Règlement européen sur l’IA : ce que la nouvelle phase de 2026 signifie pour les entreprises

Avec l’entrée en application progressive du Règlement européen sur l’IA, la question n’est plus de savoir s’il faut se conformer, mais comment transformer cette obligation en avantage concurrentiel.

En 2026, la situation change.

Depuis le 2 août, certaines dispositions sont applicables. La conformité à l’IA ne peut plus être considérée uniquement comme un projet futur : elle doit progressivement s’intégrer aux processus IT et métier.

2026 : une nouvelle étape dans le calendrier 

Le Règlement européen sur l’IA suit un calendrier progressif :

Les entreprises doivent anticiper ces échéances plutôt que d’attendre qu’elles arrivent.

Une première question : quel est le rôle de l’entreprise ? 

Le règlement distingue plusieurs rôles provider, déployer et importer selon la manière dont une organisation intervient dans un système d’IA. Chaque rôle emporte des responsabilités différentes. Au-delà de cette qualification, une question demeure : que doit pouvoir démontrer l’entreprise une fois le système utilisé ?

La conformité ne repose pas uniquement sur le choix du fournisseur 

Utiliser une solution d’IA proposée par un fournisseur reconnu ne suffit pas à limiter les responsabilités. Le règlement accorde une place importante aux preuves : les entreprises doivent pouvoir démontrer comment les risques sont évalués, quels contrôles sont en place et comment le système est suivi. Il ne s’agit pas seulement de choisir une solution réputée, mais de conserver les éléments permettant de prouver que le système est correctement évalué et contrôlé.

Article 9 : la gestion des risques doit être continue 

Pour les systèmes à haut risque, l’article 9 prévoit une gestion des risques tout au long du cycle de vie. Elle consiste à identifier les problèmes, en rechercher les causes, évaluer leur gravité, mettre en place des contrôles, documenter les actions et vérifier leur efficacité.

Cette approche doit rester continue. Une mise à jour du modèle, de nouvelles données, une nouvelle fonctionnalité ou un changement d’usage peuvent modifier le niveau de risque et nécessiter une nouvelle évaluation.

Article 10 : les données utilisées par l’IA comptent aussi

Les performances d’un système d’IA dépendent largement des données d’entraînement, de validation et de test. L’article 10 exige, pour les systèmes à haut risque, une gouvernance des données : elles doivent être pertinentes, représentatives et limiter les risques de biais.

Les entreprises doivent donc savoir quelles données alimentent leurs systèmes et comment leur qualité est contrôlée, surtout lorsque ces données proviennent de plusieurs sources ou évoluent régulièrement.

Article 11 : la documentation technique ne peut pas rester figée 

L’article 11 prévoit une documentation technique permettant de comprendre la conception, les données, le fonctionnement et la finalité des systèmes à haut risque. Ces informations, souvent réparties entre plusieurs équipes, doivent être rassemblées et maintenues à jour.

Les mises à jour de modèles, les nouvelles données, les fonctionnalités ou les changements de risques doivent y être reflétés.

Article 12 : les événements doivent pouvoir être retracés 

L’article 12 prévoit l’enregistrement automatique des événements pertinents et, pour la plupart des systèmes à haut risque, la conservation des journaux pendant au moins six mois.

Lorsque l’IA est gérée par un tiers, les entreprises doivent savoir où les journaux sont stockés, qui peut y accéder, combien de temps ils sont conservés et comment les récupérer. Un historique n’est utile que s’il peut être retrouvé et analysé.

Article 14 : la supervision humaine doit être réelle 

L’article 14 rappelle que la supervision humaine ne consiste pas simplement à placer une personne entre l’IA et la décision finale. Les utilisateurs doivent comprendre les capacités et les limites du système, savoir interpréter ses résultats et intervenir lorsqu’une recommandation semble incorrecte. L’IA peut assister une décision, mais la responsabilité humaine doit rester présente.

L’évaluation de conformité met les contrôles à l’épreuve 

Les articles 9, 11, 12 et 14 imposent notamment la gestion des risques, la documentation technique, la journalisation et une supervision humaine appropriée. L’évaluation de conformité vérifie si ces exigences sont réellement respectées. Selon le système, elle peut être réalisée par l’organisation elle-même ou nécessiter l’intervention d’un tiers.

Les prochaines échéances ne doivent pas être mises de côté

Certaines obligations pour les systèmes à haut risque entreront en vigueur en décembre 2027, d’autres en août 2028, et certaines infrastructures publiques disposent d’un délai jusqu’en 2030. Ces échéances laissent du temps, mais les entreprises doivent dès maintenant structurer leur inventaire, documenter les risques, organiser la journalisation et définir les processus de supervision.

Que doivent faire les entreprises dès maintenant ? 

Les équipes IT et conformité peuvent commencer par :

• Recenser les systèmes d’IA et identifier les risques associés.

• Documenter les systèmes et leurs évolutions.

• Évaluer régulièrement les risques et la qualité des données.

• Contrôler la journalisation et les durées de conservation.

• Définir la supervision humaine lorsque nécessaire.

• Conserver les preuves des contrôles appliqués.

Cette approche évite d’avoir à rassembler dans l’urgence des informations dispersées entre plusieurs équipes et outils.

Que demande réellement le Règlement européen sur l’IA ? 

En résumé, les entreprises doivent savoir ce que fait leur IA, quels risques elle présente et être capables de le démontrer. Cela passe par un inventaire des systèmes, une évaluation continue des risques, une documentation à jour et une journalisation permettant de retracer les événements. La supervision humaine permet de conserver un contrôle sur les décisions prises avec l’aide de l’IA.

Ces éléments ne sont pas de simples formalités administratives : ce sont les bases d’une gouvernance de l’IA capable de suivre les systèmes dans le temps.

Conclusion 

Le Règlement européen sur l’IA entre dans une nouvelle phase en 2026, mais son calendrier s’étend encore sur plusieurs années. Pour les entreprises, c’est le moment de passer de la préparation à une gestion structurée de leurs systèmes d’IA.

Les prochaines échéances laissent encore du temps pour mettre en place les bons processus : identifier les systèmes, gérer les risques, maintenir la documentation et assurer une supervision humaine. L’enjeu n’est plus seulement de savoir si un système peut être utilisé, mais de pouvoir expliquer comment il est utilisé, quels risques il présente et comment ils sont maîtrisés.