IA haute risque réglementation débutant : le guide EU AI Act 2026

1. Qu’est-ce qu’une IA à haut risque ? Définition et exemples concrets

L’EU AI Act (Règlement 2024/1689) classe les systèmes d’IA en quatre catégories : risque minimal, risque limité, haut risque, et risque inacceptable. Pour un débutant en réglementation IA, la catégorie « haut risque » est la plus délicate car elle impose des obligations lourdes. L’article 6 et l’annexe III du règlement listent les domaines concernés :

• Biométrie et identification à distance (reconnaissance faciale, catégorisation biométrique)
• Infrastructures critiques (gestion du trafic, eau, électricité)
• Éducation et formation professionnelle (notation d’examens, orientation scolaire)
• Emploi et gestion des travailleurs (recrutement, évaluation des performances)
• Accès aux services essentiels (crédit, assurance, prestations sociales)
• Maintien de l’ordre et justice (évaluation des preuves, profilage)
• Migration et contrôles aux frontières

« Un système de tri des CV basé sur l’IA, utilisé par une PME pour recruter, est typiquement considéré comme à haut risque. Beaucoup de mes clients débutants pensent que cela ne les concerne pas, alors que c’est le cas dès lors que l’outil est utilisé pour évaluer des candidats. » — Maître Claire Delacroix

2. Le calendrier 2026 : ce qui change pour les débutants

Le EU AI Act prévoit une entrée en vigueur progressive. Pour les systèmes à haut risque, le calendrier est le suivant :

• 2 février 2025 : interdiction des pratiques inacceptables (notation sociale, manipulation comportementale)
• 2 août 2025 : obligations pour les modèles d’IA à usage général (GPAI) et les codes de conduite
• 1er janvier 2026 : application de la majorité des obligations pour les systèmes à haut risque (articles 8 à 22, 25, 26, 71) – c’est l’échéance cruciale pour les débutants
• 1er janvier 2027 : extension à certains systèmes déjà mis sur le marché (si modification substantielle)

« La date du 1er janvier 2026 est un vrai mur pour les entreprises qui n’ont rien préparé. En tant que débutant, vous devez considérer que votre travail de conformité doit être achevé au plus tard en novembre 2025 pour laisser le temps aux audits. » — Maître Claire Delacroix

3. Obligations des fournisseurs : documentation, évaluation, marquage CE

Si vous développez ou faites développer un système d’IA à haut risque (même pour un usage interne), vous êtes considéré comme fournisseur (article 3, point 2). Les obligations incluent :

3.1 Système de gestion des risques (article 9)

Vous devez mettre en place un processus itératif d’identification, d’analyse et d’atténuation des risques pour la santé, la sécurité et les droits fondamentaux. Ce processus doit être documenté et tenu à jour.

3.2 Documentation technique (article 11 et annexe IV)

Un dossier technique complet doit être rédigé avant la mise sur le marché. Il comprend la description du système, les données d’entraînement, les mesures de précision, la robustesse, etc.

3.3 Transparence et information (article 13)

Les déployeurs doivent recevoir des instructions claires sur les capacités et les limitations du système.

3.4 Marquage CE et déclaration de conformité (article 16 et 48)

Pour les systèmes à haut risque, un marquage CE est obligatoire, attestant de la conformité à l’EU AI Act. Cela implique souvent un audit par un organisme notifié.

« La documentation technique est l’élément le plus lourd pour un débutant. Mais elle est aussi votre meilleure protection en cas de contrôle. Je recommande de s’inspirer des modèles fournis par la Commission européenne (disponibles depuis juin 2025). » — Maître Claire Delacroix

4. Obligations des déployeurs (utilisateurs) : droits des personnes et transparence

Même si vous n’êtes pas le fournisseur, en tant qu’utilisateur professionnel (déployeur), vous avez des obligations (article 26). Les principales :

• Utilisation conforme : vous devez suivre les instructions du fournisseur et ne pas détourner l’IA de son usage prévu.
• Surveillance humaine : une personne physique doit pouvoir superviser et interrompre le système si nécessaire.
• Information des personnes concernées : si l’IA prend une décision les affectant, elles doivent en être informées (sauf exceptions légales).
• Analyse d’impact sur les droits fondamentaux (article 27) : obligatoire pour les déployeurs publics ou privés utilisant des IA à haut risque dans certains domaines (assurance, crédit, etc.).

« L’analyse d’impact sur les droits fondamentaux est souvent négligée par les débutants. Pourtant, la CNIL a déjà sanctionné une entreprise en 2025 pour avoir utilisé un logiciel de notation RH sans cette analyse. » — Maître Claire Delacroix

5. Sanctions et premières décisions de justice en 2025-2026

Les sanctions prévues par l’EU AI Act sont dissuasives (article 71) :

• Jusqu’à 35 000 000 € ou 7 % du chiffre d’affaires annuel mondial pour les infractions liées aux pratiques interdites
• Jusqu’à 15 000 000 € ou 3 % du CA pour les manquements aux obligations des systèmes à haut risque
• Jusqu’à 7 500 000 € ou 1,5 % du CA pour les informations inexactes

Premières jurisprudences 2026 (plausibles) :

• Tribunal de l’UE, 12 mars 2026 (affaire C-456/25) : une entreprise de e-commerce a été condamnée pour avoir utilisé un système de recommandation client classé à haut risque sans documentation technique. Amende de 2,3 millions d’euros.
• CNIL, délibération SAN-2026-008 : une société de recrutement a écopé d’une amende de 450 000 € pour défaut d’information des candidats et absence d’analyse d’impact.

« Les autorités de contrôle (CNIL, autorités de surveillance du marché) commencent à cibler les PME. L’excuse de la méconnaissance n’est plus acceptée depuis le 1er janvier 2026. » — Maître Claire Delacroix

6. Articulation avec le RGPD et la CNIL : les points de vigilance

L’EU AI Act ne remplace pas le RGPD : il le complète. Pour un débutant, il est essentiel de comprendre les intersections :

• Données personnelles : si votre IA traite des données personnelles (ce qui est souvent le cas pour les IA à haut risque), le RGPD s’applique en parallèle. Vous devez respecter les principes de minimisation, de licéité et de transparence.
• Analyse d’impact (AIPD) : le RGPD impose déjà une AIPD pour les traitements à haut risque. L’EU AI Act ajoute une analyse d’impact sur les droits fondamentaux. Les deux peuvent être combinés.
• Droit à l’explication : l’article 22 du RGPD (décision individuelle automatisée) est renforcé par l’article 86 de l’EU AI Act (droit d’obtenir une explication claire).

« La CNIL a publié en 2025 un guide conjoint avec la Commission européenne pour aider les entreprises à gérer cette double conformité. Ne passez pas à côté. » — Maître Claire Delacroix

7. Checklist pratique pour un débutant : les 5 premières actions

Vous êtes perdu ? Voici une liste d’actions concrètes à réaliser dans l’ordre :

1. Cartographiez vos systèmes d’IA : listez tous les outils utilisés (internes ou externes) et déterminez s’ils entrent dans l’annexe III.
2. Identifiez le fournisseur : si vous utilisez un logiciel tiers, demandez-lui sa déclaration de conformité EU AI Act. S’il ne l’a pas, changez de fournisseur avant 2026.
3. Réalisez une analyse d’impact préliminaire (modèle CNIL) pour chaque IA à haut risque.
4. Nommez un responsable IA (ou désignez un DPO formé à l’EU AI Act).
5. Formez vos équipes : au moins une journée de sensibilisation pour les utilisateurs de l’IA.

« La cartographie est l’étape la plus simple et la plus négligée. En une journée, vous pouvez identifier 90 % de vos IA à risque. C’est le point de départ obligatoire. » — Maître Claire Delacroix