Intelligence artificielle à haut risque, l’Europe repousse la contrainte sans lever le flou

Le règlement européen sur l’intelligence artificielle, ou Artificial Intelligence Act (AI Act), devait installer un cadre commun fondé sur les niveaux de risque et la confiance dans les usages de l’IA. Son ambition reste de couvrir les développeurs comme les utilisateurs professionnels, avec une logique graduée entre risques interdits, risques élevés, risques limités et usages peu ou pas risqués. Cependant, le texte est déjà modifié avant d’avoir produit tous ses effets. Le paquet adopté en juin par les institutions européennes reporte ainsi l’application des principales obligations visant les systèmes d’IA à haut risque, initialement attendues au 2 août 2026, au 2 décembre 2027 pour les systèmes autonomes, et au 2 août 2028 pour les systèmes intégrés dans des produits.

Ce décalage nourrit le débat, car il intervient au moment où les entreprises cherchent justement à déterminer si leurs outils relèvent ou non de cette catégorie. La modification européenne a été présentée comme une simplification, mais elle intervient sur un texte encore en cours d’appropriation par le marché. Les critiques portent notamment sur le fait que les obligations les plus structurantes sont repoussées alors que des systèmes sont déjà utilisés dans des domaines sensibles comme le travail, les services publics, la santé, l’éducation, la police, la migration ou la justice.

Le flou tient d’abord à la définition même du haut risque. L’article 6 du règlement classe dans cette catégorie les systèmes servant de composant de sécurité pour certains produits soumis à évaluation de conformité, ainsi que ceux listés à l’annexe III. Une exception existe toutefois pour certains outils inscrits dans ces domaines lorsqu’ils ne présentent pas de risque significatif pour la santé, la sécurité ou les droits fondamentaux, à condition notamment qu’ils n’influencent pas matériellement une décision. L’annexe III vise des usages comme la biométrie, les infrastructures critiques, l’éducation, l’emploi, l’accès à certains services essentiels, l’application de la loi, la migration ou l’administration de la justice.

Un périmètre encore difficile à industrialiser

Pour les éditeurs et les intégrateurs, la difficulté ne se limite donc pas à lire une liste de secteurs. Il faut relier un usage précis, une finalité, un niveau d’autonomie, un effet possible sur une personne et le rôle exact joué par l’outil dans une décision. La Commission européenne a publié des lignes directrices pour aider fournisseurs, entreprises et administrations utilisatrices, à classer les systèmes, mais ces documents restent non contraignants juridiquement et les exemples proposés ne sont pas exhaustifs. Une consultation de la Commission européenne sur ce projet de lignes directrices reste ouverte jusqu’au 23 juillet 2026 avant l’adoption d’une version finale.

Cette période de transition crée un double mouvement. D’un côté, le report donne du temps pour construire une conformité IA documentée, tester les modèles, organiser la supervision humaine et préparer les procédures internes. De l’autre, il prolonge une zone d’incertitude pour les acteurs qui doivent arbitrer entre innovation rapide et anticipation réglementaire. Les obligations prévues pour les systèmes à haut risque couvrent notamment la gestion des risques, la gouvernance des données, la documentation technique, l’enregistrement des événements, l’information des utilisateurs, la supervision humaine, ainsi que l’exactitude, la robustesse et la cybersécurité.

Le sujet est particulièrement sensible dans l’industrie, où l’IA peut être embarquée dans des machines, des robots, des équipements médicaux ou d’autres produits soumis à des réglementations sectorielles. Le nouveau texte prévoit des dates différentes pour les systèmes autonomes et pour les systèmes intégrés dans des produits, tout en cherchant à limiter les chevauchements avec les règles sectorielles existantes. Cette articulation sera décisive pour les fabricants, car la conformité ne dépendra pas seulement du modèle d’IA, mais aussi de son intégration dans un produit, de son usage prévu et du régime d’évaluation applicable.

Une conformité à préparer avant l’échéance

Le report ne signifie pas que la réglementation européenne de l’IA disparaît des feuilles de route. Les interdictions de certaines pratiques sont déjà entrées en application en février 2025, tandis que les règles relatives aux modèles d’IA à usage général et à la gouvernance ont commencé à s’appliquer en août 2025. Le nouveau paquet ajoute aussi une interdiction visant les systèmes générant des contenus sexuels ou intimes non consentis, avec une application prévue en décembre 2026, et ajuste certaines obligations de transparence sur les contenus générés artificiellement.

Dans ce contexte, la priorité opérationnelle consiste à inventorier les usages d’IA, qualifier leur finalité, identifier les populations concernées, documenter les données utilisées et prévoir une supervision humaine réelle. L’article 14 impose que les systèmes à haut risque puissent être surveillés par des personnes capables de comprendre leurs limites, d’interpréter leurs résultats, de ne pas les suivre ou d’interrompre leur fonctionnement. L’article 15 impose aussi des exigences d’exactitude, de robustesse et de cybersécurité sur l’ensemble du cycle de vie.

Le débat européen ne porte donc pas seulement sur un calendrier. Il révèle la difficulté à transformer une catégorie juridique, l’IA à haut risque, en procédures techniques vérifiables par les entreprises, les auditeurs et les autorités. Le délai accordé peut faciliter l’appropriation du cadre, mais il ne règle pas l’enjeu principal. Tant que la frontière entre outil d’aide, système décisionnel et composant critique restera difficile à tracer, la gouvernance des systèmes d’IA demeurera un chantier autant juridique qu’industriel.