La date de mise en application des exigences relatives aux systèmes d'IA à haut risque marque le jour à partir duquel les obligations de conformité les plus substantielles de la loi européenne sur l'intelligence artificielle (AI Act) deviennent exécutoires. Tombant le 2 août 2026, soit exactement 24 mois après l'entrée en vigueur du règlement, cette date déclenche des obligations pour les fournisseurs et les déployeurs de systèmes d'IA classés à haut risque dans le cadre de l'approche fondée sur les risques de la loi. L'AI Act, proposée par la Commission européenne le 21 avril 2021 et approuvée par le Parlement européen le 13 mars 2024 et par le Conseil de l'UE le 21 mai 2024, établit un cadre réglementaire commun pour l'intelligence artificielle dans toute l'UE, avec une application extraterritoriale aux fournisseurs situés hors du bloc s'ils ont des utilisateurs au sein de celui-ci.
La catégorie à haut risque englobe les systèmes d'IA qui présentent des menaces significatives pour la santé, la sécurité ou les droits fondamentaux, y compris ceux utilisés dans les domaines de la santé, de l'éducation, du recrutement, de la gestion des infrastructures critiques, de l'application de la loi et de la justice. À partir de la date relative aux systèmes à haut risque, ces systèmes doivent se conformer aux obligations de sécurité, de transparence et de qualité, subir des évaluations de conformité et, dans certains cas, nécessiter une évaluation d'impact relative aux droits fondamentaux avant leur déploiement. Cette date fait partie d'un calendrier échelonné dans lequel les dispositions de la loi deviennent opérationnelles progressivement sur 6 à 36 mois, les obligations relatives aux systèmes à haut risque arrivant au 24e mois.
Calendrier réglementaire et échelonnement
L'AI Act est entrée en vigueur le 1er août 2024, mais ses dispositions ont été conçues pour être mises en œuvre progressivement afin de permettre aux parties prenantes de s'adapter. Les premières interdictions concernant les applications à risque inacceptable, telles que la notation sociale et l'identification biométrique à distance en temps réel dans les espaces publics, ont pris effet le 2 février 2025, six mois après l'entrée en vigueur. Les obligations relatives à l'IA à usage général, y compris les exigences de transparence pour les modèles de fondation, sont devenues applicables le 2 août 2025. La date relative aux systèmes à haut risque du 2 août 2026 représente le troisième jalon majeur, appliquant l'ensemble le plus étendu de devoirs à une large gamme de systèmes d'IA.
Une quatrième phase, couvrant les systèmes d'IA à haut risque intégrés dans des produits déjà réglementés par d'autres législations de l'UE, telles que les dispositifs médicaux et les machines, est prévue pour le 2 août 2027. Cette approche échelonnée reflète le modèle de sécurité des produits de la loi, où les obligations réglementaires sont assignées aux fournisseurs et aux déployeurs, et ces obligations deviennent plus exigeantes à mesure que les impacts potentiels sur la santé, la sécurité ou les droits fondamentaux augmentent. La Commission européenne a conçu ce calendrier pour donner aux développeurs, en particulier aux petites et moyennes entreprises, le temps d'intégrer des mécanismes de conformité dans leurs cycles de vie de produits.
Portée de la classification à haut risque
Les systèmes d'IA à haut risque sont définis à l'annexe III de la loi et couvrent huit domaines spécifiques : l'identification et la catégorisation biométriques des personnes physiques ; la gestion et l'exploitation des infrastructures critiques ; l'éducation et la formation professionnelle ; l'emploi, la gestion des travailleurs et l'accès au travail indépendant ; l'accès aux services privés essentiels et aux services publics et aux prestations, ainsi que leur jouissance ; l'application de la loi ; la gestion de la migration, de l'asile et du contrôle des frontières ; et l'administration de la justice et des processus démocratiques. Les systèmes dans ces domaines sont présumés à haut risque, sauf s'ils effectuent des tâches procédurales étroites, améliorent le résultat d'une activité humaine précédemment réalisée ou n'affectent pas les droits des individus.
La classification est dynamique. La liste des applications à haut risque peut être élargie au fil du temps sans modifier l'AI Act elle-même, par le biais d'actes délégués de la Commission européenne. Cette flexibilité permet au règlement de répondre aux utilisations émergentes des technologies de apprentissage automatique et de apprentissage profond. Les fournisseurs doivent évaluer leurs systèmes à la fois avant leur mise sur le marché et tout au long de leur cycle de vie, avec des obligations de maintenir une documentation technique, de mettre en œuvre des systèmes de gestion des risques, de garantir la gouvernance des données et de permettre une supervision humaine.
Évaluations de conformité et évaluations d'impact relatives aux droits fondamentaux
Une exigence centrale à partir de la date relative aux systèmes à haut risque est l'évaluation de conformité, une procédure qui vérifie si un système d'IA répond aux exigences de la loi avant de pouvoir être mis sur le marché de l'UE. Pour la plupart des systèmes à haut risque, les fournisseurs effectuent une auto-évaluation par rapport à des normes harmonisées, tandis que les systèmes dans certaines catégories, telles que l'identification biométrique, nécessitent l'implication d'un organisme notifié. L'évaluation couvre les pratiques de formation des données, les performances du modèle, les mesures de cybersécurité, ainsi que l'exactitude et la robustesse du système.
Pour les systèmes à haut risque utilisés dans l'administration publique, l'application de la loi ou les services essentiels, les déployeurs doivent également mener une évaluation d'impact relative aux droits fondamentaux (EIRF) avant le déploiement. Cet examen ex ante identifie et atténue les impacts potentiels sur les droits fondamentaux, décrivant quels individus et communautés sont affectés, les préjudices possibles, et fournissant une base pour un examen public et institutionnel. L'exigence d'EIRF s'appuie sur des travaux antérieurs concernant les évaluations d'impact algorithmiques et vise à garantir que le déploiement de l'IA ne porte pas atteinte de manière disproportionnée aux droits protégés par le droit de l'UE.
Les citoyens acquièrent de nouveaux droits procéduraux à partir de la date relative aux systèmes à haut risque. Ils peuvent soumettre des plaintes concernant les systèmes d'IA aux autorités nationales de surveillance et recevoir des explications sur les décisions prises par des systèmes d'IA à haut risque qui affectent leurs droits. Ces droits ne créent pas de causes d'action individuelles en vertu de la loi elle-même, car il s'agit d'une forme de réglementation des produits, mais ils complètent les recours existants en vertu du règlement général sur la protection des données et des lois nationales.
Obligations pour les fournisseurs et les déployeurs
Les fournisseurs de systèmes d'IA à haut risque doivent établir un système de gestion de la qualité, maintenir une documentation technique, mettre en œuvre une surveillance après mise sur le marché et prendre des mesures correctives lorsque les systèmes présentent des risques. Ils doivent également garantir que les données de formation, de validation et de test sont pertinentes, représentatives et exemptes de biais lorsque cela est possible. Les obligations de transparence exigent que les utilisateurs soient informés lorsqu'ils interagissent avec un système d'IA, et que les systèmes soient conçus pour permettre une supervision humaine, y compris la capacité d'interpréter les sorties et d'intervenir ou d'arrêter le fonctionnement.
Les déployeurs, c'est-à-dire les organisations qui utilisent l'IA à haut risque dans un contexte professionnel, ont des devoirs distincts. Ils doivent utiliser les systèmes conformément aux instructions, assigner une supervision humaine à un personnel formé de manière appropriée, surveiller les signes de risque et signaler les incidents graves aux autorités. Les déployeurs du secteur public doivent enregistrer leurs systèmes dans une base de données de l'UE avant le déploiement. Ces devoirs s'appliquent indépendamment du fait que le déployeur soit basé dans l'UE, car la loi peut s'appliquer de manière extraterritoriale aux fournisseurs et aux déployeurs ayant des utilisateurs dans l'UE.
Relation avec l'IA à usage général et les modèles génératifs
La date relative aux systèmes à haut risque fonctionne parallèlement à une catégorie distincte pour l'IA à usage général, ajoutée au cours du processus législatif en 2023 pour répondre à l'essor des systèmes de IA générative comme ChatGPT. Les modèles à usage général, y compris les modèles de langage de grande taille construits sur des architectures de transformeurs, ne sont pas automatiquement à haut risque mais font face à leurs propres exigences de transparence. Les modèles open source doivent publier des résumés des données de formation et des politiques de droits d'auteur, tandis que les modèles à source fermée font face à des devoirs de transparence plus larges. Les modèles à fort impact nécessitant plus de 10^25 opérations en virgule flottante pour être entraînés doivent subir des évaluations supplémentaires pour les risques systémiques.
La distinction est importante pour la date relative aux systèmes à haut risque car certains systèmes d'IA à usage général peuvent être déployés dans des contextes à haut risque. Un modèle de fondation utilisé dans le recrutement ou les soins de santé, par exemple, pourrait déclencher des obligations à haut risque pour le déployeur, même si le modèle lui-même est réglementé sous la catégorie à usage général. Le cadre de la loi assigne des devoirs à la fois au fournisseur du modèle et au déployeur, créant des responsabilités de conformité qui se chevauchent. Le code de pratique pour l'IA à usage général, publié le 10 juillet 2025, fournit des orientations volontaires sur la transparence, les droits d'auteur et la sécurité, mais ne remplace pas les exigences obligatoires relatives aux systèmes à haut risque.
Application et gouvernance
La date relative aux systèmes à haut risque active des mécanismes d'application supervisés par les autorités nationales de surveillance et le Conseil européen de l'intelligence artificielle, qui promeut la coopération nationale et garantit une conformité cohérente. Chaque État membre de l'UE doit désigner une autorité de surveillance du marché responsable du suivi des systèmes à haut risque, de la réalisation de contrôles et de l'imposition de sanctions en cas de non-conformité. Les amendes peuvent atteindre jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les violations impliquant des pratiques interdites, avec des amendes plus faibles mais toujours substantielles pour d'autres manquements.
La Commission européenne maintient une base de données publique des systèmes d'IA à haut risque, que les déployeurs du secteur public doivent utiliser pour l'enregistrement. La loi encourage également le développement de normes harmonisées par les organisations européennes de normalisation, qui fourniront des spécifications techniques pour la conformité. Lorsque les normes ne sont pas encore disponibles, les fournisseurs peuvent s'appuyer sur des spécifications communes adoptées par la Commission. Cette structure de gouvernance est conçue pour garantir que la date relative aux systèmes à haut risque conduit à une surveillance significative plutôt qu'à une simple conformité formelle.
Impact sur l'industrie et l'innovation
La date relative aux systèmes à haut risque a des implications significatives pour les développeurs et les utilisateurs d'IA dans tous les secteurs. Les entreprises développant de l'IA pour le diagnostic médical, l'évaluation éducative, le recrutement ou l'application de la loi doivent repenser leurs flux de travail pour répondre aux exigences de la loi. Cela inclut la documentation de la provenance des données, la mise en œuvre de processus de gestion des risques et la garantie de pistes d'audit. La charge de conformité est substantielle, mais la loi permet des approches plus légères pour les systèmes considérés comme moins sensibles, et la plupart des applications d'IA, telles que les jeux vidéo et les filtres anti-spam, relèvent de la catégorie à risque minimal et ne sont pas réglementées.
Pour les fournisseurs non européens, la portée extraterritoriale de la loi signifie que les entreprises aux États-Unis, en Chine et ailleurs doivent se conformer si elles offrent des systèmes d'IA à haut risque aux utilisateurs de l'UE. Cela a conduit à une convergence mondiale dans les pratiques de gouvernance de l'IA, car de nombreuses entreprises multinationales appliquent les normes de la loi à l'ensemble de leurs opérations. La date relative aux systèmes à haut risque interagit également avec d'autres réglementations numériques de l'UE, y compris le règlement général sur la protection des données et la directive proposée sur la responsabilité en matière d'IA, créant un paysage réglementaire complexe mais cohérent pour l'intelligence artificielle en Europe.