Comment utiliser l'EU AI Act : guide pratique du règlement IA européen

1. Comprendre la classification des risques

L’EU AI Act repose sur une approche proportionnée : plus le risque est élevé, plus les obligations sont strictes. L’article 6 définit les catégories : risque inacceptable (interdiction, art. 5), risque élevé (systèmes listés en annexe III), risque limité (obligations de transparence) et risque minimal (libre, mais code de conduite encouragé).

La classification n’est pas statique. La Commission européenne a publié en janvier 2026 des lignes directrices actualisées : un système de notation de crédit ou un outil de recrutement basé sur l’IA est systématiquement considéré à haut risque, même si l’entreprise le conçoit comme « ludique ». Il faut réaliser une auto-évaluation documentée.

Pour les systèmes d’IA générative (comme les LLM), le risque est souvent limité, mais l’obligation de transparence (art. 50) est renforcée : mention obligatoire que le contenu est généré par IA, et publication d’un résumé des données d’entraînement protégées par le droit d’auteur.

2. Obligations des fournisseurs (articles 8 à 15)

Les fournisseurs (ceux qui développent ou mettent sur le marché un système d’IA) doivent respecter un ensemble d’exigences essentielles :

2.1 Système de gestion des risques (art. 9)

Un processus itératif et continu tout au long du cycle de vie du système. Il doit identifier, analyser et atténuer les risques pour la santé, la sécurité et les droits fondamentaux. Les tests doivent être documentés.

2.2 Gouvernance des données (art. 10)

Pour les systèmes à haut risque, les données d’entraînement doivent être pertinentes, représentatives, exemptes de biais discriminatoires et respectueuses du RGPD. Une fiche de données (datasheet) est recommandée.

2.3 Documentation technique et transparence (art. 11 & 13)

Un dossier technique détaillé (architecture, méthodes, performance) doit être tenu à disposition des autorités. La notice d’utilisation doit être claire pour le déployeur.

Décision importante de la CJUE (février 2026, aff. C-142/25) : un fournisseur ne peut pas se retrancher derrière le secret d’affaires pour refuser de fournir des informations sur les données d’entraînement à une autorité de contrôle. L’équilibre est trouvé via des chambres de confidentialité.

3. Obligations des déployeurs (article 26)

Les déployeurs (utilisateurs professionnels, entreprises, administrations) ont aussi des responsabilités. L’article 26 impose :

• Utiliser le système conformément à la notice du fournisseur.
• Assurer une surveillance humaine (humain in the loop) pour les systèmes à haut risque.
• Informer les personnes concernées lorsqu’un système d’IA est utilisé pour prendre des décisions les affectant (ex : recrutement, crédit).
• Conserver les logs générés automatiquement pendant au moins 6 mois.

Depuis 2026, la CNIL a rappelé que les déployeurs doivent également réaliser une analyse d’impact relative aux droits fondamentaux (FIA) pour tout système à haut risque déployé en France.

En tant qu’avocat, je conseille à tout déployeur de signer un contrat écrit avec le fournisseur précisant les responsabilités respectives, notamment en cas de non-conformité. La jurisprudence 2026 montre que les deux parties peuvent être condamnées solidairement.

4. IA générative, droits d’auteur et transparence

L’EU AI Act impose des règles spécifiques pour les modèles d’IA générative (art. 50 et 51). Depuis le 2 août 2025, tout fournisseur de modèle de fondation doit :

• Publier un résumé suffisamment détaillé des données d’entraînement (incluant les œuvres protégées).
• Mettre en place une politique de respect du droit d’auteur (opt-out pour les titulaires de droits).
• Étiqueter les contenus générés (filigrane ou métadonnées).

Le règlement interdit également la génération de contenus pédopornographiques ou de manipulation de masse (art. 5). La directive 2026/01 sur l’IA et les droits d’auteur est venue préciser les mécanismes de licence collective.

5. Articulation avec le RGPD et la CNIL

L’EU AI Act ne remplace pas le RGPD. Les deux règlements s’appliquent cumulativement. La CNIL (délibération n°2026-045 du 15 janvier 2026) insiste sur les points de vigilance :

• L’analyse d’impact (AIPD) doit intégrer les risques liés à l’IA (biais, discrimination, automatisation).
• Le principe de minimisation des données : l’IA ne doit pas aspirer plus de données que nécessaire.
• Le droit à l’explication (art. 22 RGPD) est renforcé par l’obligation de transparence de l’AI Act.

Dans une décision du 12 mars 2026, la CNIL a sanctionné une plateforme de e-commerce pour avoir utilisé un système de recommandation sans information préalable claire, et sans avoir réalisé d’AIPD. L’amende : 2,5 millions d’euros, cumulée avec une pénalité AI Act.

Pour les organismes publics, le décret 2026-103 du 5 février 2026 impose un registre public des algorithmes utilisés dans le service public, en lien avec l’article 84 de l’AI Act.

6. Sanctions, contrôle et jurisprudence 2026

Les sanctions sont dissuasives : jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires mondial pour les infractions les plus graves (art. 71). Les autorités nationales (en France, la CNIL et l’ANSSI conjointement) peuvent ordonner le retrait du marché.

Jurisprudence 2026 marquante :

• CJUE 10 février 2026, aff. C-78/25 : un système de notation sociale basé sur l’analyse des émotions est interdit, même si l’utilisateur prétend qu’il est « facultatif ». L’interdiction est absolue.
• TA Paris, 20 janvier 2026 : une commune a été condamnée pour avoir utilisé un logiciel de vidéosurveillance algorithmique sans évaluation de conformité. L’arrêté municipal a été suspendu.
• Cour d’appel de Lyon, 3 mars 2026 : un employeur a été sanctionné pour avoir utilisé un outil de scoring des candidats sans information préalable (violation art. 26 AI Act + art. 13 RGPD).

7. Guide pratique : étapes de mise en conformité

Voici une check-list opérationnelle pour utiliser l’EU AI Act efficacement :

1. Cartographie : listez tous les systèmes d’IA utilisés ou développés dans votre organisation.
2. Classification : déterminez le niveau de risque (outil d’auto-évaluation).
3. Gouvernance : désignez un responsable IA (Data Protection Officer ou responsable conformité).
4. Documentation : rédigez la fiche technique, le registre, l’analyse d’impact (AIPD + FIA).
5. Transparence : informez les personnes concernées, ajoutez les mentions légales, filigrane.
6. Surveillance humaine : définissez les procédures de révision et de recours.
7. Contrats : mettez à jour vos contrats fournisseurs/clients avec des clauses IA Act.
8. Audit et mise à jour : planifiez des revues annuelles et une veille réglementaire.

Mon conseil : ne traitez pas la conformité comme une contrainte pure. Les entreprises qui adoptent une démarche éthique et transparente en IA gagnent la confiance des clients et des partenaires. L’EU AI Act est un label de qualité.

8. Textes applicables et références