EU suspend les règles sur l’IA à haut risque – mais les entreprises ont encore du travail à faire
La Commission européenne propose des amendements à sa réglementation sur l’IA. Parmi les changements proposés, le plus significatif est le report de l’entrée en vigueur des règles à haut risque jusqu’à ce que des normes harmonisées et des outils de soutien soient en place. Cela s’aligne sur la position de la Confédération des entreprises suédoises, qui souligne que les règles doivent être pratiquement applicables avant d’entrer en vigueur.
Cette pause offre un certain répit – mais ce n’est pas, en soi, un bouton de pause pour les entreprises, déclare Adam Ack. « Les entreprises qui cartographient déjà leurs systèmes d’IA, renforcent leur gouvernance interne et coordonnent leurs processus de conformité seront les mieux préparées lorsque le chronomètre redémarrera. »
Objectif de la réglementation sur l’IA de l’UE
L’objectif de la réglementation sur l’IA de l’UE, qui établit des règles harmonisées pour l’intelligence artificielle, est de promouvoir une IA de confiance en Europe. La loi sur l’IA est introduite par étapes, et les règles concernant les pratiques d’IA interdites et les modèles d’IA à usage général s’appliquent déjà aujourd’hui. Ce qui reste – et ce qui est le plus critique pour les entreprises – ce sont les dispositions pour les systèmes classés comme à haut risque selon les annexes I et III.
Exigences clés
Ces exigences comprennent la gestion des risques, la documentation, la gouvernance des données, la journalisation, la robustesse et la supervision humaine. Selon le calendrier actuel, les exigences de l’annexe III devaient s’appliquer à partir du 2 août 2026, et celles de l’annexe I à partir du 2 août 2027 – mais les règles à haut risque seront désormais reportées.
Raisons du report
Plusieurs raisons expliquent ce report :
- Tout d’abord, les normes harmonisées sont retardées. Les règles à haut risque de la réglementation sur l’IA sont destinées à être opérationnalisées via des normes, et sans celles-ci, les entreprises manquent d’une manière pratique et légalement solide de prouver leur conformité.
- Ensuite, la Commission souhaite éviter un scénario dans lequel les règles commencent à s’appliquer avant que les normes, spécifications communes et structures de supervision soient prêtes. Cela entraînerait des coûts élevés, des risques d’interprétations nationales fragmentées et de grandes difficultés pour les entreprises à respecter les exigences à temps et à rester conformes.
Coordination essentielle
Cependant, la pause ne résout que la question immédiate de la date d’application des règles – pas comment le cadre réglementaire devrait fonctionner en pratique aux côtés d’autres législations de l’UE. De nombreuses entreprises doivent donc travailler de manière plus stratégique pour coordonner la réglementation sur l’IA avec, par exemple, le Règlement général sur la protection des données (RGPD), la Loi sur les services numériques (DSA), la Loi sur la résilience numérique (CRA), et la prochaine loi suédoise sur la cybersécurité mettant en œuvre la directive NIS2.
Actions pour les entreprises
Quelles actions peuvent entreprendre les entreprises dès maintenant ?
- Premièrement, les systèmes d’IA doivent être classés tôt, car la différence entre les règles de l’annexe III et de l’annexe I détermine l’ensemble du processus de planification – des investissements aux contrats.
- Deuxièmement, les entreprises devraient commencer à établir leurs structures de gouvernance internes : rôles, documentation, journalisation et processus de risque qui peuvent être mis en place indépendamment des normes détaillées.
- Troisièmement, il est judicieux de coordonner les flux de travail réglementaires, en veillant à ce que le RGPD, le DSA, le CRA, la NIS2 et la réglementation sur l’IA soient gérés dans un cadre de conformité commun plutôt que comme des projets séparés.
Rester sur la bonne voie
La pause offre un précieux répit – mais ce n’est pas un bouton de pause pour le secteur des affaires. Le calendrier reste fluide. Les négociations à Bruxelles peuvent prendre plus de temps, le travail de normalisation n’est pas terminé, et les chevauchements avec d’autres règles de l’UE demeurent. Les entreprises doivent donc se préparer à plusieurs scénarios, y compris la possibilité que les exigences à haut risque puissent entrer en vigueur plus tôt que les dates proposées.
Celles qui cartographient déjà leurs systèmes d’IA, renforcent leur gouvernance interne et coordonnent leurs processus de conformité seront les mieux préparées lorsque le chronomètre redémarrera – que cela se produise en 2027, 2028 ou plus tôt.
Annexes à risque élevé
Annexe III : Domaines à haut risque
- Exemples : Recrutement, évaluation de crédit, éducation, biométrie
- Date de début proposée : 2 décembre 2027 (précédemment 2 août 2026)
- Début anticipé possible : Oui, si les normes et outils de soutien sont jugés prêts
- Période de transition si début anticipé : 6 mois
Annexe I : Risque élevé selon la législation sur la sécurité des produits
- Exemples : Dispositifs médicaux, machines, équipements de protection individuelle
- Date de début proposée : 2 août 2028 (précédemment 2 août 2027)
- Début anticipé possible : Oui, par décision de la Commission européenne
- Période de transition si début anticipé : 12 mois
Les délais seront déterminés par l’achèvement des normes, mais avec des dates de début fixes au plus tard.
Les entreprises recevront un soutien pour la conformité, mais doivent être préparées à ce que les règles s’appliquent plus tôt.
Si le début est avancé, la fenêtre d’adaptation sera relativement courte : 6 à 12 mois.
