Exigences de l'EU AI Act : ce que les responsables conformité doivent savoir en 2026

Le calendrier de mise en œuvre échelonné impose d'agir immédiatement¶

Comprendre précisément le calendrier de conformité est indispensable pour allouer les ressources et concevoir le programme. L'EU AI Act (règlement 2024/1689) est entré en vigueur le 1er août 2024, mais il s'applique selon une mise en œuvre échelonnée qui exige une réponse organisationnelle différente à chaque étape.

Déjà en vigueur depuis le 2 février 2025, les huit catégories de pratiques d'IA interdites sont applicables. Elles comprennent les systèmes de notation sociale, l'IA qui exploite les vulnérabilités liées à l'âge ou au handicap, la catégorisation biométrique visant à déduire des attributs sensibles, l'identification biométrique à distance en temps réel dans les espaces publics (avec des exceptions étroites à des fins répressives), la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, la constitution de bases de données de reconnaissance faciale par moissonnage, ainsi que les techniques d'IA manipulatrices ou trompeuses.

L'échéance du 2 août 2025 a fait entrer en vigueur les obligations relatives aux modèles d'IA à usage général (GPAI), qui imposent aux fournisseurs de modèles de fondation de tenir une documentation technique, d'établir des politiques de respect du droit d'auteur et de publier des résumés des données d'entraînement. Les modèles dépassant 10^25 FLOPs de calcul d'entraînement sont classés comme présentant un risque systémique et sont soumis à des obligations supplémentaires.

Le 2 décembre 2027 active l'intégralité du cadre de conformité pour les systèmes d'IA à haut risque énumérés à l'Annexe III, date reportée du 2 août 2026 par le Digital Omnibus sur l'IA, approuvé par le Parlement européen le 16 juin 2026 et adopté par le Conseil le 29 juin 2026 : biométrie, infrastructures critiques, éducation, emploi, services essentiels, services répressifs, migration et processus démocratiques. Les organisations doivent achever les évaluations de la conformité, mettre en place des systèmes de gestion de la qualité, établir des cadres de gestion des risques et enregistrer leurs systèmes dans la base de données de l'UE avant de déployer une IA à haut risque après cette date.

• 2 février 2025 : pratiques d'IA interdites applicables, assorties des sanctions maximales
• 2 août 2025 : obligations relatives aux modèles GPAI en vigueur ; autorités nationales désignées
• 2 août 2026 : obligations de transparence de l'article 50 applicables aux fournisseurs et aux déployeurs
• 2 décembre 2026 : marquage lisible par machine exigé pour les systèmes génératifs déjà sur le marché ; deux nouvelles interdictions de l'article 5 s'appliquent
• 2 août 2027 : chaque État membre doit disposer d'au moins un bac à sable réglementaire de l'IA opérationnel (article 57)
• 2 décembre 2027 : pleine application des exigences relatives aux systèmes d'IA à haut risque de l'Annexe III, reportée du 2 août 2026
• 2 août 2028 : IA à haut risque dans les produits réglementés (dispositifs médicaux, machines, véhicules), reportée du 2 août 2027

Le rôle du responsable conformité exige un repositionnement organisationnel¶

L'EU AI Act n'impose pas de poste spécifique de « responsable conformité IA », mais il crée des structures de responsabilité qui exigent de fait un pilotage centralisé de la gouvernance de l'IA. L'article 17, paragraphe 1, point m) impose aux fournisseurs d'établir « un cadre de responsabilisation définissant les responsabilités de l'encadrement et des autres membres du personnel » en matière de conformité de l'IA, une formulation qui suppose des rôles de supervision dédiés.

Les grands cabinets de conseil recommandent de mettre en place des structures formelles de gouvernance de l'IA : un Chief AI Officer ou responsable de la gouvernance de l'IA au niveau de la direction générale, un comité consultatif IA transversal réunissant les fonctions juridique, conformité, produit et technique, et des lignes de reporting claires vers la supervision au niveau du conseil d'administration.

• Les fournisseurs développent des systèmes d'IA ou les mettent sur le marché et portent la responsabilité principale de la conformité
• Les déployeurs utilisent des systèmes d'IA sous leur autorité et sont soumis à des obligations plus légères mais substantielles
• Un déployeur peut devenir fournisseur en rebaptisant un système, en le modifiant substantiellement ou en réaffectant une IA à usage général à des applications à haut risque
• Les contrats fournisseurs et les procédures de gestion des changements doivent gérer activement le risque de glissement vers le statut de fournisseur

Les exigences de maîtrise de l'IA imposent d'investir immédiatement dans la formation¶

Les obligations de maîtrise de l'IA prévues à l'article 4 s'appliquent depuis le 2 février 2025 et imposent aux fournisseurs comme aux déployeurs de garantir « un niveau suffisant de maîtrise de l'IA pour leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte ». La Commission européenne a précisé que cette obligation s'étend aux sous-traitants, aux prestataires de services et potentiellement même aux clients qui utilisent les systèmes d'IA de l'organisation.

Les programmes de formation doivent couvrir la compréhension générale de l'IA, les obligations propres à chaque rôle, la sensibilisation aux risques des systèmes déployés et l'application pratique aux responsabilités quotidiennes. Le non-respect des exigences de maîtrise de l'IA ne déclenche pas de sanction directe, mais une formation insuffisante constitue un facteur aggravant qui alourdit les sanctions pour d'autres infractions à l'AI Act.

• Membres du conseil d'administration et dirigeants : formation à la gouvernance stratégique de l'IA et à la supervision des risques
• Personnel opérationnel : consignes d'utilisation pratiques et procédures de contrôle humain
• Personnel risques et conformité : méthodologie de classification et exigences documentaires
• Équipes techniques : formation approfondie à la gouvernance des données et à la validation des modèles

La classification des risques détermine l'ensemble de la charge de conformité¶

Le système de classification des risques à quatre niveaux du règlement (interdit, haut risque, risque limité, risque minimal) façonne fondamentalement les obligations de conformité. Les erreurs de classification constituent ce que plusieurs cabinets de conseil qualifient d'« erreur la plus fondamentale et la plus lourde de conséquences » en matière de conformité à l'AI Act.

La classification à haut risque se déclenche par deux voies. La première couvre les systèmes d'IA utilisés comme composants de sécurité de produits couverts par la législation d'harmonisation de l'UE existante, ou qui constituent eux-mêmes de tels produits. La seconde couvre les systèmes d'IA relevant de huit catégories de cas d'usage précisées à l'Annexe III.

L'exception de l'article 6, paragraphe 3 permet à des systèmes qui seraient autrement qualifiés de haut risque d'échapper à cette classification s'ils accomplissent une tâche procédurale étroite, améliorent le résultat d'une activité humaine préalablement réalisée, détectent des constantes dans la prise de décision sans remplacer l'évaluation humaine, ou exécutent des tâches préparatoires. Cette exception ne s'applique toutefois pas si le système effectue un profilage de personnes physiques.

• Biométrie : identification à distance, reconnaissance des émotions
• Infrastructures critiques : systèmes numériques, transports, services d'utilité publique
• Éducation : admissions, évaluation, surveillance des examens
• Emploi : recrutement, suivi des performances, décisions de licenciement
• Services essentiels : notation de crédit, évaluation des risques en assurance, envoi des services d'urgence
• Services répressifs : évaluation des éléments de preuve, évaluation des risques
• Migration et contrôle aux frontières
• Administration de la justice et processus démocratiques

Documentation technique et systèmes de gestion de la qualité¶

Les fournisseurs de systèmes d'IA à haut risque doivent tenir une documentation technique complète couvrant les neuf catégories précisées à l'Annexe IV : description générale du système, méthodologie de conception et de développement, exigences relatives aux données, informations de surveillance et de contrôle, documentation de gestion des risques, historique des modifications au cours du cycle de vie, normes harmonisées appliquées, documentation de conformité et plans de surveillance après commercialisation.

L'article 17 impose des systèmes de gestion de la qualité dotés de politiques, procédures et instructions documentées couvrant la stratégie de conformité réglementaire, les procédures de conception et de développement, les exigences de test et de validation, les systèmes de gestion des données, l'intégration de la gestion des risques, la surveillance après commercialisation, la notification des incidents et les cadres de responsabilisation.

Les analyses d'experts indiquent que plus de 70 % des défaillances de conformité proviennent d'erreurs de documentation plutôt que de défauts techniques, ce qui fait de pratiques documentaires systématiques l'investissement de conformité au plus fort effet de levier.

• La documentation doit être conservée pendant 10 ans après la mise sur le marché du système
• Les journaux générés automatiquement par les systèmes à haut risque doivent être conservés au moins 6 mois
• Les établissements financiers peuvent satisfaire aux exigences de SGQ via leurs dispositifs de gouvernance existants
• La Commission s'est engagée à fournir des modèles simplifiés pour les PME et les start-ups

Les obligations de contrôle humain créent des exigences opérationnelles¶

L'article 14 exige que les systèmes d'IA à haut risque soient conçus de manière à permettre un contrôle effectif par des personnes physiques pendant leur utilisation, au moyen d'outils d'interface homme-machine appropriés. Le règlement reconnaît plusieurs modèles de contrôle : human-in-command, human-in-the-loop, human-on-the-loop et human-over-the-loop.

Les dispositifs techniques doivent permettre aux déployeurs de comprendre les capacités et les limites du système, de surveiller son fonctionnement y compris par la détection d'anomalies, de reconnaître les risques de biais d'automatisation, d'interpréter correctement les sorties, de décider de ne pas utiliser les sorties dans quelque situation que ce soit, et d'intervenir ou d'interrompre le système grâce à des mécanismes d'arrêt.

Pour les systèmes d'identification biométrique à distance, le règlement impose une vérification par deux personnes : l'identification doit être confirmée par au moins deux personnes qualifiées disposant des compétences, de la formation et de l'autorité appropriées.

• Le personnel chargé du contrôle humain doit disposer des compétences et de l'autorité nécessaires
• Les responsabilités de contrôle ne doivent pas entraver les autres tâches opérationnelles
• Les mesures de contrôle doivent être documentées dans la documentation technique
• Des journaux prêts pour l'audit des interventions de contrôle doivent être tenus

Les procédures d'évaluation de la conformité varient selon la catégorie de système¶

Les systèmes d'IA à haut risque doivent faire l'objet d'une évaluation de la conformité avant leur mise sur le marché, selon l'une des deux voies. L'auto-évaluation fondée sur le contrôle interne (Annexe VI) est autorisée pour les systèmes relevant des points 2 à 8 de l'Annexe III (éducation, emploi, services essentiels, services répressifs, migration, processus démocratiques).

L'évaluation par un tiers réalisée par des organismes notifiés (Annexe VII) est obligatoire pour les systèmes d'identification biométrique relevant du point 1 de l'Annexe III, lorsque les normes harmonisées n'existent pas ou ne sont pas pleinement appliquées, et lorsque des spécifications communes existent mais ne sont pas appliquées.

Pour les systèmes d'IA intégrés dans des produits réglementés par la législation visée à l'Annexe I (dispositifs médicaux, machines), les fournisseurs suivent la procédure d'évaluation de la conformité prévue par cette législation, en y intégrant les exigences de l'AI Act.

Les exigences de gouvernance des données imposent des contrôles qualité systématiques¶

L'article 10 établit des exigences de qualité des données pour les systèmes d'IA à haut risque qui font appel à des techniques impliquant l'entraînement de modèles au moyen de données. Les pratiques de gouvernance des données requises comprennent des choix de conception documentés démontrant la pertinence, la documentation des processus de collecte, des hypothèses explicites sur ce que les données mesurent, des processus de préparation documentés, des évaluations de disponibilité, un examen des biais et l'identification des lacunes dans les données.

Les jeux de données doivent être pertinents, suffisamment représentatifs, exempts d'erreurs dans toute la mesure du possible, complets au regard de la destination du système et présenter les propriétés statistiques appropriées pour les populations cibles.

La relation avec le RGPD crée à la fois des synergies et des tensions. Les principes de minimisation des données du RGPD doivent être conciliés avec les exigences de complétude de l'AI Act, une tension qui exige de documenter soigneusement les appréciations de nécessité.

Surveillance après commercialisation et notification des incidents¶

L'article 72 impose aux fournisseurs d'établir des systèmes de surveillance après commercialisation proportionnés aux risques du système, qui collectent, documentent et analysent activement les données de performance pertinentes tout au long de la durée de vie du système.

La notification des incidents graves prévue à l'article 73 impose des délais stricts : un décès doit être notifié sous 10 jours ; une infraction de grande ampleur ou une perturbation d'infrastructure critique sous 2 jours ; les autres incidents graves sous 15 jours.

• Aucun mécanisme de guichet unique : les fournisseurs doivent notifier chaque État membre concerné
• Les déployeurs doivent informer immédiatement les fournisseurs de tout incident grave
• Si le fournisseur ne peut être joint, les obligations de notification s'appliquent directement au déployeur
• Les modèles de plan de surveillance après commercialisation sont attendus de la Commission d'ici février 2026

La structure des sanctions crée une exposition financière substantielle¶

Le règlement établit trois niveaux de sanctions qui créent un risque financier significatif. Les violations relatives aux pratiques d'IA interdites sont passibles d'amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. La plupart des autres infractions à l'AI Act sont passibles d'amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires. La fourniture d'informations inexactes ou trompeuses aux autorités en réponse à une demande est passible d'amendes pouvant atteindre 7,5 millions d'euros ou 1 % du chiffre d'affaires.

Pour les PME et les start-ups, les mêmes pourcentages et montants maximaux s'appliquent, mais c'est le montant le plus faible (et non le plus élevé) qui prévaut, ce qui constitue un allègement réel pour les organisations de plus petite taille.

• Les facteurs de sanction incluent la nature, la gravité et la durée de l'infraction ainsi que le nombre de personnes affectées
• La coopération avec les autorités et les mesures d'atténuation influent sur le calcul de la sanction
• L'article 99 autorise les États membres à établir des règles sur la responsabilité des personnes physiques
• Les sanctions applicables aux fournisseurs de modèles GPAI sont différées jusqu'en août 2026

Le dispositif d'application reste en construction¶

Le Bureau européen de l'IA, établi au sein de la DG CNECT avec plus de 125 employés, détient la compétence exclusive en matière de contrôle des modèles d'IA à usage général et se coordonne avec les autorités nationales via le Comité IA.

La désignation des autorités nationales reste incomplète : à la mi-2025, seuls trois États membres avaient pleinement désigné à la fois leurs autorités notifiantes et leurs autorités de surveillance du marché. Les approches de mise en œuvre varient, d'un modèle centralisé à agence unique à des modèles répartis entre les régulateurs sectoriels existants.

Aucune action coercitive ni sanction majeure n'a été rendue publique à la mi-2026. Les signaux réglementaires suggèrent toutefois que les premières priorités porteront sur les pratiques interdites, la transparence des modèles GPAI, les obligations de transparence de l'article 50 à compter du 2 août 2026 et, à partir de la date de l'Annexe III du 2 décembre 2027, sur l'IA de recrutement et d'emploi, la notation de crédit et les applications de santé.

Les spécificités sectorielles façonnent les stratégies de conformité¶

Les services financiers font face à une complexité particulière, la notation de crédit et l'évaluation des risques en assurance vie et santé étant explicitement classées à haut risque. Les régulateurs financiers nationaux font office d'autorités de surveillance du marché. Le règlement permet de s'appuyer sur les cadres existants de gestion du risque de modèle et de gouvernance interne pour la conformité SGQ.

L'IA en santé et dans les dispositifs médicaux bénéficie d'une période de transition prolongée jusqu'au 2 août 2028 pour les systèmes intégrés dans des produits réglementés. Les obligations des déployeurs posent des difficultés aux hôpitaux et cliniques qui peuvent manquer de ressources techniques.

Les applications d'IA en RH et recrutement sont explicitement à haut risque et exigent la transparence envers les candidats, des données d'entraînement exemptes de biais, un contrôle humain des décisions et une surveillance continue. L'interdiction de la reconnaissance des émotions sur le lieu de travail s'applique immédiatement.

Intégration aux cadres de conformité existants¶

L'intégration au RGPD présente des synergies naturelles en matière de transparence, d'exactitude, de responsabilité, de gouvernance des données et de non-discrimination. Les registres des activités de traitement devraient être étendus pour inclure les inventaires de systèmes d'IA. Les analyses d'impact relatives à la protection des données devraient être articulées avec les analyses d'impact sur les droits fondamentaux.

L'infrastructure GRC existante peut intégrer les exigences de l'AI Act via des cadres établis tels que le NIST AI Risk Management Framework, la norme de système de management de l'IA ISO/IEC 42001 et les pratiques sectorielles de gestion du risque de modèle.

• La certification ISO/IEC 42001 ne confère pas à elle seule une présomption de conformité
• Le modèle des trois lignes de défense s'applique naturellement à la gouvernance de l'IA
• L'AI Audit Framework de l'ISACA fournit des bibliothèques de contrôles couvrant la gouvernance et les opérations
• La première ligne (opérations) crée les processus d'identification et de traitement des risques liés à l'IA