Guide règlement IA · 11 min
Le règlement européen sur l'IA : niveaux de risque, calendrier et obligations des déployeurs (article 26)
Le règlement européen sur l'IA est la première loi complète au monde sur l'intelligence artificielle. Il classe les systèmes d'IA par niveau de risque et place la plupart des obligations lourdes sur les systèmes à haut risque, mais il impose aussi des obligations concrètes aux organisations qui utilisent l'IA, pas seulement à celles qui la construisent. Il est déjà en vigueur et s'applique par étapes jusqu'en 2027. Ce guide explique les niveaux de risque, les dates qui comptent, les obligations des déployeurs au titre de l'article 26, et ce que cela signifie quand vous achetez ou déployez de l'IA dans votre chaîne d'approvisionnement.
Vérifiez votre domaine maintenant
Voyez ce qui est publiquement visible sur la sécurité de votre organisation, sans inscription.
Cet aperçu instantané vérifie :
- HTTPS accessible
- HSTS activé
- Redirection HTTP → HTTPS
- SPF configuré
- DMARC appliqué
- Messagerie (MX) configurée
Le rapport complet ajoute les rançongiciels, le dark web, les certificats, les données d'entreprise et plus de 100 autres contrôles.
Points clés
- Le règlement IA (règlement (UE) 2024/1689) classe l'IA par risque : interdit, haut risque, limité (transparence) et minimal.
- Dates échelonnées : en vigueur le 1er août 2024 ; pratiques interdites à partir du 2 février 2025 ; IA à usage général à partir du 2 août 2025 ; haut risque et la plupart des obligations à partir du 2 août 2026.
- Si vous utilisez un système d'IA à haut risque, vous êtes un « déployeur » avec vos propres obligations au titre de l'article 26 (supervision humaine, surveillance, journaux et plus) même si le fournisseur porte l'essentiel des obligations côté conception.
Ce qu'est le règlement IA
Le règlement IA (règlement (UE) 2024/1689) est un règlement fondé sur le risque, de type produit, pour les systèmes d'IA mis sur le marché de l'UE ou dont les résultats sont utilisés dans l'UE. Étant un règlement, il s'applique directement dans tous les États membres. Il répartit les obligations le long de la chaîne de valeur : principalement aux fournisseurs (qui développent l'IA) et aux déployeurs (qui l'utilisent sous leur propre autorité), avec des rôles plus légers pour les importateurs et distributeurs.
Plutôt que de réglementer « l'IA » de façon uniforme, il trie les systèmes en niveaux de risque et module les obligations en conséquence : une poignée de pratiques sont purement interdites, un ensemble défini d'usages à haut risque portent des exigences lourdes, certains systèmes n'exigent que de la transparence, et la grande majorité (l'IA à risque minimal) n'en porte pratiquement aucune.
Où sont les obligations
Pratiques interdites (prohibées), systèmes à haut risque (les obligations lourdes : p. ex. IA utilisée dans l'emploi, le crédit, les infrastructures critiques ou la biométrie) et systèmes à risque limité exigeant de la transparence (p. ex. indiquer aux utilisateurs qu'ils interagissent avec une IA ou qu'un contenu est généré par IA).
Risque minimal (la plupart des IA)
La grande majorité des systèmes d'IA (filtres anti-spam, moteurs de recommandation, la plupart des outils de productivité) relèvent du risque minimal et ne portent aucune obligation spécifique au titre du règlement, au-delà de codes volontaires et d'une attente générale de maîtrise de l'IA.
Le calendrier
Le règlement s'applique par étapes. Les dates qui structurent la planification :
Entré en vigueur. Le compte à rebours commence ; les obligations entrent en vigueur par étapes à partir d'ici.
Les pratiques interdites s'appliquent : l'IA à « risque inacceptable » (p. ex. notation sociale, certains usages manipulateurs ou de catégorisation biométrique) est prohibée. Les obligations de maîtrise de l'IA commencent aussi.
Les obligations pour les modèles d'IA à usage général (GPAI) commencent, de même que les structures de gouvernance et les autorités nationales compétentes.
L'événement principal : les obligations pour les systèmes à haut risque (y compris les obligations des déployeurs au titre de l'article 26) s'appliquent.
Échéance prolongée pour l'IA à haut risque qui est un composant de sécurité de produits déjà régis par d'autres textes de l'UE (annexe I).
Ce que les déployeurs doivent faire (article 26)
Si vous utilisez un système d'IA à haut risque sous votre propre autorité, l'article 26 vous impose des obligations opérationnelles. En résumé, un déployeur doit :
- Utiliser le système conformément à la notice d'utilisation du fournisseur.
- Confier la supervision humaine à des personnes compétentes, formées et dotées des ressources nécessaires, capables d'intervenir ou de neutraliser son fonctionnement.
- Surveiller le fonctionnement du système, et suspendre l'utilisation et informer le fournisseur et les autorités lorsqu'il présente un risque ou qu'un incident grave survient.
- Conserver les journaux générés automatiquement pendant une durée appropriée : au moins six mois, sauf si une autre loi exige davantage.
- Veiller à ce que les données d'entrée soient pertinentes et suffisamment représentatives au regard de la finalité, dans la mesure où vous les contrôlez.
- Informer les travailleurs et leurs représentants avant de mettre en service un système à haut risque sur le lieu de travail, et informer les personnes soumises à ses décisions.
- Réaliser une analyse d'impact sur les droits fondamentaux lorsque requis (art. 27), et coopérer avec les autorités compétentes.
Voyez votre score réel et celui de vos fournisseurs
7 jours gratuits · sans carte bancaire · annulez à tout moment
Comment il s'articule avec NIS2 et le RGPD
Le règlement IA ne remplace pas vos autres obligations. Il s'y ajoute. Un système d'IA qui traite des données personnelles reste régi par le RGPD (et peut nécessiter une analyse d'impact relative à la protection des données en plus de celle sur les droits fondamentaux prévue par le règlement IA). Un système d'IA intégré à l'exploitation de vos services essentiels relève toujours des obligations de sécurité et de notification de NIS2. Les trois se recoupent au lieu de se substituer.
Pour les achats, cette convergence est le point pratique. Lorsque vous intégrez un système d'IA dans votre chaîne d'approvisionnement, vous héritez des obligations de déployeur (art. 26) et devez connaître la posture de conformité du fournisseur : conformité, notice d'utilisation, journalisation, classe de risque du système. C'est la même diligence fournisseurs que NIS2 vous demande déjà de bâtir, orientée vers l'IA.
La classification des systèmes d'IA (en particulier la frontière du haut risque et les règles GPAI) est détaillée et propre à chaque cas, et des actes d'exécution et des normes arrivent encore. Confirmez la classe d'un système donné et votre rôle avec un conseil qualifié et le texte officiel.
Ce que cela signifie pour vous
Vos obligations dépendent de votre rôle vis-à-vis du système :
Un fournisseur (vous développez ou modifiez substantiellement un système d'IA)
Vous portez les obligations côté conception : gestion des risques, gouvernance des données, documentation technique, évaluation de la conformité et marquage CE pour les systèmes à haut risque. Largement à partir du 2 août 2026.
Un déployeur (vous utilisez l'IA sous votre propre autorité)
L'article 26 s'applique aux systèmes à haut risque : supervision humaine, surveillance, journaux, information des travailleurs et analyse d'impact sur les droits fondamentaux lorsque requise. Construisez-le dès maintenant pour l'échéance du 2 août 2026.
Un importateur ou distributeur
Vous ne pouvez mettre à disposition que des systèmes à haut risque conformes, devez vérifier la conformité et le marquage CE du fournisseur, et devez agir lorsque vous apprenez qu'un système n'est pas conforme.
Un acheteur qui acquiert de l'IA pour sa chaîne d'approvisionnement
Vous êtes généralement le déployeur. Exigez la notice du fournisseur, la classe de risque, le statut de conformité et la capacité de journalisation, et traitez les fournisseurs d'IA dans le cadre de votre diligence fournisseurs NIS2.
Sources : Règlement (UE) 2024/1689 (règlement IA) et les pages de la Commission européenne sur le règlement IA. Dates, niveaux et rôles reflètent le règlement publié ; confirmez la classification d'un système donné avec un conseil qualifié.
Comment norppa.io aide
norppa.io ne rendra pas un système d'IA conforme au règlement IA (c'est le rôle du fournisseur et du déployeur) mais il vous donne une visibilité sur l'exposition à l'IA dans votre chaîne d'approvisionnement, là où commence la diligence du déployeur. Son analyse fait ressortir les points d'accès de services d'IA, les API de modèles et d'inférence exposées et les interfaces liées à l'IA (y compris les points d'accès Model Context Protocol) sur la surface d'attaque de vos fournisseurs.
Les questionnaires d'auto-évaluation captent ce qu'aucune analyse externe ne voit (quels systèmes d'IA un fournisseur déploie, leur classe de risque, leur statut de conformité et les dispositifs de supervision humaine) et chaque réponse est confrontée au profil technique en direct, prête pour votre dossier fournisseur. C'est la même approche continue et étayée qu'attend NIS2, étendue à l'IA qu'exploitent vos fournisseurs.