Guide de conformité au règlement européen sur l'IA pour les entreprises non européennes : obligations, classification des risques et régime de sanctions

Le règlement (UE) 2024/1689 — le règlement européen sur l'intelligence artificielle — est entré en vigueur le 1er août 2024 et s'applique depuis lors de manière progressive. Le 2 février 2025, l'interdiction des pratiques d'IA présentant un risque inacceptable est devenue exécutoire. Le 2 août 2025, le cadre régissant les modèles d'IA à usage général (GPAI) et l'architecture institutionnelle du Bureau de l'IA de l'UE sont devenus opérationnels. Les obligations applicables aux systèmes d'IA à haut risque visés à l'annexe III ont pris effet à compter du 2 août 2026. Le directeur juridique ou le responsable de la conformité de toute organisation qui développe, déploie ou commercialise des produits d'IA sur les marchés de l'UE ne peut plus traiter le règlement IA comme une réglementation future. Il s'agit d'un droit en vigueur doté de mécanismes d'application actifs.

La caractéristique architecturale la plus significative du règlement IA — et la moins bien comprise par les entreprises non européennes — est sa portée extraterritoriale. Contrairement à la première génération de réglementation européenne sur les produits, qui produisait un effet extraterritorial principalement par le biais de conditions d'accès au marché, le règlement IA impose expressément des obligations aux entités établies en dehors de l'Union européenne. Le présent article propose une analyse à destination des praticiens de ces obligations, du système de classification des risques qui en détermine le champ d'application, des postures de conformité distinctes exigées des fournisseurs par rapport aux déployeurs, de la procédure d'évaluation de conformité, et des mécanismes d'application désormais opérationnels au sein du Bureau de l'IA de l'UE.

Portée extraterritoriale : qui est concerné et comment

Le champ d'application géographique du règlement IA est défini à l'article 2, paragraphe 1, qui établit quatre critères de compétence distincts. Le règlement s'applique :

(a) aux fournisseurs qui mettent sur le marché de l'UE ou mettent en service des systèmes d'IA dans l'UE, que ces fournisseurs soient ou non établis dans l'UE ;

(b) aux fournisseurs et aux déployeurs de systèmes d'IA établis dans l'UE ;

(c) aux fournisseurs de systèmes d'IA établis dans un pays tiers lorsque les résultats produits par le système sont utilisés dans l'UE ; et

(d) aux déployeurs de systèmes d'IA établis dans un pays tiers lorsque les résultats produits par le système sont utilisés dans l'UE.

La conséquence concrète est identique pour une société technologique américaine proposant une plateforme de sélection du personnel pilotée par l'IA, un fabricant japonais commercialisant un système de contrôle qualité par vision artificielle ou une fintech canadienne fournissant des décisions de crédit par IA à des prêteurs européens : dès lors que les résultats du système d'IA sont utilisés dans l'UE, la société entre dans le périmètre réglementaire du règlement IA — indépendamment de son lieu de constitution, de la localisation de ses serveurs ou de l'absence de tout établissement dans l'UE.

Cette architecture ne reproduit pas simplement l'approche de « ciblage » de l'article 3, paragraphe 2, du RGPD. Elle est à certains égards plus large : le règlement IA ne requiert pas un ciblage actif des utilisateurs de l'UE. Le critère décisif est l'utilisation des résultats dans l'UE. Un système développé et exploité entièrement dans un pays tiers, vendu à une entreprise établie dans l'UE et dont les résultats sont consommés par des employés ou des clients résidant dans l'UE, déclenche les dispositions extraterritoriales même si le fournisseur non européen n'a jamais considéré l'UE comme marché principal.

Le cadre de l'article 2 impose également des obligations aux importateurs (article 23) — les entités établies dans l'UE qui mettent sur le marché de l'UE des systèmes d'IA portant le nom ou la marque d'une entité établie en dehors de l'UE — et aux distributeurs (article 24). Pour les fournisseurs non européens, l'importateur assume une part significative des obligations de conformité qui incomberaient sinon au fournisseur, notamment en vérifiant que le fournisseur a réalisé l'évaluation de conformité requise, que le système d'IA porte le marquage CE lorsque cela est exigé, et que la documentation technique requise par l'article 11 est disponible. Il en résulte une dépendance en matière de conformité dans la chaîne d'approvisionnement : les fournisseurs non européens qui souhaitent maintenir la viabilité de leurs partenaires importateurs dans l'UE doivent fournir des systèmes et une documentation conformes.

Le règlement IA prévoit une exemption limitée à l'article 2, paragraphe 2, pour les systèmes d'IA mis sur le marché, mis en service ou utilisés exclusivement à des fins militaires, de sécurité nationale ou de défense. Les activités de recherche scientifique et de développement font également l'objet d'une exclusion en vertu de l'article 2, paragraphe 6, sous certaines conditions. Ces exclusions sont strictes et nécessitent une démonstration positive — elles ne s'appliquent pas par défaut aux systèmes d'IA à double usage présentant des applications civiles et militaires.

Classification fondée sur les risques : l'architecture des obligations

Les obligations de conformité au titre du règlement IA ne sont pas uniformes. Elles sont calibrées en fonction d'une classification des risques à quatre niveaux qui détermine quelles obligations s'appliquent, avec quelle intensité et avec quelles conséquences en matière de sanctions. La classification est déterminée par l'usage prévu du système et le cas d'usage dans lequel il est déployé — et non par la technologie elle-même ni par la description commerciale.

Le cadre de classification des risques

Annexe III : les cas d'usage qui concernent la plupart des entreprises non européennes

La liste de l'annexe III est le point focal pratique pour la plupart des sociétés technologiques non européennes. Elle couvre huit domaines, dans chacun desquels des cas d'usage spécifiques sont désignés comme à haut risque :

1. Identification et catégorisation biométriques — les systèmes d'IA destinés à l'identification biométrique à distance de personnes physiques, à l'exception de la vérification dans laquelle une personne physique confirme son identité. Cela englobe les systèmes de reconnaissance faciale utilisés pour l'enrôlement des clients, la vérification d'identité dans les services financiers et le contrôle d'accès.

2. Infrastructures critiques — les systèmes d'IA destinés à fonctionner comme composants de sécurité dans la gestion ou l'exploitation d'infrastructures numériques critiques, de la circulation routière et des systèmes d'énergie, d'eau, de gaz et de chauffage. Les fournisseurs de services cloud proposant des services d'infrastructure gérée par IA aux opérateurs de services essentiels de l'UE entrent dans cette catégorie.

3. Éducation et formation professionnelle — les systèmes d'IA utilisés pour déterminer l'accès ou l'affectation à des établissements d'enseignement, évaluer les acquis de l'apprentissage et surveiller les étudiants lors des examens. Les entreprises d'EdTech ayant des clients institutionnels dans l'UE doivent classer leur IA d'évaluation et de surveillance des examens comme à haut risque.

4. Emploi, gestion des travailleurs et accès au travail indépendant — les systèmes d'IA utilisés pour le recrutement et la sélection, l'évaluation des performances et du comportement, les décisions de promotion et l'attribution de tâches fondées sur le comportement ou les traits de personnalité individuels. Les plateformes d'IA RH — systèmes de suivi des candidats avec notation par IA, outils de gestion des performances, IA de planification des effectifs — entrent directement dans le champ d'application. C'est la catégorie qui suscite le plus grand intérêt des autorités d'application en 2025–2026.

5. Accès aux services privés essentiels et aux prestations — les systèmes d'IA utilisés par les établissements de crédit, les entreprises d'assurance et les autorités responsables des prestations publiques pour évaluer la solvabilité, évaluer le risque assurantiel et déterminer l'accès aux prestations sociales et aux services d'urgence. La notation de crédit par IA est l'application commercialement la plus significative dans cette catégorie.

6. Répression — l'IA utilisée pour les évaluations de risque individuelles, les polygraphes, l'évaluation de la fiabilité des preuves, l'évaluation du risque de récidive et le profilage criminel. Limitée aux autorités publiques dans la plupart des États membres, mais les fournisseurs de tels systèmes aux services répressifs de l'UE supportent les obligations du fournisseur.

7. Gestion de la migration, de l'asile et du contrôle aux frontières — l'IA utilisée pour le traitement des demandes de migration, l'évaluation des menaces pour la sécurité ou la santé, la prise de décision automatisée dans le traitement des visas et la surveillance aux frontières de l'UE.

8. Administration de la justice et processus démocratiques — l'IA utilisée pour assister les tribunaux, appliquer le droit aux faits et influencer les résultats électoraux. Les outils de recherche juridique alimentés par l'IA déployés par les tribunaux de l'UE ou dans les procédures judiciaires de l'UE entrent dans le champ d'application.

Obligations des fournisseurs par rapport aux déployeurs : une distinction structurelle

Le règlement IA instaure une distinction réglementaire fondamentale entre les fournisseurs — les entités qui développent un système d'IA et le mettent sur le marché ou le mettent en service — et les déployeurs — les entités qui utilisent un système d'IA sous leur propre responsabilité à des fins professionnelles. Pour les entreprises non européennes, il est essentiel de comprendre quel rôle s'applique dans chaque configuration de la chaîne d'approvisionnement, car la charge de conformité est substantiellement asymétrique.

Obligations du fournisseur (articles 8 à 25)

Les fournisseurs de systèmes d'IA à haut risque supportent les obligations principales et les plus exigeantes au titre du règlement IA. Pour les fournisseurs non européens, ces obligations se rattachent en vertu de l'article 2, paragraphe 1, points a) et c), et ne peuvent pas être transférées contractuellement aux déployeurs établis dans l'UE (bien que les importateurs partagent certaines obligations en vertu de l'article 23).

Les principales obligations du fournisseur sont :

Système de gestion des risques (article 9) : Un processus de gestion des risques continu et itératif qui identifie les risques raisonnablement prévisibles pour la santé, la sécurité et les droits fondamentaux, estime et évalue ces risques, adopte des mesures d'atténuation des risques et documente les risques résiduels. Il ne s'agit pas d'une évaluation ponctuelle des risques, mais d'un système opérationnel qui doit rester à jour tout au long du cycle de vie du système d'IA.

Données et gouvernance des données (article 10) : Les systèmes d'IA à haut risque qui utilisent des données d'entraînement doivent être entraînés, validés et testés à l'aide de données satisfaisant à des critères de qualité liés à la pertinence, la représentativité, l'absence d'erreurs et l'exhaustivité. Les exigences de gouvernance des données du règlement IA créent des obligations expresses d'examiner les données d'entraînement pour détecter les biais potentiels. Pour les systèmes d'IA entraînés sur des jeux de données comprenant des données personnelles de résidents de l'UE, l'intersection avec les exigences d'AIPD en vertu de l'article 35 du RGPD nécessite un cadre de conformité coordonné.

Documentation technique (article 11 et annexe IV) : Les fournisseurs doivent préparer et maintenir la documentation technique avant de mettre un système d'IA à haut risque sur le marché. L'annexe IV précise le contenu obligatoire : description du système et usage prévu ; éléments et architecture ; processus de développement et méthodologies d'entraînement ; métriques de performance et seuils ; risques connus ; mesures de précision, robustesse et cybersécurité ; plan de surveillance post-commercialisation. Pour les fournisseurs non européens fournissant des importateurs dans l'UE, cette documentation doit être mise à la disposition des autorités nationales de surveillance du marché et du Bureau de l'IA de l'UE sur demande.

Enregistrement automatique (article 12) : Les systèmes d'IA à haut risque doivent être conçus pour générer automatiquement des journaux de leur fonctionnement — enregistrant au minimum la période de chaque utilisation, les données d'entrée et toute décision produite — dans la mesure où cela est techniquement faisable. Ces journaux constituent la principale piste d'audit pour la surveillance post-déploiement et les enquêtes menées par les autorités d'application.

Transparence et information des déployeurs (article 13) : Les systèmes d'IA à haut risque doivent être conçus de façon à ce que leur fonctionnement soit suffisamment transparent pour permettre aux déployeurs d'interpréter les résultats du système et de les utiliser de manière appropriée. Les instructions d'utilisation — qui doivent accompagner chaque système d'IA à haut risque — doivent contenir des informations spécifiques sur l'usage prévu du système, le niveau de performance, les scénarios de mauvaise utilisation prévisibles, les mesures techniques disponibles pour les déployeurs et les mesures de surveillance humaine requises.

Surveillance humaine (article 14) : Les systèmes d'IA à haut risque doivent être conçus pour permettre une surveillance humaine effective par des personnes physiques pendant la période d'utilisation. Il s'agit d'une exigence de conception avec un contenu substantif : le système doit être conçu pour permettre à la personne responsable de la surveillance de comprendre les capacités et les limites du système, de détecter les anomalies et les dysfonctionnements, et d'intervenir pour contourner, interrompre ou arrêter le système. L'exigence de surveillance humaine au titre du règlement IA se recoupe avec, sans toutefois être identique à, l'exigence d'intervention humaine dans la prise de décision automatisée prévue à l'article 22, paragraphe 3, du RGPD — les deux doivent être satisfaites simultanément pour les systèmes d'IA qui produisent des effets juridiques ou d'effet similaire sur des personnes physiques.

Précision, robustesse et cybersécurité (article 15) : Les systèmes d'IA à haut risque doivent atteindre des niveaux appropriés de précision, de robustesse et de cybersécurité tout au long de leur cycle de vie. Les métriques et seuils de précision doivent être déclarés dans la documentation technique. Le règlement IA exige que les systèmes maintiennent des performances cohérentes face aux variations prévisibles des données d'entrée et soient résilients face aux attaques adversariales.

Système de management de la qualité (article 17) : Les fournisseurs doivent mettre en œuvre un système de management de la qualité couvrant l'intégralité du cycle de vie de leurs systèmes d'IA à haut risque : développement, essais, évaluation de conformité, surveillance post-commercialisation et gestion des non-conformités. Le SMQ doit être proportionné à la taille et à la nature du fournisseur ; pour les fournisseurs de plusieurs systèmes d'IA à haut risque, le règlement IA encourage un cadre SMQ unifié.

Évaluation de conformité (article 43) : Avant qu'un système d'IA à haut risque puisse être mis sur le marché de l'UE ou mis en service, le fournisseur doit réaliser une évaluation de conformité démontrant que le système satisfait aux exigences des articles 8 à 15. Pour la plupart des systèmes relevant de l'annexe III, il s'agit d'une évaluation de conformité interne fondée sur les propres procédures du fournisseur ; l'évaluation par un tiers via un organisme notifié est obligatoire pour les systèmes d'identification biométrique (avec des exceptions limitées) et les systèmes d'IA constituant des composants de sécurité de produits réglementés au titre de la législation de l'annexe I. À l'issue de cette procédure, le fournisseur doit établir une déclaration UE de conformité en vertu de l'article 47 et apposer le marquage CE en vertu de l'article 48.

Enregistrement dans la base de données IA de l'UE (article 49) : Les fournisseurs de systèmes d'IA à haut risque listés à l'annexe III doivent enregistrer le système dans la base de données publique IA gérée par l'UE avant de le mettre sur le marché. La base de données consigne l'usage prévu du système, les métriques de précision et de performance, la procédure d'évaluation de conformité utilisée et le plan de surveillance post-commercialisation.

Obligations du déployeur (article 26)

Les déployeurs de systèmes d'IA à haut risque supportent un ensemble d'obligations matériellement moins lourd, mais non négligeable. Pour les entreprises non européennes qui déploient — plutôt que développent — des systèmes d'IA à des fins professionnelles orientées vers l'UE, l'article 26 définit le plancher de conformité :

• Utiliser le système d'IA conformément aux instructions d'utilisation fournies par le fournisseur (article 26, paragraphe 1).
• Veiller à ce que les personnes physiques responsables de la surveillance humaine possèdent les compétences, la formation et l'autorité nécessaires pour exercer efficacement cette surveillance (article 26, paragraphe 2).
• Surveiller le fonctionnement du système d'IA sur la base des instructions d'utilisation et signaler les incidents graves au fournisseur et à l'autorité nationale compétente concernée (article 26, paragraphe 5).
• Réaliser une évaluation de l'impact sur les droits fondamentaux (EIDF) avant de déployer un système d'IA à haut risque dans des cas d'usage liés à la répression, à la migration, à l'administration de la justice, aux services privés essentiels et à l'emploi (article 27, applicable aux organismes régis par le droit public et à certains déployeurs privés).
• Informer les représentants des travailleurs et les travailleurs concernés avant de déployer des systèmes d'IA dans le contexte de l'emploi et de la gestion des travailleurs (article 26, paragraphe 7).

L'obligation du déployeur de signaler les incidents graves crée une dépendance importante dans la chaîne d'approvisionnement : les déployeurs non européens doivent maintenir la capacité opérationnelle d'identifier, d'évaluer et de signaler les incidents impliquant des utilisateurs résidant dans l'UE ou des opérations orientées vers l'UE dans les délais spécifiés par les autorités nationales compétentes des États membres dans lesquels l'incident est signalé.

Quand la frontière fournisseur/déployeur se déplace

Le règlement IA contient une disposition critique — l'article 25, paragraphe 1 — en vertu de laquelle un déployeur devient un fournisseur à des fins réglementaires lorsqu'il :

• met sur le marché un système d'IA à haut risque sous son propre nom ou sa propre marque ;
• modifie un système d'IA à haut risque existant de manière suffisamment substantielle pour en changer l'usage prévu ; ou
• modifie un système d'IA non classifié à haut risque de sorte qu'il devienne à haut risque.

Pour les entreprises non européennes qui commercialisent des systèmes d'IA en marque blanche, qui affinent des modèles de fondation sur des données propriétaires pour des cas d'usage spécifiques orientés vers l'UE, ou qui intègrent des composants d'IA dans des produits commercialisés sous leur propre marque dans l'UE, l'article 25, paragraphe 1, constitue un piège de reclassification. L'analyse des obligations ne suit pas la structure juridique de la chaîne d'approvisionnement — elle suit la question de savoir qui façonne substantiellement le système d'IA qui atteint le marché de l'UE.

Évaluations de conformité : processus et implications pratiques

La procédure d'évaluation de conformité est la pièce maîtresse de l'architecture de conformité du règlement IA. Son objectif est d'établir, avant le déploiement, qu'un système d'IA à haut risque satisfait aux exigences substantielles des articles 8 à 15. La procédure diffère matériellement selon que le système d'IA relève de l'annexe I ou de l'annexe III.

Systèmes relevant de l'annexe III (la majorité des IA commerciales) : La procédure d'évaluation de conformité par défaut est interne — le fournisseur réalise l'évaluation selon ses propres procédures documentées. La base juridique est l'article 43, paragraphe 2, et l'annexe VI. Le fournisseur doit : examiner la documentation technique au regard de chaque exigence des articles 8 à 15 ; documenter la méthodologie et le résultat de l'évaluation ; établir la déclaration UE de conformité listant les exigences applicables et attestant la conformité ; et conserver la documentation technique ainsi que les dossiers d'évaluation de conformité pendant dix ans à compter de la mise sur le marché.

L'exception à la procédure d'évaluation interne par défaut s'applique aux systèmes d'IA utilisés pour l'identification biométrique de personnes physiques. En vertu de l'article 43, paragraphe 1, et de l'annexe VII, ces systèmes sont soumis à une évaluation de conformité par un organisme notifié accrédité. Les organismes notifiés aux fins du règlement IA sont des organismes d'accréditation de niveau national désignés en vertu du règlement (CE) n° 765/2008. La Commission européenne tient à jour la base de données NANDO des organismes notifiés ; début 2026, l'infrastructure des organismes notifiés aux fins du règlement IA est encore en cours de constitution au niveau national.

Systèmes relevant de l'annexe I (IA en tant que composant de sécurité) : Ces systèmes d'IA sont soumis aux procédures d'évaluation de conformité prescrites par la législation sur la sécurité des produits au titre de laquelle le produit réglementé est certifié. Pour un dispositif médical incorporant un composant diagnostique d'IA, l'évaluation de conformité suit les procédures de l'annexe IX ou de l'annexe X du règlement relatif aux dispositifs médicaux (règlement (UE) 2017/745). Les exigences du règlement IA sont incorporées dans l'évaluation de conformité sectorielle existante au travers des exigences générales en matière de sécurité et de performance.

Modification substantielle : Lorsqu'un fournisseur modifie un système d'IA à haut risque de manière à constituer une « modification substantielle » au sens de l'article 83, paragraphe 5 — une modification affectant l'usage prévu ou les performances du système de façon à compromettre la conformité — l'évaluation de conformité doit être répétée pour le système modifié. Cela a des implications importantes pour les systèmes d'IA mis à jour par apprentissage continu, affinage ou ré-entraînement : chaque cycle de mise à jour doit être évalué au regard du seuil de modification substantielle.

Pour les fournisseurs non européens sans personnel dans l'UE, les défis pratiques liés à la gestion des évaluations de conformité, au maintien de la documentation technique dans des formats accessibles dans l'UE et à la réponse aux demandes d'informations des autorités nationales ont conduit la plupart des conseillers en conformité à recommander la désignation d'un mandataire autorisé dans l'UE en vertu de l'article 22. Cette entité — qui doit être établie dans l'UE, mandatée par écrit et enregistrée dans la base de données IA de l'UE aux côtés du système — agit comme point de contact légal pour les autorités nationales compétentes et le Bureau de l'IA de l'UE, et supporte une responsabilité résiduelle en matière de conformité lorsque le fournisseur ne prend pas les mesures nécessaires.

Pratiques interdites : les lignes rouges en vigueur depuis février 2025

L'article 5 du règlement IA établit une liste de pratiques d'IA qui sont absolument interdites — non pas à haut risque sous conditions, mais interdites sans exception. Ces dispositions sont en vigueur depuis le 2 février 2025, ce qui en fait les obligations les plus immédiatement pertinentes pour toute entreprise disposant de déploiements d'IA actifs en contact avec le marché de l'UE.

Les pratiques interdites sont :

Manipulation subliminale (article 5, paragraphe 1, point a)) : Les systèmes d'IA qui emploient des techniques subliminales échappant à la conscience d'une personne, ou des techniques manifestement manipulatrices ou trompeuses, de manière à altérer matériellement le comportement d'une façon qui cause un préjudice. Cette interdiction va au-delà des seules techniques subliminales pour englober l'architecture de persuasion pilotée par l'IA qui est trompeuse ou qui exploite des vulnérabilités psychologiques.

Exploitation des vulnérabilités (article 5, paragraphe 1, point b)) : Les systèmes d'IA qui exploitent les vulnérabilités de groupes spécifiques — personnes handicapées, enfants, personnes âgées — de manière à altérer leur comportement d'une façon qui cause un préjudice. Cette disposition est directement pertinente pour les systèmes d'IA déployés dans les réseaux sociaux, les jeux vidéo, la finance aux particuliers et la santé numérique qui utilisent des techniques de personnalisation et de nudge comportemental ciblant les utilisateurs de ces catégories.

Notation sociale (article 5, paragraphe 1, point c)) : Les systèmes d'IA utilisés par les autorités publiques ou en leur nom pour évaluer ou classifier des personnes physiques sur une période donnée sur la base de leur comportement social ou de leurs caractéristiques personnelles ou de personnalité connues, inférées ou prédites, de manière à conduire à un traitement préjudiciable sans rapport avec le contexte dans lequel les données ont été générées. Cette interdiction vise les systèmes gouvernementaux de notation sociale qui suscitent des préoccupations dans le discours international sur les droits de l'homme, mais son champ d'application atteint les acteurs privés opérant sous délégation d'autorité publique.

Identification biométrique à distance en temps réel (RTRBI) dans les espaces publics (article 5, paragraphe 1, point d)) : C'est l'interdiction la plus susceptible d'affecter les déploiements commerciaux de technologie. Les systèmes d'IA utilisés pour l'identification biométrique à distance en temps réel — principalement la reconnaissance faciale — dans des espaces accessibles au public à des fins répressives sont interdits, sous réserve de trois exceptions étroites : la recherche de personnes disparues spécifiques et de victimes de la traite ; la prévention de menaces spécifiques, substantielles et imminentes pour des vies humaines ; et l'identification des auteurs d'infractions pénales graves. En dehors de ces exceptions répressives, la RTRBI dans les espaces publics est interdite. Les déploiements commerciaux de reconnaissance faciale dans les commerces de détail en accès public, les hubs de transport ou les lieux de divertissement entrent pleinement dans cette interdiction.

Prédiction policière fondée uniquement sur le profilage (article 5, paragraphe 1, point e)) : Les systèmes d'IA utilisés par les autorités répressives pour réaliser des évaluations de risque individuelles dans le seul but de prédire la probabilité qu'une personne commette une infraction sur la base du profilage ou de l'évaluation de ses traits de personnalité.

Collecte non ciblée de données pour les bases de données de reconnaissance faciale (article 5, paragraphe 1, point f)) : Les systèmes d'IA qui créent ou complètent des bases de données de reconnaissance faciale par le biais d'un scraping non ciblé à partir d'internet ou de vidéosurveillance. Cette disposition vise directement le modèle de Clearview AI consistant à constituer des bases de données biométriques à partir d'images aspirées.

Reconnaissance des émotions sur le lieu de travail et dans l'éducation (article 5, paragraphe 1, point g)) : Les systèmes d'IA utilisés pour inférer les émotions de personnes physiques dans les contextes du lieu de travail et des établissements d'enseignement. Cette interdiction couvre les outils de surveillance de l'engagement pilotés par l'IA qui infèrent des états émotionnels à partir d'expressions faciales, de modèles vocaux ou de signaux physiologiques dans des contextes professionnels ou éducatifs.

Catégorisation biométrique par attributs sensibles (article 5, paragraphe 1, point h)) : Les systèmes d'IA qui catégorisent individuellement des personnes physiques sur la base de données biométriques pour inférer ou déduire la race, les opinions politiques, l'appartenance syndicale, les croyances religieuses ou philosophiques, la vie sexuelle ou l'orientation sexuelle. Cette interdiction s'applique aux systèmes d'IA qui utilisent l'analyse faciale ou d'autres signaux biométriques pour inférer ces attributs — y compris les systèmes d'IA qui utilisent ces inférences comme signaux marketing.

Tout système d'IA qui entre dans l'une de ces interdictions doit être immédiatement retiré du marché de l'UE et du service orienté vers l'UE, indépendamment de la date à laquelle il a été développé ou des conditions selon lesquelles il a été fourni aux clients de l'UE. Les examens de conformité qui identifient une pratique interdite doivent conduire à une suspension opérationnelle immédiate — et non à un calendrier de remédiation.

Application par le Bureau de l'IA de l'UE : l'architecture institutionnelle

Le Bureau de l'IA de l'UE — institué au sein de la Commission européenne par la décision de la Commission (UE) 2024/1143 — est l'autorité centrale d'application pour les obligations des modèles GPAI et le coordinateur de l'écosystème plus large d'application du règlement IA. Son rôle en ce qui concerne les systèmes d'IA à haut risque est principalement de supervision des autorités nationales plutôt que d'application directe, mais pour les fournisseurs de modèles GPAI, le Bureau de l'IA est le régulateur principal.

Autorités de surveillance du marché (ASM) : Pour les systèmes d'IA à haut risque, l'application principale relève des autorités nationales de surveillance du marché désignées par chaque État membre en vertu de l'article 74. Les États membres avaient jusqu'au 2 août 2025 pour désigner leurs ASM. La plupart des grandes économies de l'UE ont désigné les régulateurs existants : en Allemagne, la Bundesnetzagentur et les autorités sectorielles spécifiques ; en France, la CNIL et l'Autorité de la concurrence partagent les fonctions d'ASM avec la structure DNUM (Direction du numérique) nouvellement désignée ; en Irlande, la fonction d'ASM irlandaise est répartie entre ComReg et la désignation spécifique à l'IA dans le cadre du DCCAE ; en Espagne, l'AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) a été créée spécifiquement pour l'application du règlement IA et est opérationnelle depuis fin 2024.

Pouvoirs d'enquête (article 74 et suivants) : Les ASM nationales disposent de larges pouvoirs d'enquête : accès aux systèmes d'IA, aux données d'entraînement, à la documentation et au code source (sous réserve de garanties de confidentialité) ; pouvoir d'exiger des tests des systèmes d'IA et l'inspection des jeux de données sous-jacents ; pouvoir d'imposer des mesures correctives ; et pouvoir d'infliger des amendes administratives.

Sanctions (article 99) : La structure de sanctions du règlement IA est progressive :

• Violation des interdictions de l'article 5 : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
• Violation des obligations applicables aux fournisseurs, importateurs, distributeurs et déployeurs de systèmes d'IA à haut risque en vertu des articles 8 à 15, 25 à 27, et des exigences d'enregistrement et de documentation : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
• Fourniture d'informations incorrectes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités compétentes : jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Pour les PME et les startups, les amendes sont plafonnées au plus bas des plafonds absolus ou en pourcentage. Pour les grandes multinationales technologiques, le plafond en pourcentage sera généralement applicable — et 7 % du chiffre d'affaires annuel mondial représente une sanction plus importante que la plus lourde amende au titre du RGPD dans l'histoire pour toute entreprise dépassant environ 17 milliards d'euros de chiffre d'affaires annuel.

Le Bureau de l'IA dispose d'une compétence d'application supplémentaire sur les fournisseurs de modèles GPAI en vertu des articles 88 à 94, notamment le pouvoir de réaliser des évaluations de modèles, d'émettre des mesures correctives contraignantes et d'infliger des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial pour non-respect des obligations GPAI.

Recommandations pratiques pour les juristes d'entreprise

1. Procédez immédiatement à un inventaire de vos systèmes d'IA au regard des interdictions de l'article 5 — et pas seulement de la classification à haut risque.

Les pratiques interdites sont exécutoires depuis le 2 février 2025. Tout système d'IA de votre portefeuille qui touche des utilisateurs de l'UE doit être examiné au regard de chacune des huit interdictions de l'article 5 avant de rester en exploitation. Une attention particulière doit être portée aux : outils de reconnaissance des émotions utilisés dans les RH ou dans des contextes orientés client ; systèmes de reconnaissance faciale ou de catégorisation biométrique utilisés dans des commerces de détail en accès public, des hubs de transport ou des lieux de divertissement de l'UE ; et systèmes d'IA utilisant des techniques de design persuasif ciblant des groupes vulnérables. Constituez une équipe interfonctionnelle (juridique, technologie, produit) pour réaliser l'évaluation — l'analyse juridique dépend de la compréhension de ce que le système d'IA fait réellement sur le plan technique, et non de ce que dit sa description commerciale.

2. Cartographiez votre chaîne d'approvisionnement en IA pour déterminer si vous êtes fournisseur, déployeur ou les deux dans chaque contexte orienté vers l'UE.

L'ensemble des obligations réglementaires diffère matériellement entre fournisseurs et déployeurs, et il évolue lorsque les critères de reclassification de l'article 25, paragraphe 1, s'appliquent. Pour chaque système d'IA que vous développez, fournissez ou utilisez dans des opérations orientées vers l'UE, documentez : qui l'a entraîné et possède la documentation technique ; qui le met sur le marché de l'UE ou le met en service ; si l'affinage, l'intégration ou la commercialisation en marque blanche par une partie de la chaîne a constitué une modification substantielle ; et qui supporte les obligations à chaque niveau. Cet exercice de cartographie doit être actualisé chaque fois que le système est mis à jour ou que le modèle de distribution change.

3. Désignez un mandataire autorisé dans l'UE si vous êtes un fournisseur non européen de systèmes d'IA à haut risque.

L'article 22 impose aux fournisseurs non européens de systèmes d'IA à haut risque de désigner un mandataire autorisé dans l'UE avant de mettre leurs systèmes sur le marché de l'UE. Le mandataire autorisé doit être établi dans l'UE, mandaté par écrit et enregistré dans la base de données IA de l'UE aux côtés du système. Le mandataire est conjointement responsable de la conformité au règlement IA aux côtés du fournisseur. La sélection du mandataire approprié — disposant de la capacité opérationnelle de répondre aux demandes des autorités nationales dans des délais courts et de l'expertise juridique pour gérer la documentation de conformité — doit être abordée avec la même rigueur que le recours à un représentant RGPD de l'UE.

4. Intégrez l'intersection des obligations RGPD et règlement IA dans un cadre de gouvernance intégré unique.

Les systèmes d'IA à haut risque qui traitent des données personnelles sont soumis simultanément au règlement IA et au RGPD, avec des obligations qui se recoupent mais ne sont pas identiques. L'AIPD requise par l'article 35 du RGPD pour les traitements automatisés susceptibles d'engendrer un risque élevé doit être coordonnée avec le système de gestion des risques du règlement IA en vertu de l'article 9, la documentation technique en vertu de l'article 11 et — pour les déployeurs — l'évaluation de l'impact sur les droits fondamentaux en vertu de l'article 27 du règlement IA. Mener ces exercices séparément génère des doublons et un risque d'incohérence. Les équipes juridiques doivent concevoir un protocole unifié de gouvernance de l'IA qui couvre les deux cadres, avec une attribution claire des responsabilités pour chaque obligation et une cartographie partagée des flux de données qui serve à la fois à l'AIPD et aux exigences documentaires du règlement IA.

5. Préparez-vous à la vague d'application de l'annexe III du 2 août 2026 avec un calendrier précis et une structure de responsabilités.

Les obligations relatives aux systèmes d'IA à haut risque pour les cas d'usage de l'annexe III ont pris effet le 2 août 2026. Pour les organisations qui n'ont pas encore réalisé les évaluations de conformité, constitué la documentation technique, enregistré les systèmes dans la base de données IA de l'UE et mis en œuvre le système de management de la qualité requis par l'article 17, l'urgence est immédiate. Désignez un responsable de projet nommément identifié pour la conformité au règlement IA au sein de la fonction juridique ou de la conformité, établissez un calendrier assorti de délais fermes pour chaque livrable, et budgétisez de manière appropriée pour l'examen externe de la documentation technique et, lorsque cela est requis, pour l'évaluation par un organisme notifié. Le coût d'un programme d'évaluation de conformité conforme est substantiellement inférieur au coût d'une enquête réglementaire — et les ASM IA à travers l'UE ont signalé des intentions d'application active pour la vague de l'annexe III.

Conclusion

Le règlement IA impose une architecture de conformité globale à toute organisation — quel que soit son lieu de constitution — qui participe au développement, à la fourniture ou au déploiement de systèmes d'IA dont les résultats atteignent le marché de l'UE. Pour les entreprises non européennes, les dispositions extraterritoriales de l'article 2 suppriment l'option de la distance réglementaire. Les pratiques interdites de l'article 5 sont déjà en vigueur, les obligations GPAI des articles 51 à 56 sont opérationnelles depuis août 2025, et l'intégralité des obligations applicables aux systèmes d'IA à haut risque au titre de l'annexe III est désormais exécutoire.

La voie de la conformité est techniquement exigeante mais structurellement claire : classer chaque système d'IA selon les niveaux de risque, déterminer le rôle fournisseur/déployeur au sein de chaque chaîne de distribution, réaliser les évaluations de conformité requises avant le déploiement, maintenir la documentation technique tout au long du cycle de vie du système, et mettre en œuvre les structures de gouvernance — gestion des risques, management de la qualité, surveillance post-commercialisation — qui démontrent une conformité continue plutôt qu'une certification ponctuelle.

Le Bureau de l'IA de l'UE et les autorités nationales de surveillance du marché disposent des outils d'enquête, de la base juridique et de l'engagement institutionnel déclaré pour appliquer ces obligations à l'égard d'entités non européennes. La structure des amendes — calibrée en pourcentage du chiffre d'affaires annuel mondial — garantit que la taille ne confère pas d'immunité réglementaire. Pour le directeur juridique ou le responsable de la conformité qui conseille les conseils d'administration internationaux, le règlement IA n'est pas un projet d'avenir. C'est l'obligation de conformité d'aujourd'hui.

Avertissement juridique : Le présent article est fourni à des fins d'information et d'éducation uniquement. Il ne constitue pas un conseil juridique et ne crée pas de relation avocat-client. L'analyse reflète le texte du règlement (UE) 2024/1689, les mesures d'exécution et les orientations publiquement disponibles à la date de publication. L'application du règlement IA à des faits et systèmes spécifiques requiert un conseil juridique qualifié disposant d'une expertise en réglementation de l'IA dans l'UE. Les lecteurs ne doivent pas agir sur la base de cet article sans avoir obtenu un conseil professionnel indépendant adapté à leur situation spécifique.

Besoin d'un accompagnement spécialisé en conformité au règlement IA pour votre entreprise ? Contactez notre équipe.