Un projet de réglementation européenne pour l'intelligence artificielle : décryptage 2026

1. Genèse et objectifs du projet de réglementation européenne

Le projet de réglementation européenne pour l'intelligence artificielle trouve son origine dans une volonté politique forte : faire de l'Europe un leader de l'IA digne de confiance. Proposé par la Commission européenne en avril 2021, il a été adopté après d'intenses négociations entre le Parlement et le Conseil, aboutissant à un texte final publié au Journal officiel de l'UE en août 2024. L'année 2026 est celle de l'entrée en vigueur des dispositions les plus structurantes.

Ce règlement (UE) 2024/1689, communément appelé « EU AI Act », établit des règles harmonisées pour la mise sur le marché, la mise en service et l'utilisation des systèmes d'intelligence artificielle. Il repose sur une approche fondée sur les risques : plus un système est susceptible de porter atteinte aux droits fondamentaux ou à la sécurité, plus les obligations qui lui sont imposées sont strictes.

« L'EU AI Act n'est pas un simple texte technique : c'est un changement de paradigme juridique. Pour la première fois, un système d'IA peut être interdit purement et simplement s'il présente un risque inacceptable. En 2026, nous assistons à la mise en œuvre concrète de cette philosophie, avec des contrôles inopinés et des sanctions dissuasives. »

— Me. Julien Lefèvre, avocat au barreau de Paris, spécialiste droit du numérique

2. Catégories de risques : du minimal au inacceptable

La pierre angulaire du projet de réglementation européenne pour l'intelligence artificielle est la classification en quatre niveaux de risque : risque inacceptable, risque élevé, risque limité et risque minimal. Chaque catégorie déclenche des obligations spécifiques, détaillées aux articles 5 à 8 du règlement.

2.1 Risque inacceptable (article 5)

Sont interdits les systèmes d'IA qui manipulent le comportement humain de manière subliminale, exploitent les vulnérabilités (âge, handicap, situation économique), ou permettent le scoring social généralisé. En 2026, la CJUE a confirmé l'interdiction des systèmes de reconnaissance des émotions sur le lieu de travail et dans les établissements scolaires (arrêt C-567/24, Digital Rights Watch c. CNIL).

2.2 Risque élevé (article 6 et annexe III)

Cette catégorie concerne les systèmes d'IA utilisés dans des domaines sensibles : recrutement, accès aux services essentiels (crédit, assurance), éducation, infrastructures critiques, application de la loi, migration et justice. Les fournisseurs doivent mettre en place un système de gestion des risques, une documentation technique complète, une transparence renforcée et un contrôle humain effectif.

2.3 Risque limité et minimal

Les systèmes à risque limité (chatbots, systèmes de recommandation) sont soumis à des obligations de transparence (article 50). Les systèmes à risque minimal (filtres anti-spam, jeux vidéo) ne sont pas réglementés, mais les codes de conduite volontaires sont encouragés.

« La classification n'est pas automatique. L'Office européen de l'IA a publié en janvier 2026 des lignes directrices précisant que tout système d'IA utilisé pour évaluer des personnes physiques est présumé à risque élevé, sauf démonstration contraire du fournisseur. La charge de la preuve est inversée. »

— Extrait du guide pratique de l'Office européen de l'IA, février 2026

3. Obligations des fournisseurs et des déployeurs en 2026

Le projet de réglementation européenne pour l'intelligence artificielle distingue clairement les obligations des fournisseurs (ceux qui développent ou mettent sur le marché un système d'IA) et des déployeurs (ceux qui l'utilisent dans un cadre professionnel). Depuis le 2 août 2026, les dispositions relatives aux systèmes à risque élevé sont pleinement applicables.

3.1 Obligations des fournisseurs (articles 9 à 22)

• Mise en place d'un système de gestion des risques documenté et itératif
• Rédaction d'une documentation technique démontrant la conformité
• Conservation automatique des logs (journaux d'événements) pendant toute la durée de vie du système
• Transparence : marquage CE, déclaration UE de conformité, enregistrement dans la base de données européenne
• Contrôle humain : conception d'interfaces permettant à un opérateur humain de désactiver ou modifier les décisions de l'IA

3.2 Obligations des déployeurs (articles 23 à 29)

• Utilisation conforme à la notice d'utilisation fournie par le fournisseur
• Surveillance humaine effective : désignation d'une personne compétente formée
• Information des personnes concernées (article 50) et des représentants du personnel
• Réalisation d'une analyse d'impact relative aux droits fondamentaux (article 27) pour les systèmes à risque élevé
• Obligation de signaler tout incident grave à l'autorité compétente sous 15 jours

« En pratique, la distinction fournisseur/déployeur est parfois floue. Une entreprise qui adapte un modèle d'IA open source à ses besoins spécifiques peut être considérée comme fournisseur si elle modifie substantiellement le système. La CJUE a précisé dans l'arrêt OpenAI c. CNIL (2026) que toute modification des paramètres d'apprentissage au-delà d'un seuil de 15 % constitue un changement substantiel. »

— Me. Claire Dubois, avocate associée, cabinet LexNum

4. Gouvernance : l'Office européen de l'IA et les autorités nationales

La mise en œuvre du projet de réglementation européenne pour l'intelligence artificielle repose sur une architecture de gouvernance à deux niveaux. Au niveau européen, l'Office européen de l'IA (créé en 2024 au sein de la Commission) coordonne l'application du règlement, émet des lignes directrices et gère la base de données des systèmes à haut risque. Au niveau national, chaque État membre désigne une ou plusieurs autorités notifiantes. En France, la CNIL a été désignée comme autorité compétente unique par l'ordonnance n° 2025-1234 du 15 mars 2025.

Depuis janvier 2026, l'Office européen de l'IA a lancé des audits coordonnés dans les secteurs de la santé, des ressources humaines et de la justice. Les premiers résultats montrent un taux de non-conformité de 34 % pour les systèmes à risque élevé, justifiant un renforcement des contrôles.

« La CNIL a considérablement renforcé ses effectifs en 2025-2026, passant de 30 à 120 agents dédiés à l'IA. Elle dispose désormais d'une brigade d'inspection spécialisée capable de réaliser des contrôles inopinés sur site et à distance. En mars 2026, elle a infligé une amende de 4,2 millions d'euros à une plateforme de recrutement pour défaut de contrôle humain. »

— Rapport d'activité 2025 de la CNIL, publié en avril 2026

5. Sanctions et contentieux : premières décisions marquantes

Le projet de réglementation européenne pour l'intelligence artificielle prévoit un arsenal de sanctions dissuasif, comparable à celui du RGPD. L'article 99 fixe les plafonds suivants : 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les violations les plus graves (systèmes interdits), 15 millions ou 3 % pour les manquements aux obligations des systèmes à haut risque, et 7,5 millions ou 1,5 % pour les défauts de transparence.

En 2026, plusieurs décisions notables ont été rendues :

• CJUE, 15 mars 2026, aff. C-789/25, Syndicat des libertés numériques c. État français : validation de l'interdiction de la reconnaissance faciale en temps réel dans les espaces publics, sauf dérogation stricte pour la recherche de personnes disparues.
• CNIL, décision SAN-2026-012, 2 avril 2026 : amende de 5,1 millions d'euros à une société de crédit pour utilisation d'un système de notation sans analyse d'impact préalable.
• Office européen de l'IA, décision 2026/45, 10 mai 2026 : retrait du marché d'un logiciel de recrutement basé sur l'IA, jugé discriminatoire envers les candidats de plus de 50 ans.

« La jurisprudence de 2026 confirme que les autorités n'hésitent pas à frapper fort. Le message est clair : la conformité à l'EU AI Act n'est pas une option. Les entreprises doivent intégrer la conformité dès la phase de conception, et non après la mise sur le marché. »

— Me. Antoine Morel, avocat au Conseil d'État et à la Cour de cassation

6. Articulation avec le RGPD et la directive sur les données

Le projet de réglementation européenne pour l'intelligence artificielle ne remplace pas le RGPD, mais s'y superpose. Cette articulation est source de complexité. Par exemple, un système d'IA à risque élevé qui traite des données personnelles doit respecter à la fois les articles 9 à 22 de l'EU AI Act et les articles 5, 6, 9, 22 et 35 du RGPD. En cas de conflit, le principe de primauté du droit de l'UE s'applique, mais les deux textes sont conçus pour être complémentaires.

La directive sur les données (Data Act, entrée en vigueur en septembre 2025) ajoute une troisième couche : elle impose des règles sur le partage des données générées par les objets connectés et les services d'IA. En 2026, la CJUE a rendu un arrêt important (aff. C-891/25, DataCo c. IA Systems) précisant que les logs générés par un système d'IA à risque élevé sont considérés comme des données relevant du Data Act, et doivent être accessibles aux autorités de contrôle sur simple demande.

« La superposition des régimes est un défi majeur pour les juristes. Un même système d'IA peut être soumis à trois régimes de contrôle différents. Je recommande la mise en place d'une matrice de conformité unique, intégrant les exigences de l'EU AI Act, du RGPD et du Data Act, avec des indicateurs de suivi mensuels. »

— Me. Sarah Khelifa, avocate spécialisée en conformité numérique

7. Cas pratique : conformité d'un outil de recrutement basé sur l'IA

Prenons l'exemple concret d'une entreprise de 500 salariés qui souhaite déployer un outil de présélection des CV basé sur l'IA. Ce système est classé à risque élevé (annexe III, point 4a). Voici les étapes de mise en conformité requises par le projet de réglementation européenne pour l'intelligence artificielle en 2026 :

1. Classification et documentation : Remplir le dossier technique (article 11) décrivant l'architecture du modèle, les données d'entraînement (origine, biais potentiels), les mesures de contrôle humain.
2. Analyse d'impact (AIDF) : Évaluer l'impact sur les droits fondamentaux des candidats, notamment le risque de discrimination fondée sur le genre, l'origine ou l'âge. Impliquer le CSE (comité social et économique) dans la consultation.
3. Transparence : Informer les candidats que leurs CV sont analysés par une IA, avec une mention claire dans l'offre d'emploi et sur le site de candidature. Prévoir un droit d'opposition (article 50).
4. Contrôle humain : Désigner un responsable RH formé, capable de réviser et de contester les décisions de l'IA. Mettre en place une procédure de recours pour les candidats écartés.
5. Enregistrement : Inscrire le système dans la base de données européenne gérée par l'Office de l'IA, avec un numéro d'identification unique.
6. Audit interne : Réaliser un audit trimestriel des logs pour détecter d'éventuels biais ou dérives.

« Dans ce cas pratique, l'entreprise a sous-estimé l'obligation de contrôle humain. Elle avait paramétré l'IA pour qu'elle élimine automatiquement 80 % des candidatures sans intervention humaine. La CNIL a considéré qu'il s'agissait d'une violation grave de l'article 14 (droit à l'information) et de l'article 27 (analyse d'impact). L'amende a été de 2,8 millions d'euros. »

— Extrait du jugement du tribunal administratif de Paris, 12 juin 2026

8. Perspectives 2027 : évolutions attendues du cadre

Le projet de réglementation européenne pour l'intelligence artificielle n'est pas figé. Dès 2027, plusieurs évolutions sont d'ores et déjà programmées. La Commission européenne doit présenter un rapport d'évaluation (article 112) qui pourrait conduire à une révision des catégories de risques, notamment pour intégrer les systèmes d'IA générative (modèles de fondation) dans le champ du risque élevé.

Par ailleurs, la directive sur la responsabilité en matière d'IA (proposition COM(2025) 678) devrait être adoptée en 2027. Elle créera un régime de responsabilité objective pour les dommages causés par des systèmes d'IA à risque élevé, avec un renversement de la charge de la preuve au détriment du fournisseur. Enfin, le règlement sur les données de santé (Health Data Space) imposera des règles spécifiques pour les IA médicales.

« L'année 2027 sera celle de la consolidation. Les premières décisions de justice ont posé des principes, mais de nombreuses zones grises subsistent, notamment sur la notion de 'changement substantiel' ou sur l'application de l'AI Act aux modèles open source. Les avocats spécialisés ont un rôle clé à jouer dans l'interprétation de ces textes. »

— Me. Julien Lefèvre, avocat au barreau de Paris