La loi européenne sur l’IA : de quoi s'agit-il, comment s'y préparer et où trouver des informations ? 

Introduction

Le 29 juin 2026, les législateurs de l’UE ont finalisé un report de délai qui concerne les entreprises implantées dans l’UE, mais aussi les organisations qui y exercent des activités ou traitent des données relatives à des citoyens de l’Union. Dans cet article, nous passons en revue les modifications de calendrier et ce qui reste inchangé, mais aussi trois mesures urgentes à prendre avant l’entrée en vigueur de la loi européenne sur l’IA, qui concerne des entités du monde entier.

En quoi consiste la loi européenne sur l’IA ?

Première législation au monde à traiter de manière exhaustive de l’intelligence artificielle, le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. Il classe les systèmes d’IA en quatre niveaux en fonction du risque qu’ils présentent et des obligations réglementaires associées :

1. Risque inacceptable (entièrement interdit)
2. À haut risque (obligations importantes de documentation et de contrôle)
3. Risque limité (obligations de transparence)
4. Risque minime (aucune obligation particulière)

La loi prévoit une mise en œuvre progressive des obligations sur plusieurs années ; elles s’appliquent aux entités en fonction de leur appartenance à l’un ou plusieurs des groupes suivants :

• Fournisseur : entreprises spécialisées dans le développement de systèmes d’IA.
• Déployeur : toute organisation utilisant un système d’IA dans un contexte professionnel.
• Importateur : acteur introduisant sur le marché de l’UE le système d’IA d’un fournisseur non européen.
• Distributeur : propose un système d’IA dans l’UE sans en être le fournisseur ni l’importateur.
• Représentant autorisé : entité établie dans l’Union européenne et désignée par un fournisseur non européen pour assurer la conformité en son nom.
• Fabricant du produit : si un système d’IA à haut risque est intégré à un produit commercialisé sous la marque du fabricant, ce dernier peut se voir imposer des obligations au titre de fournisseur.

L’interdiction des pratiques prohibées et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025, tandis que les obligations imposées aux fournisseurs d’IA à usage général (GPAI) sont entrées en vigueur le 2 août 2025.

Modifications récentes

À la suite d’un vote du Parlement européen le 16 juin, l’Omnibus numérique sur l’IA est entré en vigueur le 29 juin 2026 et a redéfini le délai de mise en conformité pour les systèmes à haut risque. Conformément à l’annexe III, les systèmes autonomes à haut risque ont désormais jusqu’au 2 décembre 2027 pour se mettre en conformité. Les secteurs déjà réglementés, comme celui de la santé où l’on utilise des IA à haut risque intégrées à des dispositifs médicaux, ont jusqu’au 2 août 2028 pour se mettre en conformité.

Ce qui n’a pas changé

Le Chapitre IV, article 50 : Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d’IA, qui impose la divulgation des interactions avec l’IA et l’étiquetage des contenus générés par l’IA, conserve son échéance initiale du 2 août 2026.

Pour s’y préparer : trois mesures à mettre en œuvre

Article 50 : vérifiez votre conformité dès maintenant

Date limite : 2 août 2026

Ce point peut s’avérer difficile à déterminer pour les organisations, car il n’établit pas de distinction claire entre les différentes catégories de systèmes d’IA, comme ceux à haut risque ou à faible risque. Plus précisément, les obligations de transparence prévues à l’article 50 s’appliquent de manière plus générale à tout système d’IA et pourraient affecter davantage d’organisations que d’autres dispositions. Elle concerne les systèmes qui :

• Interagissent avec des personnes
• Génèrent ou traitent du contenu
• Détectent des indices émotionnels
• Classifient les utilisateurs selon des critères biométriques

Exemples courants de ces systèmes d’IA en entreprise :

• Chatbots
• Générateurs de contenu
• Agents virtuels

Filigranage numérique des contenus : le report est une période de grâce, pas un passe-droit

Date limite : 2 décembre 2026

Pour l’IA générative, cette disposition exige que des filigranes lisibles par machine soient intégrés aux contenus générés. Un délai de grâce de quatre mois est accordé aux systèmes commercialisés avant le 2 août 2026. Les systèmes mis sur le marché après le 2 août 2026 devront être conformes dès leur lancement.

Feuille de route pour les systèmes à haut risque : ajustez le calendrier, mais ne négligez rien

Date limite : 2 décembre 2027 (obligations pour les systèmes autonomes à haut risque visés à l’Annexe III) et 2 août 2028 (obligations pour les systèmes à haut risque intégrés à des produits, visés à l’Annexe I)

Il se peut que les normes techniques nécessaires à la mise en œuvre de la conformité ne soient pas finalisées avec beaucoup d’avance sur les nouvelles échéances de 2027/2028. Toutefois, les organisations concernées par ces échéances sont invitées à mettre à profit ce délai supplémentaire pour préparer d’autres aspects de la conformité (évaluations, documentation technique et supervision humaine), notamment à l’aide de l’outil de Vérification de la conformité à la loi européenne sur l’IA.

Les implications pour les établissements scolaires et les entreprises

Dans la mesure où la loi vise principalement les fournisseurs de systèmes, certains responsables informatiques et de la conformité peuvent penser que leur organisation n’a pas d’effort de conformité à fournir. Les choses deviennent plus floues encore lorsque des entités remplissent plusieurs rôles.

Rôles multiples et héritage des obligations

Prenons l’exemple d’un membre du personnel scolaire qui communique des dossiers d’élèves à un système d’IA à l’aide d’un appareil appartenant à l’établissement. Si l’outil d’IA est approuvé par l’établissement, conformément aux définitions des obligations prévues par la loi européenne sur l’IA, le rôle principal de l’établissement, jusque-là « utilisateur », devient celui de « déployeur ». Il lui incombe alors de se conformer à toutes les obligations supplémentaires que cela engage.

Maîtrise de l’IA

Cette disposition s’applique à toute organisation dont les salariés, sous-traitants ou prestataires interagissent avec des systèmes d’intelligence artificielle. L’article 4, Maîtrise de l’IA, s’applique depuis le 2 février 2025. Il impose de former les utilisateurs à l’utilisation de l’IA en les informant des risques et des problèmes courants tels que les hallucinations, mais aussi de l’importance de vérifier les sources d’information.

En écho à la disposition de l’article 4, l’éducation et la formation professionnelle sont explicitement soulignées dans l’Annexe III couvrant les systèmes à haut risque. Dans la mesure où des élèves mineurs et leurs données sensibles sont concernés, des règles plus strictes en matière de documentation et de transparence s’imposent.

IA de l’ombre

Pour de nombreuses organisations, le risque provient principalement du fait que des employés (ou des élèves) utilisent des outils d’IA en dehors des canaux approuvés par l’entreprise et/ou l’établissement scolaire. L’utilisation d’outils non validés présente un risque pour les entités ; la loi leur impose de démontrer leur conformité :

• En découvrant les ressources et outils d’IA présents dans l’environnement
• En évaluant et en gérant les risques
• En mettant en œuvre de la gouvernance des données
• En appliquant des règles de transparence
• En imposant une formation à l’IA aux parties prenantes

Les failles qui laissent le champ libre à l’IA de l’ombre ne resteront pas invisibles éternellement : les auditeurs, les compagnies de cyberassurance et les équipes chargées des achats, quelle que soit leur juridiction, vont poser des questions ciblées auxquels tous les déployeurs doivent pouvoir répondre. Il faut donc de la visibilité sur ces aspects pour être en conformité.

Pour en savoir plus

• Législation sur l’IA de la Commission européenne : commencez par consulter cette page pour avoir une vue d’ensemble de la loi, comprendre sa raison d’être et découvrir ses différents volets.
• Législation de l’Union européenne : intitulé EUR-Lex, ce site contient le texte intégral de la loi européenne sur l’IA (ainsi que les autres textes législatifs de l’UE).
• Conseil de l’Union européenne : communiqués de presse officiels du Conseil de l’UE, notamment sur des sujets en lien avec la loi européenne sur l’IA.

À retenir : trois changements immédiats pour les responsables informatiques et de la conformité

1. Visibilité : blocage n’est pas synonyme de conformité. Vous devez disposer d’informations détaillées sur votre parc géré pour encadrer l’utilisation des outils d’IA.
2. La formation en plus des politiques : sans une formation documentée, les politiques d’utilisation de l’IA ne suffisent pas à répondre aux critères déjà fixés par l’UE.
3. Contrôle des frontières des données : le contexte est la clé de l’atténuation des risques ; la surveillance consiste à contrôler qui peut accéder à quoi, dans quels contextes et à quel moment.

Remarque : Les dates ci-dessus sont fournies à titre indicatif à des fins de planification et ne constituent en aucun cas un avis juridique. Les informations présentées ici ne remplacent pas les échanges qu’une organisation devrait avoir avec son service juridique et de conformité avant de finaliser une feuille de route en matière de conformité ou de publier une déclaration concernant la situation de l’organisation vis-à-vis de la loi européenne sur l’IA.