« Il y a un humain dans la boucle » est la réponse la plus donnée et la moins vérifiable. L’article 14 ne demande pas un humain dans la boucle : il demande une conception qui rende le contrôle possible, et il désigne précisément qui doit s’en charger.
L’article 14 est une obligation de conception, et elle pèse sur le fournisseur. Les paragraphes 1 et 3 le disent : la conception et le développement doivent permettre le contrôle, et les mesures sont identifiées par le fournisseur avant la mise sur le marché. Le déployeur, lui, met en œuvre ces mesures et confie le contrôle à des personnes qualifiées, en vertu de l’article 26, paragraphe 2. Écrire « l’article 14 impose au déployeur de superviser » inverse la charge.
Qu’exige l’article 14 en matière de contrôle humain ?
Que le système soit conçu pour permettre un contrôle humain effectif, pas seulement qu’une procédure l’organise. L’article 14 pèse d’abord sur la conception et le développement du produit : le contrôle doit être rendu possible par les interfaces, avant d’être confié à quelqu’un.
- La conception et le développement des systèmes d’IA à haut risque permettent, notamment au moyen d’interfaces homme-machine appropriées, un contrôle effectif par des personnes physiques pendant leur période d’utilisation.
Trois mots portent l’exigence : conception, développement, effectif. Le contrôle doit être rendu possible par le produit, pas seulement organisé par procédure.
Jusqu’où le contrôle humain doit-il aller ?
Jusqu’aux risques qui subsistent une fois les autres exigences satisfaites, et pas au-delà. Le paragraphe 2 le dit : le contrôle humain vise les risques qui apparaissent « en particulier lorsque de tels risques persistent malgré l’application d’autres exigences ». C’est un filet résiduel, pas le premier rempart.
Le paragraphe 2 explique à quoi sert le contrôle humain, et c’est lui qui permet de juger s’il est suffisant :
Le contrôle humain vise à prévenir ou à réduire au minimum les risques pour la santé, la sécurité ou les droits fondamentaux qui peuvent apparaître lorsqu’un système d’IA à haut risque est utilisé conformément à sa destination ou dans des conditions de mauvaise utilisation raisonnablement prévisible, en particulier lorsque de tels risques persistent malgré l’application d’autres exigences énoncées dans la présente section.
Le contrôle humain est un filet de sécurité résiduel, pas le premier rempart. Il traite les risques qui subsistent après la gestion des risques de l’article 9, la gouvernance des données de l’article 10 et la robustesse de l’article 15. Une organisation qui présente la supervision humaine comme sa mesure principale décrit en réalité un système dont les autres exigences ne sont pas satisfaites.
Deuxième enseignement : le périmètre couvre la destination et la « mauvaise utilisation raisonnablement prévisible ». Un contrôle conçu pour l’usage nominal seulement ne remplit pas la condition.
Qui met en place les mesures, le fournisseur ou le déployeur ?
C’est le fournisseur qui les identifie, dans les deux cas. Le texte distingue les mesures qu’il intègre au système, lorsque c’est techniquement possible, et celles qu’il identifie mais que le déployeur met en œuvre. Les deux types peuvent se cumuler, et aucune hiérarchie n’est établie entre eux.
Les mesures de contrôle sont proportionnées aux risques, au niveau d’autonomie et au contexte d’utilisation du système d’IA à haut risque, et sont assurées au moyen d’un ou des deux types de mesures suivants: a) des mesures identifiées et, lorsque cela est techniquement possible, intégrées par le fournisseur dans le système d’IA à haut risque avant la mise sur le marché ou la mise en service de ce dernier; b) des mesures identifiées par le fournisseur avant la mise sur le marché ou la mise en service du système d’IA à haut risque et qui se prêtent à une mise en œuvre par le déployeur.
Les deux types peuvent se cumuler : le texte dit « un ou des deux », et n’établit entre eux aucune hiérarchie. Ce qui les distingue est ailleurs : le point a), l’intégration au produit, n’est dû que « lorsque cela est techniquement possible ». Dans les deux cas, c’est le fournisseur qui identifie les mesures. Le déployeur reçoit un dispositif, il ne l’invente pas.
Quelles capacités la personne chargée du contrôle doit-elle avoir ?
Celles du paragraphe 4, et toutes sous la même réserve. Comprendre les capacités et les limites du système, rester consciente du biais d’automatisation, interpréter correctement les sorties, décider de ne pas s’en servir, et pouvoir interrompre le système. La formule d’introduction compte autant que la liste : ces capacités sont dues « dans la mesure où cela est approprié et proportionné ».
Le paragraphe 4 énumère ce que la personne chargée du contrôle doit avoir la possibilité de faire. La formule d’introduction compte autant que la liste : ces capacités sont dues « dans la mesure où cela est approprié et proportionné ».
Comprendre les capacités et les limites du système, et être en mesure de surveiller son fonctionnement, « y compris en vue de détecter et de traiter les anomalies, les dysfonctionnements et les performances inattendues ».
Avoir conscience du biais d’automatisation. Le texte le nomme et le définit : « une éventuelle tendance à se fier automatiquement ou excessivement aux sorties », et il vise « en particulier » les systèmes « utilisés pour fournir des informations ou des recommandations concernant les décisions à prendre par des personnes physiques ». Autrement dit, le cas le plus exposé est précisément celui que l’on décrit comme rassurant : la machine conseille, l’humain décide.
Interpréter correctement les sorties, « compte tenu par exemple des outils et méthodes d’interprétation disponibles ».
Décider, « dans une situation particulière », de ne pas utiliser le système ou d’ignorer, remplacer ou inverser sa sortie. Quatre verbes, et ils ne disent pas la même chose. L’incise compte : c’est une capacité de décision d’espèce, pas un droit général de désactivation. Une organisation où l’agent peut signaler un désaccord sans pouvoir écarter la sortie ne remplit pas cette condition.
Intervenir ou interrompre le système « au moyen d’un bouton d’arrêt ou d’une procédure similaire permettant au système de s’arrêter de manière sécurisée ». Le bouton d’arrêt est dans le texte, avec son alternative.
Prenez une décision récente produite par le système, et demandez qui, nommément, pouvait l’écarter, et si cette personne l’a effectivement fait au moins une fois. Un contrôle humain dont la trace ne montre jamais de sortie écartée n’est pas un contrôle : c’est une validation formelle, c’est-à-dire précisément le risque que le paragraphe 4, point b) nomme biais d’automatisation.
Faut-il vraiment deux personnes pour valider une décision ?
Le paragraphe 5 ajoute une exigence, et seulement pour les systèmes du point 1 a) de l’annexe III, c’est-à-dire l’identification biométrique à distance. Il faut en citer le chapeau, car il montre que la règle des quatre yeux est elle aussi une exigence de conception :
Pour les systèmes d’IA à haut risque visés à l’annexe III, point 1 a), les mesures prévues au paragraphe 3 du présent article sont de nature à garantir que, en outre, aucune mesure ou décision n’est prise par le déployeur sur la base de l’identification résultant du système sans vérification et confirmation distinctes de cette identification par au moins deux personnes physiques disposant des compétences, de la formation et de l’autorité nécessaires.
Cette règle ne vaut pas pour le reste du haut risque. La présenter comme une exigence générale du règlement est faux.
Une exception l’écarte pour les systèmes utilisés à des fins répressives ou dans les domaines de la migration, des contrôles aux frontières ou de l’asile, « lorsque le droit de l’Union ou le droit national considère que l’application de cette exigence est disproportionnée ».
Que doit faire le déployeur, concrètement ?
L’article 14 conçoit, l’article 26 met en œuvre. Le paragraphe 2 de l’article 26 impose que « les déployeurs confient le contrôle humain à des personnes physiques qui disposent des compétences, de la formation et de l’autorité nécessaires ainsi que du soutien nécessaire ».
Le mot qui décide est « autorité ». Une personne qui, dans l’organisation, ne peut pas écarter la sortie du système sans engager sa propre responsabilité, ou sans passer par une validation hiérarchique qui la dissuade, ne dispose pas de l’autorité nécessaire, quelles que soient ses compétences.
Et la compétence renvoie à une obligation déjà exigible. L’article 4 sur la maîtrise de l’IA pèse sur tout fournisseur et tout déployeur depuis le 2 février 2025, sans attendre les échéances du haut risque. Il n’impose aucune formation obligatoire, et sa rédaction actuelle, qui date du 27 juillet 2026, précise même qu’il « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». Cette dernière précision vient du règlement (UE) 2026/1744 : la citer en la datant de février 2025 serait un anachronisme. Mais prendre des mesures de montée en compétence pour les personnes qui superviseront un système n’est pas une anticipation de 2027 : c’est une obligation d’aujourd’hui.
Comment l’article 14 s’articule avec le RGPD ?
L’article 22 du règlement général sur la protection des données encadre la décision individuelle entièrement automatisée, avec son propre régime de garanties. Il ne se confond pas avec l’article 14, qui n’exige pas d’intervention humaine dans chaque décision mais une conception permettant le contrôle. Les deux obligations coexistent et se déterminent séparément.
L’article 86 ouvre à la personne concernée un droit à l’explication sur le rôle du système dans la décision, sous des conditions restrictives. Il porte sur ce qui est dit à la personne, non sur la manière dont le contrôle est organisé.
L’analyse d’impact sur les droits fondamentaux de l’article 27 exige du déployeur qui y est soumis « une description de la mise en œuvre des mesures de contrôle humain, conformément à la notice d’utilisation ». C’est le document où ce dispositif se démontre, et la notice du fournisseur en est le référentiel.
Ce qu’il faut regarder
La notice d’utilisation décrit-elle les mesures de contrôle ? C’est au fournisseur de les identifier et de les documenter. Si la notice est muette, l’exigence n’est pas satisfaite, et ce n’est pas au déployeur de la combler seul.
Les mesures sont-elles intégrées au produit, laissées au déployeur, ou les deux ? Le texte permet le cumul, et l’intégration du point a) n’est due que dans la mesure où elle est techniquement possible.
Qui peut écarter une sortie, et avec quelle autorité réelle ? Cette réponse ne se lit pas dans un organigramme mais dans les traces de décision.
Le dispositif couvre-t-il la mauvaise utilisation raisonnablement prévisible ? Le paragraphe 2 l’exige, et c’est le point le plus souvent absent.
Avez-vous pris des mesures de montée en compétence pour vos superviseurs ? L’article 4 est exigible depuis février 2025, indépendamment du calendrier du haut risque.
Sur quoi cette page s’appuie
Les articles 4, 14, 26, 27 et 86 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744. Les articles 14, 26 et 27 ont été extraits d’EUR-Lex les 27 et 28 août 2026, et les citations qui en sont faites sont reproduites mot à mot. Le texte qui fait foi reste celui publié au Journal officiel, la version consolidée n’ayant qu’une valeur documentaire.
Aucune ligne directrice de la Commission ne porte sur l’article 14 à ce jour. Des lignes directrices sur la conformité aux exigences applicables aux systèmes à haut risque sont annoncées, non publiées.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 28 août 2026.
Questions fréquentes
L’article 14 impose-t-il un humain derrière chaque décision ?
Non. Il impose que « la conception et le développement des systèmes d’IA à haut risque permettent [...] un contrôle effectif par des personnes physiques pendant leur période d’utilisation », et que la personne chargée du contrôle ait la possibilité de cinq choses, dont celle de ne pas utiliser le système ou d’ignorer sa sortie. Ce n’est pas la même chose qu’une validation humaine systématique, que le texte n’exige nulle part.
Sur qui pèse cette obligation ?
Sur le fournisseur. L’article 14 figure au chapitre III, section 2, qui énonce les exigences applicables aux systèmes à haut risque, et ses paragraphes 1 et 3 mettent la conception et l’identification des mesures à la charge du fournisseur, avant la mise sur le marché. Le déployeur, lui, doit confier ce contrôle à des personnes disposant des compétences, de la formation et de l’autorité nécessaires, article 26, paragraphe 2.
La règle des deux personnes s’applique-t-elle à tous les systèmes à haut risque ?
Non. Le paragraphe 5 ne vise que les systèmes du point 1 a) de l’annexe III, c’est-à-dire l’identification biométrique à distance. Pour ceux-là, les mesures de contrôle prévues au paragraphe 3 doivent être de nature à garantir qu’aucune mesure ou décision n’est prise sur la base de l’identification « sans vérification et confirmation distinctes de cette identification par au moins deux personnes physiques ». Une exception existe pour la répression, la migration, les frontières et l’asile lorsque le droit juge l’exigence disproportionnée.
Depuis quand cette exigence s’applique-t-elle ?
Les sections 1, 2 et 3 du chapitre III, à l’exception de l’article 6, paragraphe 5, s’appliquent au 2 décembre 2027 pour les systèmes de l’annexe III et au 2 août 2028 pour ceux de l’annexe I. L’article 14 en fait partie. Mais l’obligation de maîtrise de l’IA de l’article 4, qui conditionne la compétence des personnes chargées du contrôle, est exigible depuis le 2 février 2025.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.