AI Act : l’échéance des SHR repoussée au 2 décembre 2027

L’Union européenne a repoussé au 2 décembre 2027 l’application des principales obligations concernant les systèmes d’intelligence artificielle classés à haut risque au titre de l’article 6, paragraphe 2, et de l’annexe III de l’AI Act.

Cette modification a été introduite par le règlement (UE) 2026/1744 du 8 juillet 2026, dit « AI Omnibus », entré en vigueur le 27 juillet 2026. Il modifie notamment l’article 113 du règlement (UE) 2024/1689. Les sections 1, 2 et 3 du chapitre III s’appliqueront désormais à ces systèmes à partir du 2 décembre 2027. Pour les systèmes à haut risque intégrés à certains produits réglementés visés à l’annexe I, l’échéance est fixée au 2 août 2028.

Ce n’est donc pas un report général de l’AI Act. Le règlement est applicable dans son ensemble depuis le 2 août 2026, avec plusieurs dispositions entrées en vigueur auparavant.

Pourquoi ce report ?

Le règlement 2026/1744 justifie ce décalage par le retard pris dans la disponibilité des normes harmonisées, spécifications communes, lignes directrices et dans la mise en place de certaines autorités nationales compétentes.

L’Union européenne a considéré que maintenir l’échéance initiale du 2 août 2026 risquait de compliquer fortement l’application des règles et d’augmenter inutilement les coûts de mise en conformité.

L’AI Act : qui est concerné ?

L’AI Act organise la réglementation de l’intelligence artificielle selon les usages et les niveaux de risque. Il distingue notamment les systèmes interdits, les obligations de transparence, les modèles d’IA à usage général et les systèmes considérés comme à haut risque.

Le règlement concerne différents acteurs selon leur rôle : fournisseurs, déployeurs, importateurs ou distributeurs. Une entreprise ou un établissement qui utilise un système d’IA peut donc être concerné même s’il ne l’a pas développé.

Le report au 2 décembre 2027 vise en particulier les domaines de l’annexe III : biométrie, infrastructures critiques, éducation et formation professionnelle, emploi, accès à certains services essentiels, maintien de l’ordre, migration ou administration de la justice.

Éducation et formation : quels usages sont concernés ?

L’annexe III identifie plusieurs usages de l’IA dans l’éducation et la formation professionnelle comme potentiellement à haut risque. C’est notamment le cas des systèmes utilisés pour :

• Déterminer l’accès, l’admission ou l’affectation d’une personne dans un établissement ou une formation.
• Évaluer les acquis lorsque cette évaluation influence son parcours.
• Déterminer le niveau d’enseignement ou de formation approprié.
• Surveiller ou détecter certains comportements interdits pendant un examen.

La distinction porte donc sur l’usage du système, et non simplement sur le fait d’utiliser de l’intelligence artificielle. Une IA servant à préparer un support de cours ou à effectuer une tâche administrative n’entre pas automatiquement dans cette catégorie.

Quelles obligations s’appliqueront à partir du 2 décembre 2027 ?

Les sections 1 à 3 du chapitre III prévoient plusieurs exigences importantes pour les systèmes à haut risque. Parmi les principales :

Le cadre ne se limite toutefois pas à ces exigences : les articles 6 et 7 servent à qualifier les systèmes à haut risque, les articles 8 à 15 définissent les exigences applicables à ces systèmes et les articles 16 à 27 organisent les obligations des différents acteurs. Ces dispositions s’appliqueront le 2 décembre 2027 aux usages de l’annexe III, notamment dans l’éducation et la formation, et le 2 août 2028 aux systèmes intégrés aux produits réglementés de l’annexe I.

• Article 9 : système de gestion des risques.
• Article 10 : gouvernance et qualité des données.
• Articles 11 et 12 : documentation technique et journalisation.
• Article 13 : transparence et information des déployeurs.
• Article 14 : contrôle humain.
• Article 15 : exactitude, robustesse et cybersécurité.

Toutes ces obligations ne reposent pas sur le même acteur : certaines concernent principalement le fournisseur du système, d’autres directement son déployeur.

Pour les entreprises, écoles ou organismes de formation utilisateurs, l’article 26 est particulièrement important. Il encadre notamment les conditions d’utilisation des systèmes à haut risque, la supervision humaine, le suivi du fonctionnement et, dans certains cas, la conservation des journaux générés par le système.

Le contrôle humain ne doit donc pas être purement formel : les personnes chargées de cette supervision doivent disposer des compétences et de l’autorité nécessaires.

La formation à l’IA est, elle, déjà une obligation

Le report au 2 décembre 2027 ne concerne pas l’article 4 relatif à la maîtrise de l’IA. Cette disposition est applicable depuis le 2 février 2025. Elle a été modifiée par le règlement 2026/1744 mais son principe demeure : fournisseurs et déployeurs doivent prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leurs collaborateurs et des personnes utilisant ces systèmes pour leur compte.

Le texte précise désormais qu’il ne leur est pas demandé de garantir un niveau déterminé de maîtrise pour chaque personne. Il ne prévoit pas non plus de certification obligatoire ou de fonction spécifique comparable à un DPO : les mesures doivent être adaptées aux connaissances, à l’expérience, à la formation des personnes et au contexte réel d’utilisation de l’IA.

Pour les organisations utilisant des systèmes à haut risque, cette question de compétence deviendra d’autant plus importante que l’article 26 impose une supervision humaine effective.

Que faut-il faire d’ici aux échéances ?

Le report au 2 décembre 2027 ne signifie pas qu’il faut attendre cette date pour agir. Certaines obligations sont déjà applicables, notamment l’article 4 sur la maîtrise de l’IA, en vigueur depuis le 2 février 2025.

Les organisations doivent donc distinguer ce qui aurait déjà dû être engagé de ce qui doit être préparé pour les systèmes à haut risque. Dès maintenant, il faut notamment :

• Identifier les systèmes et usages d’IA réellement présents dans l’organisation.
• Vérifier si des usages relèvent ou pourraient relever de l’article 6, paragraphe 2, et de l’annexe III.
• Formaliser les règles d’usage et les responsabilités.
• Mettre en place les actions nécessaires de maîtrise de l’IA auprès des collaborateurs concernés.
• Repérer les processus dans lesquels une IA intervient dans une décision ou une évaluation concernant une personne.

Pour les systèmes susceptibles d’être qualifiés à haut risque, la période allant jusqu’au 2 décembre 2027 doit ensuite permettre de préparer progressivement les exigences des articles 9 à 15 et les obligations du déployeur prévues à l’article 26 : gestion des risques, données, documentation, traçabilité, transparence, supervision humaine, robustesse et cybersécurité.

Dans l’éducation et la formation, cette préparation concerne en priorité les processus d’admission, d’orientation, d’évaluation et d’examen lorsqu’une IA y joue un rôle significatif.

IACareer peut vous accompagner

IACareer accompagne les entreprises dans l’intégration de l’intelligence artificielle, avec une expertise particulière en formation, amélioration des processus et qualité.

Son positionnement au croisement de l’IA et de la formation lui permet également d’accompagner spécifiquement les écoles, organismes de formation et établissements d’enseignement supérieur dans la préparation aux exigences de l’AI Act et à l’échéance du 2 décembre 2027.

Crédit de l’image principale : © Union européenne 2024 – Source : Parlement européen. Photo : Mathieu Cugnot.