Alors que le règlement sur l’intelligence artificielle est entré en vigueur le 1er août 2024 et que la concurrence internationale dans ce domaine s’intensifie, la Commission européenne propose des ajustements destinés à simplifier le cadre législatif applicable.
Le règlement (UE) 2024/1689 du 13 juin 2024[1] (RIA ou AI Act) établit le premier cadre juridique européen harmonisé en matière d’intelligence artificielle (IA). Il traduit l’ambition de l’Union européenne de concilier deux objectifs complémentaires : favoriser le développement de l’innovation au sein du marché intérieur dans un contexte de forte concurrence internationale, tout en garantissant le respect des valeurs fondamentales qu’elle promeut.
Pour accompagner la mise en œuvre progressive du RIA et tenir compte des retours issus des consultations menées auprès des acteurs du marché et des autorités nationales, qui ont mis en évidence certaines difficultés pratiques, la Commission européenne a présenté un ensemble d’amendements regroupés au sein du paquet législatif « Digital Omnibus ». Ces ajustements visent à faciliter l’application du règlement tout en préservant les exigences de sécurité, de transparence et de conformité qu’il impose aux différents acteurs.
Une nouvelle base juridique pour traiter des données personnelles sensibles
Dans sa rédaction actuelle, le RIA permet aux fournisseurs et aux déployeurs de systèmes d’IA (SIA) à haut risque de traiter, à titre exceptionnel, des données personnelles sensibles, telles que les données de santé, aux seules fins de détection et de correction des biais susceptibles d’être générés par l’IA[2]. Cette faculté est strictement encadrée afin d’assurer le respect des libertés et droits fondamentaux des personnes concernées.
Le mécanisme proposé par la Commission européenne au sein du paquet « Digital Omnibus » ouvrirait cette possibilité à l’ensemble des SIA, quel que soit leur niveau de risque, à condition de respecter certaines exigences. Le projet prévoit notamment que les fournisseurs et les déployeurs soient tenus de supprimer les données sensibles traitées dès que le biais a été corrigé ou, en tout état de cause, à l’expiration de la durée de conservation autorisée au titre du RGPD.
Dans leur avis conjoint du 20 janvier 2026[3], le Contrôleur européen de la protection des données (EDPS) et le Comité européen de la protection des données (EDPB) ont néanmoins estimé que cette nouvelle base juridique de traitement pourrait avoir des effets préjudiciables sur les personnes concernées, et ont donc encouragé la Commission européenne à consolider les garanties protectrices de leurs droits.
Des mesures d’allègement visant à faciliter l’application du RIA
Les consultations conduites auprès des acteurs du marché européen ont mis en évidence que certaines obligations prévues par le RIA pouvaient se révéler excessives et constituer un frein à la mise en application du règlement. Pour y remédier, la Commission européenne propose plusieurs mesures destinées à alléger ces exigences. Elle envisage notamment :
- la suppression de l’obligation, pour les fournisseurs et les déployeurs de SIA de garantir la maîtrise de l’IA par leur personnel. Cette exigence serait désormais remplacée par une simple incitation, portée par les États membres et la Commission européenne ;
- la levée de l’obligation d’enregistrement auprès du registre européen pour les SIA à haut risque qui ne présentent pas de risques significatifs pour la santé, la sécurité ou les droits fondamentaux des personnes.
Des mesures pour mieux encadrer l’innovation au sein de l’Union européenne
La Commission européenne présente également des propositions de modifications, portant sur la gouvernance et le cadre de la recherche en matière d’IA, visant à soutenir les acteurs du marché tout en garantissant le développement d’une IA respectueuse des valeurs fondamentales.
- Renforcement des règles de gouvernance
La Commission européenne propose de renforcer les règles de coopération et d’assistance mutuelle entre les autorités chargées du contrôle et de la surveillance des fournisseurs et des déployeurs de SIA.
Dans sa rédaction actuelle, le RIA impose aux autorités compétentes pour l’évaluation des SIA à haut risque de demander directement aux déployeurs ou fournisseurs la documentation obligatoire. La proposition prévoit quant à elle de placer les autorités de surveillance du marché comme point de contact centralisé entre ces autorités compétentes, d’une part, et les déployeurs ou fournisseurs, d’autre part.
Elle envisage par ailleurs de conférer un rôle accru au Bureau européen de l’IA, créé par le RIA et chargé de veiller à sa mise en œuvre coordonnée à l’échelle européenne. Le Bureau serait ainsi chargé du contrôle et de la surveillance de deux catégories spécifiques de SIA :
- Les SIA reposant sur des modèles d’IA à usage général lorsque le système et le modèle sont développés par un même fournisseur ;
- Les SIA intégrés dans, ou constituant, une très grande plateforme en ligne ou un très grand moteur de recherche au sens du Digital Services Act[4] (DSA), en raison des risques systémiques qu’ils sont susceptibles de présenter.
Le Bureau européen de l’IA pourrait aussi se voir reconnaître un pouvoir de sanction, comprenant notamment la faculté de prononcer des amendes administratives à l’encontre des acteurs ne respectant pas les obligations prévues par le RIA.
- Stimulation de l’innovation
La Commission européenne entend renforcer les capacités du Bureau européen de l’IA en lui conférant la possibilité de développer des bacs à sable réglementaires[5], qui viendraient s’ajouter à ceux établis au niveau national.
La Commission propose encore d’autoriser la conclusion d’accords volontaires entre les États membres, les autorités compétentes et elle-même, afin de tester certains SIA à haut risque directement dans leur environnement réel d’utilisation. Ces expérimentations se dérouleraient sous supervision conjointe, en dehors des bacs à sable réglementaires, et à l’exclusion des SIA interdits. À titre d’exemple, pourraient être concernés des SIA développés dans le secteur de l’automobile (annexe I, section B, du RIA).
Le report de l’entrée en application des obligations prévues au RIA
Compte tenu du retard constaté dans la publication des normes harmonisées relatives aux exigences applicables aux fournisseurs et aux déployeurs de SIA, ainsi que dans la désignation des autorités compétentes, le projet prévoit le report de certaines obligations prévues par le RIA.
Ainsi serait reportée à février 2027 l’obligation de marquage[6] à laquelle sont soumis les fournisseurs de SIA déjà commercialisés et générant des contenus de synthèse de type audio, image, vidéo ou texte. À noter que l’EDPB et l’EDPS se sont opposés à ce report, eu égard à l’importance du respect de l’exigence de transparence pour les SIA exposant directement les personnes.
En ce qui concerne certains SIA à haut risque, la proposition prévoit que l’application des exigences prévues par le RIA soit conditionnée à la décision de la Commission constatant la disponibilité des normes, lignes directrices et procédures nécessaires, suivie d’un délai d’adaptation de six à douze mois pour les acteurs du marché.
En tout état de cause, deux dates butoirs sont envisagées :
- Le 2 décembre 2027 pour les SIA classés à haut risque en raison de leur domaine d’utilisation (biométrie, éducation et formation, emploi, etc.) ;
- Le 2 août 2028 pour les SIA à haut risque relatifs à des produits soumis à la législation européenne harmonisée, comme c’est par exemple le cas en matière de sécurité des jouets.
Lire la proposition de règlement n°2025/0359 (COD) de la Commission européenne
[1] Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle
[2] Article 10 du RIA
[3] Avis conjoint de l’EDPB et de l’EDPS, 1/2026
[4] Règlement (UE) 2022/2065 du 19 octobre 2022 relatif à un marché unique des services numériques
[5] Un bac à sable consiste en un cadre contrôlé mis en place par une autorité compétente qui offre aux fournisseurs ou fournisseurs potentiels de SIA la possibilité de développer, d’entraîner, de valider et de tester, lorsqu’il y a lieu en conditions réelles, un SIA.
[6] Le marquage consiste à indiquer, sur les productions générées par IA, qu’elles ont été créées ou manipulées par une IA, dans un format lisible par machine et permettant leur identification.
