Le passeport numérique de produit lisible par machine : ce qu'exige l'ESPR, et pourquoi les agents IA le liront

TL;DR

• Un passeport numérique de produit lisible par machine est une exigence légale : l'ESPR impose que les données du passeport soient fondées sur des normes ouvertes, interopérables et, le cas échéant, lisibles par machine, structurées, consultables et transférables sans dépendance à l'égard d'un fournisseur.
• Une page web lisible par une personne ne suffit pas à elle seule. Un logiciel doit pouvoir demander les mêmes données dans un format structuré, avec chaque champ nommé et chaque produit désigné par un identifiant persistant.
• Les données que la loi exige exactes, complètes et à jour sont les mêmes que celles dont un agent IA a besoin pour savoir exactement quel produit il examine, à condition qu'il respecte les droits d'accès fixés par le passeport.

Un passeport numérique de produit lisible par machine est un passeport qu'un logiciel peut lire aussi fiablement qu'une personne. Ce n'est pas un simple plus. L'ESPR, le règlement (UE) 2024/1781, l'inscrit dans les exigences essentielles que tout passeport doit respecter, et les normes européennes citées en juillet 2026 traduisent ces exigences en quelque chose de réalisable.

Ce guide présente ce que dit le règlement, en quoi une page de passeport lisible par l'humain diffère d'un passeport lisible par machine, les briques techniques couramment utilisées, et pourquoi ces mêmes données deviennent une source de confiance pour les agents IA. La liste des données qu'un passeport doit contenir est traitée à part dans Exigences de données du passeport numérique de produit. Tout ce qui suit est établi en date d'octobre 2026.

Que dit l'ESPR sur la lisibilité par machine ?

L'article 10, paragraphe 1, point d), fixe les règles applicables aux données elles-mêmes. Toutes les données du passeport doivent être :

• fondées sur des normes ouvertes
• élaborées dans un format interopérable
• le cas échéant, lisibles par machine, structurées et consultables
• transférables via un réseau ouvert et interopérable d'échange de données, sans dépendance à l'égard d'un fournisseur

Chacun de ces termes a une conséquence pratique.

Les mots « le cas échéant » laissent à l'acte délégué de chaque groupe de produits le soin de décider jusqu'où va chaque exigence. Ils ne rendent pas la lisibilité par machine facultative.

L'article 11 ajoute les règles au niveau du système. Son point a) exige que chaque passeport soit pleinement interopérable avec les autres passeports requis au titre de l'ESPR « en ce qui concerne les aspects techniques, sémantiques et organisationnels de la communication de bout en bout et du transfert de données ». L'interopérabilité technique signifie que les systèmes peuvent échanger des données. L'interopérabilité sémantique signifie qu'ils s'accordent sur le sens de ces données : que le « contenu recyclé » d'un passeport désigne la même chose, mesurée de la même façon, que dans un autre.

L'article 11 exige aussi l'authentification, la fiabilité et l'intégrité des données (point g)), et l'article 9, paragraphe 1, exige que les données du passeport soient exactes, complètes et à jour.

Les étapes franchies jusqu'ici

Lisible par l'humain ou lisible par machine : quelle différence ?

Imaginez le même passeport de bouilloire livré de deux façons.

La version lisible par l'humain est une page web. Un consommateur scanne le QR code sur la boîte et voit les matériaux, les instructions de réparation, les pièces détachées et les consignes de recyclage, mis en page pour un téléphone. C'est la bonne expérience pour une personne. Un programme qui lit cette page doit deviner quel nombre correspond à la puissance et lequel à la longueur du câble, et cette supposition échoue dès que la mise en page change.

La version lisible par machine exprime les mêmes faits sous forme de données. Chaque valeur a un nom, une signification définie et, le cas échéant, une unité, et le produit est désigné par un identifiant persistant. Le système d'un recycleur ou une place de marché obtient la même réponse à chaque fois, quelle que soit l'apparence de la page.

Un passeport bien conçu fait les deux à partir d'un seul enregistrement, de sorte que la page et les données ne peuvent pas diverger.

À quoi peut ressembler un enregistrement lisible par machine

Voici un exemple illustratif volontairement réduit en JSON-LD, le format du W3C pour les données liées en JSON. Il n'est tiré d'aucune norme ni d'aucun acte délégué, et un vrai passeport contiendrait bien plus de données. Il utilise des termes du GS1 Web Vocabulary et le GTIN d'exemple de GS1.

{
  "@context": { "gs1": "https://ref.gs1.org/voc/" },
  "@id": "https://example.com/01/09520123456788",
  "@type": "gs1:Product",
  "gs1:gtin": "09520123456788",
  "gs1:productName": { "@value": "Example kettle 1.7 l", "@language": "en" },
  "gs1:dpp": { "@id": "https://example.com/passport/01/09520123456788" }
}

Le @id est une adresse web construite à partir de l'identifiant du produit, de sorte que l'enregistrement désigne un produit précis. Chaque propriété renvoie à une définition publiée que chacun peut consulter. Et le lien vers le passeport est typé : gs1:dpp indique au logiciel qu'il mène au passeport numérique de produit.

Que couvrent les normes du CEN et du CENELEC ?

L'ESPR fixe les exigences. Les normes européennes disent comment y satisfaire. Six normes fondamentales, élaborées par le comité mixte CEN/CLC/JTC 24 à la demande de la Commission, ont été citées comme normes harmonisées par la décision d'exécution (UE) 2026/1736, publiée le 15 juillet 2026. En vertu de l'article 41, paragraphe 2, de l'ESPR, un passeport conforme à ces normes est présumé conforme aux exigences des articles 10 et 11 qu'elles couvrent.

L'EN 18222 est la norme dont le titre mentionne la consultabilité, et l'EN 18223 traite de l'interopérabilité qu'exige l'article 11, point a). Le CEN et le CENELEC présentent la série comme comptant huit normes. Les deux restantes, l'EN 18239 sur la gestion des droits d'accès, la sécurité et la confidentialité des affaires et l'EN 18246 sur l'authentification, la fiabilité et l'intégrité des données, ont été publiées le 16 septembre 2026 et, en date d'octobre 2026, n'ont pas encore été citées au Journal officiel.

Les normes définissent le fonctionnement d'un passeport, pas les données qu'un groupe de produits doit contenir. Nous présentons chacune d'elles dans les six normes CEN sur le DPP expliquées ; les textes eux-mêmes sont vendus par les organismes nationaux de normalisation, c'est pourquoi nous n'en reproduisons pas le contenu technique.

Quelles sont les briques techniques courantes ?

Un passeport lisible par machine s'assemble à partir de quelques briques ouvertes. Les choix précis suivront les normes harmonisées et chaque acte délégué ; ce qui suit est la boîte à outils web commune dont ils s'inspirent.

Un identifiant persistant, exprimé sous forme d'adresse web

L'article 10, paragraphe 1, point a), exige que le passeport soit relié, par un support de données, à un identifiant unique de produit persistant, et l'annexe III cite la série ISO/IEC 15459 pour le support de données et les identifiants. Le GTIN repose sur cette famille. GS1 Digital Link, dont la norme URI Syntax a atteint la version 1.7.0 en août 2026, transforme le GTIN en adresse web, avec un numéro de lot ou de série facultatif pour les passeports au niveau du lot et de l'article. La même adresse sert de QR code sur l'emballage et de @id du produit dans les données structurées, ce qui explique qu'un seul code puisse servir à la fois l'acheteur et le logiciel.

JSON et JSON-LD

JSON est le format courant des API web. JSON-LD, une recommandation du W3C, ajoute un @context qui associe chaque champ à un vocabulaire publié, comme le GS1 Web Vocabulary ou schema.org, qu'utilisent les moteurs de recherche et qui possède lui aussi une propriété gtin. Deux systèmes qui utilisent le même vocabulaire se comprennent sans accord bilatéral, ce qui est l'interopérabilité sémantique sous sa forme la plus courante sur le web.

Un résolveur et des liens typés

Un résolveur est le service situé derrière une URI GS1 Digital Link qui décide où va un scan ou une requête. La norme GS1-Conformant Resolver, version 1.2.1 ratifiée en août 2026, permet à un même identifiant de proposer de nombreux liens, chacun étiqueté par un type de lien du GS1 Web Vocabulary. GS1 a défini un type de lien spécifique aux passeports, gs1:dpp, décrit comme « a link to a digital product passport », aux côtés de types apparentés comme gs1:sustainabilityInfo, gs1:instructions, gs1:safetyInfo, gs1:certificationInfo et gs1:recallStatus.

Selon la norme de résolveur, un logiciel peut demander un type de lien précis avec un paramètre linkType, ou l'ensemble complet des liens (linkset, IETF RFC 9264) en JSON en envoyant Accept: application/linkset+json. Un téléphone qui scanne le code arrive sur la page destinée au consommateur, tandis qu'un programme qui interroge la même adresse découvre où se trouvent les données du passeport. Notre guide du résolveur GS1 Digital Link en explique le fonctionnement.

Là où le QR code est réellement utile, c'est à l'étape physique : il fait passer l'identifiant du produit au monde numérique. Il ne rend pas pour autant les données lisibles par machine. Un QR code qui mène à un PDF satisfait à l'exigence de support de données mais ne respecte pas l'article 10, paragraphe 1, point d).

Pourquoi un passeport lisible par machine compte-t-il pour les agents IA ?

Les agents IA commencent à rechercher, comparer et acheter pour le compte de personnes et d'entreprises. Lors de l'atelier W3C/GS1 à Zurich, la CEO de Digital Link, Paula Rivero, a décrit l'échec qui survient lorsqu'ils ne parviennent pas à établir l'identité d'un produit : un agent peut mener à bien chaque étape d'un achat et acheter malgré tout le mauvais produit, parce qu'une description correspond à plusieurs articles alors que seul un identifiant en désigne un seul.

Ce qui suit est notre lecture de la manière dont les pièces s'assemblent, pas quelque chose qu'énonce une loi ou un protocole d'agent : l'ESPR ne mentionne pas les agents IA. Mais les qualités qu'il exige sont celles dont un agent a besoin.

• Une identité exacte. Le passeport est ancré à un identifiant persistant, de sorte qu'un agent qui compare deux produits presque identiques peut les distinguer par GTIN, numéro de lot ou numéro de série, et non par leur nom.
• Des données au sens défini. Des champs structurés issus d'un vocabulaire partagé peuvent être lus sans extraire le contenu de la page d'un distributeur et en déduire la fiche technique.
• Une obligation légale d'exactitude. L'article 9, paragraphe 1, exige que les données du passeport soient exactes, complètes et à jour, et l'article 11, point g), exige l'authentification, la fiabilité et l'intégrité. Peu d'autres sources de données produit sont soumises à de telles obligations.
• La provenance. Seuls les acteurs désignés par l'acte délégué peuvent créer ou mettre à jour le passeport, de sorte qu'un agent sait de qui émane la déclaration qu'il lit.
• Une portée jusqu'à la vente en ligne. L'article 9, paragraphe 2, point e), permet à l'acte délégué de fixer la manière dont les clients voient le passeport avant d'acheter, y compris dans la vente à distance, et l'article 10, paragraphe 3, oblige l'opérateur économique à fournir aux distributeurs et aux places de marché en ligne, sur demande, une copie numérique du support de données ou de l'identifiant.

Lorsqu'un acheteur demande à un agent « une bouilloire aux pièces remplaçables et avec au moins 50 % de plastique recyclé », un passeport qui expose ces faits sous forme de données structurées et faisant autorité est une meilleure source qu'une supposition reconstituée à partir d'avis.

Les droits d'accès s'appliquent toujours

Rien de tout cela ne signifie qu'un agent voit tout. L'article 11, point b), donne à chaque acteur un accès conforme aux droits fixés dans l'acte délégué, et l'article 11, point f), restreint qui peut écrire. Un agent d'achat agissant pour un consommateur lit, au plus, ce que le consommateur pourrait lire : la partie publique. Les données réservées aux réparateurs, aux recycleurs ou aux autorités restent réservées, et le système de passeport doit le garantir. Notre guide sur les droits d'accès au passeport numérique de produit explique qui voit quoi, et comment les informations commerciales confidentielles restent protégées.

La limite vaut aussi dans l'autre sens : au titre de l'article 10, paragraphe 1, point e), les données personnelles des clients ne peuvent pas être conservées dans le passeport sans leur consentement explicite.

Que faire dès maintenant

1. Fixez vos identifiants. Assurez-vous que chaque produit dispose d'un GTIN ou d'un équivalent, et déterminez si vos produits pourraient nécessiter des passeports au niveau du lot ou de l'article.
2. Utilisez un QR code GS1 Digital Link comme support de données, pour que le même code fonctionne pour les acheteurs, les inspecteurs et les logiciels.
3. Modélisez vos données une seule fois, sous forme structurée. Associez chaque attribut dont vous disposez à un terme d'un vocabulaire publié avant de concevoir la moindre page.
4. Servez les deux vues à partir du même enregistrement : une page pour les personnes, des données structurées pour les logiciels, avec des liens typés pour que les programmes puissent trouver le passeport.
5. Planifiez tôt les niveaux d'accès. Décidez quelles données sont publiques et lesquelles sont restreintes, et vérifiez que votre plateforme l'applique pour chaque type de demandeur.
6. Interrogez votre prestataire sur les normes harmonisées. Vérifiez comment ses fonctions d'échange, d'API et d'interopérabilité se rattachent aux normes EN 18216 à EN 18223, et comment vous pourriez récupérer vos données.
7. Traitez les données publiques du passeport comme votre flux de données produit faisant le plus autorité. Une fois structurées et exactes, ces mêmes données peuvent alimenter les places de marché, les moteurs de recherche et les agents IA.

Digital Link est partenaire de solutions GS1, et notre plateforme construit des passeports produit fondés sur des normes, avec un identifiant persistant par produit, un QR code GS1 Digital Link comme support de données et un résolveur qui sert les personnes et les logiciels à partir du même enregistrement, en gardant séparées les données publiques et restreintes. Si vous voulez vérifier si vos données produit sont prêtes à être lues par des machines comme par des personnes, contactez-nous et notre équipe examinera votre cas.

Questions fréquentes

L'ESPR exige-t-il qu'un passeport numérique de produit soit lisible par machine ?

Oui. L'article 10, paragraphe 1, point d), exige que toutes les données du passeport soient fondées sur des normes ouvertes, dans un format interopérable et, le cas échéant, lisibles par machine, structurées, consultables et transférables sans dépendance à l'égard d'un fournisseur.

Un PDF est-il un passeport numérique de produit lisible par machine ?

Non. Un PDF, comme une déclaration de conformité, peut être lié depuis un passeport, mais les données du passeport elles-mêmes doivent être structurées pour qu'un logiciel puisse les lire et les rechercher.

L'ESPR exige-t-il JSON-LD ?

Non. Le règlement fixe les qualités que les données doivent présenter et ne nomme aucun format. JSON-LD est un format ouvert du W3C largement utilisé qui remplit bien ces qualités, et les formats utilisés en pratique suivront les normes harmonisées et les actes délégués.

Quelles normes couvrent l'échange de données et l'interopérabilité du DPP ?

Les normes harmonisées citées en juillet 2026 par la décision d'exécution (UE) 2026/1736 comprennent l'EN 18216 sur les protocoles d'échange de données, l'EN 18222 sur les API pour la gestion du cycle de vie et la consultabilité, et l'EN 18223 sur l'interopérabilité des systèmes. S'y conformer confère une présomption de conformité aux exigences de l'ESPR qu'elles couvrent.

Existe-t-il un type de lien GS1 Digital Link pour le passeport numérique de produit ?

Oui. Le GS1 Web Vocabulary définit gs1:dpp, décrit comme « a link to a digital product passport ». Un résolveur peut l'utiliser pour étiqueter le lien vers le passeport, afin qu'un logiciel puisse trouver le passeport à partir de l'identifiant du produit.

Les agents IA peuvent-ils lire les données d'un passeport numérique de produit ?

Ils peuvent lire tout ce que leur utilisateur est en droit de lire, ce qui, pour un consommateur, correspond à la partie publique du passeport. Les données restreintes restent restreintes en vertu des droits d'accès fixés dans chaque acte délégué. L'ESPR ne mentionne pas les agents IA ; l'idée que les données structurées du passeport leur conviennent est notre lecture des exigences.