Règlement IA européen : guide de compliance 2026

1. Champ d’application et catégories de risque

Le règlement (UE) 2024/1689 (EU AI Act) couvre tout système d’IA mis sur le marché ou utilisé dans l’UE, quel que soit le lieu d’établissement du fournisseur. La classification repose sur quatre niveaux :

• Risque inacceptable (art. 5) : notation sociale, manipulation comportementale, identification biométrique en temps réel dans l’espace public (sauf exceptions limitées).
• Risque élevé (art. 6 et annexe III) : dispositifs médicaux, recrutement, évaluation de crédit, infrastructures critiques, éducation.
• Risque limité : obligations de transparence (chatbots, deepfakes).
• Risque minimal : code de conduite volontaire.

Depuis le 2 février 2026, toute entreprise développant un système de catégorisation biométrique doit réaliser une analyse d’impact obligatoire et notifier l’AI Office. L’absence de classification préalable expose à des amendes administratives.

2. Obligations des fournisseurs de systèmes à haut risque

2.1 Documentation technique et gestion des risques

Les articles 9 à 12 imposent un système de gestion des risques continu, une documentation technique détaillée (incluant les jeux de données d’entraînement, métriques de performance) et une journalisation automatique.

2.2 Supervision humaine et exactitude

Les fournisseurs doivent garantir une surveillance humaine effective (art. 14) et des niveaux de précision, de robustesse et de cybersécurité appropriés (art. 15).

En 2026, la conformité à la norme harmonisée EN 17078:2025 (sécurité des IA à haut risque) crée une présomption de conformité. Néanmoins, l’arrêt *C-621/25* a rappelé que cette présomption est réfutable en cas de biais avéré.

3. Transparence et IA générative

Depuis août 2025, les modèles d’IA à usage général (GPAI) doivent publier un résumé détaillé du contenu utilisé pour l’entraînement (art. 53). Les fournisseurs de modèles génératifs (ChatGPT, Midjourney, etc.) doivent étiqueter les sorties comme générées par IA, sauf exception technique.

Le règlement IA européen compliance guide 2026 insiste sur le respect de la directive 2019/790 (droit d’auteur) et l’obligation de mettre en place une politique de respect des droits voisins.

L’affaire *LeMonde AI c. OpenAI* (tribunal de Paris, 2026) a confirmé que l’exception de « text and data mining » ne s’applique pas aux contenus protégés sans opt-out explicite des titulaires.

4. Gouvernance, AI Office et autorités nationales

L’AI Office (basé à Bruxelles) coordonne l’application du règlement, tandis que chaque État membre désigne une autorité nationale de surveillance. En France, la CNIL et l’ANSSI partagent la compétence depuis le décret 2025-891.

Le comité européen de l’IA (art. 65) émet des avis contraignants sur les codes de pratique. Depuis 2026, les plates-formes de modèles fondateurs doivent désigner un mandataire établi dans l’UE.

Décision du comité du 12 mars 2026 : tout modèle GPAI dépassant 10^25 FLOPs d’entraînement est présumé systémique et soumis à des obligations renforcées d’évaluation.

5. Sanctions et contentieux 2026

Les amendes administratives peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial (pour infractions à l’article 5). Les PME bénéficient de plafonds réduits (2 % ou 15 millions).

La CJUE a rendu l’arrêt *Digital Rights c. AI Office* (C-452/25) : le règlement est conforme à la Charte des droits fondamentaux, mais les systèmes de catégorisation biométrique *a posteriori* doivent obtenir une autorisation judiciaire préalable.

• Amende pour non-respect de l’article 10 (données) : 3 % du CA.
• Amende pour défaut de transparence (art. 50) : 2 % du CA.
• Sanctions pénales possibles en cas de dommage grave (directive 2024/1023).

Tribunal de l’UE, 15 mai 2026, affaire T-128/26 : une entreprise de recrutement condamnée à 4,2 M€ pour avoir utilisé un système de scoring sans évaluation d’impact ni information des candidats.

6. Calendrier, mesures transitoires et checklist PME

Le 2 février 2026 marque la fin de la période transitoire pour la plupart des systèmes à haut risque. Les systèmes déjà mis sur le marché avant le 2 août 2025 bénéficient d’une dérogation jusqu’au 2 août 2027, sous réserve de modifications substantielles.

Checklist PME :

• ✔ Réaliser un inventaire de tous les systèmes IA utilisés ou développés.
• ✔ Classifier chaque système selon l’annexe III (version 2025).
• ✔ Mettre en place un registre de documentation technique (art. 11).
• ✔ Désigner un délégué à la conformité IA (art. 17 simplifié pour PME).
• ✔ Vérifier les accords avec les fournisseurs de modèles fondateurs.

La Commission a publié le 10 janvier 2026 un « AI Compliance Starter Kit » pour les TPE/PME, incluant des modèles de documentation et une calculateur de risque.

7. Jurisprudence récente & interprétations

Outre l’arrêt *Syrius AI c. CNIL* (2026) sur la portée de la surveillance humaine, la cour d’appel de Milan a jugé que l’utilisation d’un système de reconnaissance des émotions dans le cadre d’entretiens d’embauche constitue un risque inacceptable (art. 5.1.c).

Le tribunal de commerce de Bruxelles a suspendu un déploiement de chatbot médical non conforme à l’article 14 (supervision humaine).

Ces décisions confirment une interprétation extensive de la notion de « risque élevé » par les juges nationaux.

« Le règlement n’est pas un simple catalogue d’obligations formelles ; il impose une culture de la conformité continue. » — Conclusions de l’avocat général Rantos, affaire C-452/25.

8. Stratégie de conformité et audit interne

Une approche par risques est recommandée : cartographie des processus, analyse d’impact relative à la protection des données (AIPD) couplée à l’évaluation des risques IA (art. 27).

L’audit interne doit vérifier : (i) la traçabilité des décisions, (ii) la gestion des biais, (iii) la cybersécurité, (iv) la documentation des jeux de données. Le rapport d’audit doit être tenu à disposition de l’autorité nationale.

Les outils de conformité automatisée (GRC IA) se généralisent. Le règlement encourage l’utilisation de normes volontaires (ISO 42001, 2025).

Recommandation du comité européen : intégrer la conformité IA dans le système de management global, avec une revue de direction semestrielle.