Le règlement européen sur l'intelligence artificielle — règlement UE 2024/1689, l'« EU AI Act » — est entré en vigueur le 1er août 2024. Son application est progressive. Le 2 août 2026 marque le passage à la phase la plus lourde pour la majorité des entreprises européennes : celle des systèmes d'IA à haut-risque. Ce n'est pas une consultation, ce n'est pas un guide de bonnes pratiques : ce sont des obligations applicables, adossées à des sanctions qui peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
La question de la semaine, pour tout RSSI, DPO ou Chief Compliance d'une banque, d'un assureur, d'un opérateur télécoms, d'une administration ou d'une entreprise qui exploite un moteur de scoring, de tri de CV, de détection de fraude ou de vidéosurveillance : suis-je à jour ? Cet article répond point par point.
1. Le calendrier — où on en est vraiment
Le règlement a été adopté le 12 juillet 2024 et publié au Journal officiel de l'Union européenne le 12 juillet 2024. Il est entré en vigueur le 1er août 2024. Son application ne s'est pas faite d'un coup — elle suit un calendrier de mise en conformité étalé sur trois ans :
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Interdictions absolues (art. 5) : notation sociale, manipulation subliminale, reconnaissance émotionnelle au travail, scraping massif d'images faciales |
| 2 août 2025 | Obligations pour les modèles d'IA à usage général (GPAI) : documentation technique, résumé des données d'entraînement, respect du droit d'auteur, gouvernance |
| 2 août 2026 | Obligations opérationnelles des systèmes à haut-risque (art. 6 + Annexe III) — c'est le sujet de cet article |
| 2 août 2027 | Obligations pour les systèmes à haut-risque intégrés dans des produits déjà couverts par d'autres législations sectorielles (dispositifs médicaux, jouets, véhicules…) |
Le 2 août 2026 concerne donc la majorité des cas d'usage de l'IA en entreprise, pas seulement les fournisseurs de modèles de fondation.
Le report proposé par la Commission
En novembre 2025, la Commission européenne a proposé, dans son paquet « omnibus numérique », de décaler l'application des obligations haut-risque de l'Annexe III jusqu'à la disponibilité des normes harmonisées — avec une date butoir évoquée fin 2027 — et celles de l'Annexe I à 2028. Au moment où nous écrivons, il s'agit d'une proposition : elle doit être adoptée par le Parlement et le Conseil pour modifier le calendrier ci-dessus. Deux conséquences pratiques : ne bâtissez pas votre plan sur un report qui n'est pas voté, et sachez que les autorités nationales de surveillance, elles, se mettent en place dès maintenant. Vérifiez le statut du texte auprès de votre conseil avant de fixer vos jalons.
2. Suis-je concerné ? La carte des systèmes à haut-risque
Un système est classé « à haut-risque » s'il tombe dans l'un des huit domaines listés à l'Annexe III du règlement. En langage RSSI :
- Biométrie (hors les usages interdits par l'art. 5) : identification à distance, catégorisation biométrique, reconnaissance émotionnelle dans les contextes autorisés.
- Infrastructures critiques : trafic routier, alimentation en eau/gaz/électricité, chauffage.
- Éducation et formation professionnelle : accès et admission, évaluation des apprenants, détection de comportements interdits pendant les examens.
- Emploi et gestion RH : tri de candidatures, publication d'offres ciblées, décisions de promotion/licenciement, allocation de tâches, évaluation de la performance.
- Accès aux services essentiels : scoring bancaire, éligibilité au crédit, tarification de l'assurance vie et santé, priorisation des appels d'urgence, éligibilité aux prestations sociales.
- Application de la loi : évaluation du risque de récidive, polygraphe, évaluation de la fiabilité des preuves, profilage de suspects.
- Migration, asile et contrôle aux frontières : polygraphe, évaluation du risque, examen des demandes d'asile/visa/permis.
- Administration de la justice et processus démocratiques : aide à la décision judiciaire, influence sur les résultats électoraux ou le comportement électoral.
3 questions pour trancher
Banque : votre moteur de scoring pré-accorde-t-il des crédits sans validation humaine documentée ? Oui → haut-risque. Grande entreprise : votre ATS filtre-t-il les CV avant l'œil d'un recruteur ? Oui → haut-risque. Assurance : votre tarification santé utilise-t-elle un modèle prédictif sur des données personnelles ? Oui → haut-risque.
3. Les sept obligations opérationnelles (art. 8 à 15)
Un système à haut-risque doit respecter sept obligations centrales. Elles sont cumulatives, pas alternatives. Voici la traduction opérationnelle :
3.1 Système de gestion des risques (art. 9)
Processus continu et itératif : identification des risques prévisibles, évaluation, mesures d'atténuation, tests. Ce n'est pas un document figé — c'est un cycle de vie qui vit avec le système.
3.2 Gouvernance des données (art. 10)
Les jeux d'entraînement, de validation et de test doivent être pertinents, représentatifs, exempts d'erreurs et complets. Documentation des choix, examen des biais, traçabilité de la collecte.
3.3 Documentation technique (art. 11)
Un dossier technique complet doit exister avant la mise sur le marché. Il inclut : description générale, données utilisées, méthode d'entraînement, métriques de performance, mesures de gestion des risques, changements substantiels.
3.4 Tenue de journaux / logs (art. 12)
Le système doit générer et conserver automatiquement des logs permettant de retracer son fonctionnement — enregistrements des périodes d'utilisation, données d'entrée pour les décisions critiques, personnes ayant supervisé.
3.5 Transparence et information des déployeurs (art. 13)
Instructions d'utilisation claires, y compris les caractéristiques, les limites, la performance attendue, les mesures de supervision humaine à mettre en place chez le déployeur.
3.6 Supervision humaine (art. 14)
Le système doit être conçu pour permettre une supervision humaine effective. Cela inclut la compréhension des capacités et limites, la détection d'anomalies, la possibilité de ne pas suivre la sortie du système, la possibilité d'interrompre le système.
3.7 Robustesse, exactitude et cybersécurité (art. 15)
Niveaux appropriés d'exactitude, résilience aux erreurs, défaillances et incohérences, mesures contre les attaques adverses (empoisonnement, évasion, extraction de modèle).
4. Fournisseur vs Déployeur : qui fait quoi
Le règlement distingue deux rôles clés, avec des obligations différentes. Comprendre lequel vous êtes est le point de départ.
| Rôle | Qui | Obligations principales |
|---|---|---|
| Fournisseur (art. 16) | Vous développez ou faites développer un système à haut-risque et le mettez sur le marché sous votre nom / marque. | Respect des 7 obligations opérationnelles ; marquage CE ; déclaration UE de conformité (art. 47-48) ; enregistrement dans la base UE (art. 71) ; suivi post-commercialisation. |
| Déployeur (art. 26) | Vous utilisez un système à haut-risque sous votre autorité (une banque qui utilise un outil de scoring tiers, une entreprise qui utilise un ATS). | Suivre les instructions du fournisseur ; assurer la supervision humaine effective ; contrôler la qualité des données d'entrée ; conserver les logs générés ; informer les personnes concernées lorsque des décisions les affectent ; en cas d'incident grave, notifier autorité et fournisseur. |
Attention : un déployeur peut être requalifié en fournisseur s'il modifie substantiellement le système, s'il modifie sa finalité, ou s'il appose son propre nom / marque. Beaucoup d'entreprises qui pensent « utiliser » un outil sont en réalité fournisseurs sans le savoir.
5. Les sanctions — le prix du non-respect
L'article 99 fixe les amendes maximales, à retenir tel que rédigés :
- Non-respect des interdictions (art. 5) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé s'appliquant.
- Non-respect des obligations haut-risque (art. 8 à 15) et des autres obligations opérateurs : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial.
- Fourniture d'informations incorrectes, incomplètes ou trompeuses aux autorités : jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires annuel mondial.
Les autorités nationales de surveillance (art. 70) devaient être désignées pour cette phase. En France, la Commission nationale de l'informatique et des libertés (CNIL) porte le rôle sur les usages du secteur privé, en coordination avec l'ARCEP, l'ACPR, l'AMF et les régulateurs sectoriels.
6. Checklist de conformité — les 5 axes actionnables
Concrètement, cette semaine, voici les cinq chantiers à ouvrir. La suite viendra — mais si ces cinq axes ne sont pas engagés, l'exposition juridique est réelle :
- Cartographier vos usages d'IA à haut-risque. Inventaire complet des systèmes d'IA en production ou en projet, croisé avec l'Annexe III. Un fichier partagé qui liste : nom du système, finalité, données d'entrée, décisions produites, fournisseur, rôle (fournisseur / déployeur), classification haut-risque oui/non.
- Documenter les risques et les mesures d'atténuation. Pour chaque système haut-risque : quels risques identifiés (biais, erreur, dérive), quelles mitigations en place, quels tests réalisés, quels indicateurs de suivi. Ce n'est pas un livrable, c'est un registre vivant.
- Assurer la traçabilité opérationnelle. Logs des prompts / requêtes, logs des décisions produites par le système, logs des interventions humaines de supervision. Les logs doivent être conservés, horodatés et attribuables. Sans cela, aucune démonstration de conformité n'est possible.
- Rendre la supervision humaine effective. Pas juste « un humain valide » sur le papier. Documenter qui supervise, quand, avec quelles compétences, et donner à cette personne le pouvoir réel de contredire la sortie du système et d'interrompre son utilisation.
- Instaurer un reporting d'incidents. Procédure pour détecter un incident grave lié au système, l'analyser, notifier le fournisseur et l'autorité compétente dans les délais requis. Documenter les incidents mineurs aussi — ils nourrissent la gestion des risques (art. 9).
Le RGPD ne suffit pas
Beaucoup d'entreprises considèrent que leur conformité RGPD couvre l'AI Act. C'est faux. Le RGPD encadre le traitement de données personnelles ; l'AI Act encadre le cycle de vie du système d'IA lui-même, indépendamment de la nature des données. Un système haut-risque qui ne traite aucune donnée personnelle reste soumis à l'AI Act.
7. Comment CompliForge automatise l'audit
Cartographier les usages, générer la documentation technique, tenir les logs, produire les rapports pour l'auditeur — sur un périmètre d'entreprise, c'est un chantier de plusieurs équivalents temps plein pendant des mois. CompliForge, la forge conformité de Hub Forge AI, industrialise ces livrables :
- Un agent AI Act qui cartographie vos usages d'IA à partir de votre registre applicatif, les croise avec l'Annexe III, et produit la classification par système.
- Un agent Documentation qui génère les 11 sections du dossier technique (art. 11) à partir de vos artefacts existants (modèles, données, métriques, mesures d'atténuation).
- Une couche de traçabilité déployée on-premise qui capture logs, prompts, décisions et supervisions humaines sans envoyer une seule donnée vers un cloud tiers — souveraineté par conception.
- Un tableau de bord de conformité par système : statut des 7 obligations, écarts détectés, plan d'action.
Tout est déployé sur votre infrastructure, avec des modèles souverains (Mistral, DeepSeek on-premise) ou vos clés cloud si vous préférez. Aucune de vos données ne quitte votre périmètre.
Audit conformité EU AI Act — 30 minutes
Cartographie de vos usages à haut-risque, identification des obligations qui vous concernent, plan d'action priorisé. Consultation offerte, sans engagement.