Une échéance qui ne peut être reportée
L’AI Act est déjà appliqué par étapes. Depuis le 2 août 2026, les autorités peuvent contrôler les pratiques interdites, les obligations applicables aux modèles d’IA à usage général et la transparence de systèmes tels que les chatbots et deepfakes. Les règles visant les systèmes à haut risque de l’annexe III s’appliquent le 2 décembre 2027, puis celles des systèmes intégrés aux produits réglementés le 2 août 2028.
La pression est accentuée par la rapidité de l'adoption de l'IA. Des outils ont été déployés dans de nombreuses fonctions — automatisation du service client, détection de la fraude, analytique RH, revue de contrats — souvent sans examen systématique de leur appartenance au périmètre du règlement. L'écart entre ce que les organisations utilisent et ce qu'elles ont évalué est, pour beaucoup, considérable.
Ce guide vous donne une compréhension claire et concrète du cadre réglementaire : les niveaux de risque, la distinction fournisseur/déployeur, les obligations essentielles, les interactions avec le RGPD, et une feuille de route pratique pour agir dès maintenant.
Le principe fondamental : L'AI Act n'interdit pas l'IA. Il crée un cadre proportionné et fondé sur les risques, dans lequel les obligations auxquelles vous êtes soumis dépendent entièrement de ce que fait votre système d'IA et sur qui il exerce ses effets. L'identification de votre niveau de risque est le point de départ de toute démarche de conformité.
Les quatre niveaux de risque
L'AI Act organise les systèmes d'IA en quatre catégories selon le risque qu'ils font peser sur les droits fondamentaux, la santé et la sécurité. Vos obligations — et votre exposition — découlent directement du niveau applicable à vos systèmes.
Pratiques d'IA interdites
Une catégorie restreinte mais importante d'applications d'IA est purement et simplement interdite comme incompatible avec les valeurs européennes. Les pratiques prohibées comprennent : les techniques de manipulation subliminale exploitant des vulnérabilités cognitives ; l'exploitation de groupes vulnérables spécifiques pour altérer leurs comportements ; la notation sociale par des autorités publiques entraînant un traitement discriminatoire ; l'identification biométrique à distance en temps réel dans des espaces publics à des fins répressives (sous réserve d'exceptions strictement définies) ; la reconnaissance des émotions en milieu professionnel et éducatif ; la catégorisation biométrique visant à inférer des caractéristiques sensibles telles que les opinions politiques ou l'orientation sexuelle ; la police prédictive fondée exclusivement sur le profilage individuel ; et la collecte non ciblée d'images faciales pour constituer des bases de données de reconnaissance.
Les violations exposent à des amendes pouvant atteindre EUR 35 millions ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ces dispositions s'appliquent depuis le 2 février 2025 — elles sont déjà en vigueur.
Systèmes d'IA à haut risque
Les systèmes à haut risque ne sont pas interdits, mais ils sont soumis aux obligations les plus contraignantes du règlement. L'Annexe III du règlement définit huit domaines dans lesquels l'IA est classée comme à haut risque :
- Biométrie — identification biométrique à distance, reconnaissance des émotions, catégorisation biométrique non déjà interdite
- Infrastructures critiques — IA utilisée dans la gestion des réseaux d'eau, de gaz, d'électricité, des infrastructures numériques, et des transports
- Éducation et formation — IA déterminant l'accès à l'éducation, évaluant les apprenants ou les surveillant
- Emploi et gestion des travailleurs — IA utilisée dans le recrutement, la présélection de candidats, l'évaluation des performances, l'allocation des tâches et les licenciements
- Services privés et publics essentiels — notation de crédit, évaluation du risque en assurance, éligibilité aux prestations sociales, dispatch des services d'urgence
- Application de la loi — IA utilisée pour l'évaluation du risque individuel, l'utilisation du polygraphe, l'analyse criminelle, l'évaluation des preuves
- Migration, asile et contrôle aux frontières — outils d'évaluation des risques, vérification de documents, examen des demandes
- Administration de la justice et processus démocratiques — IA assistant les tribunaux et organes d'arbitrage dans l'application du droit aux faits
Pour les entreprises au Luxembourg, les catégories pratiquement significatives sont l'emploi, les services privés essentiels (crédit et assurance) et les infrastructures critiques. Si votre organisation utilise des outils algorithmiques pour des décisions d'embauche, des évaluations de solvabilité ou des scores de fraude ayant un impact matériel sur des individus, vous exploitez presque certainement un système d'IA à haut risque.
Systèmes à risque limité : obligations de transparence
Les systèmes qui ne relèvent pas de la catégorie à haut risque mais qui interagissent directement avec des personnes — chatbots, outils de génération de deepfakes, systèmes de contenu généré par IA — sont soumis à des obligations de transparence. Les utilisateurs doivent être informés qu'ils interagissent avec une IA ou que le contenu a été généré par une IA. Les fournisseurs de modèles d'IA à usage général présentant un risque systémique sont également soumis à des obligations supplémentaires au titre du Titre VIII du règlement.
Systèmes à risque minimal
La grande majorité des applications d'IA — filtres anti-spam, moteurs de recommandation, classificateurs d'images utilisés dans des contextes non sensibles — relève de cette catégorie. Aucune obligation spécifique ne s'applique au-delà du droit général de la sécurité des produits et de la protection des consommateurs. Néanmoins, les organisations déployant des systèmes à risque minimal auraient tout intérêt à conserver une documentation de base en prévision d'une éventuelle reclassification au fur et à mesure de l'évolution du cadre réglementaire.
Fournisseur et déployeur : pourquoi la distinction est déterminante
L'AI Act établit un modèle de chaîne d'approvisionnement avec des rôles distincts et des obligations correspondantes. Comprendre où se situe votre organisation est indispensable pour savoir exactement ce que vous devez faire.
Un fournisseur est toute personne physique ou morale qui développe un système d'IA ou un modèle d'IA à usage général et le met sur le marché ou le met en service sous son propre nom ou sa propre marque — que ce soit à titre onéreux ou gratuit. Les fournisseurs de systèmes d'IA à haut risque supportent les obligations les plus lourdes : évaluation de la conformité, marquage CE, enregistrement dans la base de données de l'UE et surveillance post-commercialisation continue.
Un déployeur est toute personne physique ou morale qui utilise un système d'IA sous sa propre autorité dans un contexte professionnel. Si votre entreprise achète un outil de présélection RH basé sur l'IA à un prestataire et l'utilise pour filtrer des candidats, vous êtes le déployeur. Les déployeurs ont leurs propres obligations, distinctes de celles des fournisseurs mais complémentaires.
Cette distinction est importante en pratique car la plupart des entreprises luxembourgeoises sont des déployeurs, et non des fournisseurs. Vous ne développez peut-être pas d'IA — mais si vous utilisez des systèmes d'IA classés à haut risque, vous êtes dans le périmètre du règlement et ne pouvez pas simplement vous appuyer sur la conformité de votre prestataire en substitution de la vôtre.
Les obligations clés du déployeur pour les systèmes à haut risque comprennent : la mise en œuvre des mesures de supervision humaine spécifiées par le fournisseur ; la surveillance du fonctionnement et le signalement des incidents graves ; la vérification que les données d'entrée sont appropriées à l'usage prévu du système ; la conservation des journaux d'exploitation dans la mesure du possible ; et l'information des personnes concernées du fait qu'elles sont soumises à un système d'IA à haut risque, avec accès à une explication et à un réexamen humain le cas échéant. Certains déployeurs intervenant dans des contextes d'intérêt public doivent également réaliser une analyse d'impact sur les droits fondamentaux avant le déploiement.
Obligations essentielles pour les systèmes d'IA à haut risque
Pour les fournisseurs de systèmes d'IA à haut risque, le règlement définit cinq piliers de conformité interdépendants. Les déployeurs sont responsables de leur maintien en cours d'exploitation ; les fournisseurs doivent les concevoir dès l'origine.
Système de gestion des risques (Article 9)
Un système de gestion des risques continu et itératif est requis tout au long du cycle de vie du système d'IA — et non une simple revue ponctuelle avant déploiement. Il doit couvrir l'identification et l'analyse des risques connus et prévisibles, leur évaluation et leur atténuation, ainsi que l'évaluation des risques résiduels. Le système doit être documenté, testé et mis à jour à mesure que les données d'exploitation s'accumulent.
Données et gouvernance des données (Article 10)
Les jeux de données d'entraînement, de validation et de test doivent être soumis à des pratiques de gouvernance portant sur leur adéquation à l'usage prévu, les biais potentiels, la diversité démographique et la complétude. Les organisations ne peuvent pas entraîner des modèles sur des données disponibles par commodité ; elles doivent démontrer que les données étaient adaptées à l'usage prévu et font l'objet d'une surveillance contre les biais.
Documentation technique et tenue des registres (Articles 11–12)
Les fournisseurs doivent établir une documentation technique complète avant la mise sur le marché d'un système à haut risque — couvrant l'usage prévu, l'architecture, les données utilisées lors du développement, les métriques de performance, les mesures de gestion des risques et les plans de surveillance post-commercialisation. Les déployeurs doivent conserver des journaux d'exploitation dans toute la mesure techniquement possible, indispensables en cas d'enquête post-incident et d'audit réglementaire.
Transparence et fourniture d'informations (Article 13)
Les systèmes d'IA à haut risque doivent être suffisamment transparents pour permettre aux déployeurs d'interpréter correctement leurs résultats. Les fournisseurs doivent fournir des instructions d'utilisation couvrant l'usage prévu, les métriques de précision, les limitations connues, les exigences de supervision et les conditions de validation. Une supervision humaine effective est impossible sans ces informations.
Supervision humaine (Article 14)
Il s'agit sans doute de l'obligation la plus exigeante sur le plan opérationnel. Les personnes chargées de la supervision doivent être en mesure de comprendre les capacités et les limitations du système, de surveiller les anomalies, et — de manière essentielle — disposer du pouvoir d'intervenir, de passer outre ou d'arrêter le système. Un processus de validation automatique par une personne n'ayant ni le contexte ni l'autorité pour contester un résultat ne constitue pas une supervision humaine effective au sens du règlement.
Précision, robustesse et cybersécurité (Article 15)
Les systèmes d'IA à haut risque doivent atteindre un niveau de précision approprié à leur usage prévu et être résilients face aux erreurs, défaillances et manipulations adversariales. Pour les équipes de cybersécurité, cela crée une interface directe avec la gouvernance de l'IA : l'injection de prompts, l'empoisonnement de modèles et les attaques par évasion constituent des risques réglementaires autant que des risques de sécurité. Les tests de sécurité des systèmes d'IA ne sont pas facultatifs pour les applications à haut risque.
Le calendrier d'application : où en sommes-nous
L'AI Act s'applique de manière progressive, et non en une seule fois. Comprendre ce calendrier permet d'éviter à la fois la panique prématurée et la dangereuse complaisance.
- 1er août 2024 : Le règlement est entré en vigueur.
- 2 février 2025 : Les pratiques d'IA interdites et les obligations de gouvernance pour les modèles d'IA à usage général sont devenues applicables.
- 2 août 2026 : Les pouvoirs de contrôle s’appliquent aux pratiques interdites, aux fournisseurs de modèles d’IA à usage général et aux exigences de transparence de certains systèmes.
- 2 décembre 2027 : Les règles pour les systèmes d’IA à haut risque de l’annexe III deviennent applicables.
- 2 août 2028 : Les règles pour les systèmes à haut risque intégrés aux produits soumis à la législation européenne de sécurité deviennent applicables.
Ce calendrier offre du temps pour agir, pas pour attendre : finalisez l’inventaire IA, attribuez les rôles de fournisseur et de déployeur, documentez les contrôles de transparence et préparez les preuves nécessaires avant les étapes de 2027 et 2028.
L'AI Act et le RGPD : complémentaires, et non redondants
De nombreuses questions de conformité en matière d'IA se situent à l'intersection de l'AI Act et du RGPD, et comprendre les interactions entre ces deux cadres est indispensable pour éviter à la fois les lacunes et les doublons.
Le RGPD et l'AI Act sont des cadres complémentaires, et non des alternatives. Les deux s'appliquent de manière concurrente aux systèmes d'IA qui traitent des données à caractère personnel — soit la grande majorité des systèmes d'IA à haut risque en pratique. Au Luxembourg, l'autorité nationale de surveillance de l'AI Act et la CNPD peuvent toutes deux être compétentes pour un même déploiement.
Trois dispositions du RGPD revêtent une pertinence particulière :
- L'Article 22 confère aux personnes le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou les affectant de manière significative. Les déployeurs de systèmes d'IA à haut risque doivent s'assurer que les garanties de l'Article 22 — réexamen humain, droit à l'explication, droit de contestation — sont effectivement mises en œuvre opérationnellement, et pas seulement mentionnées dans une politique de confidentialité.
- L'Article 35 (AIPD) : La prise de décision automatisée ayant des effets significatifs et le traitement à grande échelle de données sensibles déclenchent toutes deux l'obligation de réaliser une analyse d'impact sur la protection des données (AIPD). Si votre système d'IA est à haut risque, une AIPD sera presque certainement nécessaire. Les deux analyses partagent un socle analytique substantiel — identification des risques, nécessité et proportionnalité, mesures de protection — et devraient s'éclairer mutuellement plutôt que d'être menées comme des exercices entièrement parallèles.
- La minimisation des données et la limitation des finalités (Articles 5–6) encadrent directement la gouvernance des données requise par l'Article 10 de l'AI Act. Les jeux de données d'entraînement contenant des données personnelles excessives ou détournées de leur finalité initiale créent une exposition simultanée au regard du RGPD et de l'AI Act.
L'implication pour les organisations luxembourgeoises : la gouvernance de l'IA et la gouvernance de la protection des données doivent être intégrées. Votre programme RGPD existant — AIPD, registres de l'Article 30, bases juridiques — constitue un fondement, mais il ne suffit pas à lui seul.
Sanctions et contrôle de l'application
L'AI Act est mis en application par l'EU AI Office au niveau européen et par les autorités nationales compétentes de chaque État membre. Le Luxembourg a désigné son autorité nationale, qui agit aux côtés de la CNPD lorsque les systèmes d'IA traitent également des données à caractère personnel.
Les sanctions sont graduées selon la gravité. Les violations de pratiques interdites exposent à des amendes pouvant atteindre EUR 35 millions ou 7 % du chiffre d'affaires annuel mondial. Le non-respect des obligations relatives aux systèmes à haut risque peut entraîner des amendes allant jusqu'à EUR 15 millions ou 3 % du chiffre d'affaires. La fourniture d'informations incorrectes ou trompeuses aux autorités peut donner lieu à des amendes allant jusqu'à EUR 7,5 millions ou 1 % du chiffre d'affaires. Pour les PME et les start-ups, le règlement prévoit une application proportionnée, mais les obligations de fond s'appliquent de manière identique.
Une feuille de route pratique : que faire maintenant
Pour les organisations qui n'ont pas encore entamé leur démarche de conformité à l'AI Act — ou qui l'ont commencée sans programme structuré — la séquence suivante constitue une feuille de route opérationnelle.
Étape 1 : Inventaire IA
Réalisez un inventaire structuré de tous les systèmes d'IA utilisés dans l'organisation. Ne vous limitez pas aux outils gérés par l'informatique — l'IA est intégrée dans des plateformes SaaS, des outils métiers et des API de prestataires. Recensez ce que fait chaque système, le fournisseur, les données qu'il traite et les décisions qu'il éclaire.
Étape 2 : Classification des risques
Appliquez le cadre de classification de l'AI Act à chaque système. Est-il interdit ? Relève-t-il d'un domaine à haut risque de l'Annexe III ? Déclenche-t-il des obligations de transparence ? De nombreux systèmes tomberont dans la catégorie à risque minimal et ne nécessiteront qu'une documentation de base. Les systèmes à haut risque exigent un chantier de conformité dédié.
Étape 3 : Détermination du rôle
Pour chaque système à haut risque, confirmez si votre organisation est le fournisseur, le déployeur, ou les deux. Si vous êtes déployeur d'un système tiers, obtenez la documentation technique et l'évaluation de conformité du fournisseur. Un fournisseur incapable de fournir une documentation adéquate constitue lui-même un risque de conformité.
Étape 4 : Cadre de gouvernance IA
Mettez en place une gouvernance interne adaptée à votre empreinte IA : une politique IA articulant les usages acceptables et les pratiques interdites ; un rôle ou un comité de conformité IA désigné avec des responsabilités clairement définies ; des procédures documentées pour l'intégration, l'évaluation des risques, la surveillance et le décommissionnement des systèmes d'IA ; et un processus de réponse aux incidents couvrant les obligations de notification prévues par le règlement.
Étape 5 : Diligence raisonnable fournisseur
Traitez la conformité IA comme une question standard de gestion des prestataires, au même titre que la cybersécurité et la protection des données. Interrogez directement vos prestataires : Ce système est-il à haut risque au titre de l'AI Act ? L'évaluation de conformité a-t-elle été réalisée ? Pouvez-vous fournir la documentation technique de l'Article 11 ? Quelles sont les conditions de précision validées ? Les prestataires incapables de répondre avec des preuves représentent un risque de conformité.
Étape 6 : Intégration de l'AIPD et de l'évaluation des risques IA
Pour les systèmes d'IA à haut risque qui traitent également des données à caractère personnel — ce qui représente la grande majorité d'entre eux — coordonnez la documentation de gestion des risques requise par l'AI Act avec votre processus d'AIPD au titre du RGPD. Associez votre DPO dès le début. Le chevauchement entre la gouvernance des données, les évaluations de nécessité et les garanties des droits rend une documentation intégrée à la fois plus efficiente et plus cohérente.
Étape 7 : Mise en œuvre de la supervision humaine
Ne traitez pas la supervision humaine comme une déclaration de politique. Associez chaque système d'IA à haut risque à des personnes spécifiquement responsables de la supervision, assurez-vous qu'elles ont la formation nécessaire pour interpréter les résultats et détecter les anomalies, et vérifiez qu'elles disposent de l'autorité et des moyens pratiques pour intervenir ou arrêter le système. Réalisez des scénarios de test pour confirmer que le processus de supervision fonctionne effectivement.
Étape 8 : Surveillance continue
La conformité à l'AI Act n'est pas un projet avec une date de fin. Les systèmes d'IA à haut risque doivent être surveillés tout au long de leur vie opérationnelle. Établissez un rythme de surveillance, définissez ce qui constitue un incident à signaler, et mettez en place une boucle de retour entre l'expérience opérationnelle et la documentation de gestion des risques.
La dimension luxembourgeoise
Le pôle de services financiers luxembourgeois — couvrant l'administration de fonds, la banque, l'assurance et les services de paiement — signifie que plusieurs domaines d'IA à haut risque présentent une pertinence directe au niveau local : la notation de crédit, l'évaluation du risque en assurance et l'analyse de la gestion de fonds. Les organisations déjà engagées dans la conformité au RGPD avec la CNPD et travaillant à la mise en conformité avec DORA et NIS2 avec la CSSF trouveront les fondements structurels familiers. Évaluation des risques, documentation, gouvernance et diligence raisonnable envers les tiers sont des thèmes constants dans tous ces cadres. L'infrastructure de conformité que vous avez déjà construite n'est pas perdue — elle constitue le socle sur lequel la gouvernance IA doit être bâtie.
Comment ObsidianCorps peut vous aider
ObsidianCorps accompagne les organisations luxembourgeoises et européennes dans leur démarche de gouvernance IA, en lien avec leurs obligations plus larges en matière de cybersécurité et de conformité. Notre activité de conseil couvre les évaluations d'applicabilité de l'AI Act, l'inventaire et la classification IA, la documentation de gestion des risques IA, les cadres de diligence raisonnable fournisseur, et l'intégration de la gouvernance IA dans les programmes RGPD et de sécurité de l'information existants.
Si vos contrôles de transparence ou GPAI de 2026 sont incomplets, ou si vous devez préparer les étapes à haut risque de 2027 et 2028, une évaluation structurée est utile dès maintenant. Contactez-nous pour définir une réponse proportionnée à votre empreinte IA.
