Le 2 août 2026 marque l’entrée en vigueur des obligations du règlement européen sur l’intelligence artificielle pour les systèmes à haut risque. Pour les équipes qui développent ou déploient des systèmes d’IA sur le marché européen, cette date est contraignante. Malgré la proposition de la Commission européenne de novembre 2025 visant à reporter certaines échéances à décembre 2027, cet amendement n’a pas encore force de loi. Les entreprises doivent planifier autour du 2 août 2026 comme date opérationnelle.
Les pénalités prévues à l’article 99 du règlement s’élèvent jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires mondial annuel. Pour les fournisseurs d’IA qui adressent le marché européen, un seul incident de non-conformité peut effacer plusieurs années de revenus et déclencher des cascades contractuelles avec l’ensemble des clients entreprise qui dépendaient de la conformité du fournisseur.
Cet article s’adresse aux responsables techniques, directeurs conformité et chefs de produit qui pilotent la mise sur le marché de systèmes d’IA en Europe. L’objectif n’est pas l’interprétation juridique — les avocats spécialisés font ce travail mieux — mais la question opérationnelle : quels sont les points de contrôle précis à franchir avant le 2 août 2026, et comment séquencer le travail pour y arriver à temps ?
Étape préalable : Déterminer si votre système est à haut risque
Avant tout travail de conformité, la première question est de savoir si votre système relève effectivement de la catégorie "haut risque" au sens du règlement. La majorité des équipes font l’une de deux erreurs : sur-qualifier (traiter un système à risque limité comme haut risque) ou sous-qualifier (traiter un système haut risque comme limité, en acceptant un risque de non-conformité significatif).
Deux voies déclenchent la classification haut risque. Première voie : les systèmes d’IA utilisés comme composant de sécurité dans des produits couverts par la législation européenne figurant à l’Annexe I (dispositifs médicaux, machines, véhicules, diagnostics in vitro) soumis à une évaluation de conformité tierce partie. Deuxième voie : les systèmes d’IA relevant des cas d’usage listés à l’Annexe III, notamment les systèmes utilisés dans le recrutement, l’accès au crédit, l’évaluation scolaire, la gestion des infrastructures critiques, les applications de maintien de l’ordre, ou la catégorisation biométrique.
Une dérogation étroite existe : un système relevant de l’Annexe III n’est pas qualifié de haut risque s’il ne présente pas de risque significatif de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes, notamment s’il n’influence pas matériellement l’issue des prises de décisions. Si vous estimez que cette dérogation s’applique, vous devez documenter cette évaluation avant la mise sur le marché.
Les huit catégories de conformité à adresser
Pour les systèmes haut risque, les articles 8 à 15 définissent les exigences de fond. Les articles 16 et 17 portent sur les obligations spécifiques aux fournisseurs, notamment le système de gestion de la qualité. L’article 26 couvre les obligations des déployeurs. Ces dispositions créent ensemble huit catégories opérationnelles de conformité.
1. Système de gestion des risques (Article 9)
Un processus documenté et continu de gestion des risques couvrant l’intégralité du cycle de vie du système d’IA. Identification des risques prévisibles, estimation de leur probabilité et gravité, évaluation des risques émergents post-commercialisation, adoption de mesures d’atténuation. Le système doit être révisé et mis à jour de façon systématique.
Erreur commune : traiter la gestion des risques comme un exercice ponctuel pré-déploiement plutôt qu’une discipline continue. Le règlement exige explicitement la seconde approche.
2. Gouvernance des données (Article 10)
Les jeux de données d’entraînement, de validation et de test doivent être pertinents, suffisamment représentatifs, exempts d’erreurs dans la mesure du possible, et complets au regard de la finalité prévue.
C’est dans cette catégorie que la plupart des fournisseurs d’IA internationaux rencontrent des difficultés pour le marché européen. Les jeux de données constitués principalement à partir de contenus anglophones échouent souvent à satisfaire l’exigence de représentativité pour un déploiement multilingue européen. Les services d’évaluation basés dans l’UE avec des annotateurs natifs font de plus en plus partie de l’approche documentée de gouvernance pour les déploiements européens.
3. Documentation technique (Article 11)
Une documentation technique complète doit être établie avant la mise sur le marché et tenue à jour. Elle comprend la description détaillée du système, sa finalité, les personnes qui le développent, la description des jeux de données, l’architecture, les procédures de validation et de test, les métriques de performance, les mesures de gestion des risques, les dispositions de surveillance humaine, et le plan de surveillance post-commercialisation.
L’Annexe IV du règlement en précise la structure détaillée. Pour la majorité des équipes, la documentation technique représente 50 à 200 pages et requiert la coordination des fonctions ingénierie, data science, produit et juridique. Commencer ce travail trois mois avant l’échéance produit une documentation incomplète qui échoue à l’évaluation de conformité.
4. Tenue de registres et journalisation automatique (Article 12)
Les systèmes d’IA à haut risque doivent permettre l’enregistrement automatique des événements pertinents pour l’identification des risques et des modifications substantielles. Pour les déployeurs, l’article 26 impose une conservation des journaux générés automatiquement d’au moins six mois.
5. Transparence et information des utilisateurs (Article 13)
Les systèmes d’IA à haut risque doivent être conçus de façon suffisamment transparente pour permettre aux déployeurs d’interpréter les sorties. Des instructions d’utilisation doivent accompagner le système. Les obligations de transparence s’étendent à la divulgation active : les utilisateurs interagissant avec des chatbots doivent être informés qu’ils interagissent avec une machine.
6. Supervision humaine (Article 14)
Les systèmes d’IA à haut risque doivent être conçus pour permettre une supervision humaine effective pendant toute la période d’utilisation. Les mesures de supervision doivent permettre aux personnes désignées d’interpréter les sorties, de décider de ne pas utiliser le système dans une situation particulière, et d’intervenir ou d’interrompre le système.
7. Exactitude, robustesse et cybersécurité (Article 15)
Les systèmes d’IA à haut risque doivent atteindre un niveau approprié d’exactitude, de robustesse et de cybersécurité, et fonctionner de manière cohérente tout au long de leur cycle de vie. Pour les systèmes basés sur des LLM, cette catégorie inclut la résilience face aux attaques adversariales (injection de prompt, jailbreaking, empoisonnement de données). Les résultats de red-teaming documentés font partie des éléments de preuve pour la conformité cybersécurité.
8. Système de gestion de la qualité (Article 17)
Les fournisseurs doivent mettre en place un SMQ documenté incluant une stratégie de conformité, des techniques de conception et de vérification, des procédures de contrôle qualité, de gestion des données, un système de surveillance post-commercialisation, des procédures de déclaration d’incidents, et un cadre de responsabilité.
Le premier standard harmonisé pertinent, prEN 18286, est entré en enquête publique le 30 octobre 2025. Une fois publié, la conformité à ce standard créera une présomption de conformité à l’article 17.
Évaluation de conformité : quelle voie s’applique
Annexe VI : Contrôle interne
Pour la plupart des systèmes Annexe III où des standards harmonisés ont été appliqués, les fournisseurs peuvent opter pour le contrôle interne. Aucun organisme notifié n’est requis. Le fournisseur émet lui-même la déclaration UE de conformité.
Annexe VII : Évaluation par organisme notifié
Requise lorsque des standards harmonisés n’existent pas ou n’ont pas été appliqués. Pour les systèmes nécessitant cette voie, l’engagement précoce est essentiel : les capacités des organismes notifiés sont limitées et les délais s’allongeront à l’approche de l’échéance d’août 2026.
Fournisseur vs Déployeur : qui est responsable de quoi
Un fournisseur développe un système d’IA et le met sur le marché sous son propre nom. Il porte l’essentiel des obligations : évaluation de conformité, documentation technique, marquage CE, enregistrement dans la base de données européenne, SMQ, surveillance post-commercialisation.
Un déployeur utilise un système d’IA sous sa propre autorité. Ses obligations incluent la mise en œuvre de la supervision humaine selon les instructions du fournisseur, la conservation des journaux pendant au moins six mois, et la réalisation d’une évaluation de l’impact sur les droits fondamentaux (FRIA) lorsque requise.
Pour les fournisseurs qui vendent à des entreprises : vos clients sont des déployeurs avec leurs propres obligations. Vos contrats doivent soutenir leur conformité avec des instructions d’utilisation claires, une documentation technique accessible, et des dispositions de supervision désignées.
La séquence opérationnelle qui fonctionne
Mois 1-2 : Inventaire et classification
Inventorier tous les systèmes d’IA avec exposition au marché européen. Conduire une classification préliminaire des risques et documenter le raisonnement, en particulier pour les systèmes où la qualification haut risque est ambiguë.
Mois 3-4 : Gestion des risques et gouvernance des données
Mettre en place le processus documenté de gestion des risques. Auditer la gouvernance des données au regard de l’article 10, avec une attention particulière à la représentativité pour le déploiement européen. Pour les systèmes LLM, cela requiert une évaluation multilingue, une collecte de données de préférence supplémentaire, et un audit de biais.
Mois 5-7 : Documentation technique et SMQ
Construire la documentation technique selon la structure de l’Annexe IV. Opérationnaliser le SMQ et établir l’infrastructure de surveillance post-commercialisation.
Mois 8-9 : Évaluation de conformité
Pour les systèmes Annexe VI, compléter la vérification interne, rédiger la déclaration UE de conformité, apposer le marquage CE, et compléter l’enregistrement dans la base de données européenne. Pour les systèmes Annexe VII, soumettre la documentation à l’organisme notifié et obtenir le certificat de conformité.
Mois 10-12 : Formation des déployeurs et préparation finale
Préparer les matériaux de formation et documentation des déployeurs et compléter l’audit de préparation finale. Traiter les lacunes avant l’échéance du 2 août plutôt que lors de la première enquête réglementaire.
Ce que cela signifie pour l’IA souveraine européenne
Le règlement IA européen et la souveraineté numérique convergent vers la même réalité opérationnelle. Les exigences de gouvernance des données de l’article 10 sont substantiellement plus faciles à satisfaire lorsque les jeux de données ont été constitués avec des annotateurs européens, sur une infrastructure européenne, avec une documentation méthodologique conforme aux standards réglementaires.
Les exigences de cybersécurité de l’article 15 sont plus crédibles lorsque les tests adversariaux incluent des attaques en langues européennes et une couverture des biais propres aux catégories protégées européennes. Le red-teaming uniquement en anglais produit une couverture asymétrique qui affaiblit la documentation de conformité.
Pour une perspective plus large sur l’IA souveraine comme stratégie d’infrastructure, voir notre article sur l’IA souveraine pour les entreprises européennes. Conformité réglementaire et souveraineté convergent de plus en plus vers la même conversation dans les processus d’achat européens.
Le bilan honnête
La conformité au règlement IA pour les systèmes à haut risque est un programme opérationnel de 9 à 12 mois. Les équipes qui ont commencé fin 2025 sont raisonnablement positionnées pour franchir l’échéance du 2 août 2026. Les équipes qui commencent en avril 2026 ont besoin d’une exécution accélérée et d’un engagement précoce auprès des organismes notifiés dont les capacités sont maintenant contraintes.
L’exposition aux pénalités de 35 M€ ou 7 % du chiffre d’affaires annuel mondial n’est pas le type de risque que les entreprises responsables absorbent. Pour les équipes qui commencent maintenant : inventaire et classification d’abord, puis les huit catégories dans l’ordre où elles se soutiennent mutuellement, engagement précoce des organismes notifiés si nécessaire, et tout documenter.
Si vous préparez la conformité au règlement IA de votre système
DataVLab fournit des services d’évaluation et de documentation de conformité pour les équipes IA européennes qui préparent l’échéance d’août 2026 pour les systèmes à haut risque. Nos experts métier basés dans l’UE prennent en charge les preuves d’évaluation, la gouvernance multilingue des données, les tests adversariaux, et la construction de jeux de données de préférence que les systèmes d’IA à haut risque requièrent dans le cadre du règlement IA européen. Si vous concevez votre programme de conformité et souhaitez discuter de méthodologie d’évaluation, des exigences documentaires ou de la préparation aux organismes notifiés, contactez-nous.
