La législation européenne sur l'IA (EU AI Act) n'est plus un projet d'avenir. Elle est désormais une réalité. L'interdiction des systèmes d'IA à risque inacceptable est applicable depuis le 2 février 2025. Les obligations relatives aux modèles d'IA à usage général sont entrées en vigueur le 2 août 2025. Enfin, l'ensemble des exigences relatives aux systèmes à haut risque – gestion des risques, documentation technique, contrôle humain, évaluation de la conformité – prendra effet le 2 août 2026.[1] C'est-à-dire dans quatre mois.

Pour les équipes de conformité des entreprises, la difficulté ne réside pas dans la compréhension théorique de la réglementation, mais plutôt dans son opérationnalisation à travers des dizaines ou des centaines de systèmes d'IA, chacun présentant des profils de risque, des fournisseurs et des contextes de déploiement différents. Bien que le volume de commentaires juridiques sur la législation soit considérable, les guides de mise en œuvre pratique restent rares.

Ce guide comble cette lacune. Il propose aux équipes d'entreprises une approche structurée de la conformité à la législation européenne sur l'IA, couvrant la classification des risques, les obligations associées à chaque niveau, le calendrier d'application ainsi qu'un plan d'action séquencé pour les mois à venir.

Le calendrier d'application

La législation est entrée en vigueur le 1er août 2024, mais les obligations sont échelonnées en plusieurs étapes. Comprendre quelles obligations sont déjà actives et lesquelles approchent constitue le point de départ de tout programme de conformité.

Le « Digital Omnibus » proposé en novembre 2025 prolongerait l'échéance de l'annexe III pour le haut risque jusqu'en décembre 2027 et l'échéance de l'annexe I pour les produits intégrés jusqu'en août 2028.[2] Cependant, ces propositions ne sont pas encore adoptées : les négociations de trilogue entre le Parlement, le Conseil et la Commission sont en cours, et l'issue reste incertaine. Les entreprises doivent planifier en fonction de la date d'août 2026 et traiter toute prolongation comme une mesure de contingence et non comme une référence de base.

Classification des risques : où se situe chaque système d'IA ?

L'architecture réglementaire de la législation repose sur un système de classification des risques à quatre niveaux. Chaque système d'IA développé, acheté ou déployé par une entreprise doit être classé selon ces niveaux.

Risque inacceptable : pratiques interdites (article 5)

Huit catégories d'utilisation de l'IA sont purement et simplement interdites, sous peine d'amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.[3] Les plus pertinentes pour les entreprises sont :

• Reconnaissance des émotions sur le lieu de travail ou dans l'enseignement – systèmes d'IA qui déduisent l'état émotionnel des employés ou des étudiants, sauf pour des motifs de sécurité ou médicaux

• Catégorisation biométrique selon des critères sensibles – systèmes qui catégorisent les individus selon la race, les opinions politiques, l'appartenance syndicale, les convictions religieuses, la vie sexuelle ou l'orientation sexuelle à l'aide de données biométriques

• Notation sociale – systèmes utilisés par les autorités publiques pour évaluer les individus dans le temps sur la base de leur comportement social, entraînant un traitement disproportionné

• Manipulation subliminale – IA utilisant des techniques sous le seuil de conscience afin de fausser le comportement d'une manière susceptible de causer un préjudice important

Action pour l'entreprise : auditez immédiatement tous les systèmes d'IA pour évaluer leur proximité avec ces catégories. Les outils RH utilisant l'analyse des émotions, les systèmes biométriques et les outils de notation comportementale requièrent une vigilance particulière. Si un système ne peut être clairement distingué d'une pratique interdite, interrompez-le ou concevez-le à nouveau. Cette obligation est exécutoire depuis février 2025.

Haut risque : l'obligation principale de conformité

La classification « haut risque » est déclenchée par deux voies.[4]

Voie 1 – Composants de sécurité (article 6(1)) : systèmes d'IA qui constituent un composant de sécurité de produits déjà réglementés par la législation sectorielle de l'UE (dispositifs médicaux, machines, aviation, automobile, équipements sous pression et autres listés à l'annexe I), lorsque ces produits requièrent une évaluation de la conformité par un tiers.

Voie 2 – Systèmes autonomes de l'annexe III (article 6(2)) : systèmes d'IA déployés dans huit catégories de cas d'usage sensibles :

Une nuance importante : selon l'article 6(3), un fournisseur peut déterminer qu'un système relevant d'une catégorie de l'annexe III ne présente pas en réalité de risque significatif, à condition qu'il soit utilisé pour un objectif procédural étroit, qu'il n'influence pas les décisions de fond ou que le risque soit manifestement négligeable compte tenu du contexte. Le fournisseur doit notifier l'autorité nationale de surveillance du marché compétente et enregistrer cette autodétermination dans la base de données de l'UE avant qu'elle ne prenne effet. Il ne s'agit pas d'une exemption de risque, mais d'une allégation documentée et auditable qui doit résister au contrôle réglementaire.

Risque limité : obligations de transparence (article 50)

Les systèmes qui interagissent directement avec des personnes physiques mais n'entrent pas dans les catégories à haut risque doivent répondre à des exigences de transparence à partir d'août 2026 :

• Les chatbots et l'IA conversationnelle doivent divulguer que l'utilisateur interagit avec un système d'IA

• Les contenus de type deepfake doivent être étiquetés comme étant générés ou manipulés par l'IA

• Les textes générés par IA sur des questions d'intérêt public requièrent une divulgation

• Les systèmes de reconnaissance des émotions et de catégorisation biométrique doivent en informer les personnes concernées

Risque minimal : aucune obligation obligatoire

Les systèmes d'IA qui n'entrent dans aucune des catégories ci-dessus – filtres anti-spam, moteurs de recommandation, outils de correction grammaticale assistés par IA, IA dans les jeux vidéo – ne comportent aucune obligation réglementaire contraignante. Les codes de conduite volontaires prévus à l'article 95 sont encouragés mais non exigés.

Obligations pour le haut risque : ce que requiert concrètement la conformité

Pour les systèmes d'IA classés comme à haut risque, la législation impose sept catégories d'exigences contraignantes à travers les articles 9 à 15. Il ne s'agit pas de principes abstraits, mais d'obligations spécifiques et auditables assorties d'exigences de documentation.

Gestion des risques (article 9)

Établir un processus continu de gestion des risques – non pas une évaluation ponctuelle, mais un cycle permanent tout au long du cycle de vie du système d'IA. Ce processus doit identifier et analyser les risques prévisibles pour la santé, la sécurité et les droits fondamentaux ; estimer et évaluer ces risques ; adopter des mesures d'atténuation (les modifications de conception étant prioritaires sur les contrôles opérationnels) ; et tester le système par rapport au plan de gestion des risques avant son déploiement. Les risques résiduels doivent être documentés et communiqués aux déployeurs.

Gouvernance des données (article 10)

Les ensembles de données d'entraînement, de validation et de test doivent être pertinents, représentatifs, exempts d'erreurs et suffisamment complets. Les pratiques de gouvernance des données doivent couvrir la collecte, l'étiquetage, le traitement et la conservation. Des procédures de détection et de correction des biais sont requises, et les données à caractère personnel doivent être traitées conformément au RGPD.

Documentation technique (article 11 et annexe IV)

Rédiger une documentation technique complète avant la mise sur le marché du système. L'annexe IV précise les éléments à inclure : description et objectif du système, spécifications de conception, méthodologie d'entraînement et caractéristiques des données, mesures de performance, procédures de test, limites connues, mesures de cybersécurité et plan de suivi après mise sur le marché. Cette documentation doit être tenue à jour et mise à la disposition des autorités sur demande.

Conservation des journaux d'activité (article 12)

Les systèmes à haut risque doivent intégrer des capacités d'enregistrement automatique des événements pertinents pour identifier les risques et les modifications substantielles tout au long du cycle de vie du système. Les déployeurs doivent conserver ces journaux pendant au moins six mois. Pour les systèmes d'IA agentielle fonctionnant sur des chaînes de raisonnement multi-étapes, cette exigence d'enregistrement est particulièrement exigeante – et particulièrement cruciale.

Transparence (article 13)

Les fournisseurs doivent fournir une notice d'utilisation permettant aux déployeurs de comprendre les capacités, les limites, les indicateurs de précision, l'usage prévu et les mesures de contrôle humain requises du système. Les instructions doivent être compréhensibles pour une personne ne disposant pas de connaissances spécialisées en IA.

Contrôle humain (article 14)

Les systèmes doivent être conçus pour permettre un contrôle humain effectif – ce qui signifie que des personnes physiques doivent pouvoir comprendre les résultats du système, intervenir ou interrompre le fonctionnement, ignorer ou passer outre les résultats, et empêcher le système de contourner les décisions humaines sans autorisation préalable. Les fournisseurs conçoivent cette capacité ; les déployeurs désignent et forment le personnel qualifié pour l'exercer.

Précision, robustesse et cybersécurité (article 15)

Les systèmes doivent maintenir des niveaux de précision déclarés tout au long de leur cycle de vie, résister aux erreurs et aux incohérences des données d'entrée, faire face aux manipulations malveillantes et respecter les normes de cybersécurité applicables.

Au-delà des articles 9 à 15, les fournisseurs doivent également établir un système de gestion de la qualité (article 17), se soumettre à une évaluation de la conformité (article 43), émettre une déclaration UE de conformité (article 47), apposer le marquage CE (article 48), enregistrer le système dans la base de données de l'UE (article 71), mettre en œuvre un suivi après mise sur le marché (article 72) et signaler les incidents graves sous 15 jours (article 73).

La distinction entre Fournisseur et Déployeur

La législation répartit les obligations différemment selon que l'organisation est un fournisseur (qui développe ou fait développer le système d'IA) ou un déployeur (qui l'utilise dans un cadre professionnel).[5]

Les fournisseurs portent la charge la plus lourde : conformité totale avec les articles 9 à 15, évaluation de la conformité, documentation et suivi après mise sur le marché. Les déployeurs doivent utiliser les systèmes conformément aux instructions du fournisseur, confier le contrôle humain à du personnel qualifié, conserver les journaux d'activité, informer les personnes concernées et signaler les dysfonctionnements.

La frontière critique : une entreprise qui prend un système d'IA tiers et le modifie substantiellement, change son usage prévu ou le met sur le marché sous sa propre marque devient un fournisseur au titre de l'article 25 et assume l'ensemble des obligations du fournisseur. Le fine-tuning d'un modèle de fondation pour un nouveau cas d'usage, par exemple, peut franchir ce seuil. Les organisations doivent cartographier chaque système d'IA selon le cadre fournisseur-déployeur et documenter cette classification.

Pour les systèmes d'IA tiers, la diligence raisonnable du déployeur est essentielle. Exigez la documentation confirmant la classification des risques et l'état de conformité du système. Mettez à jour les contrats avec les fournisseurs pour traiter le signalement des incidents, la conservation des journaux, les spécifications de contrôle humain et la répartition des responsabilités. Si un fournisseur ne peut fournir une documentation adéquate, cela représente un risque de conformité matériel.

Un scénario courant et sous-estimé : les grands fournisseurs de SaaS (Salesforce, ServiceNow, Workday, etc.) intègrent de plus en plus de capacités d'IA susceptibles d'être qualifiées de haut risque dans les catégories de l'emploi ou des services essentiels, tout en refusant parfois de fournir une documentation de conformité. Dans cette situation, le déployeur ne peut pas externaliser ses obligations au titre de l'article 26. Les déployeurs doivent soit mener leur propre évaluation de la fonctionnalité d'IA, restreindre son utilisation à des contextes n'impliquant pas de haut risque, soit cesser de l'utiliser jusqu'à l'obtention d'une documentation adéquate. Il s'agit d'un risque d'approvisionnement majeur qui doit être évalué avant le renouvellement des contrats. Enzai cartographie les obligations fournisseur-déployeur sur l'ensemble de votre infrastructure d'IA, y compris les configurations complexes associant GPAI et systèmes à haut risque.

Obligations relatives aux modèles d'IA à usage général (GPAI)

De nombreux systèmes d'IA d'entreprise reposent sur des modèles d'IA à usage général – des modèles de fondation d'Anthropic, OpenAI, Google, Meta et d'autres. La législation impose des obligations distinctes aux fournisseurs de modèles de GPAI au titre des articles 51 à 56, applicables depuis août 2025.[6]

Tous les fournisseurs de GPAI doivent maintenir une documentation technique, fournir aux intégrateurs en aval des informations suffisantes pour se conformer à leurs propres obligations, mettre en œuvre une politique de respect du droit d'auteur et publier un résumé des données d'entraînement.

Les modèles dépassant le seuil de risque systémique (puissance de calcul cumulée pour l'entraînement supérieure à 10^25 FLOPs, ou désignés par la Commission sur la base de capacités démontrées) entraînent des obligations supplémentaires : tests d'intrusion, évaluation et atténuation des risques, signalement des incidents graves au Bureau européen de l'IA et protections de cybersécurité.

Le code de bonnes pratiques pour l'IA à usage général, approuvé en août 2025, fournit une voie vers la conformité et crée une présomption de conformité pour ses signataires.[7] Le Bureau européen de l'IA dispose d'une autorité de surveillance exclusive sur les modèles de GPAI, indépendamment des autorités nationales de surveillance du marché.

Pour les entreprises déployant des agents et des applications basés sur des modèles de GPAI tiers, l'implication pratique réside dans une conformité par couches : le fournisseur du modèle assume les obligations GPAI, tandis que l'organisation qui déploie assume les obligations de système à haut risque pour la couche applicative. Il est essentiel d'établir clairement où s'arrêtent les obligations de l'un et où commencent celles de l'autre.

Sanctions et mise en application

Le cadre de sanctions est lourd et progressif.[8]

La mise en application est décentralisée. Les autorités nationales de surveillance du marché gèrent la conformité des systèmes à haut risque. Le Bureau européen de l'IA gère la conformité des modèles de GPAI. Les autorités de protection des droits fondamentaux (qui peuvent être l'autorité de protection des données dans certains États membres) traitent les cas impliquant l'utilisation d'IA à haut risque par les autorités publiques.

Les critères de fixation des amendes incluent la nature et la gravité de l'infraction, son caractère délibéré ou négligent, la taille de l'organisation, la coopération avec les autorités ainsi que les mesures prises pour atténuer le préjudice.

Un plan d'action séquencé

À l'approche de l'échéance d'août 2026, les entreprises ont besoin d'une approche structurée. Enzai recommande le séquençage suivant, basé sur notre collaboration avec des équipes de conformité d'entreprise naviguant dans ce texte réglementaire.

Phase 1 : Immédiate (obligations déjà applicables)

Désignez un responsable temporaire de la conformité de l'IA pour piloter les actions de la Phase 1 et commencer à définir la portée globale du programme. Les actions immédiates ci-dessous nécessitent une personne dotée d'autorité et de bande passante pour les mener à bien.

Auditez les pratiques interdites. L'article 5 est exécutoire depuis février 2025. Examinez tous les systèmes d'IA pour évaluer leur proximité avec les catégories interdites – en particulier la reconnaissance des émotions sur le lieu de travail, la catégorisation biométrique et la notation comportementale.

Établissez la littératie en matière d'IA. L'article 4 exige que le personnel participant au fonctionnement de l'IA possède une formation suffisante en la matière. Documentez les programmes de formation et conservez-en les preuves.

Évaluez l'exposition aux modèles de GPAI. Si votre organisation développe ou ajuste des modèles de fondation, assurez la conformité avec les obligations des articles 51 à 56 actives depuis août 2025.

Phase 2 : Construction des fondations (dès maintenant jusqu'au T2 2026)

Établissez une structure de gouvernance. Désignez un dirigeant responsable de la conformité de l'IA, attribuez la responsabilité au niveau du produit pour les systèmes à haut risque et réunissez un groupe de gouvernance de l'IA transversal comprenant les services juridique, technologique, sécurité, achats et RH. Sans cette structure d'autorité, les exercices d'inventaire et de classification qui suivent manqueront de légitimité interne pour exiger la divulgation d'informations de la part des différentes divisions. Les décisions relatives au budget et aux outils doivent être prises à cette étape – un inventaire et une classification à l'échelle de l'entreprise nécessitant généralement des outils dédiés ou un processus d'évaluation encadré.

Établissez un inventaire complet des IA. Répertoriez chaque système d'IA que l'organisation développe, achète ou déploie – y compris le shadow IT (IA de l'ombre), les IA intégrées dans les plateformes de fournisseurs et les outils SaaS dotés de capacités d'IA. Enregistrez l'objectif, les données d'entrée, le contexte de déploiement et le propriétaire du système. Le module d'inventaire d'IA d'Enzai permet une découverte automatisée à travers les environnements cloud et les intégrations SaaS, réduisant ainsi l'effort manuel qui absorbe généralement la plus grande part de cette phase – découvrez comment cela fonctionne.

Classez chaque système. Comparez chaque système inventorié aux différents niveaux de risque. Documentez le raisonnement de classification pour chacun d'eux – cela constitue en soi un livrable de conformité.

Phase 3 : Élaboration de la conformité (T2-T3 2026)

Pour chaque système à haut risque, constituez l'ensemble des livrables de conformité :

• Documentation sur la gestion des risques (article 9)

• Procédures de gouvernance des données (article 10)

• Documentation technique selon l'annexe IV (article 11)

• Mise en œuvre de l'enregistrement automatique des logs (article 12)

• Notice d'utilisation (article 13)

• Cadre de contrôle humain – qui supervise, comment intervenir, comment les interventions sont enregistrées (article 14)

• Évaluation de la conformité (article 43) – évaluation interne pour les points 2 à 8 de l'annexe III lorsque des normes harmonisées s'appliquent ; évaluation par un organisme notifié pour l'identification biométrique à distance (point 1(a)) et pour toute catégorie où aucune norme harmonisée n'a été publiée. Consultez le registre des normes harmonisées de la Commission avant de finaliser votre procédure de conformité

Mettez à jour les contrats avec les fournisseurs. Pour les systèmes d'IA tiers, veillez à ce que les contrats prévoient des droits de documentation, le signalement des incidents, la conservation des journaux et la répartition des responsabilités en vertu de l'article 25.

Préparez les déclarations de transparence. Auditez les systèmes d'IA orientés vers les clients et les employés au regard des exigences de l'article 50 – transparence des chatbots, étiquetage des deepfakes, notifications de reconnaissance des émotions.

Phase 4 : Validation et préparation (T3 2026)

Réalisez une analyse d'impact sur les droits fondamentaux lorsque l'article 27 l'exige – obligatoire pour les organismes publics et recommandée pour les déployeurs privés exploitant une IA à haut risque dans des contextes à fort impact.

Établissez des procédures de réponse aux incidents. Étendez la réponse aux incidents de sécurité existante pour couvrir les incidents spécifiques à l'IA : signalement sous 15 jours pour les incidents impliquant un décès ou un préjudice grave, signalement sous 72 heures pour les violations de données personnelles, identification de l'autorité nationale compétente dans chaque État membre.

Enregistrez les systèmes à haut risque dans la base de données de l'UE avant leur déploiement (article 71).

Finalisez l'évaluation de la conformité et émettez la déclaration UE de conformité (article 47) avec le marquage CE (article 48) pour les systèmes mis sur le marché.

Perspectives d'avenir

La législation européenne sur l'IA est la réglementation la plus complète en vigueur au monde en la matière. Sa mise en œuvre progressive offre aux entreprises un calendrier précis, mais le périmètre de conformité est vaste – englobant la documentation technique, la gestion des risques, la gouvernance des données, le contrôle humain, la transparence et le suivi après mise sur le marché pour des centaines de systèmes d'IA potentiels.

Les organisations les mieux positionnées sont celles qui construisent dès maintenant leur infrastructure de gouvernance plutôt que d'aborder la conformité comme un exercice ponctuel. Les obligations issues du texte sont continues : la gestion des risques doit être permanente, le suivi actif et la documentation à jour. Une approche structurée par système de gestion – où la conformité s'intègre directement dans le développement, le déploiement et la surveillance des systèmes d'IA – est le seul modèle viable.

Chez Enzai, notre plateforme fournit l'infrastructure opérationnelle nécessaire à la conformité avec la législation européenne sur l'IA : inventaire centralisé des IA, classification automatisée des risques selon le cadre légal, documentation structurée pour les articles 9 à 15, surveillance continue et gestion des preuves prêtes pour l'audit. Pour les entreprises qui se préparent pour août 2026, réservez une démonstration pour découvrir comment notre plateforme s'aligne sur les exigences de la législation.

Enzai est la plateforme leader de gouvernance de l'IA pour les entreprises, conçue sur mesure pour aider les organisations à passer d'une politique abstraite à un contrôle opérationnel. Notre plateforme de gestion des risques d'IA fournit l'infrastructure spécialisée nécessaire pour gérer la gouvernance de l'IA agentielle, maintenir un inventaire complet des IA et garantir la conformité à la législation européenne sur l'IA. En automatisant des flux de travail complexes, Enzai permet aux entreprises de faire évoluer l'adoption de l'IA en toute confiance tout en restant alignées sur les normes mondiales telles que ISO 42001 et NIST.

Références

[1] Règlement (UE) 2024/1689 du Parlement européen et du Conseil, articles 113 et 114 (dates d'entrée en vigueur et d'application). Journal officiel de l'Union européenne, série L, 12 juillet 2024.

[2] Commission européenne, « Digital Omnibus on AI » (COM(2025) 871), 26 novembre 2025. Propositions de prolongation des échéances de l'annexe III et de l'annexe I, sous réserve de la disponibilité de normes harmonisées.

[3] Règlement (UE) 2024/1689, article 5 (Pratiques d'IA interdites) et article 99 (Sanctions).

[4] Règlement (UE) 2024/1689, article 6 (Règles de classification pour les systèmes d'IA à haut risque) et annexe III.

[5] Règlement (UE) 2024/1689, articles 16 (Obligations des fournisseurs), 26 (Obligations des déployeurs) et 25 (Autres parties de la chaîne de valeur de l'IA).

[6] Règlement (UE) 2024/1689, chapitre V, articles 51 à 56 (Obligations relatives aux modèles d'IA à usage général).

[7] Code de bonnes pratiques pour les modèles de GPAI, approuvé par la Commission européenne et le Bureau de l'IA, 1er août 2025.

[8] Règlement (UE) 2024/1689, article 99 (Sanctions).