Le règlement européen sur l'IA

Selon la Commission, un salarié qui utilise ChatGPT pour rédiger un texte publicitaire ou traduire doit être informé des risques propres à l'outil, par exemple l'hallucination⁴. Lire la notice d'un système peut ne pas suffire : dans bien des cas, demander au personnel de la lire pourrait être inefficace⁴.

L'obligation vise aussi les personnes qui travaillent pour l'organisation sans être salariées, par exemple un prestataire⁴. En cas de dommage, le fournisseur d'un système d'IA peut être poursuivi selon le droit national, et la Commission précise que le règlement ne crée ni infraction pénale ni droit à indemnisation⁴.

Pour les systèmes à haut risque, un point distinct s'ajoute : les déployeurs doivent veiller à ce que le personnel qui les utilise soit formé pour exercer la surveillance humaine⁴. Pour un tel système, des mesures supplémentaires peuvent être pertinentes afin que les salariés sachent comment le manier⁴. Les règles pour le haut risque de l'annexe III ne s'appliquent qu'à partir du 2 décembre 2027².

Une organisation qui utilise des systèmes d'IA devrait examiner son rôle (fournisseur ou déployeur) et le risque des systèmes concernés. La Commission suggère au moins les étapes et questions suivantes, ici quatre : ce qu'est l'IA et quelle IA l'organisation emploie, son rôle, le risque des systèmes, puis les écarts de connaissances du personnel et le contexte d'usage⁴.

Une personne diplômée en développement d'IA est normalement considérée comme formée, mais l'organisation doit vérifier qu'elle connaît les systèmes de l'entreprise et leurs risques⁴. Plusieurs niveaux de formation peuvent coexister⁴.

Les obligations de l'article 4 ont été retouchées par l'omnibus numérique sur l'IA : la maîtrise de l'IA reste une obligation, sans niveau spécifique imposé, et la Commission et les États membres doivent continuer à soutenir les organisations, notamment par des exemples de conformité publiés sur la plateforme d'information unique⁴. Reproduire les pratiques du répertoire de la Commission n'accorde pas automatiquement de présomption de conformité avec l'article 4⁴.

Le règlement a été proposé par la Commission en avril 2021, puis convenu entre le Parlement européen et le Conseil en décembre 2023¹. Il est entré en vigueur le 1er août 2024¹.

Pour le haut risque, des obligations strictes s'appliqueront avant la mise sur le marché à partir du 2 décembre 2027 (annexe III) : évaluation et atténuation des risques, données de haute qualité, journalisation, documentation, information du déployeur, surveillance humaine, robustesse, cybersécurité et précision².

Les modèles d'IA à usage général, comme les grands modèles de langage, relèvent d'une catégorie à part, avec des obligations allant de la transparence minimale à l'évaluation des risques systémiques³. Le règlement ne remplace pas le RGPD : il le complète³.

Selon la Commission, le règlement est devenu applicable le 2 août 2026, avec des exceptions². La CNIL détaille les étapes du calendrier révisé³ :

• 2 février 2025 : interdictions, hors celle concernant les contenus pédocriminels et les hypertrucages sexuels (pour la Commission, les interdictions 1 à 8 et les obligations de maîtrise de l'IA)²³.
• 2 août 2025 : règles pour les modèles d'IA à usage général et nomination des autorités compétentes³.
• 2 août 2026 : obligations de transparence pour certains systèmes³.
• 2 décembre 2026 : interdiction des systèmes générant des contenus pédocriminels et des hypertrucages sexuels³.
• 2 décembre 2027 : règles pour les systèmes à haut risque de l'annexe III, dont l'emploi²³.
• 2 août 2028 : règles pour les systèmes à haut risque de l'annexe I (jouets, dispositifs médicaux, etc.)²³.

Ces reports résultent de l'omnibus sur l'IA. La Commission écrit qu'un accord politique a été conclu le 7 mai 2026 et que le texte est entré en vigueur le 27 juillet 2026². La CNIL indique que la version amendée a été adoptée le 24 juillet 2026³.

Côté contrôle, l'article 4 n'est pas surveillé par le Bureau de l'IA mais par les autorités nationales de surveillance du marché, qui contrôlent depuis le 2 août 2026⁴. Ces autorités pourraient prononcer des sanctions fondées sur le droit national, proportionnées à la nature et à la gravité de l'infraction ; cela serait plus probable en cas d'incident dû à un défaut de formation⁴. Chaque État membre choisit la structure de ces autorités, et l'une d'elles sert de point de contact national si plusieurs sont désignées³.

Le Bureau de l'IA, créé au sein de la Commission, supervise les modèles d'IA à usage général. Il peut enquêter, demander des mesures correctives et infliger des amendes⁵. Il soutient le Comité européen de l'IA, qui réunit des représentants de chaque État membre³⁵.