IA Droit 2025 : les nouvelles obligations juridiques à anticiper

1. Comprendre la classification des risques de l’AI Act

Le règlement européen sur l’intelligence artificielle (2024/1689) établit quatre niveaux de risque : inacceptable, élevé, limité et minimal. Dès février 2025, les systèmes à risque inacceptable (manipulation comportementale, notation sociale) sont interdits. Pour les systèmes à haut risque (santé, recrutement, infrastructures critiques), les obligations s’appliquent à partir d’août 2025 pour les nouveaux systèmes, et mi-2026 pour les systèmes déjà déployés.

« La classification n’est pas une simple formalité. Un système de CV scoring utilisé par une PME peut être considéré à haut risque s’il détermine l’accès à l’emploi. En 2025, nous avons déjà vu des mises en demeure pour défaut d’enregistrement. » — Me Aline Durand, avocate spécialisée IA, IAAvocat.com

En 2026, la base de données européenne des systèmes d’IA à haut risque recense déjà plus de 1 200 systèmes. L’absence d’enregistrement expose à des amendes allant jusqu’à 3 % du chiffre d’affaires annuel mondial. La classification doit être revue chaque année ou lors de toute modification substantielle du système.

2. Documentation technique et registre des traitements

L’article 11 de l’AI Act impose une documentation technique détaillée pour tout système à haut risque. Celle-ci doit inclure : la description de l’architecture, les jeux de données d’entraînement, les mesures de sécurité, les performances mesurées et les biais potentiels. En 2025, le format standardisé (norme EN 17007) est devenu obligatoire. Le registre des traitements doit être tenu à jour et accessible aux autorités de contrôle.

Que doit contenir votre registre IA ?

• Finalité du système et base juridique du traitement
• Catégorie de personnes concernées et données utilisées
• Mesures de supervision humaine et de cybersécurité
• Analyse d’impact relative aux droits fondamentaux (AIRD)

« En 2026, nous avons accompagné une trentaine de PME dans la rédaction de leur documentation. L’absence de registre est le premier grief relevé lors des contrôles de la CNIL. » — Raphaël Moreau, consultant conformité IA, IAAvocat.com

3. Transparence et information des personnes

L’article 50 de l’AI Act généralise l’obligation d’informer les personnes lorsqu’elles interagissent avec un système d’IA. Cela concerne les chatbots, les systèmes de recommandation, les filtres de contenu et les décisions automatisées. L’information doit être claire, visible et accessible, même en version vocale. En 2025, la Commission a précisé que les mentions légales doivent apparaître avant le premier échange, et non pas dans les conditions générales.

Exemples concrets d’obligations de transparence

• 🔹 Chatbot client : annoncer « Vous discutez avec une IA » en début de conversation
• 🔹 Filtre de CV : indiquer que le tri initial est automatisé et expliquer les critères
• 🔹 Diagnostic médical assisté par IA : mentionner le taux d’erreur et le rôle du praticien

« Nous avons eu un cas en 2026 : une plateforme de e-commerce utilisait un système de recommandation sans étiquetage. La DGCCRF a exigé une correction sous 48 heures. La transparence n’est pas une option, c’est une obligation immédiate. » — Me Sophie Lemoine, avocate en droit numérique

4. Évaluation de la conformité et marquage CE

Les systèmes à haut risque doivent subir une évaluation de conformité avant leur mise sur le marché. Pour la plupart des systèmes, l’auto-évaluation est possible si le fabricant applique les normes harmonisées. En l’absence de norme, un organisme notifié doit intervenir. Le marquage CE IA, obligatoire depuis le 1er janvier 2026, atteste de la conformité. Les données techniques de 2026 montrent que 40 % des évaluations initiales révèlent des lacunes dans la gestion des biais.

« Le marquage CE IA n’est pas un simple tampon. Il exige une démonstration technique de la robustesse, de la précision et de l’équité. En 2026, trois fabricants d’outils de recrutement ont dû retirer leur système faute de conformité. » — Dr. Elena Rossi, experte en métrologie IA, Université de Milan

5. Supervision humaine et droits des utilisateurs

L’article 14 de l’AI Act impose une supervision humaine effective pour les systèmes à haut risque. Cela signifie qu’une personne physique doit pouvoir comprendre, contester et désactiver les décisions automatisées. Les utilisateurs finaux (citoyens, patients, candidats) disposent d’un droit à l’explication individuelle. En 2025, le comité européen de l’IA a précisé que l’explication doit être compréhensible par une personne non experte.

6. Sanctions, contrôles et contentieux 2026

Le régime de sanctions de l’AI Act est dissuasif : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les infractions les plus graves (systèmes interdits). En 2026, les premières vagues de contrôles coordonnés ont eu lieu dans 12 États membres. En France, la CNIL a déjà prononcé 4 sanctions pour défaut de transparence et absence de registre. Les contentieux civils se multiplient : des associations de consommateurs attaquent des décisions automatisées jugées discriminatoires.

« Le risque contentieux est réel. En 2026, nous avons plaidé trois affaires liées à des biais dans des algorithmes de notation. Les juges s’appuient désormais sur les normes techniques pour évaluer la conformité. » — Me Karim Bensaid, avocat en contentieux IA

7. Normes techniques et conformité pratique

Les normes harmonisées CEN/CENELEC sont essentielles pour présumer la conformité. En 2025-2026, trois normes majeures ont été publiées : EN 17007 (gestion des risques), EN 17008 (transparence) et EN 17009 (supervision humaine). La norme EN 17010 sur les données d’entraînement est en cours de finalisation (prévue 2027). Les entreprises peuvent également utiliser des codes de conduite approuvés par la Commission.

« Appliquer les normes, c’est gagner du temps. En 2026, les autorités de contrôle vérifient systématiquement la conformité aux EN 17007 et 17008. Les entreprises qui les ont adoptées dès 2025 ont réduit de 60 % le temps d’inspection. » — Dr. Hans Weber, normalisation IA au CEN

8. Anticiper les évolutions 2026-2027

Le cadre juridique de l’IA continue d’évoluer. En 2026, la Commission européenne a proposé un règlement sur l’IA générative (deepfakes, modèles de fondation). Les obligations de transparence devraient être renforcées pour les modèles comme GPT-5 ou Gemini. Par ailleurs, la directive responsabilité IA (2025/XXXX) est en cours d’adoption : elle facilitera les recours des victimes de dommages causés par des systèmes d’IA. Les entreprises doivent suivre ces évolutions pour ajuster leur conformité.

« L’année 2027 verra l’entrée en vigueur de la responsabilité objective pour les systèmes à haut risque. Il faut dès maintenant documenter les décisions de conception et les tests de sécurité. » — Me Claire Fontaine, directrice juridique IA, cabinet LexIA