IA Act : comment devenir un opérateur IA agréé et se prémunir des sanctions à venir

Adopté en juin 2024, le règlement européen sur l’intelligence artificielle, plus connu sous le nom d’IA Act, amorce un tournant décisif pour les entreprises qui conçoivent, déploient ou exploitent des systèmes d’IA dans l’Union Européenne. S’il promet d’harmoniser le cadre juridique à l’échelle européenne, ce texte impose également de nouvelles responsabilités aux acteurs du secteur, en particulier ceux considérés comme « opérateurs à haut risque ».

La notion de risque est au cœur du texte et structure l’ensemble des obligations. Dès lors que l’IA intervient dans des domaines sensibles comme la santé, les ressources humaines, l’éducation, la justice ou encore les infrastructures critiques, les exigences réglementaires se multiplient : documentation technique, traçabilité, journalisation automatique, contrôle humain, évaluation de conformité…

Dans ce contexte, deux enjeux s’imposent aux opérateurs IA : comprendre leurs obligations réelles et pouvoir les démontrer à tout moment, en cas de contrôle ou de litige. C’est ici que des solutions comme l’horodatage qualifié et l’archivage trouvent tout leur sens, notamment face aux volumes importants de données à tracer et à prouver tout au long du cycle de vie des systèmes IA : elles permettent d’anticiper les futures normes techniques et offrent une traçabilité opposable. Le règlement n’en fait pas encore une exigence expresse, mais une norme harmonisée dédiée à la journalisation (AI-logging) est bien prévue par la Commission Européenne, et viendra préciser ces exigences. Les tendances réglementaires et techniques convergent déjà en ce sens, notamment vers une exigence de preuve numérique conforme au cadre de fiabilité défini par le règlement eIDAS.

Alors, qui sont ces opérateurs à haut risque ? Que leur impose l’IA Act ? Et comment se préparer concrètement à démontrer sa conformité ?

Sommaire

• L’IA Act : un cadre juridique européen pour une IA encadrée
• Qui sont les opérateurs IA concernés par l’IA Act ?
• Comment devenir un opérateur IA agréé pour les systèmes à haut risque ?
• Horodatage et archivage qualifiés : des leviers de conformité concrets
• Sanctions prévues par l’IA Act : pourquoi il faut anticiper dès maintenant

L’IA Act : un cadre juridique européen pour une IA encadrée

Le règlement (UE) 2024/1689 établit une approche inédite : classer les systèmes d’IA selon leur niveau de risque pour les droits fondamentaux, la sécurité ou la santé des personnes.

Quatre catégories sont prévues :

• Risque minimal : pas de contrainte particulière (ex : filtres anti-spam).
• Risque limité : exigences de transparence à l’égard des utilisateurs (ex : chatbot).
• Haut risque : obligations strictes en matière de documentation, de traçabilité et d’évaluation de conformité.
• Risque inacceptable : interdiction pure et simple du système (ex : notation sociale).

Le cœur du dispositif repose sur la catégorie « haut risque » qui est encadrée par le chapitre III du règlement. Elle vise notamment les systèmes utilisés dans les domaines suivants :

• Biométrie et identification à distance (reconnaissance faciale) ;
• Éducation et orientation professionnelle ;
• Recrutement et gestion des ressources humaines ;
• Accès au crédit, à l’assurance ou aux aides sociales ;
• Maintien de l’ordre et application de la loi ;
• Gestion des frontières et de l’immigration ;
• Administration de la justice.

Le critère déclencheur n’est pas seulement l’usage de l’IA, mais également son impact potentiel sur les droits fondamentaux (comme la protection de la vie privée, la non-discrimination, l’accès à un recours effectif ou encore la liberté d’expression). Un outil d’aide à la décision dans un service public ou une entreprise peut ainsi basculer dans la catégorie « haut risque » dès lors qu’il influence un parcours de vie ou une situation juridique.

Qui sont les opérateurs IA concernés par l’IA Act ?

L’IA Act ne s’adresse pas uniquement aux développeurs de technologies. Il identifie plusieurs types d’opérateurs impliqués dans le cycle de vie des systèmes d’intelligence artificielle.

Deux profils sont au cœur du dispositif réglementaire :

Les fournisseurs (providers)

Ce sont les entités qui développent ou font développer un système d’IA dans le but de le mettre sur le marché ou de l’utiliser sous leur propre nom. Il peut s’agir d’éditeurs logiciels, de start-up IA ou d’industriels intégrant un système d’IA à un produit existant (ex : diagnostic assisté dans un dispositif médical).

Les déployeurs (deployers)

Ce sont les utilisateurs professionnels de systèmes d’IA déjà commercialisés. Ils n’ont pas nécessairement développé le système mais l’utilisent pour prendre des décisions ou automatiser des processus dans le cadre de leur activité.

Les obligations imposées varient selon la position dans la chaîne de valeur. Un fournisseur devra notamment démontrer la robustesse de son système, produire une documentation complète, réaliser une évaluation de conformité, mais aussi conserver un dossier technique pendant dix ans. Le déployeur, lui, devra veiller à utiliser le système conformément aux instructions, garantir un contrôle humain effectif, assurer une surveillance post-déploiement et conserver les journaux d’activité pendant au moins six mois.

Ces obligations s’appliquent à de nombreux secteurs d’activité. Une entreprise de services RH qui utilise une IA pour présélectionner des candidatures, un établissement de santé qui recourt à un outil d’aide au diagnostic, une banque qui automatise l’analyse des dossiers de crédit ou encore un acteur de l’énergie qui optimise sa distribution via un système prédictif : toutes ces structures, dès lors qu’elles déploient un système IA dans un domaine sensible, peuvent entrer dans la catégorie « haut risque ». Même si elles ne développent pas elles-mêmes l’outil, elles restent soumises aux obligations applicables à leur rôle de déployeur.

Comment devenir un opérateur IA agréé pour les systèmes à haut risque ?

Le règlement ne crée pas formellement une procédure d’agrément. Toutefois, il impose une série d’exigences pour que le système puisse être mis sur le marché ou utilisé légalement. Le respect de ces exigences conditionne l’autorisation d’exploitation du système.

Parmi les obligations principales, on peut recenser :

Documentation technique et dossier de conformité (art. 11 et 18)

Le fournisseur doit constituer un dossier détaillant la conception, les performances, les mécanismes de gestion des risques, les résultats d’essais, etc. Ce dossier doit être conservé pendant au moins dix ans.

Journalisation automatique (art. 12)

Les systèmes à haut risque doivent intégrer des fonctionnalités d’enregistrement automatique des événements significatifs : entrées, sorties, décisions, alertes, etc. L’objectif est de garantir une traçabilité technique de l’activité du système sur l’ensemble de son cycle de vie.

Conservation des journaux (art. 19)

Les logs ainsi collectés doivent être conservés au minimum six mois, dans des conditions assurant leur intégrité et leur accessibilité.

Mécanismes de contrôle humain

Le système doit permettre à un opérateur humain d’intervenir ou de contester une décision. Ce contrôle ne doit pas être purement théorique.

Évaluation de conformité et marquage CE

Avant toute mise sur le marché, une évaluation est requise. Elle peut être réalisée en interne (dans certains cas) ou par un organisme notifié. Si le système est jugé conforme, il reçoit le marquage CE.

La logique est claire : plus le risque est élevé, plus la charge de preuve pèse sur l’opérateur. Il ne suffit pas d’affirmer que le système est sûr. Il faut le démontrer, preuves à l’appui.

Horodatage et archivage qualifiés : des leviers de conformité concrets

Actuellement l’IA Act n’impose pas expressément le recours à un horodatage qualifié ni à un système d’archivage conforme. Pourtant, ces outils s’inscrivent dans le prolongement naturel des exigences réglementaires.

L’article 12, qui impose une journalisation automatique, est particulièrement structurant. Il prévoit une traçabilité complète de l’activité du système IA. Mais cette traçabilité n’a de valeur que si les preuves collectées sont fiables, horodatées et inaltérables.

C’est là qu’interviennent l’horodatage qualifié et l’archivage probant. Ces deux mécanismes techniques permettent de garantir :

• l’intégrité des données collectées (logs, rapports, versions de modèles, artefacts techniques) ;
• leur date certaine, opposable à un tiers (via l’horodatage) ;
• leur conservation sur la durée, selon des formats pérennes, vérifiables et juridiquement reconnus (via l’archivage électronique).

En droit européen, l’horodatage qualifié bénéficie d’une présomption de fiabilité en vertu du règlement eIDAS. Il s’agit du plus haut niveau de sécurisation pour dater un événement numérique. Combiné à un système d’archivage respectant les standards (NF Z42-013, ISO 14641), il constitue un véritable levier de conformité proactive.

À noter : une norme harmonisée sur l’AI-logging est attendue prochainement. Elle devrait préciser les modalités techniques de journalisation prévues par l’IA Act. Il est fortement probable que cette norme fera expressément référence à des mécanismes d’horodatage et d’archivage qualifiés. Se préparer dès aujourd’hui à cette évolution, c’est prendre de l’avance.

Sanctions prévues par l’IA Act : pourquoi il faut anticiper dès maintenant

Le règlement prévoit un régime de sanctions gradué, mais potentiellement lourd pour les entreprises concernées. L’article 71 précise les montants applicables en cas de manquement aux obligations.

• en cas de violation des exigences applicables aux systèmes à haut risque : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, selon le montant le plus élevé ;
• en cas de fourniture d’informations inexactes, incomplètes ou trompeuses : jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires mondial.

Ces montants doivent être appréciés au regard du calendrier d’application progressif :

• Août 2024 : entrée en vigueur formelle du règlement.
• Août 2025 : désignation des autorités nationales compétentes et début du régime de sanctions.
• Août 2026 : les exigences relatives aux systèmes à haut risque deviennent opposables.
• 2030 : fin de la période transitoire pour les systèmes d’IA utilisés dans le secteur public.

En France, la CNIL, l’ANSSI et la DGCCRF sont pressenties pour jouer un rôle dans l’application du texte. Leur articulation devra être précisée par la législation nationale.

Conclusion

Le règlement IA Act marque une évolution majeure dans le droit du numérique européen. Il impose aux opérateurs d’IA une posture de vigilance, de transparence et de responsabilité. Pour les acteurs soumis aux obligations « haut risque », la conformité ne se décrète pas : elle se démontre, preuve à preuve.

Dans ce contexte, l’horodatage qualifié et l’archivage sécurisé ne sont pas de simples outils techniques. Ils deviennent des garants de traçabilité et des leviers de conformité. À la croisée de la cybersécurité, de la preuve numérique et de la régulation, ces solutions permettent aux opérateurs d’anticiper, de documenter et de se prémunir contre les contentieux et les sanctions.

Plus largement, ils contribuent à restaurer la confiance dans l’usage de l’IA.