L’AI Act européen entre en vigueur : comment la classification à haut risque change tout

L’échéance du 2 août : ce qui devient exécutoire

L’AI Act de l’Union européenne est entré en vigueur le 1er août 2024, avec un calendrier de mise en œuvre progressive. Les pratiques d’IA interdites ont pris effet le 2 février 2025. Les obligations pour les modèles d’IA à usage général ont débuté le 2 août 2025. Mais les exigences les plus opérationnellement exigeantes — celles régissant les systèmes d’IA à haut risque de l’Annexe III — deviennent exécutoires le 2 août 2026.

Cette échéance concerne toute organisation déployant des systèmes d’IA dans des contextes que la réglementation classe comme à haut risque. Contrairement aux pratiques interdites (qui ciblent un ensemble restreint d’applications d’IA clairement nuisibles), la classification à haut risque capture des systèmes d’IA largement déployés dans tous les secteurs. L’impact opérationnel est d’un ordre de grandeur supérieur.

Ce qui est qualifié de haut risque

L’AI Act définit les systèmes d’IA à haut risque par deux mécanismes. L’Article 6 établit des règles de classification selon que le système relève de la législation européenne existante sur la sécurité des produits (Annexe II) ou sert des finalités listées dans l’Annexe III.

Les catégories à haut risque de l’Annexe III comprennent les systèmes d’IA utilisés dans l’identification et la catégorisation biométriques, la gestion et l’exploitation des infrastructures critiques, l’éducation et la formation professionnelle (accès, évaluation, surveillance), l’emploi, la gestion des travailleurs et l’accès au travail indépendant (recrutement, évaluation des performances, attribution des tâches), l’accès aux services privés et publics essentiels (scoring de crédit, tarification d’assurance, dispatching d’urgence), l’application de la loi (évaluation des risques, détection de mensonges, analyse de preuves), la migration, l’asile et le contrôle aux frontières, et l’administration de la justice et les processus démocratiques.

L’ampleur de cette classification signifie qu’un outil de présélection de recrutement alimenté par l’IA, un algorithme de scoring de crédit, un système d’IA gérant les opérations d’un réseau électrique et un outil d’évaluation des risques pour l’application de la loi relèvent tous du même cadre de conformité à haut risque — malgré des secteurs entièrement différents.

Les exigences de conformité

Les fournisseurs de systèmes d’IA à haut risque doivent satisfaire des exigences dans six domaines de conformité avant de mettre leurs systèmes sur le marché européen ou de les mettre en service.

Système de gestion des risques : Un processus continu et itératif qui identifie, évalue et atténue les risques tout au long du cycle de vie du système. Ce n’est pas une évaluation ponctuelle mais une obligation permanente qui doit être documentée et mise à jour à mesure que le système évolue.

Gouvernance des données : Les jeux de données d’entraînement, de validation et de test doivent respecter des critères de qualité incluant la pertinence, la représentativité, l’exactitude et l’exhaustivité. Les organisations doivent documenter la provenance des données, les processus de préparation et les biais identifiés et atténués.

Documentation technique : Une documentation complète doit décrire la finalité prévue du système, les spécifications de conception, le processus de développement, les métriques de performance et les limitations connues. Cette documentation doit être préparée avant la mise sur le marché et maintenue tout au long du cycle de vie.

Surveillance humaine : Les systèmes à haut risque doivent être conçus pour permettre une surveillance efficace par des personnes physiques. Les mécanismes de surveillance doivent permettre à l’humain de comprendre les capacités et limitations du système, de surveiller le fonctionnement, d’interpréter les résultats et d’intervenir ou de les contourner si nécessaire.

Exactitude, robustesse et cybersécurité : Les systèmes doivent atteindre des niveaux d’exactitude documentés appropriés à leur finalité, démontrer une robustesse face aux erreurs, défauts et tentatives de manipulation, et mettre en œuvre des mesures de cybersécurité proportionnées aux risques.

Évaluation de conformité : Avant la mise sur le marché, les fournisseurs doivent compléter une évaluation de conformité démontrant le respect de toutes les exigences. Pour la plupart des systèmes de l’Annexe III, il s’agit d’une auto-évaluation basée sur des contrôles internes. Cependant, certains systèmes d’identification biométrique nécessitent une évaluation par un tiers par des organismes notifiés.

Après l’évaluation de conformité, les fournisseurs doivent apposer le marquage CE, enregistrer le système dans la base de données européenne des systèmes d’IA à haut risque et établir des systèmes de surveillance post-marché.

Application et sanctions

Les États membres doivent désigner des autorités nationales compétentes responsables de l’application de l’AI Act. Les sanctions pour non-conformité aux exigences relatives au haut risque atteignent 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les pratiques interdites, les sanctions montent à 35 millions d’euros ou 7 % du chiffre d’affaires. Pour la fourniture d’informations incorrectes aux autorités, les amendes atteignent 7,5 millions d’euros ou 1 % du chiffre d’affaires.

Ces structures de sanctions sont calibrées pour être significatives même pour les grandes entreprises technologiques. Pour les PME et les startups, la réglementation prévoit des obligations proportionnées, mais les exigences fondamentales de conformité demeurent.

Ce que les organisations doivent faire avant le 2 août

Six étapes de préparation définissent le chemin critique. Premièrement, inventorier tous les systèmes d’IA et les classifier selon les catégories de risque de la réglementation. Deuxièmement, pour les systèmes identifiés comme à haut risque, évaluer l’écart entre la documentation et les pratiques actuelles et les exigences de la réglementation. Troisièmement, mettre en œuvre des systèmes de gestion des risques comme des processus continus. Quatrièmement, examiner et documenter les pratiques de gouvernance des données. Cinquièmement, concevoir et mettre en œuvre des mécanismes de surveillance humaine. Sixièmement, compléter les évaluations de conformité et préparer l’enregistrement dans la base de données européenne.

Les organisations qui n’ont pas encore commencé ce processus font face à un calendrier de plus en plus compressé. L’évaluation de conformité seule — incluant documentation technique, tests et audit interne — nécessite généralement quatre à six mois pour les systèmes d’IA complexes.

Répercussions mondiales

L’AI Act européen crée une gravité réglementaire qui s’étend au-delà des frontières européennes. Toute organisation déployant des systèmes d’IA affectant des personnes dans l’UE doit se conformer, quel que soit le lieu d’établissement du fournisseur. Cette portée extraterritoriale reflète l’impact du RGPD sur les pratiques mondiales de protection des données.

Plusieurs juridictions développent des cadres réglementaires pour l’IA influencés par l’approche européenne. L’AI Safety Institute du Royaume-Uni effectue des évaluations des risques pour les modèles de pointe. Le cadre de gouvernance de l’IA de Singapour utilise une approche basée sur le risque similaire au système de classification de l’UE. Le projet de Loi sur l’intelligence artificielle et les données du Canada partage l’accent mis par l’UE sur les systèmes à fort impact.

Pour les multinationales technologiques, l’AI Act européen devient la référence de conformité de facto — construire selon les normes européennes et déployer mondialement est souvent plus efficace que de maintenir des régimes de conformité séparés par juridiction.

Le débat sur la classification

Le système de classification à haut risque a généré un débat significatif dans l’industrie. Les critiques soutiennent que les larges catégories de l’Annexe III capturent des systèmes où le risque réel varie énormément — un simple outil de tri automatique de CV et un système complexe de décision de recrutement autonome font face au même fardeau réglementaire malgré des profils de risque fondamentalement différents.

La Commission européenne a le pouvoir de mettre à jour la classification à haut risque par des actes délégués, et des orientations continues du Bureau de l’IA sont attendues pour clarifier les cas limites. Mais pour août 2026, les organisations doivent classifier sur la base du texte actuel de l’Annexe III — attendre des clarifications n’est pas une stratégie de conformité.

Sources et lectures complémentaires

• EU AI Act Implementation Timeline — AI Act Portal
• Article 6: Classification Rules for High-Risk AI Systems — AI Act Portal
• EU AI Act 2026 Updates: Compliance Requirements — Legal Nodes
• The EU AI Act: 6 Steps to Take Before August 2026 — Orrick
• EU AI Act 2026 Compliance Guide — Secure Privacy
• Timeline for Implementation of the EU AI Act — AI Act Service Desk