Six normes du passeport numérique de produit sont parues au Journal officiel. La norme sur l'authenticité, non.

Le 14 juillet 2026, la Commission européenne a adopté la décision d'exécution (UE) 2026/1736, publiée au Journal officiel de l'Union européenne le 15 juillet 2026 et entrée en vigueur le même jour. Elle cite six normes harmonisées élaborées pour le passeport numérique de produit dans le cadre de l'écoconception de l'UE : EN 18216 (protocoles d'échange de données), EN 18219 (identifiants uniques), EN 18220 (supports de données), EN 18221 (stockage, archivage et persistance des données), EN 18222 (interfaces de programmation d'applications pour la gestion du cycle de vie d'un passeport) et EN 18223 (interopérabilité des systèmes). Les six ont été publiées par le CEN-CENELEC le 27 mai 2026, élaborées au titre de la demande de normalisation M/604 de la Commission à l'appui du règlement (UE) 2024/1781, le règlement établissant un cadre pour la fixation d'exigences en matière d'écoconception applicables aux produits durables, connu sous le nom d'ESPR.

La citation au Journal officiel n'est pas une formalité. L'article 41 de l'ESPR dispose que les produits qui satisfont à une norme harmonisée dont la référence y a été publiée sont présumés satisfaire aux exigences d'écoconception correspondantes fixées dans les actes délégués du règlement, dans la mesure où ces exigences sont couvertes par la norme. En termes simples, construire un passeport selon l'une de ces six normes déplace la charge : au lieu de démontrer le respect des exigences au cas par cas, c'est la norme elle-même qui fait ce travail, pour les exigences qu'elle couvre.

Au total, huit normes harmonisées ont été commandées au titre de M/604, et non six. Les deux qui restent en suspens concernent toutes deux la sécurité : EN 18246, « passeport numérique de produit, authentification, fiabilité et intégrité des données », et sa norme sœur EN 18239. EN 18246 est la norme destinée à permettre de contrôler les données d'un passeport quant à leur authenticité, à la détection des altérations et à leur fiabilité, construite autour de ce que la norme appelle une construction de données signée électroniquement. Son vote formel au CEN-CENELEC s'est clos le 16 juillet 2026, un jour après que la Commission a cité les six autres, et sa publication est attendue vers septembre 2026.

Le champ d'application de la norme elle-même est volontairement étroit. Il couvre le cadre du traitement et de la communication sécurisés des informations qui préserve l'intégrité, l'authenticité et la fiabilité des données échangées au moyen d'un passeport. Il ne couvre explicitement ni l'architecture système du passeport, ni ses cas d'usage, ni les éléments sécurisés et les dispositifs de sécurité cryptographiques liés à un support de données pour l'identification unique des produits ; ceux-ci relèvent de normes sœurs, y compris celles déjà citées. Tant qu'EN 18246 n'aura pas été publiée puis citée séparément par la Commission dans une future décision d'exécution, la présomption de conformité qui couvre désormais l'échange, l'identification, les supports, le stockage, les API et l'interopérabilité ne s'étend pas à l'authenticité.

L'absence d'une norme citée ne suspend pas l'obligation sous-jacente. Le règlement (UE) 2024/1781 exige déjà, dans son propre texte, que les données du passeport numérique de produit soient exactes, complètes, à jour et vérifiables ; cette obligation est contraignante quelles que soient les normes harmonisées qui existent pour aider à la remplir. Ce qui manque, c'est le raccourci. L'article 41 permet aussi à la Commission d'adopter, par voie d'acte d'exécution, des spécifications communes comme solution de repli lorsqu'aucune norme harmonisée n'existe encore, mais aucune solution de repli de ce type n'a été adoptée non plus pour l'authenticité des données. Une entreprise qui construit aujourd'hui la couche d'authenticité d'un passeport n'a ni norme citée ni spécification commune à invoquer, seulement l'exigence du règlement lui-même et sa propre capacité à montrer comment elle y satisfait.

En pratique, cela signifie se rabattre sur les moyens ordinaires de démontrer le respect des exigences : une documentation technique conservée en archive, une évaluation de la conformité autodéclarée selon la procédure générale de l'ESPR, ou l'attestation propre d'un fournisseur, dont aucune ne porte la présomption automatique qu'apporte une norme citée. Ce n'est pas une lacune du droit ; l'exigence de l'ESPR relative à des données de passeport exactes, complètes et vérifiables n'a jamais été subordonnée à l'existence d'une norme pour la mettre en œuvre. C'est une lacune dans les outils disponibles pour prouver efficacement le respect des exigences, et elle ne se refermera qu'une fois EN 18246 publiée et citée.

Cet écart pèse davantage pour l'authenticité que pour la plupart des autres exigences, car un passeport dont les données ne peuvent pas être contrôlées ne vaut guère mieux qu'une étiquette imprimée. AnyLAI, par exemple, émet ses passeports signés, avec une signature qui peut être contrôlée au regard de la clé publiée de l'émetteur.

Les actes délégués propres à l'ESPR arrivent encore par une voie distincte. Le premier plan de travail de la Commission au titre de l'ESPR, adopté le 16 avril 2025 sous la référence COM(2025) 187, désigne six groupes de produits prioritaires : les textiles et l'habillement, les meubles, les matelas, les pneumatiques, le fer et l'acier, et l'aluminium. Les dates indicatives de leurs actes délégués s'échelonnent de 2026, pour le fer et l'acier, à 2029, pour les matelas, et une obligation de passeport numérique de produit suit en général environ dix-huit mois après l'adoption de chaque acte délégué. Aucune de ces obligations n'est encore arrivée.

L'échéance la plus proche se trouve dans un autre règlement. En vertu du règlement (UE) 2023/1542, le règlement européen sur les batteries, un passeport numérique de batterie devient obligatoire à partir du 18 février 2027 pour les batteries de véhicules électriques, les batteries de moyens de transport légers et les batteries industrielles de plus de 2 kWh. C'est le premier cas réel où l'écart de normalisation décrit ci-dessus sera mis à l'épreuve dans la pratique. La même date revient dans le registre destiné à contenir l'identifiant de chaque passeport : le règlement d'exécution (UE) 2026/1778 de la Commission du 16 juillet 2026, qui fixe le fonctionnement du registre des passeports numériques de produit de l'UE, impose également à chaque État membre de désigner un administrateur national du registre au plus tard le 18 février 2027.

Rien de tout cela ne plaide pour l'attente. Les six normes citées donnent déjà une présomption de conformité réelle et utilisable pour la manière dont un passeport est construit, identifié, porté, stocké, échangé et rendu interopérable, et une entreprise qui assemble un passeport aujourd'hui peut s'appuyer sur elles dès maintenant. L'exigence selon laquelle les données sous-jacentes doivent être exactes et vérifiables est déjà en vigueur indépendamment de toute norme ; l'ordre raisonnable consiste donc à mettre d'abord en place cette discipline des données et à adopter EN 18246 dès qu'elle existera, et non l'inverse. AnyLAI, par exemple, signale ses productions assistées par l'IA comme assistées par l'IA et vérifiées par un humain.

Deux dates méritent d'être suivies à partir de maintenant. Septembre 2026 est le moment où EN 18246 et sa norme sœur consacrée à la sécurité devraient être publiées au CEN-CENELEC, ce qui refermera l'écart technique avant même que la Commission ne les cite formellement. La suite est moins prévisible : pour les six normes déjà citées, environ sept semaines se sont écoulées entre leur publication par le CEN-CENELEC le 27 mai 2026 et leur citation par la Commission le 15 juillet 2026, mais cet intervalle est un précédent, pas une certitude. Une entreprise dont la discipline des données est en ordre n'aura pas à changer de cap, dans un cas comme dans l'autre ; elle gagnera simplement un raccourci qu'elle n'a pas encore.