Un calendrier remanié pour l'intelligence artificielle « à haut risque »

Le cadre européen sur l'intelligence artificielle est fixé par Le règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (ci-après le «règlement sur l’IA»), entré en vigueur le 1er août 2024, tel que présenté dans la proposition de règlement de la Commission européenne. Ce texte ne s'applique pas d'un bloc : son entrée en application est étalée dans le temps, catégorie de systèmes par catégorie de systèmes. L’entrée en application du règlement sur l’IA se fait par étapes, toutes les règles entrant en application au plus tard le 2 août 2027. Selon ce même texte, la date générale d’application est le 2 août 2026, mais la plupart des dispositions, en particulier celles régissant les systèmes d’IA à haut risque, ne commenceront à s’appliquer qu’à partir du 2 août 2026 ou du 2 août 2027. C'est précisément ce calendrier initial, applicable aux systèmes à haut risque, que la réforme entrée en vigueur cet été vient rouvrir et modifier — sans toucher, en revanche, ni à la définition des systèmes à haut risque, ni aux obligations de fond qui leur sont attachées.

Deux nouvelles échéances pour les systèmes à haut risque

Le règlement distingue deux grandes familles de systèmes à haut risque, régies chacune par sa propre annexe et, désormais, par sa propre échéance. Pour les systèmes relevant de l'annexe III — les usages considérés comme sensibles par nature, indépendamment de tout produit physique — cette flexibilité ne devrait être prolongée que jusqu’au 2 décembre 2027 en ce qui concerne les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 2, et de l’annexe III. La Commission européenne le résume ainsi dans sa communication officielle : « High-risk AI systems in Annex III: Rules apply starting 2 December 2027 ». Pour les systèmes intégrés dans des produits physiques déjà couverts par une réglementation sectorielle propre (annexe I), le report va plus loin dans le temps : jusqu’au 2 août 2028 en ce qui concerne les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 1, et de l’annexe I dudit règlement, soit, dans le texte anglais de la Commission : « High-risk AI embedded in physical products (machinery, toys, lifts, etc.) in Annex I: Rules apply starting 2 August 2028 ». Concrètement, un même règlement fixe donc désormais trois horizons distincts selon la nature du système concerné, et non plus une échéance unique.

Ce que recouvrent les annexes III et I

Le règlement ne classe pas indistinctement tous les systèmes d'IA comme « à haut risque » : cette qualification dépend de la nature de l'usage, listée limitativement dans deux annexes au texte. L'annexe III vise des usages autonomes, non rattachés à un produit physique, considérés comme sensibles pour les droits des personnes : selon la CNIL, elle couvre les systèmes d'IA dans les domaines de la biométrie, des infrastructures critiques, de l'éducation, de l'emploi, et d'autres domaines sensibles listés par le texte, comme l'accès à certains services essentiels ou l'application de la loi. L'annexe I, elle, suit une logique différente : elle concerne des systèmes d'IA déjà intégrés dans des produits couverts par une législation sectorielle propre, préexistante au règlement sur l'IA. La CNIL précise : « Application des règles relatives aux systèmes d'IA à haut risque de l'annexe I (jouets, équipements radio, dispositifs médicaux de diagnostic in vitro, sécurité de l'aviation civile, véhicules agricoles, etc.). »

Un point mérite l'attention des professionnels de santé au sens large. Le texte de la Commission évoque également le développement de produits dans le domaine des médicaments ou des dispositifs médicaux, sur lesquels la Commission travaillera en priorité. Cette disposition renvoie explicitement au règlement (UE) 2017/745 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux, cité comme législation sectorielle de référence pour l'annexe I. C'est, à ce jour, le seul point de contact explicite entre ce calendrier et le champ de la santé identifié dans les sources consultées pour cet article — et il concerne le dispositif médical lui-même, pas les logiciels métiers utilisés en établissement.

Ce qui n'est pas repoussé : les autres obligations du texte

Le report ne concerne que les systèmes à haut risque des annexes I et III : les autres volets du règlement suivent le calendrier général déjà évoqué plus haut, sans modification apportée par cette réforme. La CNIL rappelle ainsi que les obligations de transparence concernant certains systèmes d'IA restent, elles, associées à cette date générale d'application. Autrement dit, la réforme n'assouplit pas l'ensemble du règlement : elle cible spécifiquement les délais de mise en conformité des systèmes classés à haut risque, laissant inchangé le reste de l'édifice réglementaire.

Repères chronologiques à retenir

  • entré en vigueur le 1er août 2024 — entrée en vigueur du règlement (UE) 2024/1689
  • la date générale d’application est le 2 août 2026
  • est entrée en vigueur le 27 juillet 2026 — entrée en vigueur de la version amendée par la réforme
  • jusqu’au 2 décembre 2027 — nouvelle échéance pour les systèmes à haut risque de l'annexe III
  • jusqu’au 2 août 2028 — nouvelle échéance pour les systèmes à haut risque de l'annexe I

Un dossier à suivre, sans obligation directe aujourd'hui identifiée pour le numérique en EHPAD

Aucune des sources consultées pour cet article ne mentionne, à ce stade, les logiciels utilisés au quotidien dans les établissements — dossier de l'usager informatisé, outils de détection des chutes assistée par intelligence artificielle, logiciels de planning automatisé. Le règlement européen ne les classe pas nommément, et rien ne permet d'affirmer aujourd'hui qu'ils entrent dans le champ de l'annexe III ou de l'annexe I. Ce silence n'est pas anodin : la classification d'un système comme « à haut risque » n'est jamais automatique, elle résulte d'une analyse au cas par cas menée par le fournisseur du logiciel, sous le contrôle des autorités compétentes.

Cela ne signifie pas que le sujet est sans lien avec le quotidien de l'IDEC. Si un éditeur de logiciel venait, demain, à documenter que l'un de ses modules relève d'une catégorie à haut risque au sens du règlement — par exemple parce qu'il embarque une fonction d'aide à la décision intégrée à un dispositif médical réglementé — les échéances décrites plus haut donneraient alors un ordre de grandeur du temps disponible pour se mettre en conformité. C'est précisément parce que cette clarification n'existe pas encore qu'il est utile, pour la fonction d'encadrement que porte l'IDEC, de suivre ce dossier réglementaire de loin plutôt que d'attendre une communication officielle tardive de la part d'un fournisseur.

Dans l'intervalle, la posture la plus sûre reste la prudence dans le vocabulaire employé en interne comme auprès des équipes : présenter un outil comme « conforme à l'AI Act » ou « classé à haut risque » sans document officiel à l'appui reviendrait à affirmer plus que ce que les textes disent aujourd'hui. À l'inverse, poser la question directement aux éditeurs de logiciels lors d'un renouvellement de contrat — leur outil relève-t-il, selon leur propre analyse, de l'une des deux annexes du règlement, et si oui selon quel calendrier de mise en conformité — reste une démarche raisonnable, qui ne présuppose aucune réponse.

Pour aller plus loin

La veille réglementaire fait partie des missions attendues d'un IDEC en établissement, au même titre que la maîtrise des outils numériques utilisés en EHPAD. Cette veille s'inscrit aussi dans le développement des compétences attendues du poste, à mesure que les obligations documentaires liées aux systèmes numériques de santé se précisent. Elle rejoint enfin les logiques déjà à l'œuvre dans les procédures existantes de l'établissement, où la traçabilité des outils utilisés — logiciels compris — occupe une place croissante.