L’avenir de la régulation de l’IA en Europe

Le règlement européen sur l’IA (AI Act) est en vigueur, mais la manière dont il fonctionnera en pratique dépendra des normes harmonisées, des codes de bonne pratique, des autorités de surveillance, des décisions de justice et des révisions ; une modification adoptée en 2026 a déjà reporté à 2027 et 2028 les règles relatives aux systèmes à haut risque.

Un démarrage échelonné

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024 et s’applique par étapes. Les interdictions de pratiques telles que la notation sociale et la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement s’appliquent depuis le 2 février 2025, et les obligations relatives aux modèles d’IA à usage général depuis le 2 août 2025. La plupart des obligations relatives aux systèmes à haut risque devaient initialement s’appliquer à partir du 2 août 2026, et à une date ultérieure pour l’IA intégrée dans des produits réglementés.

Les dates ont depuis changé. En novembre 2025, la Commission européenne a proposé des modifications, l’omnibus numérique ; le Parlement et le Conseil les ont adoptées à la mi-2026 sous la forme du règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026. Les obligations relatives aux usages à haut risque figurant sur la liste s’appliquent désormais à partir du 2 décembre 2027, et celles relatives à l’IA intégrée dans des produits réglementés à partir du 2 août 2028. La modification a également ajouté deux interdictions, visant l’IA qui génère des contenus intimes non consentis ou du matériel relatif à des abus sexuels sur enfants, applicables à partir du 2 décembre 2026. La structure elle-même est inchangée.

La liste des usages à haut risque couvre des domaines tels que l’emploi, l’éducation, les services essentiels, les activités répressives et la migration. Les fournisseurs doivent mettre en place une gestion des risques, une gouvernance des données, une documentation et un contrôle humain, et réaliser une évaluation de la conformité, le plus souvent une auto-évaluation. Les organismes publics, ainsi que certains déployeurs privés, par exemple ceux qui fournissent des services publics ou pratiquent la notation de crédit, doivent au préalable évaluer l’impact sur les droits fondamentaux.

Normes et codes : là où s’écrivent les détails

Le règlement formule ses exigences en termes généraux ; ce que signifient une gouvernance des données adéquate ou un contrôle humain suffisant se précise en grande partie dans les normes harmonisées, élaborées par les organismes de normalisation CEN et CENELEC à la demande de la Commission. Le respect d’une norme publiée au Journal officiel crée une présomption de conformité ; d’autres voies sont possibles, mais le fournisseur doit alors démontrer que son approche satisfait aux exigences.

La normalisation favorise ceux qui ont les moyens d’y participer, surtout les grandes entreprises. La rédaction prend des années, et lorsque les normes accusent du retard sur les échéances légales, la pression monte pour repousser ces échéances : le retard des normes a été un argument central du report de 2026. Le règlement n’autorise l’utilisation de données personnelles sensibles pour détecter les biais que lorsque des données synthétiques ou anonymisées ne suffiraient pas, une autorisation que la modification de 2026 a étendue au-delà des systèmes à haut risque ; le rapport technique de la Fondation sur la détection des biais au titre du règlement européen sur l’IA examine dans quels cas ces données suffisent.

Pour les modèles à usage général, il existe une voie plus rapide : le code de bonnes pratiques pour l’IA à usage général, publié en juillet 2025 sous l’égide du Bureau européen de l’IA, couvre la transparence, le droit d’auteur, ainsi que la sûreté et la sécurité des modèles présentant un risque systémique. L’adhésion est volontaire, mais elle est reconnue comme un moyen de démontrer la conformité en attendant que des normes existent.

Contrôle de l’application : institutions et moyens

Le Bureau européen de l’IA supervise directement les modèles d’IA à usage général. Les autorités nationales de surveillance du marché contrôlent les systèmes d’IA sur leur territoire. Les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour les pratiques interdites, et 15 millions d’euros ou 3 % pour la plupart des autres infractions.

La question la plus difficile est celle des moyens. Vérifier si un outil de recrutement a été testé pour détecter les biais exige des personnes qui comprennent à la fois le droit et l’apprentissage automatique, et celles-ci sont rares dans l’administration publique. Chaque État membre doit aussi mettre en place, d’ici au 2 août 2027, soit un an plus tard que prévu initialement, un bac à sable réglementaire où les fournisseurs testent leurs systèmes sous supervision avant leur lancement.

Révision : une loi conçue pour évoluer

Le règlement peut évoluer de l’intérieur. La Commission peut modifier la liste des cas d’usage à haut risque par acte délégué, dans les domaines fixés par le législateur, et actualiser le seuil de puissance de calcul au-delà duquel un modèle à usage général est présumé présenter un risque systémique.

La Cour de justice de l’Union européenne a le dernier mot sur des notions telles que « système d’IA » et « modification substantielle ». Dans son arrêt SCHUFA de décembre 2023, elle a jugé que l’établissement d’un score de crédit peut constituer en soi une décision automatisée au sens du RGPD lorsqu’un prêteur s’y appuie fortement, ce qui redessine les contours pratiques de cette règle.

Le chantier de la responsabilité reste inachevé. En 2025, la Commission a retiré sa proposition de directive sur la responsabilité en matière d’IA, de sorte que l’indemnisation des dommages causés par l’IA repose sur le droit national et sur la directive révisée de 2024 sur la responsabilité du fait des produits défectueux, qui traite les logiciels, y compris les systèmes d’IA, comme des produits et s’applique à partir de décembre 2026.

L’Europe dans un paysage plus large

La Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle, ouverte à la signature en septembre 2024, est le premier traité international contraignant sur l’IA ; l’UE l’a signée en septembre 2024, l’a ratifiée en mai 2026 et la mettra en œuvre principalement au moyen du règlement européen sur l’IA. Les Principes de l’OCDE sur l’IA, le cadre de gestion des risques liés à l’IA du NIST et la norme ISO/IEC 42001 fournissent un vocabulaire commun et des outils de gestion.

Un développeur qui vend dans le monde entier se conformera au régime le plus strict, ce qu’on appelle l’effet Bruxelles, ou bien livrera des produits différents selon les marchés ; et comme l’Europe dépend de capacités de calcul, de modèles et de services cloud conçus ailleurs, la politique de l’UE associe désormais les règles à des investissements publics dans les capacités de calcul.

À quoi concepteurs et citoyens peuvent s’attendre

Pour les concepteurs, ce que le règlement a de durable, c’est la discipline, pas le calendrier :

• Connaître la catégorie de risque de chaque système, et en documenter les raisons.
• Consigner les sources de données, les choix de conception et les limites connues.
• Mener des tests de biais, d’exactitude et de robustesse, et en conserver les preuves.
• Garder une personne capable de comprendre le système, d’en annuler les décisions et de l’arrêter.

Ces éléments survivent à tout report d’échéance ; les projets de normes et les orientations du Bureau européen de l’IA montrent déjà quelles preuves seront attendues, et dresser l’inventaire des systèmes et de leurs finalités est la façon la moins coûteuse de commencer.

Pour les citoyens, le règlement ajoute des droits : être informés lorsqu’ils interagissent avec un système d’IA ou lorsqu’un hypertrucage (deepfake) leur est présenté ; déposer une réclamation auprès d’une autorité nationale ; et, une fois les règles relatives aux systèmes à haut risque applicables, obtenir une explication claire du rôle joué par le système dans une décision qui les affecte de manière significative, en complément de l’article 22 du RGPD. Ces droits ne valent que si les personnes s’en servent ; le premier pas consiste à identifier l’autorité nationale compétente. La Fondation étudie la manière dont ces règles fonctionnent en pratique et les preuves qu’elles exigent, et publie ses conclusions sous forme de rapports techniques.

En bref

Le règlement européen sur l’IA est en vigueur, mais sa portée pratique sera fixée par les normes harmonisées, les codes de bonne pratique, les autorités de contrôle, la jurisprudence et les révisions. Une modification de 2026, le règlement (UE) 2026/1744, a déjà reporté les obligations des usages à haut risque listés au 2 décembre 2027, et celles de l’IA dans les produits réglementés au 2 août 2028.

Questions fréquentes

Quand les obligations relatives aux systèmes à haut risque du règlement européen sur l’IA s’appliquent-elles ?

Les obligations relatives aux usages à haut risque listés s’appliquent désormais à partir du 2 décembre 2027, et celles relatives à l’IA dans les produits réglementés à partir du 2 août 2028. La plupart devaient initialement s’appliquer le 2 août 2026, mais le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a déplacé les dates.

À combien s’élèvent les amendes prévues par le règlement européen sur l’IA ?

Selon le règlement européen sur l’IA, les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour les pratiques interdites. Pour la plupart des autres manquements, le plafond est de 15 millions d’euros ou 3 %.

Qui fait appliquer le règlement européen sur l’IA ?

Le Bureau européen de l’IA supervise directement les modèles d’IA à usage général, tandis que les autorités nationales de surveillance du marché contrôlent les systèmes d’IA sur leur territoire. La question la plus difficile est celle des moyens, car les personnes qui comprennent à la fois le droit et l’apprentissage automatique sont rares dans l’administration publique.

Que sont les normes harmonisées du règlement européen sur l’IA ?

Les normes harmonisées sont rédigées par les organismes de normalisation CEN et CENELEC à la demande de la Commission et précisent ce que signifient concrètement les exigences générales du règlement. Suivre une norme publiée au Journal officiel crée une présomption de conformité, même si d’autres voies restent permises.

Quels droits le règlement européen sur l’IA donne-t-il aux citoyens ?

Le règlement donne le droit d’être informé lorsqu’on interagit avec un système d’IA ou qu’on voit un hypertrucage, et de saisir une autorité nationale. Dès que les règles sur les systèmes à haut risque s’appliqueront, chacun aura aussi droit à une explication claire du rôle du système dans une décision qui l’affecte de manière significative.

Comment citer Fondation LASTHUMAN. (2026, 3 novembre). L’avenir de la régulation de l’IA en Europe. https://lasthuman.today/fr/insights/future-of-ai-regulation-in-europe.html