Certification tiers vs Auto-certification : pourquoi exiger un certificat TÜV pour votre cobot ?

L’intégration d’un robot collaboratif (cobot) promet agilité et productivité. Pour un responsable sécurité, cette promesse s’accompagne d’une question fondamentale : comment garantir la conformité et maîtriser le risque juridique ? La tentation est grande de se fier aux arguments des fabricants, qui présentent souvent leurs cobots comme « sûrs par nature ». Beaucoup mettent en avant une « auto-certification », un document par lequel ils déclarent eux-mêmes que leur produit est conforme. Pourtant, cette approche, si elle semble simplifier l’achat, crée une zone grise lourde de conséquences.

En tant qu’auditeur, mon rôle est de clarifier ces zones d’ombre. La distinction entre une auto-certification et une certification délivrée par un organisme tiers notifié comme le TÜV n’est pas un simple détail administratif. C’est le point de bascule qui détermine où s’arrête la responsabilité du fabricant et où commence la vôtre. L’enjeu n’est pas seulement technique, il est stratégique et juridique. Il s’agit de comprendre que le vrai sujet n’est pas de savoir si le cobot est sûr, mais de pouvoir le prouver de manière irréfutable devant une autorité en cas d’incident.

Cet article n’est pas un catalogue de normes. Il est conçu comme un guide pour vous, acheteur ou responsable sécurité, afin de vous armer des bons arguments et de faire le choix qui protège réellement votre entreprise et votre responsabilité personnelle. Nous allons déconstruire les mythes et vous donner les clés pour comprendre pourquoi l’exigence d’une certification tierce n’est pas une contrainte, mais la décision la plus rationnelle pour sécuriser votre investissement et votre tranquillité d’esprit.

Pour vous guider dans cette démarche, nous aborderons les aspects cruciaux de la sécurité des cobots, des exigences techniques fondamentales aux implications juridiques de vos choix. Cet aperçu structuré vous permettra de naviguer avec assurance dans un domaine où la vigilance est primordiale.

L’erreur de croire qu’un cobot est « sûr par défaut » sans analyse de risque

Le postulat le plus dangereux en matière de robotique collaborative est de considérer le cobot comme un produit fini, sûr dès sa sortie du carton. Un cobot vendu seul est, dans la majorité des cas, une « quasi-machine ». Il n’est qu’un composant d’une application plus large que vous, l’intégrateur ou l’utilisateur final, allez créer. C’est l’application complète – le cobot, son préhenseur, la pièce manipulée, l’environnement de travail et l’opérateur – qui doit être sécurisée. La responsabilité de la conformité de cet ensemble vous incombe.

Une collaboration homme/robot ne peut s’envisager si et seulement si l’application assure la sécurité totale de l’opérateur. Propre à votre application et en conformité avec les exigences HSE de votre site, l’analyse de risques est une étape obligatoire lors de l’implantation d’un robot collaboratif.

– HumaRobotics, Normes, sécurité et législation en vigueur des robots collaboratifs

L’analyse de risque doit donc être systématique et exhaustive. Elle ne se limite pas à la prévention des chocs. Il faut évaluer l’ensemble des dangers potentiels. Par exemple, selon l’INRS, les risques associés à la robotique collaborative incluent les impacts, mais aussi les coupures, les écrasements, les brûlures (si le préhenseur est chaud), les intoxications (si des produits chimiques sont manipulés), ainsi que les contraintes physiques et psychiques pour l’opérateur. Omettre cette analyse, c’est comme conduire une voiture sans vérifier l’état des freins en se fiant uniquement à la réputation du constructeur.

Exiger une certification tierce sur les composants critiques du cobot ne remplace pas votre analyse de risque, mais elle la simplifie considérablement. Elle vous apporte la garantie qu’une entité indépendante et experte a validé la fiabilité des fonctions de sécurité du cobot. C’est un socle de confiance sur lequel vous pouvez bâtir votre propre évaluation, en vous concentrant sur les risques spécifiques à votre application, plutôt que de devoir auditer vous-même la conception du robot.

Pourquoi un cobot doit-il avoir deux canaux de surveillance indépendants (Redondance) ?

Au cœur de la sécurité fonctionnelle se trouve un principe non négociable : la redondance. Pour les fonctions critiques, comme l’arrêt d’urgence ou la surveillance de la vitesse, on ne peut se fier à un seul circuit électronique. Une défaillance unique ne doit jamais conduire à une situation dangereuse. C’est pourquoi les systèmes de sécurité des cobots doivent être conçus avec au moins deux canaux de surveillance indépendants. Si l’un des canaux tombe en panne, le second prend le relais ou met le système dans un état sûr (par exemple, en coupant l’alimentation des moteurs).

Cette architecture à double canal est une exigence fondamentale pour atteindre les niveaux de performance de sécurité (Performance Levels, ou PL) requis par les normes. Pour la plupart des applications collaboratives, les fonctions de sécurité doivent atteindre un PL d selon la norme ISO 13849-1. Ce niveau garantit une très faible probabilité de défaillance dangereuse par heure.

Le problème pour un acheteur est qu’il est impossible de vérifier visuellement ou sans expertise technique poussée que cette redondance est correctement implémentée, tant au niveau matériel que logiciel. C’est ici que la certification tierce prend tout son sens. Lorsqu’un organisme comme le TÜV certifie une fonction de sécurité, il audite en profondeur les schémas électriques, le code logiciel et l’architecture du système pour valider que le principe de redondance est respecté et que le niveau de performance (PL) annoncé est bien atteint. Une auto-certification, à l’inverse, vous demande de croire le fabricant sur parole. C’est un acte de foi que, du point de vue de la gestion du risque, vous ne devriez pas avoir à faire.

En somme, la redondance est l’assurance-vie de votre système de sécurité. La certification TÜV est la preuve que cette assurance-vie est bien valide et financée.

Safe Move, Safe Torque : quelles sont les options logicielles indispensables à acheter ?

Les cobots modernes ne se contentent plus d’un simple arrêt d’urgence. Ils intègrent une suite de fonctions de sécurité avancées, souvent regroupées sous des appellations commerciales comme « Safe Move ». Ces options logicielles permettent de créer des interactions homme-robot plus fluides et productives tout en maintenant un haut niveau de sécurité. Parmi les plus importantes, on trouve :

• Safe Torque Off (STO) : C’est la fonction de base. Elle coupe l’alimentation des moteurs du robot de manière sécurisée, empêchant tout mouvement inattendu sans couper l’alimentation générale du contrôleur.
• Safely-Limited Speed (SLS) : Cette fonction surveille la vitesse du robot et garantit qu’elle ne dépasse jamais une limite prédéfinie, par exemple lorsqu’un opérateur entre dans une zone de travail partagée.
• Safely-Limited Position (SLP) : Elle permet de définir des « murs virtuels » que le robot ne peut pas franchir, protégeant ainsi l’opérateur ou des équipements sensibles à proximité.

Ces fonctions représentent une complexité logicielle et matérielle considérable. Leur fiabilité est la pierre angulaire de la sécurité de votre application. Comment s’assurer qu’elles fonctionneront sans faillir le jour où elles seront sollicitées ?

L’image ci-dessus illustre parfaitement le dilemme : d’un côté, la complexité des mécanismes internes, de l’autre, la simplicité apparente d’une fonction certifiée. Lorsque vous achetez ces options logicielles, l’exigence d’une certification tierce (TÜV) pour chacune d’elles est indispensable. Cette certification atteste qu’un organisme indépendant a testé rigoureusement le code, l’implémentation matérielle et la résistance aux pannes de chaque fonction. Sans cette validation externe, vous achetez une promesse, pas une garantie. Vous héritez du fardeau de devoir prouver, dans votre propre dossier technique, que ces fonctions sont suffisamment fiables, une tâche quasi impossible sans les ressources d’un laboratoire de test.

Test de chute : comment vérifier que le cobot ne s’effondre pas lors d’une coupure de courant ?

La sécurité d’un cobot ne se limite pas à son fonctionnement normal ou à la gestion des collisions. Un aspect souvent négligé, mais critique, est son comportement lors d’une perte d’alimentation soudaine. Que se passe-t-il si une coupure de courant survient alors que le robot manipule une charge lourde ou un outil dangereux au-dessus d’un opérateur ou d’un équipement coûteux ? Le bras du robot ne doit en aucun cas s’effondrer sous l’effet de la gravité. C’est une exigence de sécurité fondamentale.

Pour contrer ce risque, les articulations des cobots de qualité sont équipées de freins de sécurité électromécaniques. Ces freins sont conçus pour s’engager automatiquement en l’absence de courant (principe de sécurité positive). Ils bloquent mécaniquement l’articulation dans sa position, empêchant toute chute. La fiabilité de ces freins est donc absolument cruciale. Ils doivent pouvoir supporter le poids du bras et de sa charge maximale, et ce, de manière répétée tout au long de la vie du robot.

Comme le montre cette vue rapprochée, un frein est un composant mécanique de précision. En tant qu’acheteur, il vous est impossible d’auditer sa qualité de fabrication, la résistance de ses matériaux ou la fiabilité de son mécanisme de déclenchement. C’est là qu’intervient, une fois de plus, la certification par un organisme tiers. Lorsqu’un cobot est certifié TÜV, les tests incluent des scénarios de perte de puissance pour vérifier la bonne performance des freins de sécurité. Le certificat atteste que ce composant vital a été validé selon des protocoles stricts.

Se fier à l’auto-certification du fabricant pour ce point revient à parier que les freins tiendront le jour où ils seront le plus nécessaires. Exiger un certificat TÜV, c’est s’appuyer sur une preuve documentée que des tests rigoureux ont été effectués pour vous.

PL d ou PL e : comment calculer le niveau de performance requis sans surpayer les composants ?

Une fois que l’on a compris la nécessité des fonctions de sécurité, la question suivante est : quel niveau de fiabilité choisir ? La norme ISO 13849-1 définit 5 niveaux de performance (PL de a à e), où ‘e’ représente le niveau le plus élevé. Choisir un PL trop bas met en danger les opérateurs ; choisir un PL trop haut (PLe quand PLd suffit) entraîne des surcoûts inutiles en composants et en complexité. L’objectif est de déterminer le PLr (Performance Level required), le niveau juste nécessaire pour votre application.

Ce calcul n’est pas arbitraire. Il se base sur une évaluation structurée du risque selon trois critères :

1. S (Severity) : La gravité de la blessure potentielle (S1 = légère, S2 = grave/irréversible).
2. F (Frequency) : La fréquence et la durée d’exposition au danger (F1 = rare, F2 = fréquente/continue).
3. P (Possibility) : La possibilité d’éviter le danger (P1 = possible, P2 = à peine possible).

À l’aide d’un graphe de risque défini dans la norme, la combinaison de ces trois facteurs (S, F, P) donne le PLr requis. C’est une démarche méthodique qui permet de justifier votre choix de composants de sécurité. Acheter des composants certifiés pour le PL dont vous avez besoin, et pas plus, est une démarche de diligence raisonnable et d’optimisation des coûts.

Cet exemple montre que l’objectif n’est pas d’atteindre systématiquement le plus haut niveau de sécurité, mais d’atteindre le niveau requis et d’être capable de le justifier. Utiliser des composants certifiés TÜV pour un PL spécifique vous donne l’assurance que le composant atteint bien le niveau de fiabilité pour lequel vous payez.

Dossier technique : les preuves que le fabricant doit vous fournir (et celles qu’il cache)

Lorsque vous achetez un cobot, vous ne recevez pas seulement un bras robotisé, mais aussi un ensemble de documents. La nature de ces documents est un indicateur capital de la responsabilité que vous endossez. Il est crucial de savoir lire entre les lignes et de comprendre la différence fondamentale entre deux documents qui se ressemblent : la Déclaration CE de Conformité et la Déclaration d’Incorporation.

Une « Déclaration d’Incorporation » (ou Déclaration IIB) est fournie pour une « quasi-machine ». Elle atteste que le composant (le cobot nu) est destiné à être intégré dans une machine plus grande. Le fabricant du cobot vous transfère ainsi la responsabilité de réaliser la conformité finale de l’ensemble. Une « Déclaration CE de Conformité » (ou Déclaration IIC), en revanche, s’applique à une machine complète et prête à l’emploi. Le fabricant y atteste que son produit respecte toutes les exigences essentielles de sécurité et de santé.

Le tableau suivant, basé sur les informations de l’INRS, clarifie les implications juridiques de chaque document.

Ce que ce tableau révèle est essentiel : si votre fournisseur de cobot vous remet une Déclaration d’Incorporation, il vous désigne explicitement comme le fabricant de la machine finale. Vous devez alors constituer le dossier technique complet, réaliser l’analyse de risque de l’ensemble, et émettre votre propre Déclaration CE de Conformité. Votre fardeau de la preuve est total. À l’inverse, si un fournisseur vous propose une application « clé en main » certifiée, il doit vous fournir une Déclaration CE de Conformité pour l’ensemble. Dans tous les cas, s’appuyer sur des composants (cobot, fonctions de sécurité) déjà certifiés par un tiers comme le TÜV allège considérablement la charge de justification de votre dossier technique.

Patch de sécurité : la mise à jour du contrôleur invalide-t-elle la certification de la cellule ?

La vie d’une machine ne s’arrête pas à son installation. Elle évolue : on change un outil, on ajuste un programme, on installe une mise à jour logicielle fournie par le fabricant. Une question se pose alors : toute modification, même mineure, a-t-elle un impact sur la conformité et le marquage CE de l’application robotisée ? La réponse est, sans ambiguïté, oui. Dès lors que vous apportez une « modification substantielle » à la machine, vous êtes à nouveau considéré comme le fabricant et devez réévaluer la conformité de l’ensemble.

Qu’est-ce qu’une modification substantielle ? L’installation d’un patch de sécurité pour le contrôleur du robot, par exemple, peut sembler anodine. Cependant, si cette mise à jour affecte les fonctions de sécurité, elle est considérée comme substantielle. Vous devez alors vous assurer que la conformité est maintenue. Cela implique de documenter la modification, de mettre à jour votre analyse de risque et, si nécessaire, de réaliser de nouveaux tests.

En tant qu’exploitant, vous êtes responsable de maintenir la machine en état de conformité tout au long de son cycle de vie. S’appuyer sur un fabricant qui propose des mises à jour certifiées TÜV vous simplifie grandement la tâche. Cela vous donne l’assurance que l’impact de la mise à jour sur les fonctions de sécurité a déjà été évalué par un expert indépendant. Sans cela, le fardeau de la preuve repose une fois de plus sur vos épaules. En cas d’accident, vous devriez démontrer qu’une mise à jour non certifiée n’a pas dégradé le niveau de sécurité initial de la machine.

Marquage CE : pourquoi le directeur d’usine risque la prison en cas d’accident sur une machine modifiée ?

Nous arrivons au point culminant de notre raisonnement : les conséquences ultimes d’une gestion approximative de la conformité. Le marquage CE n’est pas une simple formalité administrative. C’est un engagement juridique qui, s’il n’est pas respecté, expose l’entreprise et ses dirigeants à des sanctions sévères. Lorsqu’un accident survient sur une machine non conforme ou modifiée sans réévaluation adéquate, la chaîne de responsabilité est examinée à la loupe.

Les sanctions peuvent être financières. Par exemple, une non-conformité délibérée peut entraîner une amende d’au moins 10 000 € selon le Code du Travail français. Mais le risque le plus grave est d’ordre pénal. En cas de blessure grave ou de décès, la responsabilité personnelle du directeur d’usine ou du chef d’entreprise peut être engagée.

Le fabricant d’un produit peut engager sa responsabilité pénale s’il est prouvé une faute lors de la fabrication. Les infractions peuvent inclure l’homicide involontaire : toute personne causant la mort d’autrui par imprudence, négligence, ou par manquement à une obligation de sécurité ou de prudence.

– Juristes Environnement, La responsabilité du fabricant en cas de non-conformité

Rappelez-vous : si vous intégrez un cobot « quasi-machine » ou si vous modifiez une installation existante, vous êtes considéré comme le fabricant. Face à un juge, la question ne sera pas « pensiez-vous que la machine était sûre ? », mais « qu’avez-vous fait pour vous en assurer et comment pouvez-vous le prouver ? ». C’est là que le dossier technique devient votre principal moyen de défense. Un dossier s’appuyant sur des certificats TÜV pour les composants critiques démontre une démarche de diligence raisonnable. Il prouve que vous vous êtes appuyé sur des validations d’experts indépendants. Un dossier basé uniquement sur des auto-certifications du fournisseur est beaucoup plus fragile, car il repose sur la confiance et non sur une vérification externe.

Pour sécuriser vos installations et protéger votre responsabilité, l’exigence d’une certification tierce doit devenir un prérequis non négociable dans votre cahier des charges. C’est l’étape la plus simple et la plus efficace pour transformer une obligation réglementaire complexe en un avantage stratégique et une protection juridique solide.