Règlement européen sur l’IA : ce que l’État, les communes et les établissements publics doivent avoir prêt en décembre 2027

01Le point fin 2026

Entré en vigueur le 1er août 2024, le règlement (UE) 2024/1689 sur l’intelligence artificielle (ouvre un site externe) devient applicable en plusieurs vagues. L’omnibus numérique sur l’IA, adopté en juillet 2026 sous la forme du règlement (UE) 2026/1744 (ouvre un site externe), a repoussé le haut risque et corrigé d’autres articles. Ce texte s’applique depuis le 27 juillet 2026, soit juste avant l’échéance d’origine du haut risque.

Côté luxembourgeois, le projet de loi n° 8476 organise la mise en œuvre nationale. Il désignerait la Commission nationale pour la protection des données (CNPD) comme autorité de surveillance du marché par défaut et comme point de contact unique, aux côtés d’autorités sectorielles. Le texte n’était pas encore adopté à la date de rédaction : parlez donc de projet, et suivez son avancement à la Chambre des Députés.

On obtient un calendrier en trois temps : une partie est déjà due, une autre arrive en fin d’année, et les plus lourdes pour les organismes publics tombent en décembre 2027.

L’omnibus a aussi réécrit l’article 4. Fournisseurs et déployeurs doivent désormais prendre des mesures pour soutenir la maîtrise de l’IA de leur personnel, et non plus garantir un niveau suffisant. L’obligation subsiste ; seule la preuve attendue change. La bonne réponse reste la même : des formations ajustées aux fonctions, et un registre des participants.

02Fournisseur ou déployeur ?

Un ministère, une administration ou une commune est le plus souvent déployeur : il utilise un système d’IA sous sa propre autorité. Il devient fournisseur lorsqu’il développe un système, ou le fait développer, puis le met en service sous son nom. Un outil développé par vos équipes, ou commandé à un prestataire sur spécifications, vous place dans ce rôle.

Ces rôles peuvent évoluer. L’article 25 fait basculer le déployeur dans le rôle de fournisseur s’il transforme en profondeur un système à haut risque, ou s’il le détourne vers un usage qui le rend à haut risque. Précisez les rôles dès le dossier de soumission et dans le contrat, pour ne pas les découvrir lors d’un contrôle.

03Quels usages relèvent du haut risque ?

L’annexe III énumère les domaines où un système d’IA est présumé à haut risque. Pour le secteur public, retenez surtout :

• L’accès aux prestations et services publics essentiels : examen de l’éligibilité, octroi, réduction, retrait ou récupération d’une aide ou d’un service.
• La migration, l’asile et les frontières, les activités répressives et l’administration de la justice.
• L’enseignement : accès aux formations, notation, surveillance pendant les épreuves.
• L’emploi : recrutement, promotion, répartition des tâches et suivi du personnel. L’État et les communes sont aussi des employeurs.
• Les infrastructures critiques : IA servant de composant de sécurité pour les réseaux numériques, la circulation routière, l’eau, le gaz, le chauffage ou l’électricité.

La place financière est concernée au même titre : l’annexe III vise aussi l’évaluation de la solvabilité des personnes physiques et la tarification des assurances vie et santé. Une banque ou un assureur supervisé par la CSSF ou le Commissariat aux Assurances qui utilise l’IA pour ces décisions entre dans le régime à haut risque.

Un domaine listé à l’annexe III n’emporte pas automatiquement le classement. L’article 6, paragraphe 3, exclut du haut risque un système qui ne présente pas de risque important : il accomplit une tâche procédurale étroite, améliore un travail humain déjà terminé, repère des tendances sans remplacer l’appréciation d’une personne, ou prépare une évaluation. Un système qui établit le profil de personnes reste toujours à haut risque. Si vous invoquez cette exception, motivez-la par écrit.

Beaucoup d’outils utiles échappent au haut risque : aide à la rédaction, recherche dans la documentation interne, traduction entre le français, l’allemand et l’anglais, synthèse. La transparence et le RGPD continuent de s’y appliquer, pas le régime à haut risque.

04Les obligations du déployeur d’un système à haut risque

Dès le 2 décembre 2027, utiliser un système relevant de l’annexe III soumet l’organisme public à l’article 26 (ouvre un site externe). Les points principaux :

• Respecter la notice d’utilisation du fournisseur, avec les mesures techniques et organisationnelles adaptées.
• Confier le contrôle humain à des personnes compétentes, formées et dotées de l’autorité nécessaire, et les épauler.
• Veiller à ce que les données d’entrée qu’il maîtrise soient pertinentes et suffisamment représentatives de la finalité.
• Surveiller le fonctionnement et signaler sans retard injustifié risques et incidents graves au fournisseur et aux autorités.
• Conserver au moins six mois les journaux générés automatiquement, sauf autre règle du droit de l’Union ou du droit national.
• Informer les représentants du personnel et les agents concernés avant tout usage d’un système à haut risque au travail.
• En tant qu’autorité publique, enregistrer l’usage dans la base de données de l’UE avant la mise en service (article 26, paragraphe 8, et article 49). Sans enregistrement, pas d’utilisation.
• Prévenir les personnes lorsqu’un tel système sert à prendre ou à préparer une décision qui les concerne (article 26, paragraphe 11). L’article 86 leur ouvre en outre le droit d’obtenir une explication de la décision prise à leur égard.

L’analyse d’impact sur les droits fondamentaux

Avant de mettre en service la plupart des systèmes de l’annexe III, les organismes de droit public, ainsi que les entreprises privées chargées d’une mission de service public, évaluent leurs effets sur les droits fondamentaux (article 27 (ouvre un site externe)). Les infrastructures critiques en sont exclues. L’analyse décrit :

1. 01les processus dans lesquels le système interviendra, conformément à sa destination ;
2. 02la durée et la fréquence d’utilisation ;
3. 03les personnes et groupes que le système peut affecter ;
4. 04les risques précis de préjudice pour ces personnes ;
5. 05la mise en œuvre du contrôle humain ;
6. 06la conduite à tenir si les risques se réalisent, gouvernance interne et voies de réclamation comprises.

Les résultats sont notifiés à l’autorité de surveillance du marché, qui serait par défaut la CNPD si le projet de loi n° 8476 est adopté en l’état. L’analyse va de pair avec l’analyse d’impact prévue à l’article 35 du RGPD, sur laquelle elle peut s’appuyer ; conduisez-les en parallèle. Le Bureau de l’IA doit proposer un questionnaire type (article 27, paragraphe 5) : regardez s’il existe avant de concevoir le vôtre.

05La transparence, déjà applicable

L’article 50 s’applique depuis le 2 août 2026. Le fournisseur conçoit tout système qui dialogue avec des personnes de façon à les informer qu’elles s’adressent à une IA, sauf évidence, et appose sur les contenus générés un marquage exploitable par une machine. Côté déployeur, il faut signaler les hypertrucages et les textes produits ou retouchés par IA qui informent le public sur un sujet d’intérêt général, à moins qu’une personne les ait relus et qu’un responsable éditorial les assume.

Situation type pour une administration ou une commune : un assistant en ligne qui répond aux résidents. Annoncez sans ambiguïté qu’il s’agit d’une IA, dans chacune des langues qu’il propose, précisez ce qu’il sait faire et ne pas faire, et donnez un accès à un interlocuteur humain.

06Un plan de préparation pour 2026 et 2027

1. 01Inventorier, dès maintenant. Chaque système d’IA en service ou en cours d’acquisition, sans oublier les fonctions d’IA cachées dans vos logiciels sous licence. Pour chacun : responsable, finalité, fournisseur, données utilisées, personnes concernées.
2. 02Classer, d’ici début 2027. Interdit, haut risque (avec la motivation de l’article 6, paragraphe 3), transparence seule ou risque minimal. Notez aussi votre rôle de fournisseur ou de déployeur.
3. 03Revoir les contrats en 2027. Exigez du fournisseur sa notice, son dossier de conformité et un accès aux journaux. Inscrivez dans le contrat leur appui à votre analyse d’impact et à la notification des incidents.
4. 04Organiser le contrôle humain. Nommez les personnes, formez-les, autorisez-les à contredire le système et prévoyez à qui elles s’adressent en cas de doute. Prévenez le biais d’automatisation ; notre article sur l’approbation des actions d’un agent IA montre comment.
5. 05Mettre en place journalisation et surveillance. Six mois de journaux au minimum, une définition écrite de l’incident grave et un responsable de sa déclaration.
6. 06Avant la première utilisation. Analyse d’impact sur les droits fondamentaux menée avec l’analyse d’impact RGPD, enregistrement dans la base de l’UE, information du personnel et des personnes concernées.
7. 07Entretenir les compétences. Formation par rôle pour utilisateurs, approbateurs et décideurs, renouvelée quand les systèmes changent, avec un registre des personnes formées.

07Sanctions et contrôle

Le régime des sanctions relève des États membres. L’article 99, paragraphe 8, laisse chaque État décider si, et jusqu’où, ses propres administrations s’exposent à des amendes. Au Luxembourg, la réponse dépendra de la loi d’exécution, encore en projet. Ce n’est pas une raison d’attendre : l’autorité de surveillance peut imposer des corrections, et la légitimité d’un acte administratif tient à ce qu’il puisse être expliqué et contesté.

08Points à suivre

• Le vote du projet de loi n° 8476 et la liste définitive des autorités compétentes au Luxembourg.
• Les orientations attendues de la Commission sur le classement en haut risque (article 6, paragraphe 5), qui compléteront ses orientations sur les pratiques interdites (ouvre un site externe).
• Les normes harmonisées du haut risque, base de la démonstration de conformité des fournisseurs.
• Le modèle du Bureau de l’IA pour l’analyse d’impact sur les droits fondamentaux, et les premières orientations de la CNPD pour les déployeurs publics.

L’AI Act Service Desk (ouvre un site externe) publie le calendrier officiel et commente chaque article. Consultez-le régulièrement, et mettez une date sur vos notes internes : le cadre évolue encore.