Directive machines : ce que le règlement 2023/1230 change en 2027

Ce qu'il faut retenir

• Le 20 janvier 2027, le règlement (UE) 2023/1230 remplace la directive machines 2006/42/CE. La date vient d'un rectificatif de juillet 2023 : beaucoup de pages citent encore le 14 janvier. Au 16 octobre 2026, aucun report n'est annoncé.
• C'est la mise sur le marché de chaque machine qui compte, pas sa date de fabrication ni celle de son modèle. Une machine terminée mais cédée pour la première fois après le 20 janvier relève du règlement, comme une machine commandée en 2026 et terminée en 2027.
• Une IA auto-évolutive qui assure une fonction de sécurité passe par un organisme notifié. Les systèmes fondés sur l'apprentissage automatique figurent alors à l'annexe I, partie A : l'autocertification leur est fermée.
• La cybersécurité devient une exigence de sécurité machine : protection contre la corruption, preuve des interventions, traçabilité des versions des logiciels de sécurité.
• La notice peut être numérique, téléchargeable et en ligne au moins dix ans, le papier restant dû sur demande à l'achat. L'omnibus IV, en cours d'adoption au 16 octobre 2026, peut encore retoucher ces règles.

Directive machines ou règlement : que se passe-t-il le 20 janvier 2027 ?

La directive machines 2006/42/CE s'applique depuis le 29 décembre 2009 à la conception des machines mises sur le marché dans l'Union. Le 20 janvier 2027, elle est abrogée et remplacée par le règlement (UE) 2023/1230 sur les machines, publié au Journal officiel de l'UE le 29 juin 2023.

Trois points de calendrier sont souvent mal compris.

• La date. Le texte publié fixait l'application au 14 janvier 2027. Un rectificatif publié le 4 juillet 2023 l'a corrigée au 20 janvier 2027, abrogation de la directive comprise (JO L 169). La Commission la confirme sur sa page consacrée aux machines.
• L'absence de période d'adaptation. L'article 52 permet seulement de continuer à vendre les machines mises sur le marché selon la directive avant le 20 janvier 2027. Les certificats d'examen CE de type restent valides jusqu'à leur expiration. D'ici là, la directive s'applique ; la Commission admet qu'une déclaration UE de conformité mentionne aussi le règlement.
• L'unité de compte. Selon le Guide bleu de la Commission, la mise sur le marché s'apprécie pour chaque produit individuellement, et non pour un type de produit. Elle suppose une offre ou un accord de cession portant sur une machine terminée, sans exiger sa livraison. Une presse terminée en décembre 2026 mais vendue en février 2027 relève donc du règlement, comme une machine commandée en 2026 et terminée après le 20 janvier : une commande passée avant la fin de la fabrication ne vaut pas mise sur le marché.

Nouvelle directive machine : pourquoi un règlement, et qui est concerné ?

On parle souvent de « nouvelle directive machine ». C'est un règlement : il s'applique directement dans chaque État membre, sans transposition. Les sanctions, elles, restent fixées par chaque État (article 50).

Le champ couvre les machines, les quasi-machines et les produits connexes : équipements interchangeables, composants de sécurité, accessoires de levage, chaînes, câbles et sangles, dispositifs amovibles de transmission mécanique (article 2). Le texte rappelle que le secteur est d'abord fait de PME, environ 98 % des entreprises selon son considérant 27, et demande aux organismes notifiés d'en tenir compte dans leurs redevances (article 25, paragraphe 5).

Les obligations pèsent sur le fabricant, y compris celui qui fabrique une machine et la met en service pour son propre usage (article 3, point 18). Une ligne assemblée en interne relève du même régime qu'une machine achetée.

Modification substantielle : quand l'intégrateur ou l'utilisateur devient fabricant

Le règlement définit la modification substantielle (article 3, point 16) : une modification physique ou numérique, non prévue par le fabricant, qui crée un nouveau danger ou augmente le risque existant au point d'exiger de nouveaux protecteurs avec modification du système de commande de sécurité, ou des mesures de stabilité ou de résistance mécanique. Celui qui l'apporte devient fabricant de la machine concernée (article 18), avec toutes ses obligations.

Le mot « numérique » compte. Selon le Guide bleu, une mise à jour logicielle rend un produit substantiellement modifié lorsqu'elle change ses fonctions, son type ou ses performances d'une façon que l'évaluation initiale des risques n'avait pas prévue, et qu'elle change la nature du danger ou augmente le risque. Ajouter un robot à une cellule ou reprogrammer une fonction de sécurité se documente avant de s'exécuter.

Logiciels de sécurité et IA : ce que change le règlement machines

Le logiciel devient un composant de sécurité

Le composant de sécurité est désormais un composant « physique ou numérique, y compris un logiciel », mis isolément sur le marché (article 3, point 3). L'annexe II ajoute à sa liste indicative les logiciels assurant des fonctions de sécurité. Et une machine à laquelle il ne manque que le téléchargement de son logiciel applicatif reste une machine.

Le fabricant tient le dossier technique et la déclaration UE de conformité à disposition au moins dix ans. Une autorité peut lui demander, de façon motivée, le code source ou la logique de programmation des logiciels de sécurité pour vérifier la conformité (article 10, paragraphe 3, et annexe IV, point m).

Apprentissage automatique : l'organisme notifié devient obligatoire

L'annexe I, partie A, liste six catégories qui exigent l'intervention d'un tiers. Deux visent l'IA :

• point 5 : les composants de sécurité au comportement totalement ou partiellement auto-évolutif, qui utilisent l'apprentissage automatique pour assurer des fonctions de sécurité ;
• point 6 : les machines dont les systèmes intégrés ont ce comportement et assurent des fonctions de sécurité, pour ces seuls systèmes.

Le considérant 55 exclut les logiciels incapables d'apprendre ou d'évoluer : un automate de sécurité programmé de façon classique n'est pas visé.

Les six catégories de la partie A passent par l'examen UE de type suivi du contrôle interne de la production (modules B et C), l'assurance complète de la qualité (module H) ou la vérification à l'unité (module G) (article 25, paragraphe 2). Le contrôle interne seul (module A) leur est fermé, même avec des normes harmonisées. Sous la directive, une machine de l'annexe IV construite selon des normes harmonisées couvrant toutes les exigences pertinentes pouvait s'en contenter (article 12, paragraphe 3).

La partie B regroupe 19 catégories, dont les presses et plieuses à métaux à chargement manuel et les blocs logiques de sécurité. Le contrôle interne n'y reste possible qu'avec des normes harmonisées ou des spécifications communes couvrant toutes les exigences pertinentes.

Ce que l'annexe III exige d'une machine qui apprend

Les exigences essentielles visent aussi le comportement de la machine :

• l'évaluation des risques couvre l'évolution prévue de son comportement ou de sa logique (annexe III, partie B) ;
• le système de commande l'empêche de sortir de son espace de travail défini, conserve un an, pour les autorités, les données du processus décisionnel de ses fonctions de sécurité logicielles, et permet de la corriger à tout moment ; aucun réglage modifié pendant l'apprentissage ne doit créer de situation dangereuse (section 1.2.1) ;
• l'interface, le cas échéant, explique aux opérateurs ce que la machine va faire et pourquoi (section 1.1.6) ;
• le dossier technique décrit, pour une machine pilotée par capteurs, télécommandée ou autonome dont les opérations de sécurité dépendent de données de capteurs, les capacités et limites du système, ses données et ses processus de développement, d'essai et de validation (annexe IV, point n).

Autrement dit, la documentation d'un projet d'IA entre dans le dossier technique de la machine.

Vision qualité, maintenance prédictive : toutes les IA ne sont pas des composants de sécurité

La plupart des usages de l'IA en atelier, comme le contrôle qualité par vision, la maintenance prédictive ou l'optimisation des réglages, n'assurent aucune fonction de sécurité : ils ne relèvent alors pas de l'annexe I, partie A. L'AI Act, modifié en juillet 2026, suit la même logique pour sa propre définition : une IA utilisée uniquement pour des aspects non liés à la sécurité (optimisation des performances, automatisation, contrôle de la qualité) n'est pas un composant de sécurité, sauf si sa défaillance mettrait en danger la santé et la sécurité (article 6, paragraphes 1 bis et 1 ter). Le test pratique : si l'IA tombe en panne, quelqu'un peut-il être blessé ?

Règlement machines et AI Act : ce que l'omnibus de juillet 2026 a changé

Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l'IA », en vigueur depuis le 27 juillet, règle l'articulation des deux textes.

• Un seul cadre pour les machines. Le règlement machines passe de la section A à la section B de l'annexe I de l'AI Act. Pour une IA à haut risque liée à une machine, l'AI Act ne s'applique plus que par quelques articles (article 6, paragraphe 1, article 60 bis, articles 102 à 112) : les exigences passent par le règlement machines.
• Des exigences IA à venir. La Commission doit compléter l'annexe III par actes délégués, en reprenant les exigences de l'AI Act pour le haut risque : chapitre III, section 2 (gestion des risques, données, documentation, contrôle humain, robustesse, cybersécurité…) et articles 17, 19, 72 et 73 (gestion de la qualité, journaux, surveillance après commercialisation, incidents graves). Ces actes s'appliqueront le 2 août 2028 au plus tard, date retenue pour le haut risque de l'annexe I de l'AI Act.
• Une présomption de conformité en attendant. Tant qu'aucune norme harmonisée propre à l'IA n'existe au titre du règlement machines, une IA à haut risque conforme aux normes harmonisées de l'AI Act est présumée conforme (article 20, paragraphe 10).

Au 16 octobre 2026, le contenu des actes délégués n'est pas connu. Notre article sur l'AI Act et ses échéances détaille le reste du calendrier.

Cybersécurité : que demande la protection contre la corruption (annexe III, 1.1.9) ?

La directive demandait aux systèmes de commande de résister aux « influences extérieures normales ». Le règlement vise aussi les tentatives malveillantes raisonnablement prévisibles de tiers (section 1.2.1) et crée une exigence de protection contre la corruption (section 1.1.9) :

• le raccordement d'un autre dispositif, y compris à distance, ne doit pas créer de situation dangereuse ;
• les logiciels et données essentiels pour la conformité sont identifiés et protégés contre la corruption accidentelle ou intentionnelle, comme les composants matériels qui y donnent accès ;
• la machine identifie les logiciels dont elle a besoin pour fonctionner en sécurité et peut fournir cette information à tout moment ;
• elle garde la preuve de toute intervention, légitime ou non, sur ses logiciels ou leur configuration.

La section 1.2.1 ajoute un journal des données d'intervention et des versions de logiciels de sécurité téléchargées après la mise sur le marché, actif cinq ans après chaque téléchargement. Pour une PME qui fait de la télémaintenance ou met à jour ses automates à distance, c'est un processus à outiller.

Deux textes voisins s'ajoutent. Le règlement sur la cyberrésilience (CRA, 2024/2847) s'applique aux produits comportant des éléments numériques à partir du 11 décembre 2027 ; son obligation de signaler les vulnérabilités activement exploitées et les incidents graves s'applique depuis le 11 septembre 2026 (article 14). Selon son considérant 53, respecter ses exigences peut faciliter le respect des sections 1.1.9 et 1.2.1, ce que le fabricant doit démontrer. Et une machine connectée peut aussi relever du Data Act et de ses obligations pour les fabricants.

Notice d'instructions numérique : ce que permet l'article 10

La directive exigeait que chaque machine soit « accompagnée » d'une notice, sans parler de format numérique. L'article 10, paragraphe 7, du règlement l'autorise et l'encadre :

• la machine, ou à défaut l'emballage, indique comment accéder à la notice ;
• la notice peut être imprimée, téléchargée et sauvegardée pour rester accessible pendant une panne, y compris lorsqu'elle est intégrée au logiciel de la machine ;
• elle reste en ligne pendant la durée de vie prévue de la machine, et au moins dix ans après sa mise sur le marché ;
• si l'utilisateur la demande au moment de l'achat, le fabricant la fournit gratuitement sur papier dans un délai d'un mois ;
• si la machine peut être utilisée par des non-professionnels, même sans leur être destinée, les informations de sécurité essentielles sont fournies sur papier.

La déclaration UE de conformité peut, elle aussi, être remplacée par une adresse internet ou un code lisible par machine indiqué dans la notice, la déclaration restant en ligne au moins dix ans (article 10, paragraphe 8).

L'omnibus IV peut encore modifier ces règles

Le 21 mai 2025, dans son paquet de simplification « omnibus IV », la Commission a proposé de modifier sept règlements, dont le règlement machines (COM(2025) 504) : déclaration de conformité uniquement numérique, échanges numériques avec les autorités et, lorsqu'un autre texte impose un passeport numérique de produit, déclaration et notice fournies dans ce passeport. L'accord entre le Parlement et le Conseil a été approuvé en commission parlementaire le 14 juillet 2026 ; au 16 octobre 2026, le vote en plénière est annoncé, à titre indicatif, pour le 23 novembre. La proposition prévoyait une application dès le 20 janvier 2027 : vérifiez le texte final avant de figer votre procédure.

Une notice accessible en ligne pendant au moins dix ans est un chantier de données produit, comme le passeport numérique de produit de l'ESPR ou la déclaration de conformité du PPWR pour les emballages.

Normes harmonisées : le point ouvert au 16 octobre 2026

La présomption de conformité repose sur des normes harmonisées dont les références sont publiées au Journal officiel (article 20). La décision d'exécution (UE) 2026/2015 du 4 septembre 2026 met à jour la liste des normes harmonisées de la directive, puis l'abroge avec effet au 20 janvier 2027. Au 16 octobre 2026, aucune référence de norme n'est publiée au Journal officiel au titre du règlement 2023/1230.

La Commission annonce une première liste d'ici la fin de 2026. Elle reprendra la grande majorité des normes de la directive et précisera celles qui ne couvrent pas entièrement une exigence nouvelle ou modifiée du règlement. Deux conséquences :

• la présomption ne vaudra que pour ce que chaque norme couvre : au-delà, le dossier technique décrit les spécifications appliquées (annexe IV, point f) ;
• pour une machine de l'annexe I, partie B, le contrôle interne dépend de ces normes : vérifiez votre catégorie dès la publication de la liste, avec votre organisme notifié si besoin.

Quel impact pour un fabricant de machines en PME ?

Le règlement ne demande pas de reconcevoir chaque machine. Il demande de savoir précisément ce que fait le logiciel, ce que fait l'IA, et ce que le client reçoit. Six chantiers à ouvrir avant le 20 janvier 2027 :

1. Lister les machines cédées après le 20 janvier, exemplaire par exemplaire, stock et commandes en cours compris.
2. Classer chaque modèle : annexe I partie A, partie B ou hors annexe, et la procédure qui en découle. Si une IA auto-évolutive assure une fonction de sécurité, contactez tôt un organisme notifié.
3. Inventorier le logiciel : fonctions de sécurité logicielles, versions installées, mises à jour à distance, journal des versions sur cinq ans.
4. Cartographier l'IA : pour chaque usage, une défaillance peut-elle blesser quelqu'un ?
5. Traiter la cybersécurité une fois pour deux textes : accès distants, protection, preuve des interventions, en préparant le CRA en même temps.
6. Organiser la notice et la déclaration : format, hébergement sur au moins dix ans, QR code, envoi papier sous un mois, langues.

Ajoutez les contrats : intégrateurs et clients qui modifient vos machines doivent savoir quand ils en deviennent fabricants.

Nous ne sommes pas un organisme notifié et n'évaluons pas la conformité de vos machines. Notre rôle se situe en amont. Un audit IA cartographie l'IA et le logiciel de vos machines et distingue ce qui relève d'une fonction de sécurité ; il peut être cofinancé selon votre profil, par exemple via Clic&Tech (OPCO 2i) pour les entreprises industrielles de moins de 250 salariés des départements couverts. Ensuite, un outil métier sur mesure peut produire, versionner et publier vos notices numériques à partir de vos données de configuration.

Les limites de cet article

Cet article est une synthèse d'orientation, pas un avis juridique. Restent à venir ou à vérifier au 16 octobre 2026 : le texte final de l'omnibus IV, les actes délégués sur l'IA, la première liste de normes harmonisées et les régimes nationaux de sanctions, à notifier au plus tard le 20 octobre 2026. Le test « une défaillance peut-elle blesser ? » aide à trier sans remplacer l'analyse : le classement d'une machine se valide avec votre organisme notifié ou un conseil spécialisé.

Conclusion : le logiciel entre dans la sécurité machine

Le règlement 2023/1230 garde la colonne vertébrale de la directive : évaluation des risques, exigences essentielles, dossier technique, marquage CE. Ce qui change, c'est que le logiciel, l'IA, les connexions et la documentation numérique en font désormais partie de plein droit.

Pour un fabricant de PME, le 20 janvier 2027 est une échéance de mise sur le marché, machine par machine. Inventorier dès maintenant son logiciel et son IA, c'est aussi préparer le CRA de décembre 2027 et les exigences IA de 2028.

Lire aussi : Data Act : les obligations des fabricants depuis le 12 septembre 2026

Sources

• EUR-Lex — Règlement (UE) 2023/1230 sur les machines (JO L 165 du 29/06/2023) et son rectificatif (JO L 169 du 04/07/2023)
• EUR-Lex — Règlement (UE) 2026/1744, omnibus numérique sur l'IA (08/07/2026, JO du 24/07/2026)
• EUR-Lex — Décision d'exécution (UE) 2026/2015 relative aux normes harmonisées concernant les machines (04/09/2026, JO du 07/09/2026)
• Commission européenne — Machinery et Harmonised standards : Machinery (consultées le 16/10/2026)
• Commission européenne — Guide bleu relatif à la mise en œuvre de la réglementation de l'UE sur les produits, 2022/C 247/01 (29/06/2022)
• Commission européenne — Proposition COM(2025) 504 sur la numérisation et les spécifications communes (21/05/2025), paquet Omnibus IV et Parlement européen — fiche de procédure 2025/0134(COD) (consultée le 16/10/2026)
• EUR-Lex — Règlement (UE) 2024/2847 sur la cyberrésilience, considérant 53, articles 14 et 71 (23/10/2024)
• EUR-Lex — Directive 2006/42/CE relative aux machines (17/05/2006)

Savez-vous lesquelles de vos machines fournies après le 20 janvier 2027 embarquent une IA ou un logiciel de sécurité ? Votre notice numérique restera-t-elle en ligne dix ans ? Parlons-en : nous vous aidons à cartographier l'IA et le logiciel de vos machines, puis à outiller votre documentation avec un logiciel sur mesure.