Liste de contrôle de conformité au règlement sur l'IA

Vérifiez chaque outil au regard de la définition du système d'IA à l'article 3, point 1. Notez le responsable, la finalité, le fournisseur et les personnes concernées.

Selon l'article 25, un déployeur ou un tiers devient fournisseur s'il appose son nom sur un système à haut risque, le modifie substantiellement ou en change la destination de sorte qu'il devienne à haut risque.

Vise notamment la manipulation, l'exploitation des vulnérabilités, la notation sociale, le moissonnage non ciblé d'images faciales et la reconnaissance des émotions au travail ou à l'école, en vigueur depuis le 2 février 2025. Le règlement (UE) 2026/1744 interdit en outre, à partir du 2 décembre 2026, les systèmes d'IA qui génèrent des contenus intimes non consentis ou des contenus pédopornographiques.

S'applique aux fournisseurs et déployeurs depuis le 2 février 2025. Depuis sa modification par le règlement (UE) 2026/1744, il n'impose plus de garantir un niveau précis pour chaque personne. Adaptez la formation au rôle, au contexte et aux personnes concernées, et conservez-en la trace.

Un système est à haut risque s'il est lui-même un produit relevant de l'annexe I soumis à évaluation par un tiers ou un composant de sécurité d'un tel produit, ou s'il relève d'un domaine de l'annexe III comme l'emploi, le crédit ou l'éducation. Un système de l'annexe III ne présentant pas de risque important peut être exempté au titre de l'article 6, paragraphe 3, sauf s'il effectue un profilage. Documentez cette évaluation.

Le règlement (UE) 2026/1744 (omnibus numérique sur l'IA), publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, a reporté les dates à haut risque : systèmes de l'annexe III à partir du 2 décembre 2027, produits de l'annexe I à partir du 2 août 2028. La plupart des autres obligations, y compris la transparence de l'article 50, s'appliquent depuis le 2 août 2026.

Pour les entreprises, le montant le plus élevé s'applique. La plupart des autres manquements sont passibles de 15 millions d'euros ou 3 %, et la fourniture d'informations inexactes aux autorités de 7,5 millions d'euros ou 1 %. Pour les PME et les petites entreprises à moyenne capitalisation, le montant le plus faible s'applique.

Identifiez les risques prévisibles pour la santé, la sécurité et les droits fondamentaux, y compris en cas de mauvaise utilisation raisonnablement prévisible, adoptez des mesures et testez selon des indicateurs définis.

Les jeux de données doivent être pertinents, suffisamment représentatifs et, dans la mesure du possible, exempts d'erreurs et complets au regard de la destination. Documentez la collecte, la préparation et les lacunes connues.

Elle comprend la description du système, les choix de conception, les données, les essais, les indicateurs de performance et le système de gestion des risques. Tenez-la à jour pendant toute la durée de vie.

Les journaux doivent permettre de repérer les situations à risque, soutenir la surveillance après commercialisation et permettre aux déployeurs de surveiller le fonctionnement.

Indiquez la destination, les niveaux d'exactitude, les limites connues, les mesures de contrôle humain, les données d'entrée requises et la collecte des journaux.

Les personnes chargées du contrôle doivent comprendre les capacités et limites, détecter le biais d'automatisation et pouvoir ignorer ou inverser les sorties.

Protégez contre les erreurs, les boucles de rétroaction et les attaques comme l'empoisonnement des données, les exemples contradictoires et la manipulation du modèle.

Il doit être proportionné à la taille de l'organisation et peut être intégré aux systèmes qualité existants prévus par le droit sectoriel.

La plupart des systèmes de l'annexe III relèvent du contrôle interne de l'annexe VI. Les systèmes biométriques et les produits de l'annexe I peuvent nécessiter un organisme notifié. À refaire après une modification substantielle.

Conservez la déclaration pendant 10 ans après la mise sur le marché. Pour les systèmes fournis uniquement sous forme numérique, un marquage CE numérique est utilisé. Les systèmes d'infrastructures critiques sont enregistrés au niveau national. Certaines entrées liées aux services répressifs et à la migration figurent dans une section non publique.

Le plan fait partie de la documentation technique. Utilisez les données pour vérifier la conformité continue et alimenter la gestion des risques. Le signalement intervient au plus tard 15 jours après en avoir eu connaissance, 2 jours en cas d'infraction de grande ampleur ou d'infrastructure critique et 10 jours en cas de décès.

Prenez des mesures techniques et organisationnelles. Un usage hors de la destination peut faire de vous le fournisseur au titre de l'article 25. Désignez les personnes chargées du contrôle pour chaque système et assurez-vous qu'elles peuvent réellement intervenir au quotidien.

Cela vaut dans la mesure où vous contrôlez les données d'entrée, par exemple celles issues de vos propres systèmes RH ou clients.

Les incidents graves doivent être signalés immédiatement au fournisseur, puis aux autorités. Des durées plus longues peuvent découler du droit de l'Union ou national, y compris en matière de protection des données. Vérifiez la conservation prévue dans les contrats fournisseurs.

Respectez les procédures d'information du droit du travail de l'Union et national, qui peuvent aussi imposer une consultation. Ajoutez la mention aux formulaires, courriers ou portails concernés au moment où commence le processus de décision.

Concerne les systèmes de l'annexe III, sauf les infrastructures critiques (point 2). Obligatoire pour les organismes de droit public, les entités privées fournissant des services publics et les déployeurs de systèmes d'évaluation du crédit ou de tarification en assurance vie et santé. Le résultat est notifié à l'autorité de surveillance du marché. Vous pouvez renvoyer à une analyse d'impact RGPD existante.

Concerne les décisions fondées sur les sorties d'un système de l'annexe III produisant des effets juridiques ou similaires importants. Prévoyez un canal de demande et un modèle de réponse.

C'est une obligation du fournisseur pour les agents conversationnels et assistants vocaux. L'information doit être donnée au plus tard lors de la première interaction.

Le considérant 133 cite les filigranes, les métadonnées, les méthodes cryptographiques de provenance, la journalisation et les empreintes. Le règlement ne cite pas C2PA, norme de provenance du secteur que vous pouvez utiliser. Des exceptions visent l'assistance à l'édition standard et les sorties qui ne modifient pas substantiellement l'entrée. Les systèmes mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026.

Obligation du déployeur. Une information allégée s'applique aux œuvres manifestement artistiques ou satiriques, et la règle sur les textes ne s'applique pas en cas de contrôle éditorial humain et de responsabilité éditoriale.

Traitez les données personnelles conformément au RGPD. La reconnaissance des émotions au travail et dans l'enseignement est interdite par l'article 5, sauf pour raisons médicales ou de sécurité.

Applicable depuis le 2 août 2025 selon l'article 113. Le contenu figure aux annexes XI et XII. Les modèles en source ouverte sont partiellement exemptés, sauf risque systémique.

La politique doit identifier et respecter les réserves de fouille de textes et de données. Utilisez le modèle de la Commission pour le résumé.

Le risque systémique est présumé au-delà de 10^25 FLOP de calcul d'entraînement. Notifiez la Commission dans les deux semaines suivant l'atteinte du seuil.

À faire avant la mise sur le marché de l'Union. Le mandataire tient la documentation à la disposition du Bureau de l'IA pendant 10 ans.