AI Act : ce que les fournisseurs d’IA à haut risque doivent préparer avant 2027

Le point essentiel est le calendrier : les obligations complètes de l’Union européenne pour les systèmes d’IA à haut risque ne sont pas encore applicables à la plupart des systèmes concernés. Elles ont été reportées.

Les systèmes autonomes à haut risque visés à l’annexe III devront respecter ces exigences à compter du 2 décembre 2027. Pour les systèmes d’IA à haut risque intégrés à certains produits déjà réglementés, l’échéance est fixée au 2 août 2028. 18

Pour les entreprises qui prévoient de mettre ces systèmes sur le marché européen, l’enjeu n’est donc pas d’attendre la dernière minute : il faut mettre en place, avant la commercialisation, une organisation capable de démontrer la sûreté, la traçabilité et la responsabilité du système.

Qu’est-ce qu’une IA à haut risque ?

La catégorie recouvre principalement deux ensembles de systèmes :

• les systèmes d’IA utilisés comme composants de sécurité de produits soumis à certaines réglementations européennes, lorsque ces produits doivent faire l’objet d’une évaluation de conformité par un tiers ;
• les systèmes utilisés dans certains domaines recensés à l’annexe III, sous réserve des conditions et exceptions prévues par le règlement. 15

Cette qualification est déterminante : elle déclenche des obligations beaucoup plus lourdes sur l’ensemble du cycle de vie que pour les outils d’IA ordinaires.

Les exigences de conformité à anticiper

Avant la mise sur le marché d’un système à haut risque, le fournisseur devra intégrer des contrôles dans la conception, le développement et l’exploitation du produit — et non tenter de les reconstituer lorsqu’une autorité les demande.

Gestion des risques et gouvernance des données

Les fournisseurs devront établir des mécanismes d’évaluation et de réduction des risques. Ils devront également s’appuyer sur des jeux de données d’une qualité suffisante afin de limiter les risques de résultats discriminatoires. Le cadre applicable aux systèmes à haut risque insiste sur des données d’entraînement, de validation et de test pertinentes, suffisamment représentatives et correctement gouvernées. 115

Documentation et traçabilité

Les systèmes à haut risque devront conserver des journaux d’activité permettant de retracer leurs résultats, ainsi qu’une documentation technique détaillée sur le système et son usage prévu. Ces éléments doivent permettre aux autorités d’évaluer la conformité du système. 1

Supervision humaine et robustesse opérationnelle

Le règlement impose aussi des mesures de supervision humaine adaptées, ainsi qu’un niveau élevé d’exactitude, de robustesse et de cybersécurité. Les fournisseurs devront donner aux déployeurs — c’est-à-dire aux organisations qui utilisent le système — des informations claires et suffisantes sur son fonctionnement, son usage prévu et ses limites. 1

Évaluation de conformité, enregistrement et suivi

Avant de mettre un système à haut risque sur le marché, le fournisseur devra réaliser l’évaluation de conformité applicable. Lorsque le règlement l’exige, il devra également enregistrer le système, surveiller ses performances après sa mise à disposition et signaler les incidents graves. La conformité devient ainsi une activité continue, et non une formalité ponctuelle avant le lancement. 115

Une liste de contrôle pour se préparer

Les organisations concernées par les échéances de 2027 et 2028 devraient pouvoir répondre dès maintenant aux questions suivantes :

1. Le système relève-t-il réellement de la catégorie à haut risque ? Il faut rapprocher le cas d’usage des catégories des annexes I et III.
2. Qui porte la responsabilité ? Désigner des responsables pour la sécurité produit, la conformité juridique, la documentation et la gestion des incidents.
3. Les risques sont-ils démontrables et maîtrisés ? Conserver un processus reproductible de gestion des risques, avec des tests et des traces des décisions prises.
4. La gouvernance des données est-elle défendable ? Documenter la pertinence des jeux de données, leur représentativité, les contrôles de qualité et les limites connues.
5. Le système est-il auditable ? Préserver les journaux, dossiers techniques et consignes destinées aux utilisateurs, y compris les restrictions d’usage.
6. La supervision humaine est-elle réellement opérationnelle ? Définir dans quels cas une personne peut intervenir, contredire une sortie ou interrompre l’utilisation du système.
7. Le suivi après mise sur le marché est-il prêt ? Prévoir la surveillance des performances, les mesures correctrices et la remontée des incidents.

Quelles amendes prévoit l’AI Act ?

Le régime de sanctions combine des plafonds en euros et une part du chiffre d’affaires annuel mondial. Pour les pratiques d’IA interdites, le niveau le plus élevé peut atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Pour d’autres cas de non-conformité, les sanctions peuvent aller jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. 3

L’ampleur de ces montants signifie qu’un programme de conformité pour une IA à haut risque ne peut pas relever du seul service juridique. Les équipes produit, cybersécurité, données, achats, conformité et opérations doivent pouvoir établir que les garanties prévues fonctionnent effectivement.

Pourquoi il faut agir malgré le report

Le nouveau calendrier donne du temps, mais ne réduit pas l’ampleur des exigences. Une entreprise qui attend la fin de 2027 risque encore de devoir créer ses systèmes documentaires, modifier ses pratiques de développement, déployer la journalisation, tester ses mécanismes de supervision et organiser ses procédures de suivi et de signalement.

L’approche la plus utile consiste à traiter l’AI Act comme une norme de gouvernance produit : repérer tôt les cas d’usage à haut risque, recueillir les éléments de preuve au fil de la conception et intégrer la sûreté, la traçabilité et le contrôle humain au processus de mise sur le marché dès le départ. 115