Modification substantielle : quand apparaît-elle ?

La modification substantielle ne se mesure pas au volume des travaux, au coût du chantier ni au nombre de pièces remplacées. En sécurité des machines, la bonne question est plus exigeante : qu’est-ce que ce changement fait au risque ? Si une intervention, après la mise sur le marché ou la mise en service, crée une nouvelle situation dangereuse, augmente un risque existant ou impose de nouvelles mesures de protection, elle peut relever de la modification substantielle au sens du Règlement (UE) 2023/1230. Cela vaut pour une transformation mécanique, mais aussi pour une évolution de logiciel, de logique de redémarrage, de remise en marche ou de paramètres d’entraînement.

En pratique, beaucoup d’entreprises raisonnent encore à partir de l’élément visible ajouté à la machine : un protecteur, un dispositif d’arrêt d’urgence, un accès, un nouvel entraînement. Or l’élément ajouté n’est souvent que la conséquence d’un changement plus profond dans la relation entre l’opérateur et la machine. C’est cette altération de la situation de risque qu’il faut analyser, au moyen d’une appréciation du risque conforme à l’ISO 12100.

Modification substantielle : la mauvaise question de départ

La question la plus fréquente est la mauvaise : qu’avons-nous ajouté à la machine ? D’un point de vue juridique et technique, cette approche est secondaire. Ce qui compte n’est pas la taille apparente de la transformation, mais son effet sur la sécurité des machines.

Le raisonnement correct consiste à vérifier si le changement introduit après la mise sur le marché ou après la mise en service était non prévu par le fabricant et s’il modifie les conditions de sécurité. La logique du Règlement (UE) 2023/1230, en continuité avec les exigences historiquement connues sous la Directive 2006/42/CE, conduit à examiner notamment les points suivants :

• le changement modifie-t-il la fonction de la machine ou ses limites d’utilisation ;
• introduit-il un nouvel accès à une zone dangereuse ;
• change-t-il la séquence possible d’un événement dangereux ;
• augmente-t-il la gravité d’un dommage ou la probabilité d’exposition ;
• impose-t-il des mesures de protection supplémentaires, en particulier via un système de commande lié à la sécurité ou par des dispositions relatives à la résistance mécanique.

Autrement dit, une modification substantielle ne commence pas lorsqu’on reconstruit massivement une machine. Elle commence lorsque la sécurité doit être redéfinie parce que la situation de risque n’est plus celle envisagée initialement par le fabricant.

Ne pas évaluer le protecteur, mais le changement

Une erreur classique consiste à analyser la mesure de protection au lieu d’analyser la cause qui l’a rendue nécessaire. Dire qu’un protecteur a été ajouté, qu’un rideau optoélectronique a été installé ou qu’un dispositif d’arrêt d’urgence a été placé au milieu d’une ligne ne dit rien, à lui seul, sur la nature du changement. La mesure de protection n’est pas la modification ; elle en est souvent la conséquence.

Si une nouvelle mesure de protection devient nécessaire, c’est généralement qu’un élément de la situation d’usage a été modifié : nouvel accès, nouvelle cadence, nouvelle intervention de l’opérateur, nouveau mode de marche, nouvelle interaction entre machines. Le bon enchaînement d’analyse est donc simple : cause, risque, mesure de protection, responsabilité. Inverser cet ordre conduit très vite à sous-estimer l’ampleur réelle du changement.

Modification substantielle : cas pratique avec un dispositif d’arrêt d’urgence

Un cas fréquent consiste à dire qu’on ajoute seulement un dispositif d’arrêt d’urgence pour sécuriser davantage une ligne. Présentée ainsi, la situation semble bénigne. Pourtant, la question essentielle est la suivante : qu’est-ce qui a changé pour que ce dispositif devienne nécessaire à cet endroit précis ?

Dans de nombreux cas, la réponse est que l’opérateur a été introduit dans une zone dangereuse ou rapproché d’une source de danger. La relation entre l’opérateur et la machine n’est plus la même. Le dispositif d’arrêt d’urgence n’est donc pas le point de départ du problème ; il est la réaction visible à une nouvelle situation dangereuse.

Il faut en outre rappeler qu’un dispositif d’arrêt d’urgence est une fonction réactive. Il permet d’éviter ou de limiter un danger réel ou imminent, mais il ne remplace pas les mesures de prévention. En sécurité des machines, il vient en complément d’autres dispositions. Si l’appréciation du risque selon l’ISO 12100 montre qu’un opérateur peut entrer dans la zone dangereuse pendant un mode de marche donné, la mesure pertinente peut être un protecteur interverrouillé, une détection de présence, une limitation de mouvement, une vitesse réduite surveillée ou une autre fonction de sécurité assurée par le système de commande lié à la sécurité.

Cela illustre bien le cœur du sujet : le problème n’est pas l’absence d’un bouton. Le problème est le changement d’usage ou d’architecture qui a rendu ce bouton nécessaire.

Modifications physiques en apparence mineures, effets majeurs sur le risque

Beaucoup de modifications substantielles naissent de décisions techniques parfaitement rationnelles en exploitation : améliorer l’ergonomie, réduire un temps d’accès, fluidifier la maintenance, augmenter la performance. L’intention est souvent légitime. Mais une intention légitime n’annule pas l’effet sur le risque.

Accès supplémentaire à la zone dangereuse

L’ajout d’une plateforme, d’un marchepied, d’un ouvrant, d’une trappe ou d’un passage peut sembler purement pratique. Pourtant, ce type de changement modifie immédiatement les conditions d’accès à la zone dangereuse. Un opérateur peut désormais atteindre une partie mobile, intervenir plus souvent ou se trouver plus près d’un point de coincement, de cisaillement ou d’écrasement.

Dans cette situation, il ne faut pas se demander si la plateforme est en elle-même importante. Il faut se demander si ce nouvel accès impose un protecteur, un interverrouillage, une fonction d’arrêt sûre à l’ouverture, une limitation de mouvement ou une autre mesure de protection préventive. Si oui, on s’éloigne d’un simple ajustement de confort et on entre potentiellement dans le champ de la modification substantielle.

Ajout d’un protecteur

L’ajout d’un protecteur est souvent perçu comme une amélioration évidente. C’est parfois vrai, mais pas automatiquement. Un protecteur ajouté a posteriori peut modifier la visibilité du procédé, imposer de nouvelles manœuvres d’ouverture, créer des contournements prévisibles, dégrader l’ergonomie ou ajouter des efforts sur la structure existante.

Un protecteur ne doit pas créer lui-même un risque supplémentaire. S’il exige une surveillance de position, une fonction de blocage, une temporisation de déverrouillage ou un changement du système de commande lié à la sécurité, la question n’est plus celle d’un simple accessoire. Il faut alors apprécier l’ensemble du changement et non l’objet isolé.

Changement d’entraînement ou de paramètres d’entraînement

Le remplacement d’un entraînement, l’augmentation du couple, la modification des rampes d’accélération, des limites de surcharge ou des paramètres d’entraînement sont souvent sous-estimés, car la machine paraît continuer à faire la même chose. En réalité, la dynamique n’est plus la même et le scénario d’accident peut être profondément modifié.

Une structure qui s’arrêtait auparavant sur surcharge peut, après modification, continuer à pousser ou à tirer jusqu’à provoquer une déformation, une rupture d’organe ou une perte de stabilité. Dans un convoyeur, cela peut déplacer le risque d’un simple arrêt vers un dommage mécanique beaucoup plus grave. Il peut alors devenir nécessaire de vérifier la résistance mécanique, d’ajouter une limitation de couple, de revoir les fonctions d’arrêt ou de modifier une partie mécanique. Là encore, la question pertinente n’est pas le nouveau moteur en lui-même, mais l’effet du changement sur la sécurité.

Modification substantielle par des changements numériques

Une erreur encore répandue consiste à réserver la notion de modification substantielle aux transformations mécaniques. C’est inexact. Une modification du logiciel de commande, des paramètres de fonctionnement, de la logique de sécurité ou de l’architecture de communication peut affecter la sécurité tout autant qu’une reconstruction physique.

Le fait qu’un changement soit invisible à l’œil nu ne le rend pas moins critique. En pratique, le numérique pèse autant que l’acier dès lors qu’il change le comportement de la machine.

Modification substantielle et logique de redémarrage ou de remise en marche

La modification de la logique de redémarrage ou de remise en marche est l’un des cas les plus sensibles. Une reprise automatique après fermeture d’un protecteur, retour d’alimentation, rétablissement d’une communication ou validation d’une condition logique peut priver l’opérateur de la maîtrise du moment de mise en mouvement.

Or une machine ne doit pas se remettre en marche de manière inattendue si cela crée une situation dangereuse. Même sans changement mécanique, une simple évolution de logique peut réduire le temps disponible pour réagir, modifier la perception du risque par l’opérateur et rendre insuffisantes des mesures de protection auparavant adaptées.

Paramètres de fonctionnement et trajectoire de risque

La modification des vitesses, courses, temps de réponse, accélérations, couples ou séquences automatiques est souvent décidée pour optimiser le procédé. Mais, du point de vue de l’appréciation du risque, il ne s’agit pas d’un réglage neutre. Ces paramètres déterminent directement le temps d’exposition, l’énergie en jeu et les conséquences possibles d’un événement dangereux.

Si la machine devient plus rapide, plus énergique ou moins prévisible, les mesures de protection existantes peuvent perdre en efficacité. Une distance de sécurité auparavant suffisante peut ne plus l’être. Une temporisation d’arrêt peut devenir trop longue. Une présence humaine occasionnelle peut devenir incompatible avec le nouveau cycle.

Intégration à l’ERP et ouverture du réseau

Raccorder une machine ou une ligne à un ERP est souvent présenté comme une simple opération d’échange de données. En sécurité des machines, cette vision est trop courte. L’ouverture du réseau introduit de nouveaux flux d’information, de nouvelles sources d’ordres, de nouvelles possibilités d’accès et parfois une couche intermédiaire de traitement qui n’avait pas été prévue par le fabricant.

Si l’architecture ajoutée peut modifier des paramètres, injecter des données de consigne, altérer une configuration ou influencer la logique de commande, le comportement réel de la machine peut sortir du cadre retenu lors de la conception initiale. Il faut alors examiner la validation des données, la gestion des accès, l’intégrité du logiciel et l’impact des systèmes externes sur les fonctions liées à la sécurité. La question n’est pas de savoir si l’ERP est utile ; la question est de savoir si l’intégration modifie le comportement de la machine d’une manière qui affecte le risque.

Modification du système de commande lié à la sécurité

Le cas le plus direct concerne les changements apportés au système de commande lié à la sécurité : logique d’interverrouillage, conditions de réarmement, permissifs de mouvement, séquence de validation, configuration d’un automate de sécurité. Ici, il ne s’agit pas d’informatique au sens générique ; il s’agit de la manière même dont la fonction de sécurité est obtenue.

Si la modification change la performance attendue, la réponse de la machine ou les conditions dans lesquelles un mouvement est autorisé, il faut la traiter avec le niveau d’exigence correspondant. Une fonction de sécurité modifiée sans réexamen global du risque expose à une conclusion trompeuse : la machine semble conforme à sa nouvelle logique, alors que cette logique n’est plus adaptée au risque réel.

Pourquoi il est imprudent de répondre trop vite

Dans beaucoup d’organisations, la demande implicite est simple : obtenir une réponse rapide indiquant qu’il n’y a pas de modification substantielle. Le problème est qu’une telle conclusion est souvent impossible à soutenir sérieusement sans appréciation du risque.

Le Règlement (UE) 2023/1230 ne raisonne pas à partir d’une liste fermée de travaux. Il raisonne à partir de l’effet du changement sur la sécurité. Pour conclure proprement, il faut donc appliquer la démarche de l’ISO 12100, au minimum sur le périmètre concerné :

• déterminer les limites de la machine dans sa configuration modifiée ;
• identifier les phénomènes dangereux et les situations dangereuses ;
• estimer et évaluer le risque ;
• définir et vérifier les mesures de protection adaptées ;
• confirmer que les hypothèses de sécurité restent valables après modification.

Sans cette démonstration, il est difficile d’affirmer avec la diligence raisonnable attendue qu’aucune modification substantielle n’est intervenue. L’expérience aide à repérer rapidement les cas manifestes. En revanche, conclure qu’un changement n’a aucun effet notable sur la sécurité exige généralement davantage de prudence et de justification.

Modification substantielle : ce qui change en matière de responsabilité

La modification substantielle n’est pas qu’une notion d’ingénierie. C’est une bascule de responsabilité. Lorsqu’un changement remplit les critères évoqués, l’entité qui le met en œuvre peut être regardée, pour le périmètre modifié, comme assumant un rôle de fabricant. À partir de là, le sujet n’est plus seulement de faire fonctionner la machine, mais de démontrer que la configuration modifiée respecte les exigences applicables.

Concrètement, cela peut impliquer de revoir la conception de sécurité, la documentation technique, les instructions, les essais, la traçabilité des choix et, le cas échéant, la procédure d’évaluation de conformité et les éléments associés au marquage CE sur le périmètre pertinent. L’analyse doit toujours être menée au bon niveau : parfois sur une fonction, parfois sur un sous-ensemble, parfois sur l’ensemble de la machine ou de la ligne, selon l’étendue réelle de la modification.

Pour l’exploitant, l’intégrateur ou le bureau d’études, l’enjeu principal est donc la preuve. Il ne suffit pas d’être convaincu que le changement est raisonnable. Il faut pouvoir montrer, documents à l’appui, que le risque a été réexaminé et que les mesures retenues sont cohérentes avec la nouvelle situation. C’est précisément là que l’appréciation du risque selon l’ISO 12100 constitue un élément central de diligence raisonnable.

La bonne question finale

Au fond, la question décisive est simple : après la modification, pouvez-vous justifier de manière technique et documentée que la machine reste sûre dans ses conditions réelles d’utilisation ? Si la réponse repose seulement sur l’intuition, l’habitude d’atelier ou l’idée que la transformation semblait mineure, le niveau de maîtrise est insuffisant.

À l’inverse, si vous pouvez démontrer ce qui a changé, quel risque cela a créé ou aggravé, quelles mesures de protection ont été retenues et pourquoi elles sont adaptées, alors vous êtes dans une logique conforme à la sécurité des machines et à la responsabilité attendue en France. C’est cette démonstration, et non l’apparence de la modification, qui permet d’apprécier sérieusement l’existence d’une modification substantielle.