IA de confiance et règlement européen

IA de confiance et règlement européen

1. Le règlement européen sur l'IA

   Le règlement européen sur l'intelligence artificielle est entré en vigueur le 1^er août 2024. Il ne s'applique pas uniformément : il entre en vigueur par étapes, et un même système peut relever de plusieurs régimes à la fois.

   Le calendrier, tel qu'il est aujourd'hui

   Date	Ce qui s'applique
   2 février 2025	pratiques interdites et obligation de compétence IA
   2 août 2025	modèles à usage général, gouvernance, sanctions
   2 août 2026	application générale
   2 décembre 2026	transparence : contenu de synthèse
   2 décembre 2027	systèmes à haut risque de l'annexe III
   2 août 2028	systèmes à haut risque intégrés à des produits réglementés

   Un point de vigilance daté

   Les deux dernières lignes ne figuraient pas dans le calendrier d'origine : elles ont été reculées par le « AI Omnibus », adopté à l'été 2026. Un cours, un article des études antérieures à cette adoption annoncent encore l'échéance d'août 2026 pour les systèmes à haut risque : cette information est périmée. C'est le meilleur exemple du risque que représente une formation non mise à jour.

   À qui s'applique le texte

   Le règlement vise le fournisseur, qui commercialise un système ou un modèle sous son nom, et le déployeur, qui l'utilise dans son activité professionnelle. Un même acteur peut être l'un ou l'autre, selon la chaîne : l'éditeur d'un modèle de vision médicale est fournisseur, l'hôpital qui s'en sert est déployeur. La question à poser en premier n'est donc jamais « est-ce que je fais de l'IA ? » mais « à quel titre ? ».

2. Pratiques interdites et haut risque

   Le règlement classe les systèmes en trois grandes catégories. Cette classification précède toute question technique : elle détermine ce qu'on devra prouver.

   Les pratiques interdites

   Applicables depuis le 2 février 2025, elles constituent le socle le plus ancien et le plus fermement établi. On y trouve notamment les systèmes qui manipulent des personnes de manière à altérer leur comportement, comme la notation d'un visage, et ceux qui exploitent des vulnérabilités connues pour dégrader un système d'information.

   Les systèmes à haut risque

   Ils sont définis, pour l'essentiel, par l'usage qu'on en fait et non par la technique. L'annexe III vise notamment :

   • les systèmes de reconnaissance biométrique ;
   • les systèmes liés aux infrastructures critiques ;
   • l'éducation, y compris l'évaluation et l'orientation ;
   • l'emploi : tri de candidatures, décision de recrutement, évaluation de performance ;
   • l'accès aux services essentiels : crédit, assurance, soins ;
   • certaines applications par les autorités : police des frontières, justice.

   Pour ces systèmes, les obligations sont lourdes : gestion des risques sur tout le cycle de vie, qualité des données, documentation technique, traçabilité, transparence envers l'utilisateur, et surveillance après mise sur le marché.

   Transparence et contenu de synthèse

   Depuis août 2026, une interface d'interaction avec une IA doit être signalée comme telle, et les contenus synthétiques doivent être identifiables comme tels. L'obligation spécifique visant les systèmes qui génèrent un contenu de synthèse s'applique à compter de décembre 2026.

   Compétence IA

   L'obligation de compétence est applicable depuis février 2025. Prise dans le cours d'un projet, elle signifie concrètement : les personnes qui manipulent un système doivent en comprendre le fonctionnement et les limites. C'est le contenu de ce cours.

3. Construire une veille fiable sur un texte qui évolue

   Un règlement qui entre en vigueur par étapes, et dont le calendrier a déjà été modifié, ne peut pas être appris une fois pour toutes. Il se surveille.

   Où regarder, dans cet ordre

   1. la page officielle de la Commission européenne : elle tient le calendrier consolidé, c'est la première source à consulter ;
   2. le texte au Journal officiel, qui est la seule source faisant foi ;
   3. les publications de l'autorité nationale, qui traduisent les obligations en gestes concrets ;
   4. les lignes directrices, qui précisent les points d'interprétation encore ouverts.

   Les réflexes de méthode

   • dater chaque information : une obligation annoncée sans date de vérification devient une rumeur en quelques mois ;
   • distinguer le texte adopté d'une ligne directrice : l'une est contraignante, l'autre interprete ;
   • vérifier le calendrier avant de s'engager sur un projet : l'échéance applicable a pu reculer, comme en 2026 ;
   • consigner la référence exacte — article, annexe, date — plutôt qu'un résumé.

   Ce que la conformité change dans un projet technique

   Trois conséquences très concrètes, indépendantes du secteur :

   1. on trace ce qui a servi à entraîner et à décider : versions des données, des modèles et des choix, cette traçabilité étant elle-même une obligation ;
   2. on documente la finalité : un système de recommandation qui devient un outil d'évaluation du personnel change de régime ;
   3. on teste le comportement attendu, y compris sur des cas limites, et on garde la trace de ces tests.

   Retenez ceci : sur un système à haut risque, ce qui compte n'est pas la qualité du modèle, mais la capacité à démontrer la qualité du modèle. Une exigence de preuve ne se rattrape pas après coup.