’application. La directive avait le sien, mis à jour en avril 2024. Celui du règlement n’est pas publié à ce jour.
Une cybersécurité sans norme de référence. Les sections 1.1.9 et 1.2.1 de l’annexe III s’appliquent le 20 janvier 2027. Un projet de norme européenne, prEN 50742, est en préparation pour la protection contre la corruption. Le règlement sur la cyberrésilience, (UE) 2024/2847, ne s’applique que le 11 décembre 2027, près de onze mois plus tard. Son considérant 53 indique que le respect de ses exigences « pourrait faciliter » celui des deux sections du règlement Machines. Il ajoute que c’est au fabricant de le démontrer. Il n’y a donc pas de présomption automatique, et il y a deux textes à suivre.
Au début de 2026, quatre fédérations européennes, CECE, CECIMO, EGMF et FEM, ont demandé que la section 1.1.9 et le point f) de la section 1.2.1 soient alignés sur la date du 11 décembre 2027. Elles chiffrent la mise en conformité à plus d’un million d’euros par architecture de plateforme. Le chiffre est le leur ; nous ne l’avons pas vérifié. La Confédération européenne des syndicats s’était opposée à tout report dès novembre 2025. La version consolidée du 27 juillet 2026 ne contient aucun report.
Des enregistrements à concevoir. Un an pour les décisions de sécurité prises par logiciel. Cinq ans pour le journal des interventions et des versions du logiciel de sécurité. Il faut prévoir la mémoire, l’horodatage et la protection de ces données dès la conception.
Le code source sur demande. Une autorité peut exiger, sur demande motivée, le code source ou la logique de programmation du logiciel de sécurité. L’article 49 impose la confidentialité aux autorités. Il reste à organiser la remise avec les fournisseurs de logiciels.
Un organisme notifié sans alternative. Pour les six catégories de la partie A, appliquer intégralement des normes harmonisées n’ouvre plus l’auto-certification. Le fabricant supporte le coût et le délai de l’organisme.
Un exploitant qui peut devenir fabricant. Une modification substantielle transfère à son auteur les obligations du fabricant : dossier technique, évaluation de la conformité, déclaration. Les quatre conditions laissent une marge d’appréciation. Chaque projet de modernisation demande une analyse écrite.
Deux circuits pour la notice. La notice numérique doit rester en ligne pendant la durée de vie prévue de la machine, et au moins dix ans. Le papier reste dû dans le mois si l’acheteur le demande à l’achat. Et les informations de sécurité essentielles restent sur papier pour les machines qu’un non-professionnel peut utiliser.
Un texte encore mouvant. Les actes délégués sur l’IA sont à venir. La Commission peut déplacer une catégorie de machines d’une partie à l’autre de l’annexe I. Une modification de plus est en cours d’adoption.
Des sanctions qui restent nationales. Chaque État fixe son barème. En Allemagne, la loi d’application du 2 décembre 2025 prévoit des amendes allant jusqu’à 100 000 euros pour les manquements les plus graves, et jusqu’à un an de prison en cas de récidive persistante ou de mise en danger. Le règlement est unique, la sanction ne l’est pas.
Une reprise suisse à confirmer. La Suisse doit reprendre le règlement par une révision de son ordonnance sur les machines. Nous n’avons pas trouvé confirmation de son adoption à la date de cet article.
La modification en attente : l’omnibus IV
La Commission a proposé le 21 mai 2025 un règlement sur la numérisation et les spécifications communes, appelé omnibus IV. Il modifie plusieurs législations sur les produits, dont le règlement Machines.
Où en est le texte :
| Date | Étape |
|---|---|
| 21 mai 2025 | Proposition de la Commission, COM(2025) 504 |
| 9 juin 2026 | Accord provisoire entre le Parlement et le Conseil |
| 14 juillet 2026 | Approbation du texte par la commission parlementaire |
| 23 novembre 2026 | Date indicative du vote en séance plénière |
Le texte n’est donc pas adopté. La version consolidée du 27 juillet 2026 ne le contient pas.
Deux points concernent les machines, d’après la proposition et les réactions qu’elle a suscitées. La déclaration de conformité deviendrait numérique par principe. Et le fabricant devrait indiquer un « contact numérique », c’est-à-dire un moyen de le joindre en ligne.
Le 17 février 2026, sept fédérations européennes de constructeurs, dont CECE, CECIMO, CEMA et FEM, ont protesté. Selon elles, les machines seraient le seul secteur privé du délai d’adaptation de vingt-quatre mois accordé aux autres. Elles contestaient aussi l’obligation d’un accès direct, par code QR, à la déclaration de chaque machine.
Nous n’avons pas lu le texte final de l’accord. Ces points sont à vérifier à sa publication au Journal officiel.
Le bilan par acteur
| Acteur | Ce qu’il y gagne | Ce que cela lui coûte |
|---|---|---|
| Fabricant de machines de série | Un texte unique pour tous ses marchés ; une notice et une déclaration numériques | Des modèles de documents à refaire ; des stocks à écouler avant la date ; dix ans de mise en ligne |
| Constructeur de machines spéciales | La vérification à l’unité pour une machine unique de l’annexe I | Une évaluation des risques à compléter : corruption, attaques, interactions entre machines |
| Intégrateur de lignes | Une responsabilité limitée à la machine touchée, quand la modification ne concerne qu’un élément d’un ensemble | Le statut de fabricant à chaque modification substantielle |
| Fabricant d’automatismes et de composants de sécurité | Un logiciel de sécurité reconnu comme produit, vendu avec sa déclaration | L’organisme notifié pour l’apprentissage automatique ; les journaux ; le règlement sur la cyberrésilience en parallèle |
| Importateur, distributeur | Des obligations lisibles, identiques dans toute l’Union | Des vérifications avant la vente ; son nom sur le produit ; dix ans de conservation |
| Exploitant | Un parc existant conservé ; une grille pour juger ses modifications | Une analyse écrite avant chaque transformation ; les obligations du fabricant si la modification est substantielle |
Cybersécurité : ce que le texte demande vraiment
Quatre exigences, lues dans l’annexe III.
- Une connexion, locale ou distante, ne crée pas de situation dangereuse.
- Les logiciels et les données dont dépend la conformité sont identifiés et protégés contre la corruption, accidentelle ou intentionnelle.
- La machine sait indiquer quels logiciels nécessaires à sa sécurité sont installés. Elle garde la preuve des interventions, légitimes ou non.
- Le système de commande résiste aux tentatives malveillantes raisonnablement prévisibles de tiers, quand elles peuvent créer une situation dangereuse.
Ce que le texte ne demande pas
On lit parfois, dans des documents commerciaux, que le fabricant devra prouver que sa machine est « inviolable ». Le texte ne le dit pas. Il demande une protection adéquate, proportionnée aux risques, contre ce qui est raisonnablement prévisible.
Son objet est aussi plus étroit qu’on ne le croit. Le règlement Machines protège la santé et la sécurité des personnes. La confidentialité des données et la disponibilité de la production relèvent d’autres textes : le règlement sur la cyberrésilience pour les produits, la directive NIS 2 pour les entreprises.
Les composants certifiés aident, sans suffire
Les fabricants d’automatismes mettent en avant des certifications selon l’IEC 62443-4-2. Bosch Rexroth, par exemple, annonce pour son système d’exploitation de commande ctrlX OS une certification au niveau de sécurité 2, délivrée par TÜV Rheinland.
Une telle certification porte sur le composant. Elle allège la démonstration du constructeur de la machine. Elle ne la remplace pas. À ce jour, aucune norme n’est citée au titre du règlement, IEC 62443 comprise. Et la présomption de l’article 20, paragraphe 9, ne vaut que pour les schémas européens de certification adoptés en vertu du règlement (UE) 2019/881.
Cinq questions à poser
- Quelles fonctions de la machine deviennent dangereuses si un tiers en prend la main ?
- Par où peut-il entrer : réseau, accès distant, port USB, poste de maintenance ?
- Quels logiciels et quels paramètres portent la sécurité, et qui peut les modifier ?
- Comment la machine garde-t-elle la trace d’une intervention ?
- Pendant combien d’années les composants recevront-ils des correctifs ? Le règlement sur la cyberrésilience fixe un minimum de cinq ans. Une machine dure souvent plus longtemps.
Le calendrier à jour
| Date | Événement |
|---|---|
| 20 octobre 2026 | Les États appliquent et notifient leur régime de sanctions (article 50). |
| 23 novembre 2026 | Date indicative du vote du Parlement sur l’omnibus IV. |
| Fin 2026 | Première liste de normes harmonisées attendue, sans date ferme. |
| 20 janvier 2027 | Application du règlement. Abrogation de la directive 2006/42/CE. |
| 11 décembre 2027 | Application du règlement sur la cyberrésilience. |
| 20 juillet 2028 | Premier rapport d’évaluation de la Commission (article 53). |
| 2 août 2028 | Date limite d’application des actes délégués sur l’IA à haut risque. |
Que faire maintenant
- Travailler sur la version consolidée du 27 juillet 2026, et noter cette date dans vos procédures.
- Pour une machine de la partie B de l’annexe I, préparer deux scénarios : normes citées à temps, ou organisme notifié.
- Traiter la cybersécurité dans l’évaluation des risques dès maintenant, sans attendre la norme.
- Demander aux fournisseurs d’automatismes leurs certificats et leur durée de support.
- Pour toute fonction de sécurité fondée sur l’apprentissage automatique, prendre rang auprès d’un organisme notifié et suivre les actes délégués.
- Prévoir un accès en ligne à la déclaration de conformité, sans figer le modèle avant l’adoption de l’omnibus IV.
- Côté exploitant, écrire la procédure d’analyse des modifications de machines en service.
Sources
- Règlement (UE) 2023/1230, version consolidée du 27 juillet 2026 — articles 3, 8, 10, 18, 20, 25 à 25 sexies, 47, 49, 52 à 54 ; annexes I, III, IV.
- Règlement (UE) 2026/1744, omnibus numérique sur l’IA — considérant 42, articles 1er et 3.
- Règlement (UE) 2024/2748, procédures d’urgence.
- Règlement (UE) 2024/2847 sur la cyberrésilience — considérant 53, articles 13, 69 et 71.
- Parlement européen, dossier 2025/0134(COD), omnibus IV — étapes de la procédure.
- Présidence chypriote du Conseil, communiqué du 9 juin 2026 — accord provisoire.
- CECE et six autres fédérations, communiqué du 17 février 2026.
- Eurogip, ce que l’omnibus numérique sur l’IA change pour le règlement Machines, 6 août 2026.
- IBF, demande de report des exigences de cybersécurité, 19 mars 2026, en allemand.
- RAI Vereniging, première liste de normes harmonisées.
- Loi allemande d’application, MaschinenDG, en allemand.
- Commission européenne, page consacrée aux machines.
- Bosch Rexroth France, livre blanc « Sécuriser l’avenir de l’automatisation », document commercial, pour l’exemple de certification.
Cet article est une synthèse d’information. Il ne remplace ni la lecture du texte officiel ni l’avis d’un organisme notifié sur un produit donné.
Pour aller plus loin
- Règlement Machines : ce qui change le 20 janvier 2027
- Sécurité fonctionnelle des machines : IEC 62061 et ISO 13849
- ISO 13849, IEC 62061 et IEC 60204-1
- IEC 62443, cybersécurité des systèmes industriels
- Cybersécurité OT
- Registre des normes : sécurité des machines
Le règlement Machines n’est ni un simple changement de référence ni une rupture. Pour la plupart des machines, la méthode reste celle de 2006. Ce qui change vraiment tient en trois mots : logiciel, responsabilité, documentation. Et le texte continue de bouger : lisez la version consolidée, et vérifiez sa date.