Introduction :
Dès l’adoption du règlement général sur la protection des données personnelles (RGPD), lequel se devait d’observer une certaine neutralité technologique, il est apparu que les spécificités de l’intelligence artificielle n’était pas parfaitement capturées par ce texte. D’abord parce que l’IA ne traite pas que des données personnelles, ensuite par ce que l’IA peut être à usage général et pas forcément que sur des finalités déterminées, enfin parce que tout n’est pas prévisible et prédéterminé dans le fonctionnement des IA, a fortiori pour les IA génératives. Objet complexe, polymorphe et évolutif, l’IA ne pouvait être encadré que sur la base d’une approche par les risques (I), avec des obligations attachées, variables selon le rôle dans la chaîne de valeur de l’IA (II), ce que le règlement sur l’IA (ou « RIA ») du 12 juillet 2024 s’est efforcé de mettre en place.
I. La conformité au RIA une approche par les risques complémentaires au RGPD
A. Le RIA un « standard setter »
Si dans les années 1970, l’adage en cours dans les milieux économiques français était « on n’a pas de pétrole mais des idées », d’aucuns ont pu affirmer au sujet de la « digital strategy » de la Commission européenne, qu’à défaut de leaders mondiaux dans la tech et l’IA, on est en Europe les premiers à réglementer et à imposer du fait de l’effet extraterritorial de nos textes, un standard mondial, l’Union européenne devenant le « standard setter » et le RIA, le nouvel étalon or (« gold standard »). Dès lors, jusqu’à l’adoption définitive du RIA, la bataille entre partisans de la protection des droits et libertés fondamentaux contre celle des défenseurs de l’innovation a fait rage. Et cette bataille n’est peut-être pas terminée alors même que toutes les obligations du RIA, notamment sur les systèmes d’IA ne devaient entrer en application que le 2 août 2026, un règlement « AI Omnibus », sur fond de guerre commerciale et douanière avec les USA, devrait les reporter au moins d’un an, si ce n’est plus. C’est en réalité un faux cadeau fait aux promoteurs de l’innovation sur la régulation. Faire de la rétro-ingénierie légale sur l’IA est quasi impossible. Plus tôt le RIA s’applique et rentre dans les méthodes de gestion de projet, moins il est difficile de le mettre en œuvre et d’en respecter les exigences matérielles et documentaires (voir supra).
Quant au standard mondial, il semblerait que ce soit peut -être moins vrai que pour le RGPD. Cela pour deux raisons. D’abord, le RIA ne prévoit pas de mécanisme de « one stop shop » pour les acteurs de l’IA opérant dans plusieurs Etats de l’Union européenne. Il n’est plus possible d’avoir une autorité de contrôle cheffe de file. Pour sa mise en œuvre locale, il n’interdit pas l’interregulation avec une approche sectorielle, multipliant le nombre d’autorités de contrôle avec nécessairement des zones de recouvrement (la loi dadue prévoit un complexe partage de responsabilité entre la CNIL, la DGCCRF, l’ACPR et tant d’autres autorités administratives indépendantes par secteur).
B. La catégorisation des IA
Le RIA repose sur une architecture normative d’une cohérence remarquable : la régulation s’organise autour du niveau de risque que les systèmes d’IA font peser sur les droits fondamentaux, la sécurité et l’ordre public. Les articles 5 et 6, ainsi que les annexes II et III, en constituent la clé de voûte.
L’article 5 érige un noyau dur d’interdictions. Sont prohibées, en tant que telles, les pratiques considérées comme intrinsèquement contraires aux valeurs de l’Union : manipulation subliminale susceptible d’altérer de manière significative le comportement d’une personne, exploitation des vulnérabilités liées à l’âge ou au handicap, systèmes de notation sociale mis en œuvre par des autorités publiques, ou encore recours à l’identification biométrique à distance en temps réel dans l’espace public à des fins répressives, sous réserve d’exceptions strictement encadrées. Le principe est l’interdiction, l’exception demeure d’interprétation restrictive. Le législateur européen opère ici un choix de civilisation : certaines utilisations de l’IA sont réputées incompatibles avec l’État de droit, indépendamment de leur performance technique ou de leur utilité économique.
L’article 6 introduit quant à lui la catégorie des systèmes « à haut risque ». La qualification vise notamment les domaines listés à l’annexe III : emploi et gestion des travailleurs, accès à l’éducation et à la formation professionnelle, évaluation de la solvabilité et accès à des services essentiels, administration de la justice, gestion des migrations, exploitation d’infrastructures critiques. La qualification n’est pas déclarative ; elle est immédiatement prescriptive. Elle déclenche l’application d’un corpus d’exigences substantielles détaillées aux articles 8 à 15 : mise en place d’un système de gestion des risques (art. 9), gouvernance et qualité des données (art. 10), documentation technique (art. 11), enregistrement automatique des événements et traçabilité (art. 12), obligations de transparence et d’information (art. 13), supervision humaine effective (art. 14), robustesse, exactitude et cybersécurité (art. 15). La logique est structurante : plus le risque est élevé, plus la charge normative est dense.
À côté de ce régime, le RIA prévoit des obligations de transparence pour certains systèmes dits à risque limité, notamment les systèmes d’interaction homme-machine ou de génération de contenus synthétiques (art. 50). Il introduit également un cadre spécifique pour les modèles d’IA à usage général (art. 51 et suivants), avec un régime renforcé pour ceux présentant un risque systémique, compte tenu de leur capacité de diffusion et d’intégration transversale dans l’économie.
En droit français, le RIA est d’application directe. Il n’appelle pas de transposition, mais une organisation institutionnelle adaptée. La CNIL demeure compétente pour le contrôle des traitements de données à caractère personnel au titre du RGPD. L’autorité nationale de surveillance du marché désignée au titre de l’article 70 du RIA exercera, pour sa part, les prérogatives propres au règlement : contrôles, injonctions, sanctions administratives. La qualification d’un système en « haut risque » emporte des conséquences immédiates en matière de gouvernance interne, de documentation, de cartographie des risques et d’exposition contentieuse. Elle suppose, pour les opérateurs établis en France, une analyse ex ante précise, documentée et opposable.
En parallèle, plusieurs États du Moyen-Orient ont adopté des stratégies nationales ambitieuses en matière d’intelligence artificielle, notamment les Émirats arabes unis et l’Arabie saoudite. Ces initiatives s’inscrivent dans des programmes de transformation économique et de diversification technologique, tels que la stratégie nationale pour l’IA des Émirats ou la Vision 2030 saoudienne. Elles reposent principalement sur des feuilles de route stratégiques, des lignes directrices éthiques et des cadres sectoriels. À ce stade, elles ne se traduisent pas par une catégorisation juridique contraignante fondée sur un système d’interdictions et d’obligations graduées comparable à celui instauré par les articles 5 et 6 du RIA. L’Union européenne se singularise ainsi par la normativité de son approche : elle ne se contente pas d’orienter le développement de l’IA, elle en fixe les conditions juridiques d’exercice et en organise le contrôle.
II. Une conformité variable selon le rôle
A. Le fournisseur d’IA
L’article 3(3) du RIA définit le fournisseur comme « une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, que ce soit à titre onéreux ou gratuit ». Cette définition, extensive, vise ainsi l’entité qui assume la maîtrise du produit et en organise la diffusion. Le fournisseur est donc le débiteur principal des obligations de conformité, en particulier lorsque le système est qualifié de « haut risque ».
A ce titre, les articles 8 à 15 structurent un véritable régime de compliance technique et organisationnelle. Le fournisseur doit instituer un système de gestion des risques continu, documenté et actualisé (art. 9). Il lui appartient de garantir la qualité, la pertinence, la représentativité et l’absence de biais excessif des jeux de données utilisés pour l’entraînement, la validation et le test (art. 10). Il doit établir une documentation technique exhaustive permettant de démontrer la conformité du système aux exigences du RIA (art. 11) et mettre en place des mécanismes d’enregistrement automatique des événements afin d’assurer la traçabilité (art. 12). Les obligations de transparence impliquent la fourniture d’instructions d’utilisation claires, complètes et compréhensibles (art. 13). La supervision humaine ne peut être purement théorique : elle doit être intégrée dans la conception même du système (art. 14). Enfin, la robustesse, l’exactitude et la cybersécurité doivent être garanties à un niveau approprié au regard du risque (art. 15).
Préalablement à toute mise sur le marché ou mise en service d’un système à haut risque, le fournisseur doit conduire une procédure d’évaluation de la conformité (art. 43), établir une déclaration UE de conformité (art. 47) et apposer le marquage CE (art. 48). Le dispositif ne s’arrête pas à l’amont : il inclut une surveillance post-commercialisation, la tenue de registres et la notification des incidents graves ou des dysfonctionnements susceptibles de constituer un risque pour la santé, la sécurité ou les droits fondamentaux (art. 72 et suivants). S’agissant des modèles d’IA à usage général, les articles 53 à 55 imposent notamment la mise à disposition d’une documentation technique détaillée, la publication d’un résumé des données d’entraînement protégées par le droit d’auteur et le respect effectif du droit de l’Union en la matière.
En France, ces obligations s’articulent nécessairement avec celles issues du RGPD dès lors qu’un traitement de données à caractère personnel est en cause. Le fournisseur peut être qualifié de responsable de traitement ou de sous-traitant selon les cas. Il demeure tenu au respect du principe d’accountability (art. 5§2 du RGPD), à la mise en œuvre de mesures techniques et organisationnelles appropriées (art. 24), à l’intégration de la protection des données dès la conception et par défaut (art. 25), ainsi qu’à la réalisation d’une analyse d’impact relative à la protection des données (art. 35) lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Le cumul des régimes n’est pas théorique ; il est opérationnel. Le fournisseur doit piloter une conformité à double entrée : sectorielle au titre du RIA, et horizontale au titre du RGPD, sous le contrôle notamment de la CNIL.
À titre comparatif, dans plusieurs États du Moyen-Orient, si les politiques publiques encouragent activement le développement et l’industrialisation de l’IA, la figure du fournisseur ne fait pas encore l’objet d’un régime de responsabilité harmonisé et aussi détaillé que celui résultant des articles 8 à 15 et 43 et suivants du RIA. L’approche demeure majoritairement incitative, orientée vers la structuration d’écosystèmes et l’attractivité des investissements. L’Union européenne opère un choix distinct : faire du metteur sur le marché le garant, en amont, de la fiabilité, de la sécurité et de la licéité du système.
En érigeant un standard juridique exigeant, articulé autour de la gestion des risques et de la responsabilité ex ante, l’Union ne régule pas seulement son marché intérieur, elle tend à façonner, par effet d’extraterritorialité et de diffusion normative, les standards internationaux applicables aux systèmes d’intelligence artificielle.
B. Le rôle du déployeur
L’article 3 du RIA définit le déployeur comme « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel ». Cette définition vise ainsi tout acteur qui exploite concrètement un système d’intelligence artificielle dans le cadre de ses activités professionnelles.
Au sein de la chaîne de valeur, le déployeur occupe donc une place centrale dans la décision de l’usage concret qui sera fait du système d’IA. Il n’est pas nécessairement à l’origine de la conception du système, mais il en maîtrise le contexte d’implémentation, les finalités poursuivies et les modalités d’utilisation.
A la différence des notions de fournisseur, d’importateur et de distributeur, définies par la législation européenne harmonisée sur les produits, la notion de déployeur est spécifique au RIA. Cela semble traduire une volonté du législateur européen de ne pas limiter la régulation à la seule mise sur le marché des systèmes d’IA, mais également à leur usage concret. Ce faisant, le RIA appréhende l’IA tout au long de son cycle de vie.
Si le RIA fait peser l’essentiel des obligations sur le fournisseur, le déployeur n’est pas pour autant exempt de responsabilités. Au contraire, il est soumis à un ensemble d’obligations qui lui sont propres. S’agissant des systèmes à haut risque, elles sont principalement posées par l’article 26.
À ce titre, le déployeur doit utiliser le système conformément aux instructions d’utilisation du fournisseur et mettre en place les mesures techniques et organisationnelles nécessaires à cette fin (art. 26.1). Il lui incombe également de confier le contrôle humain du système à des personnes disposant des compétences, de la formation et de l’autorité nécessaires (art. 26.2), et d’en assurer une surveillance humaine continue (art. 26.3).
Lorsque le déployeur exerce un contrôle sur les données d’entrée, il doit veiller à leur pertinence ainsi qu’à leur qualité (art. 26.4). Il lui revient, en outre, de signaler tout risque pour la santé, la sécurité ou les droits fondamentaux au fournisseur et aux autorités compétentes (art. 26.5) et de coopérer avec eux afin d’identifier les causes des risques identifiés (art. 20). Il lui appartient également de conserver les données générées par le système sous son contrôle pendant une durée adaptée au système ne pouvant être inférieure à six mois (art. 26.6), d’informer les représentants des travailleurs avant la mise en service du système dans l’entreprise (art. 26.7) et de coopérer avec les autorités de surveillance (art. 26.12).
Au-delà de ces obligations spécifiques aux systèmes d’IA à haut risque, le déployeur est également soumis à certaines obligations transversales applicables à l’ensemble des acteurs du RIA. S’applique notamment à lui les obligations de maîtrise de l’IA (art. 4), de respect des mécanismes de contrôle humains prévues pour les systèmes à haut risque (art. 14), et de transparence (art. 50.3 et 50.4). Selon la nature du système utilisé, d’autres obligations peuvent également s’appliquer, telle que l’obtention d’une autorisation préalable pour certains usages d’identification biométrique à distance (art. 26.10).
Le statut de déployeur n’est toutefois pas figé. Le règlement prévoit des mécanismes de requalification (considérant 84). En effet, un déployeur peut être considéré comme fournisseur lorsqu’il met un système d’IA sur le marché, lorsqu’il le met en service sous son propre nom ou sa propre marque, ou encore lorsqu’il en modifie substantiellement les propriétés ou la destination.
L’article 3 du RIA définit le déployeur comme « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel ». Cette définition vise ainsi tout acteur qui exploite concrètement un système d’intelligence artificielle dans le cadre de ses activités professionnelles.
Au sein de la chaîne de valeur, le déployeur occupe donc une place centrale dans la décision de l’usage concret qui sera fait du système d’IA. Il n’est pas nécessairement à l’origine de la conception du système, mais il en maîtrise le contexte d’implémentation, les finalités poursuivies et les modalités d’utilisation.
A la différence des notions de fournisseur, d’importateur et de distributeur, définies par la législation européenne harmonisée sur les produits, la notion de déployeur est spécifique au RIA. Cela semble traduire une volonté du législateur européen de ne pas limiter la régulation à la seule mise sur le marché des systèmes d’IA, mais également à leur usage concret. Ce faisant, le RIA appréhende l’IA tout au long de son cycle de vie.
Si le RIA fait peser l’essentiel des obligations sur le fournisseur, le déployeur n’est pas pour autant exempt de responsabilités. Au contraire, il est soumis à un ensemble d’obligations qui lui sont propres. S’agissant des systèmes à haut risque, elles sont principalement posées par l’article 26.
À ce titre, le déployeur doit utiliser le système conformément aux instructions d’utilisation du fournisseur et mettre en place les mesures techniques et organisationnelles nécessaires à cette fin (art. 26.1). Il lui incombe également de confier le contrôle humain du système à des personnes disposant des compétences, de la formation et de l’autorité nécessaires (art. 26.2), et d’en assurer une surveillance humaine continue (art. 26.3).
Lorsque le déployeur exerce un contrôle sur les données d’entrée, il doit veiller à leur pertinence ainsi qu’à leur qualité (art. 26.4). Il lui revient, en outre, de signaler tout risque pour la santé, la sécurité ou les droits fondamentaux au fournisseur et aux autorités compétentes (art. 26.5) et de coopérer avec eux afin d’identifier les causes des risques identifiés (art. 20). Il lui appartient également de conserver les données générées par le système sous son contrôle pendant une durée adaptée au système ne pouvant être inférieure à six mois (art. 26.6), d’informer les représentants des travailleurs avant la mise en service du système dans l’entreprise (art. 26.7) et de coopérer avec les autorités de surveillance (art. 26.12).
Au-delà de ces obligations spécifiques aux systèmes d’IA à haut risque, le déployeur est également soumis à certaines obligations transversales applicables à l’ensemble des acteurs du RIA. S’applique notamment à lui les obligations de maîtrise de l’IA (art. 4), de respect des mécanismes de contrôle humains prévues pour les systèmes à haut risque (art. 14), et de transparence (art. 50.3 et 50.4). Selon la nature du système utilisé, d’autres obligations peuvent également s’appliquer, telle que l’obtention d’une autorisation préalable pour certains usages d’identification biométrique à distance (art. 26.10).
Le statut de déployeur n’est toutefois pas figé. Le règlement prévoit des mécanismes de requalification (considérant 84). En effet, un déployeur peut être considéré comme fournisseur lorsqu’il met un système d’IA sur le marché, lorsqu’il le met en service sous son propre nom ou sa propre marque, ou encore lorsqu’il en modifie substantiellement les propriétés ou la destination.
C. Les rôles des distributeur et importateur
Les distributeur et importateur constituent les maillons intermédiaires de la chaîne de valeur, assurant la continuité des systèmes d’IA depuis le fournisseur jusqu’à l’utilisateur final.
S’agissant des notions de distributeur et importateur, le RIA reprend une logique issue de la règlementation européenne sur les produits. Comme le précise le considérant 83, ces acteurs peuvent contribuer au développement des systèmes d’IA. Il est également possible, dans certaines situations, qu’un même opérateur joue plusieurs rôles à la fois au sein de la chaîne. Dans pareille hypothèse, l’ensemble des obligations correspondant respectivement à chacun des rôles exercés devra être observé.
D’une part, l’article 3, 6) définit l’importateur comme étant « une personne physique ou morale située ou établie dans l’Union qui met sur le marché un système d’IA qui porte le nom ou la marque d’une personne physique ou morale établie dans un pays tiers ». L’importateur est donc l’opérateur établi dans l’Union européenne qui introduit sur le marché intérieur un système développé hors UE.
Au titre de l’article 23 du RIA, il incombe à l’importateur de s’assurer que le fournisseur tiers a procédé aux obligations de conformité avant la mise sur le marché ou la mise en service du système d’IA, et de collaborer avec le mandataire. Par exemple, les importateurs sont tenus de vérifier la disponibilité de la documentation technique et de la notice d’utilisation, de s’assurer de la présence du marquage CE, d’informer les fournisseurs et l’autorité nationale compétente des risques et de collaborer avec ces derniers.
D’autre part, le distributeur est défini comme « une personne physique ou morale faisant partie de la chaîne d’approvisionnement, autre que le fournisseur ou l’importateur, qui met un système d’IA à disposition sur le marché de l’Union ».
Les distributeurs sont donc des relais sur le marché et leurs obligations, exposées principalement à l’article 24 du RIA, ont pour objectif de vérifier la conformité aux exigences des systèmes d’IA à haut risque avant leur mise sur le marché. À ce titre, ils vérifient le marquage CE, la conformité de la déclaration UE, la disponibilité de la documentation technique et de la notice d’utilisation, l’information du fournisseur ainsi que la conformité du système de gestion de la qualité. Ils ont une obligation d’information, de retrait et de retour en cas de non-conformité d’un système ainsi que d’information et de coopération avec l’autorité nationale compétente.
Dans de nombreux États du Moyen‑Orient la gouvernance de l’intelligence artificielle repose principalement sur des stratégies nationales, des principes éthiques et des cadres sectoriels visant avant tout à favoriser l’adoption et le développement de l’IA. Au contraire, le RIA consacre une typologie précise d’opérateurs économiques et leur impose des obligations propres.
Le règlement étend ainsi la régulation au‑delà de la seule phase de conception et de mise sur le marché. Il fait peser une partie de la responsabilité non seulement sur l’acteur qui décide de l’usage opérationnel du système, mais également sur ceux qui introduisent les systèmes d’IA sur le marché intérieur ou les mettent à disposition dans la chaîne de valeur. Ainsi, chaque maillon, parmi lesquels le déployeur, importateur, distributeur, participe juridiquement à la conformité et à la maîtrise des risques liés à l’IA.
Conclusion :
Malgré un contexte législatif mouvant à cause du projet omnibus AI, la mise en œuvre du RIA est quand même à anticiper car structurante. La rétro conformité étant quasi impossible, le mirage du report des obligations par le AI omnibus risquerait de faire manquer aux acteurs de l’IA la nécessité de s’adapter aux nouveaux mécanismes de conformité tout au long du cycle de vie de l’IA comme cela est déjà le cas pour les objets connectés et plus encore plus les dispositifs médicaux. Mettre en place cette conformité ne peut apporter que de la valeur et de la sécurité juridique à tout niveau, sans rompre toute innovation dès lors que la démarche de conformité est prise très en amont.
