Dans l’industrie, l’évaluation d’une modification substantielle commence souvent par la mauvaise question : « qu’a-t-on ajouté ? », « est-ce une grosse transformation ? », « a-t-on changé la mécanique ? ». Or, au regard de la sécurité des machines et du cadre européen issu du règlement (UE) 2023/1230, ces questions sont secondaires. Le vrai sujet est ailleurs : qu’est-ce que cette modification a changé pour le risque ? Une intervention devient critique non parce qu’elle est visible ou coûteuse, mais parce qu’elle crée une nouvelle situation dangereuse, aggrave un risque existant ou impose de nouveaux moyens de protection. C’est précisément à ce moment qu’on entre dans le champ de la modification substantielle, avec des conséquences techniques, documentaires et juridiques qui peuvent aller jusqu’à un basculement de responsabilité vers l’entreprise qui a modifié la machine.
La modification substantielle ne se mesure pas au volume des travaux
En pratique, beaucoup d’entreprises raisonnent encore en quantité de modifications : ajout d’un capot, remplacement d’un moteur, retouche d’automatisme, connexion à un système de supervision, changement d’implantation d’un poste. Pourtant, la bonne grille d’analyse n’est pas la taille de la modification, mais son impact sur la sécurité.
Le règlement (UE) 2023/1230 vise les modifications réalisées après la mise sur le marché ou la mise en service de la machine, qu’elles soient physiques ou numériques. Trois questions sont déterminantes :
- la modification était-elle prévue ou non par le fabricant d’origine ?
- a-t-elle créé une nouvelle situation dangereuse ou augmenté un risque existant ?
- a-t-elle rendu nécessaires des mesures de protection complémentaires, notamment via une modification d’une fonction de sécurité ou de la résistance mécanique ?
Lorsque la réponse est positive, on ne parle plus d’un simple ajustement d’exploitation. On se rapproche d’une modification substantielle au sens réglementaire.
Autrement dit, il ne faut pas évaluer ce qui a été ajouté à la machine, mais ce qui a changé dans la relation entre l’opérateur et la machine, dans la fonction de la machine, dans ses limites d’utilisation et dans le scénario d’apparition d’un dommage potentiel.
Erreur fréquente : analyser le moyen de protection au lieu d’analyser la modification
Sur le terrain, on entend très souvent :
- « On a ajouté un arrêt d’urgence. »
- « On a installé une protection grillagée. »
- « On a mis une barrière immatérielle. »
Ce raisonnement est inversé. Le moyen de protection n’est généralement pas la cause du sujet : c’est la conséquence de la modification.
Si une nouvelle protection devient nécessaire, cela signifie souvent qu’en amont, quelque chose a changé dans la situation dangereuse : un accès a été créé, un mode opératoire a évolué, la cadence a augmenté, un redémarrage a été automatisé, ou encore un opérateur intervient désormais dans une zone jusque-là inaccessible. Le capot, l’arrêt d’urgence ou la barrière immatérielle ne font alors que révéler que la structure de sécurité initiale n’est plus adaptée.
C’est pourquoi la bonne question n’est pas : « l’ajout d’un protecteur est-il une modification substantielle ? » La bonne question est : qu’est-ce qui a changé pour rendre ce protecteur nécessaire ?
Exemple concret : « nous ajoutons seulement un arrêt d’urgence »
Ce cas est classique dans les lignes de production. Un exploitant explique qu’il souhaite simplement ajouter un arrêt d’urgence au milieu d’une installation « pour améliorer la sécurité ». Présenté ainsi, le projet semble mineur.
Mais lorsqu’on approfondit, on découvre souvent que l’opérateur a désormais accès à une zone dangereuse pendant certaines phases d’exploitation ou de réglage. Ce n’est donc pas l’arrêt d’urgence qui constitue l’enjeu principal. Le vrai changement est la nouvelle exposition humaine au danger.
En droit comme en ingénierie de sécurité, l’arrêt d’urgence reste une fonction réactive. Il permet de faire cesser un danger actuel ou imminent, mais il ne remplace pas les mesures de prévention. Le cadre européen est clair : l’arrêt d’urgence complète les autres moyens de protection, il ne s’y substitue pas.
Dans une logique conforme à l’ISO 12100, l’analyse peut conduire à exiger, en plus de l’arrêt d’urgence :
- un protecteur mobile avec interverrouillage,
- une barrière immatérielle,
- une limitation sûre de vitesse ou de mouvement dans un mode spécifique,
- une fonction de sécurité empêchant l’accès en présence d’un mouvement dangereux.
On voit bien ici que le problème n’est pas l’absence d’un bouton, mais la modification de l’usage de la machine et de l’interaction homme-machine.
Modification substantielle : les changements physiques apparemment anodins
De nombreuses situations à risque naissent de modifications perçues comme purement pratiques ou ergonomiques. C’est précisément ce qui les rend dangereuses sur le plan réglementaire.
Ajout d’une plateforme ou d’un accès
Installer une plateforme, un marchepied ou un accès supplémentaire peut sembler relever de l’amélioration des conditions de travail. En réalité, cette intervention peut :
- ouvrir un accès à une zone dangereuse auparavant hors de portée,
- modifier la manière d’effectuer les opérations de production ou de maintenance,
- réduire la distance de sécurité par rapport à des éléments en mouvement,
- changer la visibilité du procédé ou la posture de l’opérateur.
Si cette nouvelle configuration impose des protections supplémentaires ou une adaptation du système de commande lié à la sécurité, il ne s’agit plus d’une simple amélioration d’ergonomie.
Ajout d’un protecteur qui crée lui-même un nouveau risque
Un protecteur ajouté après coup peut être source de nouveaux problèmes : gêne d’accès, ouvertures plus fréquentes, angles morts, efforts supplémentaires, contraintes structurelles ou risques de coincement. En France, l’approche de prévention impose qu’un protecteur n’engendre pas lui-même un danger additionnel.
Si son ajout conduit à revoir la logique d’interverrouillage, la surveillance de position ou la résistance mécanique de l’ensemble, la situation peut relever d’une modification substantielle.
Remplacement d’un moteur ou modification de paramètres d’entraînement
Remplacer un moteur, augmenter le couple, modifier les rampes d’accélération, changer les seuils de surcharge ou la dynamique d’arrêt sont des opérations souvent traitées comme de simples optimisations process. Pourtant, elles peuvent modifier profondément le comportement dangereux de la machine.
Une machine qui s’arrêtait auparavant sur surcharge peut désormais continuer à exercer un effort. Sur un convoyeur, cela peut provoquer une déformation, une rupture, une perte de stabilité ou un endommagement d’éléments porteurs. Dans ce cas, la modification affecte directement la sécurité fonctionnelle et la tenue mécanique.
La modification substantielle peut aussi être purement logicielle
Beaucoup d’industriels associent encore le sujet à la mécanique. C’est une erreur. Les modifications logicielles, de paramétrage ou d’architecture numérique peuvent avoir un effet équivalent, voire plus critique, qu’une transformation physique.
En pratique, la « dimension numérique » pèse autant que l’acier dès lors qu’elle change le comportement de la machine.
Changement de logique de redémarrage
Le redémarrage automatique après fermeture d’un protecteur, retour de tension ou rétablissement d’une communication est un exemple typique. Fonctionnellement, cela peut sembler confortable. Du point de vue de la sécurité, c’est potentiellement majeur.
Si l’opérateur perd la maîtrise du moment de remise en mouvement, la situation dangereuse change, même si aucun organe mécanique n’a été remplacé. Une telle évolution doit être analysée avec beaucoup de prudence.
Modification des paramètres de fonctionnement
Une variation de vitesse, de force, d’accélération, d’amplitude de mouvement ou de temps de réponse modifie :
- le temps disponible pour réagir,
- l’efficacité des moyens de protection existants,
- la gravité potentielle d’un événement dangereux.
Ce n’est pas un simple « réglage process ». C’est une modification des conditions de sécurité de la machine.
Connexion à un ERP, à un MES ou à un système externe
Autre cas largement sous-estimé : l’intégration d’une machine ou d’une ligne à un ERP, un MES, un système de supervision, d’analyse de données ou une couche intermédiaire. Beaucoup pensent qu’il ne s’agit que d’échanges d’informations. En réalité, l’environnement de fonctionnement change.
De nouveaux flux, de nouveaux points d’accès, de nouvelles commandes ou validations peuvent apparaître. Si le fabricant n’avait pas prévu cette architecture ni ses impacts sur la logique de commande, l’intégrité logicielle, la gestion des accès ou la validation des données, le comportement de la machine peut s’écarter des hypothèses initiales de conception.
Dans ce cas, les fonctions de sécurité existantes ont peut-être été conçues pour un comportement qui n’est plus celui de la machine après intégration.
Modification d’un automate de sécurité ou d’une fonction de sécurité
C’est le cas le plus direct. Modifier le programme d’un automate de sécurité, la logique d’un interverrouillage, les conditions de réarmement, les autorisations de mouvement ou les paramètres d’une fonction de sécurité, ce n’est pas une simple intervention informatique. C’est une intervention sur la manière même dont la machine garantit la sécurité.
Dès lors que l’efficacité, le comportement ou l’architecture d’une fonction de sécurité sont affectés, il faut considérer le risque de modification substantielle avec le plus grand sérieux.
Pourquoi on ne peut pas affirmer honnêtement « ce n’est pas une modification substantielle » sans analyse de risques
C’est souvent le point le plus inconfortable pour les exploitants, intégrateurs et services maintenance. Chacun aimerait une réponse immédiate, binaire et rassurante. En pratique, cette certitude est rarement possible sans démarche structurée.
Le règlement n’établit pas une liste fermée de travaux interdits ou autorisés. Il impose une appréciation par les effets sur la sécurité. Pour conclure sérieusement, il faut pouvoir démontrer :
- les limites d’utilisation de la machine,
- les situations dangereuses concernées,
- les événements dangereux plausibles,
- l’estimation et l’évaluation des risques,
- l’adéquation des mesures de réduction du risque après modification.
C’est précisément la logique de l’ISO 12100, qui reste la référence méthodologique de base pour l’appréciation et la réduction du risque.
Sans analyse de risques formalisée, on peut avoir une intuition, une expérience métier, voire une forte probabilité. Mais on ne dispose pas d’un fondement suffisant pour affirmer avec diligence qu’il n’y a pas eu de modification substantielle.
Modification substantielle et responsabilité : le vrai enjeu
Le sujet n’est pas seulement technique. En France comme dans l’ensemble du marché européen, l’enjeu principal est celui de la responsabilité.
Lorsqu’une modification répond aux critères de la modification substantielle, l’entité qui l’introduit peut être assimilée au fabricant pour le périmètre concerné. Cela implique, selon les cas, de reprendre les obligations associées : vérification de conformité, documentation technique, analyse de risques, démonstration du respect des exigences applicables, et confirmation que la machine modifiée demeure sûre.
C’est la raison pour laquelle le sujet ne doit jamais être traité comme une simple validation interne de maintenance ou comme une question d’habitude d’atelier. Une intervention modeste en apparence peut modifier :
- les conditions d’usage,
- les limites de la machine,
- la relation homme-machine,
- le déroulement d’un événement dangereux,
- la performance réelle des moyens de protection.
Et lorsque ces éléments changent, c’est toute l’architecture de conformité qui peut être remise en cause.
Conclusion : la seule vraie question à se poser
Pour savoir si une intervention relève d’une modification substantielle, il faut cesser de demander « qu’avons-nous ajouté ? » et commencer à demander : qu’a changé cette modification pour le risque ?
Un arrêt d’urgence ajouté, une plateforme d’accès, une nouvelle protection, une modification de couple, une logique de redémarrage revue, une connexion à un système externe ou une retouche de programme peuvent tous, selon le contexte, faire basculer la machine dans une nouvelle situation de sécurité.
La bonne pratique n’est donc ni l’intuition ni la check-list rapide, mais une appréciation de risques sérieuse, documentée et défendable, en cohérence avec l’ISO 12100 et les exigences du règlement (UE) 2023/1230.
Au fond, la question décisive est simple : êtes-vous capable de démontrer, après la modification, que la machine reste sûre dans sa configuration réelle d’utilisation ? Si la réponse n’est pas clairement oui, il est temps d’ouvrir une véritable analyse. C’est précisément là que commence la maîtrise du risque — et que se joue, très souvent, la frontière entre simple adaptation et modification substantielle.