Première norme de l’AI Act de l’UE et analyse de son application

La phrase la plus coûteuse dans la gouvernance de l’IA est généralement une variante de : nous avons une politique pour cela. Les politiques ne coûtent pas cher. Les preuves, c’est là que les factures commencent.

Pearl Cohen indique que le règlement européen sur l’IA dispose désormais de sa première norme harmonisée et que le Bureau européen de l’IA a pris ses premières mesures d’application. Les extraits publics accessibles à NewsPals ne divulguent pas le texte complet de la norme signalée, sa date de publication, ni les cibles des actions mentionnées. Il faut donc considérer ce rapport comme un signal opérationnel plutôt que comme un dossier de conformité complet. Le point utile est plus précis et plus durable : le règlement sur l’IA quitte la scène des panels de conférence et entre dans les achats, les audits et les échanges avec les régulateurs.

La norme rend les contrôles auditables

Pearl Cohen présente cette évolution comme la première norme harmonisée du règlement européen sur l’IA, tandis que la Commission européenne identifie le règlement sur l’IA comme le règlement (UE) 2024/1689 et le décrit comme un cadre juridique complet pour l’IA. La Commission indique que la loi applique des règles fondées sur les risques aux développeurs et aux déployeurs d’IA selon des usages précis, ce qui est la partie que les concepteurs devraient entourer en rouge. Une norme compte parce qu’elle donne aux entreprises un moyen de transformer de larges obligations juridiques en contrôles répétables, responsables désignés, journaux de modifications, vérifications des fournisseurs et dossiers de preuves qui ne disparaissent pas lorsqu’un chef de produit change de poste.

Le propre calendrier de la Commission montre déjà pourquoi cela ne peut pas rester théorique. Selon la Commission, les interdictions 1 à 8 sont devenues effectives en février 2025, l’interdiction 9 entre en vigueur en décembre 2026, et son fil d’actualité a recensé une demande de normalisation provisoire sur les normes européennes de qualité des données datée du 23 octobre 2026. Ce n’est pas une seule échéance de conformité. C’est une chaîne de production.

@title Calendrier opérationnel du règlement européen sur l’IA
@source AI Act Shaping Europes digital future
@source GROWTH Draft standardisation request

  Feb 2025 ····· Prohibitions 1 to 8
  23 Oct 2026 ·· Data quality request
  Dec 2026 ····· Prohibition 9

@caption Le calendrier du règlement sur l’IA passe des interdictions aux normes et aux preuves.

Pour un concepteur, l’obligation simple n’est pas d’écrire une page plus élégante sur les principes de l’IA. Elle consiste à savoir quels systèmes sont concernés, pourquoi ils sont classés ainsi, quels contrôles des données et des modèles s’appliquent, et qui peut le prouver. Si une norme harmonisée devient le point de référence pour la conformité, alors votre système interne de gestion de la qualité devient un artefact tourné vers le régulateur, et non un passe-temps interne.

Le Bureau de l’IA est la partie qui a des dents

La Commission européenne indique que le Bureau européen de l’IA se trouve au sein de la Commission et sert de base à un système unique de gouvernance de l’IA. Plus important encore pour les fournisseurs de modèles d’IA à usage général, la Commission indique que le Bureau de l’IA met en œuvre le règlement sur l’IA, en particulier pour l’IA à usage général, et fait appliquer les règles relatives aux modèles d’IA à usage général. Le rapport de Pearl Cohen sur les premières mesures d’application arrive donc au même endroit que les juristes n’aiment pas qualifier d’enthousiasmant : demandes, évaluations, mesures et sanctions possibles.

La Commission indique que le Bureau de l’IA peut évaluer les modèles d’IA à usage général, demander aux fournisseurs des informations et des mesures, et appliquer des sanctions. Elle précise aussi que le Bureau compte plus de 125 agents, avec 6 unités et 2 conseillers. Ce n’est pas une garantie d’application agressive, mais c’est une masse institutionnelle suffisante pour faire de la conformité de façade une mauvaise stratégie à long terme. Nous accueillons favorablement la clarté des régulateurs, traduit depuis le dialecte d’entreprise, signifie que les classeurs sont en cours de constitution.

Pour les fournisseurs de modèles, le dossier pratique devrait inclure la documentation du modèle, les dossiers d’évaluation des risques, les résultats d’évaluation, les circuits de gestion des incidents, les restrictions d’usage en aval et les explications destinées aux clients. Pour les entreprises qui intègrent des modèles tiers, la discussion contractuelle change. La diligence raisonnable envers les fournisseurs devrait demander quelles preuves liées au règlement sur l’IA le fournisseur peut fournir, à quelle vitesse il peut répondre aux demandes d’information des régulateurs, et si le client peut s’appuyer sur ces preuves pour ses propres dossiers de déploiement.

Les systèmes à haut risque ont besoin d’une classification, pas d’impressions

La Commission indique que le règlement sur l’IA interdit les systèmes d’IA qui menacent la sécurité, les moyens de subsistance et les droits, et considère comme à haut risque les systèmes susceptibles de présenter des risques sérieux pour la santé, la sécurité ou les droits fondamentaux. Cela signifie que l’analyse du champ d’application ne peut pas s’arrêter à la couche du modèle. Le même modèle peut être banal dans un flux de travail et juridiquement intéressant dans un autre, c’est pourquoi les déployeurs ont besoin d’inventaires de cas d’usage plutôt que d’assurances génériques de la part des fournisseurs.

Le document de travail de la Stanford Law School sur le règlement européen sur l’IA et le RGPD ajoute la complication liée à la vie privée que les concepteurs essaient souvent de remettre à plus tard. Il soutient que lorsqu’un système d’IA traite des données personnelles, le RGPD et le règlement sur l’IA s’appliquent de manière cumulative et parallèle, le règlement sur l’IA laissant le RGPD inchangé sauf pour deux exceptions étroites. Version sèche : réussir un contrôle au titre du règlement sur l’IA ne désinfecte pas magiquement un problème de protection des données.

Selon le document de Stanford, ce chevauchement est gérable, mais il n’est pas imaginaire. Les équipes produit devraient cartographier le traitement des données personnelles en même temps que la classification du risque lié à l’IA, et non après. L’ensemble de preuves devrait relier les choix de données d’entraînement ou d’entrée, les mesures de qualité des données, la supervision humaine, les avis aux utilisateurs et la gestion des droits lorsque des données personnelles sont concernées. Si ces dossiers vivent dans des outils séparés appartenant à des équipes séparées, le premier audit sera éducatif de la même manière qu’une chirurgie dentaire est éducative.

La demande sur la qualité des données annonce la prochaine liste de contrôle

L’élément publié par la Commission dans son fil d’actualité le 23 octobre 2026 identifie une demande de normalisation provisoire adressée aux organisations européennes de normalisation concernant les normes européennes de qualité des données. Cela touche de près à la conformité au règlement sur l’IA pour une raison simple : les contrôles des IA à haut risque ne sont convaincants qu’à la mesure des preuves sur les données qui les soutiennent. Si votre réponse à la qualité des données est une capture d’écran de tableau de bord datant du trimestre dernier, gagnez du temps pour tout le monde et appelez cela incomplet.

La prochaine action utile est une revue des écarts en trois colonnes : exigence juridique, contrôle opérationnel, preuve conservée. Les développeurs devraient l’associer aux points de validation des versions. Les déployeurs devraient l’associer aux achats et aux approbations de systèmes. Les utilisateurs d’IA à usage général devraient ajouter les preuves du fournisseur de modèle au même dossier, car externaliser le modèle n’externalise pas toutes les obligations.

Surveillez le texte complet de la norme harmonisée signalée, tout détail public sur les mesures d’application du Bureau de l’IA, et l’évolution des travaux de normalisation de la Commission sur la qualité des données. Le règlement sur l’IA ne devient pas simple. Il devient administrable, ce qui est moins glamour et beaucoup plus important.