2 août 2026 : La date que chaque équipe IA doit s’approprier
Le règlement européen sur l’IA a été déployé progressivement depuis son entrée en vigueur en août 2024. La première grande échéance — 2 février 2025 — a interdit les pratiques d’IA interdites : notation sociale par les gouvernements, surveillance biométrique à distance en temps réel dans les espaces publics, et IA manipulant le comportement des personnes. La deuxième vague — 2 août 2025 — a activé les exigences d’infrastructure de gouvernance et les obligations pour les modèles d’IA à usage général (GPAI).
Le 2 août 2026 est la troisième vague et de loin la plus significative commercialement. À cette date, selon l’analyse de conformité de LegalNodes sur le règlement IA de l’UE, toutes les exigences pour les systèmes d’IA à haut risque de l’Annexe III deviennent pleinement applicables. Cela couvre les systèmes d’IA que la plupart des entreprises exploitent réellement : outils de recrutement, algorithmes de scoring de crédit, plateformes d’évaluation éducative, systèmes d’identification biométrique, IA de gestion d’infrastructures critiques et applications d’application de la loi.
La Commission européenne a proposé un paquet « Omnibus numérique » qui pourrait reporter cette échéance à décembre 2027 pour certaines obligations. Le guide de conformité de SecurePrivacy met explicitement en garde contre l’interprétation de cela comme un répit : la proposition n’est pas encore loi, la progression législative est incertaine, et le travail de conformité requis d’ici août 2026 est fondamental quel que soit l’aboutissement de l’Omnibus.
Les huit catégories de l’Annexe III : Qui a réellement de l’IA à haut risque
Le règlement n’est pas vague sur le périmètre. L’Annexe III identifie huit catégories spécifiques de systèmes d’IA à haut risque.
La biométrie couvre les systèmes d’identification à distance et tout système d’IA inférant des caractéristiques protégées à partir de données physiques.
Les infrastructures critiques couvrent l’IA gérant les réseaux électriques, le traitement des eaux, les systèmes de transport et les réseaux financiers.
L’éducation et la formation couvrent l’IA utilisée pour les décisions d’admission, l’évaluation des apprentissages, le classement des étudiants et la surveillance des examens.
L’emploi et la gestion des effectifs est la catégorie que la plupart des équipes RH et d’acquisition de talents doivent comprendre. Les systèmes d’IA utilisés pour le tri des candidatures, l’allocation des tâches, la surveillance des performances et les décisions de promotion sont tous couverts.
L’accès aux services privés essentiels et aux prestations publiques couvre l’IA utilisée pour le scoring de crédit, les demandes de prêt et la tarification des assurances vie et santé.
L’application de la loi couvre l’IA évaluant le risque de récidive, évaluant la fiabilité des témoignages et prédisant l’activité criminelle.
La migration et le contrôle aux frontières couvrent l’IA utilisée dans la détermination d’asile, les demandes de visa et la surveillance aux frontières.
La justice couvre l’IA influençant les décisions judiciaires, y compris les outils de recherche juridique.
Selon l’analyse de Fusefy, les organisations doivent d’abord déterminer si elles sont fournisseur (développant ou mettant le système d’IA sur le marché) ou déployeur (utilisant un système d’IA tiers dans leurs opérations). Les obligations diffèrent : les fournisseurs supportent la charge la plus lourde de documentation et d’évaluation de conformité ; les déployeurs doivent mettre en œuvre une supervision humaine et surveiller les dérives de performance.
Publicité
Ce que les entreprises doivent construire avant août 2026
1. Compléter un inventaire des systèmes d’IA et une classification des risques
La lacune de conformité fondamentale identifiée dans presque tous les audits de préparation est l’absence d’un registre systématique des systèmes d’IA. Les organisations déploient régulièrement des fonctionnalités d’IA via des fournisseurs SaaS — systèmes de suivi des candidats avec scoring IA intégré, plateformes CRM avec modèles prédictifs, tableaux de bord analytiques avec détection d’anomalies — sans que personne dans les équipes juridiques, conformité ou IT n’ait une liste complète. L’inventaire doit capturer : nom du système, propriétaire fournisseur ou interne, la décision qu’il influence, la catégorie de l’Annexe III (le cas échéant), si l’organisation est fournisseur ou déployeur, et les personnes concernées affectées.
2. Construire des systèmes de gestion des risques évolutifs (pas des documents statiques)
La conformité à l’Annexe III exige un système de gestion des risques qui est — dans les termes exacts du règlement — « un processus continu et itératif tout au long du cycle de vie complet du système d’IA ». Ce n’est pas une évaluation des risques unique effectuée avant la mise en production. Cela signifie établir des processus de gouvernance qui surveillent les performances, déclenchent des réévaluations quand le système ou son contexte change, et maintiennent une documentation versionnée des décisions prises.
3. Créer une documentation technique satisfaisant l’Annexe IV
Les systèmes d’IA à haut risque doivent disposer d’une documentation technique répondant aux spécifications de l’Annexe IV du règlement : historique de conception, descriptions d’architecture, caractéristiques des données d’entraînement, résultats de validation, benchmarks de performance et limitations. Cette documentation doit être maintenue à jour et mise à disposition des autorités nationales sur demande dans les 15 jours. La défaillance documentaire la plus fréquente est de traiter les systèmes d’IA comme des logiciels traditionnels : maintenir des dépôts de code source et des notes de version sans la documentation spécifique à l’IA que les régulateurs exigent.
4. Mettre en œuvre une supervision humaine structurelle (pas nominale)
La supervision humaine est l’une des exigences les plus souvent mal comprises. Le règlement exige que les systèmes d’IA à haut risque soient conçus pour que les opérateurs humains puissent « comprendre les capacités et les limites du système d’IA à haut risque », « détecter et corriger aussi rapidement que possible » les sorties anormales, et « rejeter, neutraliser ou inverser » les sorties du système d’IA le cas échéant. L’analyse de Fusefy identifie la « supervision humaine nominale plutôt que structurelle » comme l’une des quatre principales lacunes de préparation — le superviseur qui valide techniquement les décisions générées par l’IA mais les approuve en volume sans examen approfondi ne satisfait pas cette exigence.
La structure des pénalités et la portée extraterritoriale
L’exposition financière créée par le règlement européen sur l’IA dépasse le RGPD au niveau le plus élevé. Selon l’analyse de LegalNodes, la structure des pénalités est :
- Pratiques d’IA interdites : Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel
- Non-conformité IA à haut risque : Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial
- Informations trompeuses aux autorités : Jusqu’à 7,5 millions d’euros ou 1,5 % du chiffre d’affaires mondial
La portée extraterritoriale est souvent sous-estimée hors d’Europe. Le règlement s’applique aux « fournisseurs qui mettent sur le marché de l’Union ou mettent en service des systèmes d’IA ou des modèles GPAI dans l’Union, que ces fournisseurs soient établis ou non dans l’Union ou dans un pays tiers. » Une entreprise algérienne, américaine ou indienne dont le système d’IA produit des sorties utilisées par des résidents de l’UE est dans le champ d’application.
Ce qui vient après août 2026
Le 2 août 2026 n’est pas la fin de l’évolution de la conformité au règlement européen sur l’IA. Le règlement comprend un cycle de révision : la Commission est tenue d’évaluer et de potentiellement modifier l’Annexe III dans les trois ans suivant l’entrée en vigueur, ce qui signifie que des cas d’usage d’IA supplémentaires pourraient être désignés à haut risque. Pour les équipes d’IA d’entreprise, l’implication pratique est que le programme de conformité construit pour août 2026 doit être conçu pour l’itération, pas traité comme une destination. L’inventaire IA, le système de gestion des risques, la documentation technique et les protocoles de supervision humaine sont tous des artefacts évolutifs.
Questions Fréquemment Posées
Le règlement européen sur l’IA s’applique-t-il aux entreprises hors d’Europe ?
Oui. Le règlement s’applique de manière extraterritoriale : toute organisation dont le système d’IA est utilisé par des résidents de l’UE ou produit des sorties les affectant doit se conformer — indépendamment du lieu d’établissement. Cela signifie que les entreprises américaines, algériennes, indiennes ou de tout autre pays non-UE ayant des clients, des employés ou des services d’IA déployés dans l’UE entrent dans le champ d’application.
Quelle est la différence entre un « fournisseur » et un « déployeur » dans le règlement européen sur l’IA ?
Un fournisseur est une organisation qui développe et met un système d’IA sur le marché. Un déployeur est une organisation qui utilise un système d’IA tiers sous sa propre responsabilité. Les fournisseurs supportent des obligations plus lourdes — documentation technique, évaluations de conformité, marquage CE, enregistrement dans la base de données européenne. Les déployeurs doivent mettre en œuvre une supervision humaine, surveiller les performances, signaler les incidents graves et réaliser des évaluations d’impact sur les droits fondamentaux pour les cas d’usage sensibles.
Quelles sont les défaillances de conformité les plus fréquentes avant un audit sur le règlement IA ?
Les quatre lacunes les plus fréquentes identifiées dans les évaluations de préparation sont : (1) l’absence d’inventaire systématique des systèmes d’IA ; (2) le traitement de l’IA comme des logiciels traditionnels — sans la documentation technique spécifique requise par l’Annexe IV ; (3) une supervision humaine nominale plutôt que structurelle ; et (4) des fonctions de conformité cloisonnées — les équipes juridiques, produit et IT gérant chacune le risque IA séparément sans structure de gouvernance transversale.
—
Sources et lectures complémentaires
🔗 Intelligence Connexe
Règlement IA européen août 2026 : la feuille de route pour les systèmes d’IA à haut risque
Accord Omnibus IA de l’UE : L’Accord du 7 Mai 2026 Qui Repousse l’IA à Haut Risque à Décembre 2027
EU AI Act Août 2026 : La Liste de Contrôle de Conformité pour les Fournisseurs d’IA Hors UE
L’AI Act européen entre en vigueur : comment la classification à haut risque change tout
