En bref
Le règlement européen sur l’IA classe les usages de l’IA selon leur risque. Quelques pratiques sont interdites, les systèmes à haut risque portent des obligations détaillées, certains systèmes ont des obligations de transparence, et la plupart des usages n’ont pas de règles spécifiques. Depuis l’Omnibus numérique sur l’IA, règlement (UE) 2026/1744, les règles sur le haut risque s’appliquent à partir du 2 décembre 2027 pour les usages de l’annexe III et du 2 août 2028 pour l’IA intégrée aux produits couverts par l’annexe I. L’ISO/IEC 42001 est une norme de système de management volontaire qui aide à organiser politiques, évaluations des risques et enregistrements pour l’IA. Elle ne remplace pas les obligations légales.
Les entreprises de l’aviation, de l’énergie, de l’industrie, de la santé et du BTP travaillent déjà sous des règles de sécurité et de qualité. L’IA ajoute une couche. Ce guide résume le règlement européen sur l’IA et l’ISO/IEC 42001 en termes simples, avec les dates telles qu’elles se présentent en octobre 2026. Il s’agit d’une information générale, pas d’un conseil juridique. Vérifiez le texte en vigueur sur EUR-Lex et auprès de vos conseils avant de vous y fier.
Ce qu’est le règlement européen sur l’IA
Le règlement sur l’IA, règlement (UE) 2024/1689, est entré en vigueur le 1er août 2024. Il s’applique aux fournisseurs qui mettent des systèmes d’IA sur le marché européen ou en service, aux déployeurs qui les utilisent dans l’UE, et aux fournisseurs et déployeurs établis hors de l’UE quand le résultat du système est utilisé dans l’UE. Les obligations dépendent de votre rôle et de la catégorie de risque du système.
Les catégories de risque
| Catégorie | Exemples | Ce qui s’applique |
|---|---|---|
| Interdit | Notation sociale, certaines techniques de manipulation, reconnaissance des émotions au travail sauf exceptions étroites | Non autorisé |
| Haut risque | Composants de sécurité des produits couverts par l’annexe I, et usages listés à l’annexe III comme les composants de sécurité des infrastructures critiques et certaines décisions d’emploi | Gestion des risques, gouvernance des données, documentation, journalisation, contrôle humain, exactitude et robustesse, évaluation de la conformité |
| Transparence | Chatbots, contenus générés ou manipulés par l’IA | Informer les personnes qu’elles ont affaire à une IA, et marquer les contenus générés |
| Minimal | La plupart des usages internes de productivité, de recherche et d’analyse | Pas d’obligation spécifique, mais les mesures de maîtrise de l’IA et les lois existantes s’appliquent |
Des règles distinctes s’appliquent aux fournisseurs de modèles d’IA à usage général. Elles concernent surtout les développeurs de grands modèles plutôt que les entreprises qui les utilisent.
Les dates clés
| Date | Ce qui s’applique |
|---|---|
| 1er août 2024 | Entrée en vigueur du règlement sur l’IA |
| 2 février 2025 | Pratiques interdites et dispositions sur la maîtrise de l’IA |
| 2 août 2025 | Obligations pour les modèles d’IA à usage général et cadre de gouvernance |
| 2 août 2026 | La plupart des dispositions restantes, dont les obligations de transparence de l’article 50 |
| 2 décembre 2027 | Obligations sur le haut risque pour les systèmes de l’annexe III, date décalée par l’Omnibus numérique |
| 2 août 2028 | Obligations sur le haut risque pour l’IA intégrée aux produits couverts par l’annexe I, date décalée par l’Omnibus numérique |
L’Omnibus numérique sur l’IA, règlement (UE) 2026/1744, est entré en vigueur fin juillet 2026. En plus de décaler les dates du haut risque, il a reformulé l’obligation de maîtrise de l’IA de l’article 4 : fournisseurs et déployeurs doivent prendre des mesures pour soutenir le développement de la maîtrise de l’IA chez leur personnel, plutôt que garantir un niveau suffisant. Il a aussi restreint la définition d’un composant de sécurité et prolongé certains allègements pour les petites entreprises. Lisez le texte consolidé pour la formulation exacte.
Ce que cela signifie par secteur
Aviation
Les règles de sécurité de l’aviation civile figurent à la section B de l’annexe I. Pour ces produits, les exigences du règlement sur l’IA passent par les règles aéronautiques elles-mêmes : l’EASA et le cadre aéronautique restent donc la référence principale pour l’IA à bord des aéronefs et dans les systèmes de trafic aérien. Les outils internes, comme le classement des comptes rendus ou la recherche documentaire, sortent en général des catégories à haut risque, mais votre SGS vous impose toujours de les gérer comme un changement.
Pétrole, gaz et services publics
L’IA utilisée comme composant de sécurité dans la gestion et l’exploitation d’infrastructures critiques, comme la fourniture de gaz, de chauffage ou d’électricité, figure à l’annexe III. Les tableaux de bord de maintenance prédictive qui informent les planificateurs diffèrent en général des systèmes qui pilotent directement des fonctions de sécurité, mais la frontière doit être évaluée au cas par cas.
Industrie
L’IA qui constitue un composant de sécurité d’une machine ou d’un autre produit couvert par l’annexe I est à haut risque. Le contrôle qualité qui trie des pièces n’est en général pas un composant de sécurité, sauf si la fonction de sécurité de la pièce en dépend. Les équipes produit doivent le vérifier tôt dans la conception.
Santé
L’IA qui constitue un dispositif médical, ou en fait partie, et qui est soumise à une évaluation de la conformité par un tiers est à haut risque, en plus des règles sur les dispositifs médicaux. Les outils administratifs comme la planification ou la rédaction de courriers ne sont en général pas à haut risque, même si les usages liés à l’emploi demandent un examen plus attentif.
BTP
La plupart des usages du BTP, comme les métrés et la recherche documentaire, sont à risque minimal. La surveillance des travailleurs demande de la prudence : l’analyse vidéo sur chantier relève du droit de la protection des données et, quand elle sert à évaluer ou gérer des travailleurs, des dispositions du règlement relatives à l’emploi.
Ce qu’est l’ISO/IEC 42001
L’ISO/IEC 42001:2023 est une norme internationale de système de management de l’IA. Publiée en décembre 2023, elle suit la même structure de haut niveau que l’ISO 9001 et l’ISO/IEC 27001, et s’intègre donc à côté des systèmes qualité et sécurité de l’information que beaucoup d’entreprises réglementées exploitent déjà. Elle couvre :
- Une politique d’IA et des rôles et responsabilités définis.
- L’évaluation et le traitement des risques liés à l’IA, et l’évaluation de l’impact sur les personnes concernées par les systèmes d’IA.
- Des mesures sur tout le cycle de vie des systèmes d’IA, listées à l’annexe A, appliquées selon votre usage.
- La surveillance, l’audit interne, la revue de direction et l’amélioration continue.
La certification par un organisme accrédité est possible mais volontaire. Son intérêt est pratique : elle donne une façon organisée de suivre où l’IA est utilisée, ce qui pourrait mal tourner et qui en est responsable, ce que demandent aussi les clients, les auditeurs et les autorités.
Que faire maintenant
- Faire un inventaire. Listez les systèmes d’IA que vous construisez, achetez ou utilisez, y compris les fonctions d’IA intégrées à des produits existants.
- Classer chacun. Notez votre rôle, fournisseur ou déployeur, et la catégorie de risque probable, avec le raisonnement.
- Soutenir la maîtrise de l’IA. Donnez au personnel qui utilise ou supervise l’IA la formation nécessaire à sa fonction. Cette obligation s’applique déjà.
- Vérifier la transparence. Assurez-vous que les chatbots se présentent comme tels et que les contenus générés sont marqués là où c’est exigé.
- Préparer les systèmes à haut risque. Si un système peut être à haut risque, planifiez dès maintenant la documentation, la journalisation, le contrôle humain et les tests. Décembre 2027 est proche pour un développement qui n’a pas commencé.
- S’appuyer sur l’existant. Étendez à l’IA votre management de la qualité, de la sécurité et de la sécurité de l’information. L’ISO/IEC 42001 est une façon structurée de le faire.
Pour la plupart des industriels, le travail immédiat consiste en un inventaire, la maîtrise de l’IA et de bons enregistrements. Les obligations les plus lourdes ne concernent que les systèmes réellement à haut risque.