L'AI Act de l'UE entre en vigueur en août 2026, les règles pour l'IA à haut risque sont reportées

L'AI Act de l'UE entre officiellement en application, mais avec un bémol

Début août 2026, le règlement européen sur l'intelligence artificielle (AI Act) est passé du statut de législation en attente à un corpus juridique que les entreprises doivent concrètement appliquer. Le dernier bulletin de veille sur la protection des données de TechGDPR signale cette étape importante, en précisant que le règlement est devenu applicable alors que les règles relatives aux systèmes d'IA à haut risque sont temporairement exclues. Pour quiconque suit l'évolution de la réglementation sur l'IA et son intersection avec la protection de la vie privée, il s'agit d'un moment clé : la loi est techniquement en vigueur, mais l'un de ses chapitres les plus importants est en suspens.

L'AI Act a été conçu autour d'une approche fondée sur les risques. Les systèmes sont classés par catégories, allant du risque minimal au risque inacceptable, les obligations s'intensifiant à mesure que le niveau de risque augmente. L'IA à haut risque — pensez aux systèmes utilisés dans le recrutement, l'évaluation du crédit, les forces de l'ordre ou les diagnostics médicaux — a toujours été censée supporter la charge de conformité la plus lourde : évaluations de conformité, exigences de surveillance humaine et documentation détaillée. Le fait que ces obligations spécifiques soient reportées, alors même que la loi plus large entre en application, en dit long sur la difficulté qu'ont eue les régulateurs et l'industrie à s'entendre sur les calendriers de mise en œuvre des dispositions les plus exigeantes.

Pourquoi les règles sur l'IA à haut risque sont-elles en pause ?

Ce report ne signifie pas que les régulateurs aient assoupli leur position en matière de surveillance de l'IA. Il reflète plutôt la réalité pratique du déploiement d'une loi aussi complexe. Les organismes de normalisation, les régulateurs nationaux et la Commission européenne ont tous eu besoin de plus de temps pour finaliser les spécifications techniques que les fournisseurs d'IA à haut risque devront respecter. Plutôt que de forcer les entreprises à se conformer à des règles qui n'étaient pas encore entièrement définies, les obligations liées aux systèmes à haut risque ont été repoussées, tandis que le reste du règlement, y compris les dispositions sur les pratiques interdites et la maîtrise de l'IA, est entré en vigueur comme prévu.

Ce déploiement progressif est particulièrement important pour les professionnels de la protection des données. De nombreux cas d'usage de l'IA à haut risque — identification biométrique, prise de décision automatisée dans l'emploi ou l'octroi de prêts — impliquent un traitement substantiel de données personnelles. Lorsque l'échéance de mise en conformité pour ces systèmes est repoussée, cela crée une lacune temporaire où les garanties spécifiques à l'IA ne sont pas encore applicables, même si les obligations du RGPD concernant ces mêmes activités de traitement restent pleinement en vigueur. Les organisations ne peuvent pas considérer ce report comme un blanc-seing pour ce qui est de la conformité globale en matière de vie privée ; seule la couche supplémentaire d'exigences de l'AI Act pour les catégories à haut risque est temporairement suspendue.

Le lien avec le RGPD : la protection de la vie privée reste au cœur des préoccupations

L'un des points les plus utiles à comprendre à propos de l'AI Act est qu'il ne remplace pas le RGPD, il s'y ajoute. Tout système d'IA qui traite des données personnelles, qu'il soit classé comme à haut risque ou non, doit toujours satisfaire à la législation existante sur la protection des données : une base juridique pour le traitement, la transparence envers les personnes concernées et des garanties contre les abus. L'AI Act ajoute des règles sectorielles et spécifiques aux risques sur cette fondation.

Cette approche à deux voies n'est pas propre à l'UE. Les régimes de protection des données du monde entier sont confrontés à des questions similaires sur la manière de réglementer les nouvelles technologies sans créer de lacunes dans la surveillance. L'autorité de régulation des télécommunications du Zimbabwe, par exemple, se prépare à faire appliquer activement sa propre loi sur la protection des données à partir de septembre 2026, un changement couvert dans notre rapport sur les projets d'application de la POTRAZ. Ailleurs, des propositions comme le plan de l'Afrique du Sud visant à lier l'enregistrement des cartes SIM mobiles à l'identité numérique ont suscité des préoccupations similaires quant à l'utilisation des données personnelles une fois collectées, un sujet que nous avons exploré dans notre couverture du débat sur le lien SIM-identité en Afrique du Sud. Différentes régions, différents mécanismes, mais la même tension sous-jacente : la technologie évolue plus vite que les règles censées la régir.

Ce que cela signifie pour vous

Si vous êtes un consommateur, l'impact pratique immédiat est limité. Les dispositions de l'AI Act sur l'IA à haut risque visaient dès le départ les entreprises et les organismes publics qui déploient des systèmes d'IA, et non les utilisateurs individuels. Mais il est utile de suivre le déploiement général, car il témoigne du sérieux avec lequel les régulateurs prennent le traitement des données par l'IA, et du travail qu'il reste à faire avant que ces protections ne soient pleinement en place.

Si vous travaillez dans une entreprise qui développe ou déploie des outils d'IA concernant des utilisateurs de l'UE, le report des obligations à haut risque ne signifie pas que vous pouvez attendre pour vous préparer. Les régulateurs ont clairement indiqué que le report porte sur le calendrier de mise en œuvre, pas sur un changement de cap. Prendre de l'avance sur la documentation, les évaluations des risques et la gouvernance des données dès maintenant sera crucial lorsque les échéances pour les systèmes à haut risque arriveront.

Principaux points à retenir

• L'AI Act de l'UE est devenu applicable en août 2026, mais les obligations relatives aux systèmes d'IA à haut risque ont été temporairement exclues, en attendant la finalisation des normes techniques.
• Les obligations du RGPD continuent de s'appliquer pleinement, quel que soit le déploiement progressif de l'AI Act ; tout traitement de données personnelles lié à des systèmes d'IA nécessite donc toujours une base juridique et la transparence.
• Les entreprises qui déploient de l'IA dans l'UE doivent considérer ce report comme une fenêtre de planification, et non comme une exemption de conformité, et continuer à se préparer en vue des futures exigences pour les systèmes à haut risque.
• Observer la manière dont d'autres juridictions, du Zimbabwe à l'Afrique du Sud, abordent l'application de la protection des données offre un contexte utile sur la dynamique réglementaire mondiale autour des données personnelles, qui s'intensifie en parallèle des règles spécifiques à l'IA.