Cadre et champ d'application
- Règlement (UE) 2024/1689 — AI Act
Règlement du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle. Publié au JO L du 12/07/2024, entré en vigueur le 01/08/2024. Approche par les risques : plus le risque pour la santé, la sécurité et les droits fondamentaux est élevé, plus les obligations sont lourdes (art. 1er).
Voir ses liens dans la cartographie →- Règlement (UE) 2026/1744 — Omnibus IA
Règlement modificatif dit « Omnibus numérique / IA », en vigueur le 27/07/2026. Reporte l'application des régimes haut risque (Annexe III au 02/12/2027, Annexe I au 02/08/2028), assouplit l'art. 4 (maîtrise de l'IA), étend l'art. 5 aux contenus intimes non consentis et au CSAM générés par IA, et renforce le rôle du Bureau de l'IA. Publié au JO L du 24/07/2026.
Voir ses liens dans la cartographie →- Champ d'application
Art. 2. S'applique aux fournisseurs mettant sur le marché dans l'Union (y compris établis hors UE), aux déployeurs établis dans l'Union, aux fournisseurs et déployeurs de pays tiers dont les sorties sont utilisées dans l'Union, aux importateurs, distributeurs, fabricants de produits, mandataires, et aux personnes concernées situées dans l'Union. Portée extraterritoriale par l'effet (art. 2, §1, c : lorsque « les sorties produites par le système d'IA sont utilisées dans l'Union »).
Voir ses liens dans la cartographie →- Exclusions du champ
Art. 2, §3 à §12. Hors champ : sécurité nationale, défense et usages militaires ; recherche et développement scientifiques ; activités de recherche, essai et développement avant mise sur le marché (sauf essais en conditions réelles) ; usage strictement personnel non professionnel ; systèmes sous licence libre et ouverte — sauf s'ils sont à haut risque ou relèvent des art. 5 ou 50. Le §11 préserve les droits nationaux plus favorables aux travailleurs.
Voir ses liens dans la cartographie →- Système d'IA
Art. 3, 1). « un système automatisé qui est conçu pour fonctionner à différents niveaux d'autonomie et peut faire preuve d'une capacité d'adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu'il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels ». La déduction (inference) est le critère discriminant : un logiciel purement déterministe à règles fixes n'est pas visé.
Voir ses liens dans la cartographie →- Système d'IA à usage général
Art. 3, 66). Système d'IA fondé sur un modèle d'IA à usage général, capable de répondre à diverses finalités, en usage direct ou intégré dans d'autres systèmes.
Voir ses liens dans la cartographie →- Modèle d'IA à usage général
Art. 3, 63). Modèle présentant une généralité significative, capable d'exécuter de manière compétente un large éventail de tâches distinctes, intégrable dans une variété de systèmes en aval. Les modèles utilisés uniquement pour la recherche, le développement ou le prototypage avant mise sur le marché sont exclus.
Voir ses liens dans la cartographie →- Modification substantielle
Art. 3, 23). Modification postérieure à la mise sur le marché, non prévue dans l'évaluation initiale, qui nuit à la conformité aux exigences du chapitre III section 2 ou change la destination. Notion charnière : elle déclenche une nouvelle évaluation de la conformité (art. 43, §4) et peut requalifier l'auteur en fournisseur (art. 25). L'apprentissage continu prévu et documenté dès l'origine n'est PAS une modification substantielle.
Voir ses liens dans la cartographie →
Niveaux de risque
- Seuil de 10²⁵ opérations en virgule flottante
Art. 51, §2. Présomption de « capacités à fort impact » lorsque la quantité cumulée de calcul d'entraînement dépasse 10²⁵ FLOP. Seuil modifiable par acte délégué.
Voir ses liens dans la cartographie →- Risque inacceptable — pratique interdite
Art. 5. Huit pratiques interdites dans le texte de 2024, complétées par l'Omnibus. Interdiction absolue : ni évaluation de conformité ni mesure d'atténuation ne la lèvent. Applicable depuis le 02/02/2025.
Voir ses liens dans la cartographie →- Système d'IA à haut risque
Art. 6. Deux voies de qualification, cumulatives dans leurs effets mais alternatives dans leur déclenchement : la voie « produit » (Annexe I) et la voie « domaine » (Annexe III). C'est le régime le plus lourd du règlement : exigences des art. 8 à 15 et obligations des art. 16 à 27.
Voir ses liens dans la cartographie →- Risque limité — obligations de transparence
Art. 50. Régime autonome et cumulable avec le haut risque (art. 50, §6). Vise l'information de la personne exposée plutôt que la sûreté du système. Applicable depuis le 02/08/2026 — l'Omnibus ne l'a pas reporté.
Voir ses liens dans la cartographie →- Modèle d'IA à usage général à risque systémique
Art. 51. Modèle IAUG doté de capacités à fort impact, ou désigné comme tel par la Commission au vu des critères de l'Annexe XIII. Risque systémique = risque de portée large sur la santé publique, la sûreté, les droits fondamentaux ou la société (art. 3, 65).
Voir ses liens dans la cartographie →- Risque minimal — aucune obligation spécifique
Catégorie résiduelle : tout système d'IA qui n'est ni interdit, ni à haut risque, ni soumis à l'art. 50. Aucune obligation contraignante, hors codes de conduite volontaires (art. 95). Le règlement vise des usages plus qu'une technologie.
Voir ses liens dans la cartographie →- Techniques subliminales ou manipulatrices
Art. 5, §1, a). Systèmes recourant à des techniques subliminales, délibérément manipulatrices ou trompeuses, altérant substantiellement le comportement et causant ou susceptibles de causer un préjudice important.
Voir ses liens dans la cartographie →- Exploitation de vulnérabilités
Art. 5, §1, b). Exploitation des vulnérabilités dues à l'âge, au handicap ou à la situation sociale ou économique, altérant substantiellement le comportement.
Voir ses liens dans la cartographie →Art. 5, §1, c). Évaluation ou classification de personnes sur la base de leur comportement social ou de caractéristiques personnelles, conduisant à un traitement défavorable dans un contexte dissocié de celui de la collecte, ou injustifié / disproportionné. Vise directement les scorings comportementaux transposés d'un domaine à un autre.
Voir ses liens dans la cartographie →- Prédiction individuelle d'infraction
Art. 5, §1, d). Évaluation du risque qu'une personne commette une infraction pénale sur la seule base d'un profilage ou de traits de personnalité. Ne couvre pas les systèmes étayant une évaluation humaine déjà fondée sur des faits objectifs et vérifiables.
Voir ses liens dans la cartographie →- Moissonnage non ciblé d'images faciales
Art. 5, §1, e). Création ou développement de bases de reconnaissance faciale par moissonnage non ciblé d'images provenant d'internet ou de la vidéosurveillance.
Voir ses liens dans la cartographie →- Reconnaissance des émotions au travail et à l'école
Art. 5, §1, f). Inférence des émotions d'une personne sur le lieu de travail et dans les établissements d'enseignement — interdite, sauf raisons médicales ou de sécurité. Point capital pour les outils RH : l'analyse émotionnelle en entretien, en visio ou en centre d'appels est interdite, pas seulement « à haut risque ».
Voir ses liens dans la cartographie →- Catégorisation biométrique sur attributs sensibles
Art. 5, §1, g). Catégorisation individuelle par données biométriques pour déduire la race, les opinions politiques, l'affiliation syndicale, les convictions religieuses ou philosophiques, la vie ou l'orientation sexuelle.
Voir ses liens dans la cartographie →- Identification biométrique à distance en temps réel à des fins répressives
Art. 5, §1, h) et §2 à §7. Interdite dans les espaces accessibles au public, sauf trois objectifs strictement nécessaires (victimes, menace imminente, suspect d'infraction grave de l'Annexe II), sous autorisation préalable d'une autorité judiciaire ou administrative indépendante, AIDF et enregistrement.
Voir ses liens dans la cartographie →- Contenus intimes non consentis et CSAM générés par IA
Interdiction ajoutée à l'art. 5 par le règlement Omnibus (UE) 2026/1744, avec période transitoire jusqu'au 02/12/2026. Vise les applications de « nudification » et la génération de matériel pédocriminel.
Voir ses liens dans la cartographie →- Information sur l'interaction avec une IA
Art. 50, §1. Le fournisseur conçoit le système destiné à interagir directement avec des personnes physiques de sorte qu'elles soient informées qu'elles parlent à une IA — sauf si cela est manifeste pour une personne normalement informée et raisonnablement attentive.
Voir ses liens dans la cartographie →- Marquage machine des contenus de synthèse
Art. 50, §2. Les fournisseurs de systèmes générant du contenu de synthèse (audio, image, vidéo, texte) marquent les sorties dans un format lisible par machine et identifiable comme généré ou manipulé par une IA. Exception pour les fonctions d'assistance à la mise en forme standard n'altérant pas substantiellement les données d'entrée.
Voir ses liens dans la cartographie →- Information en cas de reconnaissance des émotions ou catégorisation biométrique
Art. 50, §3. Le déployeur informe les personnes exposées du fonctionnement du système et traite les données conformément au RGPD. À lire avec l'art. 5, §1, f) : au travail, l'usage est en principe interdit, pas simplement soumis à information.
Voir ses liens dans la cartographie →- Divulgation des hypertrucages
Art. 50, §4. Le déployeur d'un système générant ou manipulant des images, audio ou vidéo constituant un hypertrucage (art. 3, 60) indique que le contenu a été généré ou manipulé par une IA. Régime allégé pour les œuvres manifestement artistiques, satiriques ou fictionnelles.
Voir ses liens dans la cartographie →
Domaines et cas d'usage à haut risque
- Voie « produit » — Annexe I
Art. 6, §1. Un système d'IA est à haut risque s'il est un composant de sécurité d'un produit couvert par la législation d'harmonisation de l'Annexe I (machines, jouets, ascenseurs, dispositifs médicaux, véhicules, aviation…) OU constitue lui-même un tel produit, ET si ce produit est soumis à une évaluation de conformité par un tiers. Les deux conditions sont cumulatives.
Voir ses liens dans la cartographie →- Voie « domaine » — Annexe III
Art. 6, §2. Sont à haut risque les systèmes relevant de l'un des huit domaines listés à l'Annexe III. C'est la voie qui concerne l'immense majorité des usages RH, sociaux et administratifs. Liste modifiable par acte délégué (art. 7).
Voir ses liens dans la cartographie →- Dérogation de l'article 6, §3
Art. 6, §3. Un système de l'Annexe III n'est PAS à haut risque s'il ne présente pas de risque important, ce qui est établi quand il : a) accomplit une tâche procédurale étroite ; b) améliore le résultat d'une activité humaine déjà réalisée ; c) détecte des constantes ou des écarts sans se substituer à l'évaluation humaine ; d) exécute une tâche préparatoire. Le fournisseur doit documenter cette évaluation avant mise sur le marché et s'enregistrer quand même (art. 6, §4 et art. 49, §2).
Voir ses liens dans la cartographie →- Profilage de personnes physiques
Art. 6, §3, dernier alinéa. Un système de l'Annexe III effectuant un profilage de personnes physiques est TOUJOURS à haut risque : la dérogation est neutralisée. Profilage au sens de l'art. 4, 4) du RGPD — évaluation automatisée d'aspects personnels, notamment rendement au travail, fiabilité, comportement. En RH, c'est la porte de sortie qui se referme presque toujours.
Voir ses liens dans la cartographie →- Annexe III.1 — Biométrie
Identification biométrique à distance (hors vérification un-à-un), catégorisation biométrique sur attributs sensibles ou protégés, reconnaissance des émotions. Seule rubrique dont l'évaluation de la conformité peut requérir un organisme notifié (art. 43, §1).
Voir ses liens dans la cartographie →- Annexe III.2 — Infrastructures critiques
Composants de sécurité dans la gestion et l'exploitation des infrastructures numériques critiques, du trafic routier, de la fourniture d'eau, gaz, chauffage, électricité. Seule rubrique dispensée d'AIDF (art. 27, §1) et enregistrée au niveau national (art. 49, §5).
Voir ses liens dans la cartographie →- Annexe III.3 — Éducation et formation professionnelle
Accès, admission ou affectation ; évaluation des acquis d'apprentissage ; orientation vers un niveau d'enseignement ; surveillance des comportements interdits lors d'examens.
Voir ses liens dans la cartographie →- Annexe III.4 — Emploi et gestion de la main-d'œuvre
Deux sous-rubriques : a) recrutement et sélection (publication ciblée d'offres, analyse et filtrage de candidatures, évaluation des candidats) ; b) décisions influant sur les conditions des relations professionnelles, la promotion, le licenciement, l'attribution de tâches sur la base du comportement ou de traits de personnalité, le suivi et l'évaluation des performances. Périmètre très large : il couvre autant les ATS que les outils d'évaluation, de scoring ou de pilotage de la performance.
Voir ses liens dans la cartographie →- Annexe III.5 — Services essentiels
Éligibilité aux prestations sociales, solvabilité et notation de crédit (hors détection de fraude), tarification en assurance-vie et santé, tri des appels d'urgence. Les points b) et c) déclenchent l'AIDF même pour un déployeur privé (art. 27, §1).
Voir ses liens dans la cartographie →- Annexe III.6 — Répression
Évaluation du risque de victimisation, polygraphes, évaluation de la fiabilité des preuves, évaluation du risque d'infraction ou de récidive, profilage à des fins répressives.
Voir ses liens dans la cartographie →- Annexe III.7 — Migration, asile et contrôle aux frontières
Polygraphes, évaluation de risques migratoires ou sanitaires, examen des demandes d'asile, de visa et de titre de séjour, détection et identification de personnes.
Voir ses liens dans la cartographie →- Annexe III.8 — Justice et processus démocratiques
Assistance aux autorités judiciaires pour rechercher et interpréter les faits ou la loi ; systèmes destinés à influencer le résultat d'une élection ou le comportement électoral.
Voir ses liens dans la cartographie →
Zoom RH — emploi et gestion de la main-d'œuvre
- Recrutement et sélection (III.4.a)
Systèmes d'IA destinés au recrutement ou à la sélection de personnes physiques. Sous-rubrique entière de l'Annexe III, point 4, a).
Voir ses liens dans la cartographie →- Décisions sur la relation de travail (III.4.b)
Systèmes destinés à prendre des décisions influant sur les conditions des relations professionnelles, ou à suivre et évaluer les personnes dans ce cadre. Sous-rubrique de l'Annexe III, point 4, b).
Voir ses liens dans la cartographie →- Publication ciblée d'offres d'emploi
Annexe III.4.a. Le ciblage algorithmique de la diffusion d'annonces est explicitement visé — y compris quand aucune décision individuelle n'est prise, puisque l'exposition différenciée à l'offre est déjà une sélection.
Voir ses liens dans la cartographie →- Analyse et filtrage des candidatures
Annexe III.4.a. Tri automatisé de CV, scoring de candidatures, présélection. Cœur du marché des ATS. Un simple classement, même « d'aide à la décision », relève du profilage dès qu'il évalue des aspects personnels.
Voir ses liens dans la cartographie →- Évaluation des candidats
Annexe III.4.a. Tests, questionnaires, entretiens assistés, inférence de compétences ou de traits. Domaine des outils psychométriques augmentés par IA.
Voir ses liens dans la cartographie →- Promotion et licenciement
Annexe III.4.b. Décisions de promotion ou de rupture prises ou facilitées par un système d'IA dans le cadre de relations professionnelles contractuelles.
Voir ses liens dans la cartographie →- Attribution de tâches selon le comportement ou la personnalité
Annexe III.4.b. Affectation algorithmique fondée sur le comportement individuel, des traits de personnalité ou des caractéristiques personnelles. Vise le management algorithmique.
Voir ses liens dans la cartographie →- Suivi et évaluation des performances
Annexe III.4.b. Monitoring et évaluation continue de la performance et du comportement. Attention au recouvrement avec l'art. 5, §1, f) : dès que le suivi infère des émotions, on bascule de « haut risque » à « interdit ».
Voir ses liens dans la cartographie →
Opérateurs et rôles
- Opérateur
Art. 3, 8). Terme générique couvrant fournisseur, fabricant de produits, déployeur, mandataire, importateur et distributeur. C'est l'unité de rattachement des sanctions (art. 99).
Voir ses liens dans la cartographie →- Mandataire
Art. 3, 5) et art. 22. Personne établie dans l'Union mandatée par écrit par un fournisseur de pays tiers pour exécuter ses obligations. Obligatoire pour tout fournisseur hors UE d'un système à haut risque.
Voir ses liens dans la cartographie →- Fournisseur
Art. 3, 3). Personne qui développe ou fait développer un système d'IA ou un modèle IAUG et le met sur le marché ou en service sous son propre nom ou sa marque, à titre onéreux ou gratuit. La gratuité n'exonère pas. Porte l'essentiel des obligations (art. 16).
Voir ses liens dans la cartographie →- Déployeur
Art. 3, 4). Personne utilisant un système d'IA sous sa propre autorité, hors activité personnelle non professionnelle. Anciennement « utilisateur » dans les versions de travail. Obligations de l'art. 26.
Voir ses liens dans la cartographie →- Employeur déployeur
Déployeur qui met en service ou utilise un système d'IA à haut risque sur le lieu de travail. Statut spécifique : obligations d'information des représentants des travailleurs (art. 26, §7) et des personnes concernées (art. 26, §11), sous réserve de dispositions nationales ou conventionnelles plus favorables (art. 2, §11).
Voir ses liens dans la cartographie →- Importateur
Art. 3, 6) et art. 23. Personne établie dans l'Union mettant sur le marché un système portant le nom d'une personne établie dans un pays tiers. Doit vérifier l'évaluation de conformité, la documentation technique, le marquage CE et le mandataire.
Voir ses liens dans la cartographie →- Distributeur
Art. 3, 7) et art. 24. Maillon de la chaîne d'approvisionnement autre que le fournisseur ou l'importateur, qui met le système à disposition sur le marché.
Voir ses liens dans la cartographie →- Fabricant de produit
Art. 25, §3. Quand un système à haut risque est un composant de sécurité d'un produit de l'Annexe I section A mis sur le marché sous la marque du fabricant, celui-ci est réputé fournisseur du système et supporte les obligations de l'art. 16.
Voir ses liens dans la cartographie →- Fournisseur en aval
Art. 3, 68). Fournisseur d'un système d'IA intégrant un modèle d'IA, que ce modèle soit développé en interne ou fourni par un tiers. Point de bascule contractuel : l'art. 53, §1 impose au fournisseur du modèle de lui transmettre les informations nécessaires.
Voir ses liens dans la cartographie →- Personne concernée
Art. 2, §1, g). Personne physique située dans l'Union affectée par un système d'IA. N'a pas d'obligations, mais des droits : réclamation (art. 85), explication (art. 86), information (art. 26, §11 et art. 50).
Voir ses liens dans la cartographie →- Requalification en fournisseur
Art. 25, §1. Un distributeur, importateur, déployeur ou tiers devient fournisseur — et supporte l'intégralité des obligations de l'art. 16 — s'il : a) commercialise le système sous son nom ou sa marque ; b) apporte une modification substantielle à un système à haut risque ; ou c) modifie la destination d'un système, y compris à usage général, de sorte qu'il devienne à haut risque. Le risque contractuel majeur pour un intégrateur ou un cabinet de conseil qui paramètre lourdement un outil pour un client.
Voir ses liens dans la cartographie →
Exigences et obligations
- Maîtrise de l'IA
Art. 4 (version consolidée). Fournisseurs et déployeurs prennent des mesures pour « favoriser le développement de la maîtrise de l'IA » de leur personnel, au regard de ses connaissances techniques, de son expérience et du contexte d'utilisation ; l'obligation « ne contraint pas [...] à garantir un niveau spécifique de maîtrise de l'IA par un individu ». Applicable depuis le 2 février 2025. Le texte de 2024 visait un « niveau suffisant » : le règlement (UE) 2026/1744 a assoupli la formulation. Obligation sans sanction directe à l'art. 99, mais opposable en cas de contentieux.
Voir ses liens dans la cartographie →- Obligations du mandataire
Art. 22. Vérifier la déclaration UE de conformité et la documentation technique, tenir à disposition des autorités les coordonnées et documents pendant dix ans, coopérer, et mettre fin au mandat s'il estime que le fournisseur agit contrairement au règlement.
Voir ses liens dans la cartographie →- Obligations du fournisseur de système à haut risque
Art. 16. Douze obligations : conformité aux exigences de la section 2, identification sur le produit, système de gestion de la qualité (art. 17), conservation documentaire (art. 18), journaux (art. 19), évaluation de la conformité (art. 43), déclaration UE (art. 47), marquage CE (art. 48), enregistrement (art. 49), mesures correctives (art. 20), preuve de conformité sur demande, accessibilité.
Voir ses liens dans la cartographie →- Obligations du déployeur de système à haut risque
Art. 26. Utiliser conformément à la notice ; confier le contrôle humain à des personnes compétentes, formées et dotées de l'autorité nécessaire (§2) ; assurer la pertinence et la représentativité des données d'entrée sous son contrôle (§4) ; surveiller le fonctionnement et suspendre l'usage en cas de risque (§5) ; conserver les journaux au moins six mois (§6) ; coopérer avec les autorités (§12).
Voir ses liens dans la cartographie →- Analyse d'impact sur les droits fondamentaux
Art. 27. Obligatoire AVANT déploiement, pour : les organismes de droit public, les entités privées fournissant des services publics, et les déployeurs des systèmes de l'Annexe III, points 5, b) et c) (solvabilité, tarification assurance-vie et santé). ⚠ Un employeur PRIVÉ déployant un outil RH de l'Annexe III.4 n'est donc PAS soumis à l'AIDF, sauf s'il fournit des services publics. Il reste soumis à l'art. 26 et, le cas échéant, à l'AIPD de l'art. 35 du RGPD. Résultats notifiés à l'autorité de surveillance du marché (§3).
Voir ses liens dans la cartographie →- Information des représentants des travailleurs
Art. 26, §7. Avant de mettre en service ou d'utiliser un système à haut risque sur le lieu de travail, l'employeur déployeur informe les représentants des travailleurs et les travailleurs concernés. Se combine avec les procédures nationales d'information-consultation du CSE.
Voir ses liens dans la cartographie →- Information des personnes soumises au système
Art. 26, §11. Le déployeur d'un système de l'Annexe III qui prend ou facilite des décisions concernant des personnes physiques les informe qu'elles y sont soumises. Vise directement le candidat trié par un ATS ou le salarié évalué.
Voir ses liens dans la cartographie →- Obligations de l'importateur
Art. 23. Vérifier avant mise sur le marché que l'évaluation de la conformité a été réalisée, que la documentation technique et la notice existent, que le marquage CE et la déclaration UE sont apposés, et qu'un mandataire est désigné. Conserver les documents dix ans.
Voir ses liens dans la cartographie →- Obligations du distributeur
Art. 24. Vérifier le marquage CE, la déclaration UE, la notice et le respect par le fournisseur et l'importateur de leurs obligations ; ne pas mettre à disposition un système non conforme ; prendre les mesures correctives nécessaires.
Voir ses liens dans la cartographie →- Obligations du fournisseur de modèle IAUG
Art. 53. Documentation technique du modèle (Annexe XI), information et documentation aux fournisseurs en aval (Annexe XII), politique de respect du droit d'auteur, résumé suffisamment détaillé des contenus d'entraînement. Applicable depuis le 02/08/2025. Allègements pour les modèles sous licence libre et ouverte, sauf risque systémique.
Voir ses liens dans la cartographie →- Obligations renforcées — risque systémique
Art. 55. En sus de l'art. 53 : évaluation du modèle avec essais contradictoires (red teaming), évaluation et atténuation des risques systémiques au niveau de l'Union, signalement des incidents graves au Bureau de l'IA, cybersécurité du modèle et de son infrastructure. Les codes de bonne pratique (art. 56) valent moyen de démonstration.
Voir ses liens dans la cartographie →- Système de gestion des risques
Art. 9. Processus itératif et continu sur tout le cycle de vie : identification et analyse des risques connus et raisonnablement prévisibles pour la santé, la sécurité et les droits fondamentaux ; estimation en usage conforme et en mauvaise utilisation raisonnablement prévisible ; mesures d'atténuation ; essais. Attention particulière aux effets sur les mineurs et les groupes vulnérables (§9).
Voir ses liens dans la cartographie →- Données et gouvernance des données
Art. 10. Jeux d'entraînement, de validation et de test pertinents, suffisamment représentatifs, exempts d'erreurs et complets « dans toute la mesure du possible ». Examen des biais susceptibles de porter atteinte aux droits fondamentaux ou d'induire une discrimination. L'art. 4 bis (ex-art. 10, §5) autorise, sous garanties strictes, le traitement de catégories particulières de données à seule fin de détection et correction des biais — l'Omnibus l'a ouverte, aux mêmes conditions, aux déployeurs de systèmes à haut risque et aux fournisseurs et déployeurs des autres systèmes et modèles d'IA (art. 4 bis, §2).
Voir ses liens dans la cartographie →- Documentation technique
Art. 11 et Annexe IV. Établie avant la mise sur le marché et tenue à jour : description générale, éléments de conception, architecture, ressources de calcul, jeux de données, métriques de performance, mesures de contrôle humain, gestion des risques. Forme simplifiée pour les PME et, depuis l'Omnibus, les petites entreprises à moyenne capitalisation.
Voir ses liens dans la cartographie →- Enregistrement automatique — journaux
Art. 12 (conception) et art. 19 (conservation par le fournisseur), art. 26, §6 (conservation par le déployeur, au moins six mois). Traçabilité du fonctionnement sur la durée de vie, permettant l'identification des situations de risque et la surveillance après commercialisation.
Voir ses liens dans la cartographie →- Transparence envers le déployeur — notice d'utilisation
Art. 13. Le système est conçu pour que son fonctionnement soit suffisamment transparent pour que le déployeur interprète et utilise les sorties de façon appropriée. La notice précise les caractéristiques, capacités et LIMITES de performance, y compris les circonstances pouvant conduire à des risques, et les niveaux d'exactitude par groupe de personnes. C'est l'article qui alimente en pratique l'art. 26 et l'art. 86.
Voir ses liens dans la cartographie →- Contrôle humain
Art. 14. Conception permettant une supervision humaine effective : comprendre les capacités et limites, rester conscient du biais d'automatisation (§4, b), interpréter correctement la sortie, décider de ne pas l'utiliser, interrompre le système. Le contrôle humain doit être possible par conception, pas seulement organisé par procédure.
Voir ses liens dans la cartographie →- Exactitude, robustesse et cybersécurité
Art. 15. Niveau approprié d'exactitude, de robustesse et de cybersécurité, constant sur le cycle de vie. Les niveaux d'exactitude et les métriques sont déclarés dans la notice. Résilience aux erreurs, aux défaillances et aux attaques spécifiques à l'IA (empoisonnement des données, attaques adverses, extraction de modèle).
Voir ses liens dans la cartographie →- Système de gestion de la qualité
Art. 17. Politiques, procédures et instructions écrites couvrant la stratégie de conformité, la conception, le développement, les tests, les spécifications techniques, la gouvernance des données, la gestion des risques, la surveillance après commercialisation, le signalement d'incidents et la communication avec les autorités. Mise en œuvre proportionnée à la taille de l'organisation, en particulier pour les PME et, depuis l'Omnibus, les petites entreprises à moyenne capitalisation.
Voir ses liens dans la cartographie →
Conformité, contrôle et gouvernance
- Norme harmonisée
Art. 40. Norme adoptée par les organismes européens de normalisation (CEN-CENELEC) sur demande de la Commission. Leur retard est une des raisons du report du régime haut risque données par l'Omnibus (considérant 40), avec celui des orientations et de la mise en place des autorités.
Voir ses liens dans la cartographie →- Présomption de conformité
Art. 40, §1 et art. 41, §3 (l'art. 42 ajoute deux présomptions particulières, pour les données et la cybersécurité). Le respect d'une norme harmonisée publiée au Journal officiel, ou à défaut d'une spécification commune adoptée par la Commission, confère une présomption de conformité aux exigences qu'elle couvre. Levier économique central : c'est ce qui rend l'auto-évaluation praticable.
Voir ses liens dans la cartographie →- Évaluation de la conformité
Art. 43 et art. 3, 20). Procédure démontrant le respect des exigences du chapitre III, section 2. À refaire en cas de modification substantielle (§4). L'apprentissage continu prédéterminé et documenté n'en déclenche pas de nouvelle.
Voir ses liens dans la cartographie →- Contrôle interne (Annexe VI)
Art. 43, §2. Auto-évaluation sans organisme notifié. C'est la voie par défaut pour TOUTES les rubriques 2 à 8 de l'Annexe III — donc pour tous les systèmes RH. Conséquence pratique : la qualité de la conformité repose entièrement sur la discipline documentaire du fournisseur, et le contrôle est ex post.
Voir ses liens dans la cartographie →- Organisme notifié (Annexe VII)
Art. 3, 22), art. 31 et art. 43, §1. Organisme tiers d'évaluation de la conformité. N'intervient que pour l'Annexe III point 1 (biométrie) lorsque les normes harmonisées ne sont pas appliquées, et pour les produits de l'Annexe I. Certificats valables quatre ans (Annexe III) ou cinq ans (Annexe I).
Voir ses liens dans la cartographie →- Déclaration UE de conformité
Art. 47. Établie par écrit par le fournisseur pour chaque système à haut risque, tenue à disposition des autorités pendant dix ans. Le fournisseur assume la responsabilité du respect des exigences.
Voir ses liens dans la cartographie →- Marquage CE
Art. 48 et art. 3, 24). Apposé de façon visible, lisible et indélébile sur le système, son emballage ou sa documentation, suivi du numéro d'identification de l'organisme notifié quand il intervient. Pour les systèmes purement numériques, marquage électronique.
Voir ses liens dans la cartographie →- Enregistrement
Art. 49. Le fournisseur (ou son mandataire) s'enregistre et enregistre le système dans la base de données de l'UE avant mise sur le marché — y compris, au titre du §2, lorsqu'il a conclu que le système N'EST PAS à haut risque en application de l'art. 6, §3. Les déployeurs publics s'enregistrent aussi (§3). L'Annexe III.2 est enregistrée au niveau national (§5).
Voir ses liens dans la cartographie →- Base de données de l'UE
Art. 71. Base gérée par la Commission, publique pour l'essentiel, avec une section sécurisée non publique pour les rubriques 1, 6 et 7 de l'Annexe III. Instrument central de transparence et de surveillance du marché.
Voir ses liens dans la cartographie →- Bureau de l'IA
Art. 3, 47) et art. 64. Fonction de la Commission chargée de la mise en œuvre, du suivi et de la surveillance des systèmes et modèles IAUG. Compétence exclusive sur les modèles IAUG (art. 88). L'Omnibus a élargi sa portée aux systèmes fournis par les fournisseurs de modèles IAUG et à ceux intégrés dans les très grandes plateformes au sens du DSA.
Voir ses liens dans la cartographie →- Comité européen de l'intelligence artificielle
Art. 65 et 66. Composé d'un représentant par État membre. Coordonne les autorités nationales, émet des recommandations et des avis, contribue à l'harmonisation des pratiques administratives.
Voir ses liens dans la cartographie →- Autorités nationales compétentes
Art. 3, 48) et art. 70. Chaque État membre désigne au moins une autorité notifiante et au moins une autorité de surveillance du marché, ainsi qu'un point de contact unique. En France, les autorités ne sont pas encore désignées : le projet de loi adopté par le Sénat le 18/02/2026 prévoit notamment la DGCCRF et la CNIL selon les domaines, et l'Assemblée nationale ne l'avait pas encore examiné au 02/11/2026.
Voir ses liens dans la cartographie →- Autorité notifiante
Art. 3, 19) et art. 28. Autorité nationale chargée d'évaluer, désigner, notifier et contrôler les organismes d'évaluation de la conformité.
Voir ses liens dans la cartographie →- Autorité de surveillance du marché
Art. 3, 26) et art. 74. Exerce les pouvoirs du règlement (UE) 2019/1020 : accès aux données et à la documentation, y compris au code source lorsque c'est nécessaire (§13), procédures des art. 79 à 83, mesures correctives, retraits et rappels. Reçoit les notifications d'AIDF et d'incidents graves.
Voir ses liens dans la cartographie →- Surveillance après commercialisation
Art. 72. Le fournisseur établit et documente un système proportionné de collecte et d'analyse des données d'expérience d'utilisation, sur la base d'un plan de surveillance faisant partie de la documentation technique.
Voir ses liens dans la cartographie →- Signalement d'incident grave
Art. 73 et art. 3, 49). Incident grave = décès ou atteinte grave à la santé, perturbation grave et irréversible d'infrastructures critiques, violation d'obligations protégeant les droits fondamentaux, dommage grave aux biens ou à l'environnement. Signalement dans les quinze jours, deux jours en cas d'infraction de grande ampleur, dix jours en cas de décès.
Voir ses liens dans la cartographie →- Bac à sable réglementaire
Art. 3, 55), art. 57 et 58. Cadre contrôlé permettant de développer, entraîner, valider et tester un système innovant sous supervision réglementaire. Chaque État membre doit en établir au moins un — échéance repoussée au 02/08/2027 par l'Omnibus. Accès prioritaire et gratuit pour les PME (art. 62).
Voir ses liens dans la cartographie →
Sanctions, recours et calendrier
- Amende jusqu'à 35 M€ ou 7 % du CA mondial
Art. 99, §3. Sanction du non-respect de l'interdiction des pratiques de l'art. 5. Le montant le plus élevé est retenu. Pour les PME, c'est au contraire le montant le plus FAIBLE qui s'applique (§6).
Voir ses liens dans la cartographie →- Amende jusqu'à 15 M€ ou 3 % du CA mondial
Art. 99, §4. Sanction du non-respect des obligations des fournisseurs (art. 16), mandataires (art. 22), importateurs (art. 23), distributeurs (art. 24), déployeurs (art. 26), organismes notifiés, et des obligations de transparence de l'art. 50.
Voir ses liens dans la cartographie →- Amende jusqu'à 7,5 M€ ou 1 % du CA mondial
Art. 99, §5. Sanction de la fourniture d'informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales.
Voir ses liens dans la cartographie →- Amende IAUG jusqu'à 15 M€ ou 3 % du CA mondial
Art. 101. Infligée par la Commission aux fournisseurs de modèles d'IA à usage général en cas de violation intentionnelle ou par négligence, de non-communication de documents ou de refus de se soumettre à une évaluation. Applicable à partir du 02/08/2026.
Voir ses liens dans la cartographie →- Droit de réclamation
Art. 85. Toute personne ayant un motif de considérer qu'il y a violation du règlement peut introduire une réclamation auprès de l'autorité de surveillance du marché concernée.
Voir ses liens dans la cartographie →- Droit à l'explication des décisions individuelles
Art. 86. Toute personne faisant l'objet d'une décision prise par un déployeur sur la base des sorties d'un système de l'Annexe III (hors point 2) et produisant des effets juridiques ou l'affectant significativement de façon défavorable a le droit d'obtenir du déployeur des explications claires et pertinentes sur le rôle du système dans la décision. Applicable directement aux décisions RH.
Voir ses liens dans la cartographie →- Protection des lanceurs d'alerte
Art. 87. Le signalement des violations du règlement relève de la directive (UE) 2019/1937 sur la protection des personnes qui signalent des violations du droit de l'Union.
Voir ses liens dans la cartographie →- 2 février 2025
Art. 113, a). Entrée en application des chapitres I et II : définitions, maîtrise de l'IA (art. 4) et interdictions (art. 5).
Voir ses liens dans la cartographie →- 2 août 2025
Art. 113, b). Entrée en application du chapitre V (modèles IAUG), du chapitre VII (gouvernance), du chapitre XII (sanctions, sauf art. 101), de la section 4 du chapitre III (organismes notifiés) et de l'art. 78.
Voir ses liens dans la cartographie →- 2 août 2026
Art. 113, alinéa 2. Entrée en application générale du règlement, dont l'art. 50 (transparence) et l'art. 101. Date NON reportée par l'Omnibus, sauf le marquage de l'art. 50, §2 pour les systèmes déjà sur le marché (2 décembre 2026, art. 111, §4).
Voir ses liens dans la cartographie →- 2 août 2027
Échéance d'établissement des bacs à sable réglementaires, repoussée d'un an par l'Omnibus (art. 57 dans sa version initiale : 02/08/2026).
Voir ses liens dans la cartographie →- 2 décembre 2027
Nouvelle date d'application du régime haut risque de l'Annexe III, fixée par le règlement Omnibus (UE) 2026/1744. Le texte de 2024 prévoyait le 02/08/2026.
Voir ses liens dans la cartographie →- 2 août 2028
Nouvelle date d'application du régime haut risque de l'Annexe I (art. 6, §1), fixée par l'Omnibus. Le texte de 2024 prévoyait le 02/08/2027 (art. 113, c).
Voir ses liens dans la cartographie →
Texte de référence : règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 après le règlement (UE) 2026/1744. Les définitions sont celles de la cartographie, mise à jour en même temps. Ce glossaire aide à lire le texte et ne vaut pas avis juridique.