IIoT, jumeau numérique, data industrielle et IA en production : audit, conseil, formation et assistance technique pour l'industrie

Le cadre européen : ce qui s'applique, et à quelle date

Le règlement sur l'intelligence artificielle et son calendrier

Le règlement (UE) 2024/1689, dit règlement sur l'IA, est entré en vigueur le 1er août 2024. Selon la page de la Commission européenne, les pratiques interdites et l'obligation de maîtrise de l'IA s'appliquent depuis le 2 février 2025, les règles sur les modèles d'IA à usage général depuis le 2 août 2025, et le règlement s'applique de façon générale depuis le 2 août 2026, avec des exceptions. Il a été modifié par un texte dit « omnibus IA », le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026.

Cette modification a déplacé les échéances les plus attendues : les systèmes à haut risque de l'annexe III (biométrie, infrastructures critiques, éducation, emploi et autres usages sensibles) s'appliqueront à partir du 2 décembre 2027, et ceux intégrés à des produits relevant de l'annexe I à partir du 2 août 2028. Les dates antérieures de 2026 et 2027 ne sont donc plus d'actualité. Qu'un cas d'usage de production relève ou non du haut risque dépend de son usage précis : la maintenance prédictive ou l'optimisation de paramètres ne semblent pas figurer, en tant que telles, parmi les catégories de l'annexe III, mais la qualification se fait au cas par cas et nous la faisons relire par un juriste. Nous ne rendons aucun avis de classification.

L'article 4 : maîtrise de l'IA, sans certificat

L'article 4 demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour que leur personnel et les personnes qui agissent pour leur compte aient une maîtrise suffisante de l'IA. Ce que la Commission écrit dans ses questions et réponses mérite d'être lu avant d'acheter quoi que ce soit : aucune formation obligatoire, aucun certificat, aucun niveau précis, des mesures adaptées au rôle, aux risques et au profil des personnes. La modification de 2026 a retiré toute référence à un niveau « suffisant » imposé. L'organisation peut conserver des traces internes de ses actions de formation ou de sensibilisation.

La supervision relève des autorités nationales de surveillance du marché, à partir du 2 août 2026. La désignation des autorités compétentes en France se suit auprès de la direction générale des entreprises. Pour les systèmes à haut risque, la formation du personnel chargé de la surveillance humaine reste exigée. Dans tous les cas, nos formations délivrent une attestation de suivi et jamais un « certificat IA ».

Data Act, Cyber Resilience Act et RGPD

Le Data Act, règlement (UE) 2023/2854, s'applique depuis le 12 septembre 2025. L'utilisateur d'un produit connecté, par exemple l'usine qui exploite une machine, peut accéder gratuitement aux données que le produit génère et les partager avec un tiers. Le détenteur est typiquement le fabricant ou le fournisseur du service associé, qui ne peut pas utiliser les données non personnelles sans l'accord de l'utilisateur ; les données dérivées sont exclues et les micro et petites entreprises bénéficient d'un régime allégé.

Le Cyber Resilience Act, règlement (UE) 2024/2847, vise les fabricants de produits comportant des éléments numériques : notification des vulnérabilités activement exploitées depuis le 11 septembre 2026, obligations principales à partir du 11 décembre 2027. Il concerne les constructeurs de machines connectées et les éditeurs, pas une prestation de conseil. Le RGPD, règlement (UE) 2016/679, s'applique dès que des données se rapportent à des personnes identifiables : identifiants d'opérateurs, performance individuelle, vidéo de ligne. La CNIL (Commission nationale de l'informatique et des libertés) en est l'autorité de contrôle. Quant à la directive NIS2 (directive (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d'information), elle est en cours de transposition en France.

Normes volontaires et interopérabilité

ISO 23247 et les jumeaux numériques de fabrication

Un jumeau numérique est une représentation virtuelle d'un équipement, d'une ligne ou d'un procédé, alimentée par des données réelles, pour surveiller, simuler ou prévoir. L'ISO 23247 propose un cadre pour les jumeaux numériques de fabrication ; ses parties 1 et 2 décrivent la vue d'ensemble et l'architecture de référence. C'est un cadre, non une obligation : il ne prescrit ni format ni protocole. Nous l'utilisons pour poser les bonnes questions (périmètre, fidélité, données, validation), sans prétendre qu'un jumeau « conforme à l'ISO 23247 » serait reconnu par un tiers.

La question qui décide de l'utilité d'un jumeau est rarement technique : à quelle décision doit-il servir, et avec quelle exactitude ? Un jumeau de ligne pour tester un ordonnancement n'exige pas la même fidélité qu'un jumeau d'équipement pour prévoir une dérive. Un périmètre trop large, une donnée mal qualifiée ou une validation absente suffisent à rendre le résultat trompeur.

ISO/IEC 42001 et le management de l'IA

L'ISO/IEC 42001, publiée en 2023, spécifie un système de management de l'intelligence artificielle. Elle est volontaire, et sa certification, lorsqu'elle existe, est délivrée par des organismes de certification, jamais par un organisme de formation ou de conseil. Notre rôle est de cadrer : analyser l'écart entre vos pratiques et ce qu'une telle démarche suppose, structurer la documentation (inventaire des cas d'usage, responsabilités, suivi des modèles), préparer vos équipes, sans promettre l'obtention d'un certificat.

Un système de management ne remplace pas la rigueur au poste : un modèle documenté qui dérive sans que personne ne regarde ses sorties reste un risque. Il aide cependant à répondre aux questions qu'un client ou un auditeur peut poser : qui a validé ce modèle, sur quelles données, avec quelles limites, et qui décide en cas de doute.

OPC UA, MQTT et Sparkplug

Pour que les données circulent sans développement sur mesure à chaque équipement, l'industrie s'appuie sur des standards. L'OPC UA, publié en 2008 et maintenu par l'OPC Foundation, est une architecture orientée services, indépendante des plateformes, avec un modèle d'information, un chiffrement, une signature des messages et une authentification par certificats. Le Sparkplug, spécification ouverte de l'Eclipse Foundation en version 3.0, définit comment utiliser MQTT (Message Queuing Telemetry Transport, protocole de messagerie pour objets connectés) de manière interopérable dans l'industrie.

Le choix de l'un ou de l'autre, ou des deux, est un sujet d'architecture : nombre d'équipements, bande passante, besoin d'un modèle d'information riche, compétences disponibles. Il se tranche au cadrage, avec la sécurité du réseau industriel en tête, et non à la livraison d'une plateforme.

Les enjeux d'un site qui exploite ses données

De la mesure à la décision

Beaucoup de projets de données industrielles se jouent avant les modèles : horodatage, unités, étiquetage des arrêts, correspondance entre une mesure et l'équipement, données manquantes. Une courbe mal horodatée rend inutilisable un modèle par ailleurs correct. L'ordre raisonnable est donc de qualifier les données, de mesurer ce qui manque, puis seulement de choisir la plateforme et la technique.

La diffusion de l'IA dans l'économie progresse vite sans être universelle : selon Eurostat, 20,0 % des entreprises de l'Union de dix personnes ou plus utilisaient des technologies d'IA en 2025, contre 13,5 % en 2024, tous secteurs confondus et non pour la seule industrie. Ce chiffre dit une dynamique, pas ce qui convient à votre atelier.

Cas d'usage de l'IA en production

Les cas d'usage rencontrés sont connus : maintenance prédictive sur des vibrations ou des températures, contrôle visuel des pièces, optimisation de paramètres de procédé, prévision de la consommation d'énergie, assistance à la recherche de causes de défaut. Chacun suppose un objectif mesurable, des données en quantité et en qualité suffisantes, un utilisateur qui fait confiance au résultat et un protocole pour savoir si le modèle continue de fonctionner. Un projet qui manque de l'un de ces quatre éléments risque de s'arrêter après le pilote.

Un modèle qui recommande n'est pas un modèle qui commande. La différence est réglementaire autant que technique : un modèle qui agirait sur une fonction de sécurité d'une machine met en jeu le règlement (UE) 2023/1230, applicable à titre obligatoire à partir du 20 janvier 2027 selon la Commission, qui traite les machines à fonctions de sécurité pilotées par l'IA. Son articulation avec le règlement sur l'IA se traite avec le fabricant et son conseil.

Qui décide, qui répond de quoi

Dans un projet de données industrielles, le site garde la propriété des décisions : quelles données sortent de l'usine, quel fournisseur de plateforme, quel niveau de confiance accordé à un modèle, qui peut le modifier. L'intégrateur ou l'éditeur répond de ses fonctions, le fabricant d'une machine de la conformité de sa machine, le responsable de traitement de la protection des données personnelles. Notre place est la maîtrise d'ouvrage technique, l'audit et la conception documentée.

Ces rôles doivent être écrits avant le premier pilote. Sans eux, la question « qui a validé ce modèle ? » reste sans réponse le jour où un client ou un auditeur la pose.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons la maturité data, IoT et IA de l'usine, de la mesure à la décision, avec une échelle explicite et un plan d'actions. Nous conseillons sur la feuille de route et le choix des cas d'usage, avec des critères écrits. Nous concevons des architectures de collecte, des jumeaux numériques et des modèles prédictifs, avec un dossier qui documente hypothèses, limites et conditions d'usage. Nous déployons une plateforme, un historian cloud ou un pilote, avec des critères de réussite fixés avant le démarrage.

Quand le besoin est de comprendre, une formation complète l'ensemble. Toutes ces prestations sont réalisées en intra-entreprise, au forfait ou en récurrent, sans promesse de gain : nous écrivons ce qui a été produit et décidé.

Ce que nous ne faisons pas

Nous ne délivrons aucune certification, qualification ou attestation de conformité, ni pour l'ISO/IEC 42001, ni pour le règlement sur l'IA, ni pour le Data Act. Nous ne classons pas juridiquement un système d'IA et ne rendons pas d'avis juridique : nous signalons les points à faire examiner. Nous ne sommes ni éditeur, ni hébergeur, ni opérateur de plateforme, et nous ne revendons aucun produit.

Nous ne concevons, ne programmons ni ne mettons en service de machine ou de cellule, et nous ne modifions aucune fonction de sécurité. Tout ce qui touche une machine relève du fabricant ou de l'intégrateur, qui conserve le marquage CE (conformité européenne) et la déclaration de conformité. Nous n'employons pas de personnel certifié et nous ne prétendons pas qu'une prestation vaut certification.

Assistance technique, sans ambiguïté sur le cadre

L'assistance technique est réalisée sous la responsabilité et l'encadrement d'Optédif, au forfait ou en récurrent, avec des livrables définis : pipelines documentés, jeux de données qualifiés, modèles et notes de validation, tableaux de bord. Les intervenants sont dirigés par Optédif, qui rend compte chaque mois, et ne sont pas placés sous l'autorité hiérarchique du client.

Les règles de sécurité du site, le plan de prévention et les droits d'accès aux données sont fixés avec vous avant le démarrage et respectés par nos intervenants. Les données restent chez vous, et la passation est documentée en fin de mission pour que vos équipes reprennent la main.