Règlement sur l'IA (AI Act) et Cyber Resilience Act

Le règlement européen sur l'intelligence artificielle (AI Act, règlement 2024/1689) encadre la mise sur le marché et l'utilisation des systèmes d'IA selon le niveau de risque qu'ils présentent, de l'interdiction pure et simple aux simples obligations de transparence. Le Cyber Resilience Act (règlement 2024/2847) impose des exigences de cybersécurité à tous les produits comportant des éléments numériques, logiciels compris, pendant toute leur durée de vie. Ce chapitre présente ces deux textes récents, leur calendrier, et les situe dans l'ensemble des règlements européens du numérique.

La carte des textes européens du numérique

Depuis 2016, l'Union européenne a adopté une série de règlements et de directives qui se complètent. Les connaître par leur objet suffit à s'y retrouver :

Le règlement sur l'intelligence artificielle

Un système d'IA, au sens du règlement, est un système automatisé conçu pour fonctionner avec un certain degré d'autonomie, qui déduit des données qu'il reçoit comment générer des résultats (prédictions, contenus, recommandations, décisions) pouvant influencer des environnements physiques ou virtuels. Le texte distingue le fournisseur (qui développe le système et le met sur le marché sous son nom) et le déployeur (qui l'utilise dans le cadre de son activité professionnelle). Une entreprise qui utilise un logiciel de tri de CV acheté à un éditeur est déployeur ; l'éditeur est fournisseur.

Le règlement suit une approche par les risques :

Les modèles d'IA à usage général (les grands modèles de langage sur lesquels reposent les assistants conversationnels) ont leurs propres obligations depuis le 2 août 2025 : documentation technique, politique de respect du droit d'auteur, résumé des contenus utilisés pour l'entraînement, et obligations renforcées (évaluation, gestion des risques systémiques, cybersécurité) pour les modèles les plus puissants.

Le déployeur d'un système à haut risque a lui aussi des obligations : l'utiliser conformément à la notice, confier le contrôle humain à des personnes compétentes, surveiller son fonctionnement, conserver les journaux, informer les salariés concernés avant de l'utiliser au travail et les personnes qui font l'objet de décisions.

Le calendrier. Le règlement est entré en vigueur le 1er août 2024 et s'applique par étapes. Le règlement « omnibus » 2026/1744, entré en vigueur le 27 juillet 2026, a reporté les obligations relatives aux systèmes à haut risque :

Les sanctions peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour une pratique interdite, et 15 millions ou 3 % pour les autres manquements.

Pour un technicien ou un développeur, les questions pratiques sont celles de la charte et des contrats : quels outils d'IA sont autorisés, quelles données peut-on y saisir (aucune donnée personnelle ou confidentielle dans un outil non validé), qui est titulaire du code généré et sous quelle licence, comment documenter qu'un contenu a été généré (chapitre 11).

Le Cyber Resilience Act

Le règlement sur la cyber-résilience (règlement 2024/2847, entré en vigueur le 10 décembre 2024) impose des exigences de cybersécurité à tous les produits comportant des éléments numériques mis sur le marché européen : matériels connectés (caméras, routeurs, objets domestiques) et logiciels (systèmes d'exploitation, applications, logiciels installés), avec leurs traitements de données à distance. Il vise les fabricants, mais aussi les importateurs et les distributeurs.

Il ne s'applique pas aux services purement en ligne (le SaaS relève de NIS 2), ni aux produits déjà couverts par des règles sectorielles (dispositifs médicaux, véhicules, aviation). Le logiciel libre développé hors de toute activité commerciale n'est pas concerné ; les fondations qui soutiennent durablement des projets libres utilisés commercialement (les « gestionnaires de logiciels open source ») ont des obligations allégées.

Les obligations du fabricant :

• concevoir et développer le produit selon les exigences essentielles de cybersécurité : aucune vulnérabilité exploitable connue à la mise sur le marché, configuration sécurisée par défaut (pas de mot de passe par défaut commun), protection contre les accès non autorisés, confidentialité et intégrité des données, minimisation, réduction de la surface d'attaque, journalisation des événements de sécurité, possibilité de mises à jour de sécurité ;
• gérer les vulnérabilités pendant toute la période d'assistance, d'au moins cinq ans sauf si le produit est prévu pour une durée d'utilisation plus courte : politique de divulgation coordonnée, correctifs de sécurité gratuits et diffusés sans retard, nomenclature logicielle (SBOM) des composants ;
• évaluer la conformité du produit, rédiger la documentation technique, apposer le marquage CE ; pour les produits « importants » ou « critiques » (gestionnaires de mots de passe, VPN, pare-feu, systèmes d'exploitation, cartes à puce…), l'évaluation peut exiger l'intervention d'un organisme tiers ;
• signaler les vulnérabilités activement exploitées et les incidents graves dans les 24 heures, par la plateforme de l'ENISA (chapitre 6).

Le calendrier : obligations de signalement depuis le 11 septembre 2026 ; application complète le 11 décembre 2027. Les sanctions peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial pour les manquements aux exigences essentielles.

Exercices

Exercice 1 sur 2 Quel niveau de risque ? Réussi À revoir

Classe chaque système d'IA dans un niveau du règlement et indique la principale obligation.

1. Un agent conversationnel sur le portail locataires qui répond aux questions sur les charges.
2. Un logiciel qui trie automatiquement les CV des candidats aux postes de gardien.
3. Une caméra qui analyse les émotions des salariés de l'accueil pour mesurer leur stress.
4. Un filtre qui classe les courriels entrants en « demande d'intervention », « réclamation » ou « autre ».
5. Un système qui évalue la solvabilité des candidats à un logement pour décider de l'attribution.

Voir la réponseMasquer la réponse de l'exercice 1

1. Risque limité : obligation de transparence, les locataires doivent savoir qu'ils dialoguent avec une IA.
2. Haut risque (emploi, recrutement) : Cèdre Habitat, déployeur, doit l'utiliser conformément à la notice, assurer un contrôle humain effectif, informer les candidats et les représentants du personnel ; le fournisseur doit avoir évalué la conformité. Obligations applicables au 2 décembre 2027. Le RGPD s'applique déjà : information, AIPD, pas de décision entièrement automatisée sans garanties.
3. Pratique interdite depuis le 2 février 2025 : reconnaissance des émotions sur le lieu de travail, hors raisons médicales ou de sécurité.
4. Risque minimal : pas d'obligation spécifique, mais les courriels contiennent des données personnelles (RGPD).
5. Haut risque (accès à des services essentiels, évaluation de la solvabilité). Une décision d'attribution prise par le système seul serait en outre contraire à l'article 22 du RGPD sans garanties ni intervention humaine réelle.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 2 Le Cyber Resilience Act s'applique-t-il ? Réussi À revoir

Pour chaque produit, dis si le Cyber Resilience Act s'applique et pourquoi.

1. Une caméra de surveillance connectée vendue en France par un fabricant chinois.
2. L'application mobile que Cèdre Habitat développe et distribue gratuitement à ses locataires dans les magasins d'applications.
3. Le logiciel de gestion locative proposé uniquement en SaaS.
4. Une bibliothèque libre développée bénévolement par un étudiant et publiée sur GitHub.
5. Un logiciel de comptabilité installé sur les postes, vendu par un éditeur français.

Voir la réponseMasquer la réponse de l'exercice 2

1. Oui : produit matériel comportant des éléments numériques, mis sur le marché européen. L'importateur doit vérifier que le fabricant a respecté ses obligations (marquage CE, documentation, période d'assistance).
2. Très probablement oui : une application mobile est un produit logiciel, et le règlement vise la mise à disposition sur le marché dans le cadre d'une activité commerciale, à titre onéreux ou gratuit. Une application publiée dans les magasins d'applications par une entreprise, pour servir ses clients, entre dans cette notion : Cèdre Habitat en serait le fabricant, avec les obligations correspondantes à partir de décembre 2027. Les lignes directrices de la Commission permettent de trancher les cas limites.
3. Non pour le service lui-même : un service purement en ligne relève de NIS 2 et du RGPD, pas du Cyber Resilience Act.
4. Non : logiciel libre développé hors de toute activité commerciale.
5. Oui : logiciel mis sur le marché dans le cadre d'une activité commerciale. L'éditeur doit respecter les exigences essentielles, assurer les correctifs pendant la période d'assistance, signaler les vulnérabilités activement exploitées depuis le 11 septembre 2026 et apposer le marquage CE d'ici le 11 décembre 2027.

Tu avais trouvé ?

Oui, j'avais bonPas encore