Le règlement ne crée aucun régime « secteur public ». Il n’y a pas de chapitre qui vous soit consacré, ni de seuil qui vous soit propre. Et l’exemption qui vous vise le plus directement ne tient pas à votre statut mais à votre activité : l’article 2, paragraphe 3 laisse hors du règlement les domaines qui échappent au droit de l’Union, la sécurité nationale, et les usages exclusivement militaires, de défense ou de sécurité nationale — le troisième alinéa ajoutant les systèmes qui ne sont pas mis sur le marché ni mis en service dans l’Union et dont seules les sorties y sont utilisées à ces fins. Les autres exclusions de l’article 2, recherche scientifique, activités de développement avant mise sur le marché, licence libre, vous sont ouvertes comme à tout opérateur.
Ce qu’il y a, ce sont des dispositions éparses qui vous nomment, et cette page ne fait que les rassembler. Tout le reste, vous le partagez avec n’importe quel déployeur privé.
Ce qui vous nomme. L’article 27, l’analyse d’impact sur les droits fondamentaux. L’article 26, paragraphe 8, l’enregistrement et l’interdiction qui l’accompagne. L’article 49, paragraphe 3, l’obligation d’enregistrement elle-même, dont l’annexe VIII, section C fixe le contenu. L’article 111, paragraphe 2, le butoir du 2 août 2030. L’article 99, paragraphe 8, la question de savoir si vous pouvez être sanctionné.
Ce qui vise vos domaines d’activité, sans vous nommer. L’article 49, paragraphe 4, la section sécurisée de la base de données. L’article 26, paragraphe 10, l’identification biométrique à distance a posteriori à des fins répressives. Et l’article 46, paragraphe 2, qui ouvre aux autorités répressives et de protection civile une faculté de mise en service en urgence sans autorisation préalable, à condition de la demander sans retard injustifié ; si elle est refusée, « l’utilisation du système d’IA à haut risque cesse immédiatement et tous les résultats et sorties de cette utilisation sont immédiatement mis au rebut ».
Quatre d’entre elles sont réservées aux autorités publiques, les articles 26, paragraphe 8, 49, paragraphe 3, 99, paragraphe 8 et 46, paragraphe 2. Les autres, non : l’analyse d’impact vise aussi tous les déployeurs du scoring de crédit et de l’assurance, et le butoir de 2030 vise aussi vos fournisseurs privés. Ce qui est propre au secteur public, c’est de pouvoir les rencontrer toutes, là où un déployeur privé n’en croise au plus qu’une ou deux.
1. Devez-vous réaliser l’analyse d’impact sur les droits fondamentaux ?
Seulement sur les systèmes de l’annexe III, jamais sur ceux de l’annexe I. L’article 27 vise les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics — plus, quel que soit leur statut, tous les déployeurs de systèmes de solvabilité et d’assurance vie ou santé. Les infrastructures critiques du point 2 en sont retirées.
C’est l’obligation qui vous est le plus spécifiquement destinée, et elle est presque toujours présentée trop largement.
Une limite commune d’abord, deux branches ensuite, et l’ordre compte. L’article 27, paragraphe 1 ne vise qu’« un système d’IA à haut risque visé à l’article 6, paragraphe 2 ». C’est-à-dire les systèmes de l’annexe III, et jamais ceux de l’annexe I ; le point 2 de l’annexe III, les infrastructures critiques, en est de surcroît expressément retiré.
Dans ce périmètre seulement, l’obligation pèse sur les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics, ainsi que sur tous les déployeurs des systèmes des points 5 b) et 5 c) de l’annexe III, c’est-à-dire la solvabilité et la note de crédit, et l’évaluation des risques et la tarification en assurance-vie et assurance maladie.
Écrire que le champ de l’article 27 est « double », déployeurs publics d’un côté et scoring de l’autre, sans écrire d’abord le rattachement à l’article 6, paragraphe 2. Cette présentation fait croire à un organisme public qui déploie un système à haut risque de l’annexe I, parce qu’il est intégré à un produit réglementé, qu’il est soumis à l’analyse d’impact. Il ne l’est pas.
Ce que l’analyse contient, et quand elle est due
Ce qu’elle contient : la description des processus concernés, la période et la fréquence d’utilisation, les catégories de personnes et de groupes concernés, les risques spécifiques de préjudice, une description de la mise en œuvre des mesures de contrôle humain « conformément à la notice d’utilisation », et les mesures en cas de matérialisation des risques, « y compris les dispositifs relatifs à la gouvernance interne et aux mécanismes de plainte internes ».
Quand : à la première utilisation, avec réutilisation possible d’analyses antérieures dans des cas similaires, et mise à jour si un élément change. Les résultats sont notifiés à l’autorité de surveillance du marché, avec le modèle rempli. Les déployeurs peuvent être exemptés de cette notification lorsque le système a été autorisé par dérogation au titre de l’article 46, paragraphe 1.
Le modèle, justement. Le paragraphe 5 charge le Bureau de l’IA d’élaborer un modèle de questionnaire, « y compris au moyen d’un outil automatisé ».
Au 24 août 2026, date de notre dernière vérification, les instruments annoncés par le règlement et attendus de la Commission n’ont pas été trouvés publiés.
Le questionnaire de l’article 27, paragraphe 5 en fait partie. En son absence, l’analyse se conduit sur le fondement de la liste du paragraphe 1, qui est ce que le texte impose ; le modèle en facilitera la forme, il n’en changera pas le contenu.
Les articles 11 et 27 ont été modifiés par le règlement (UE) 2026/1744 : l’échéance et le contenu de ces deux obligations n’ont pas été relus sur la version consolidée. La non-publication est établie ; la qualification du retard, elle, est suspendue pour le formulaire simplifié et pour le questionnaire d’analyse d’impact.
→ L’articulation avec l’analyse d’impact du règlement général sur la protection des données
2. L’enregistrement, et l’interdiction qui l’accompagne
L’article 26, paragraphe 8 impose aux déployeurs qui sont des autorités publiques de s’enregistrer dans la base de données de l’Union. C’est connu.
Ce qui l’est moins, c’est la seconde moitié de la phrase : ces déployeurs n’utilisent pas un système d’IA à haut risque qui ne figure pas dans cette base. Autrement dit, un système de l’annexe III que son fournisseur n’a pas enregistré n’est pas déployable par vous, quel que soit par ailleurs l’état d’avancement de votre marché.
Cette vérification n’a de sens que là où l’enregistrement existe, et il n’existe pas partout : l’article 49, paragraphe 1 ne vise que l’annexe III, et il en retire le point 2 ; les systèmes de l’annexe I n’entrent pas dans la base de l’Union ; et les systèmes du point 2 de l’annexe III sont enregistrés au niveau national, paragraphe 5. Le paragraphe 4 prévoit en outre une section sécurisée, non publique, pour la répression, la migration, l’asile et le contrôle des frontières.
C’est une condition de licéité du déploiement, et elle porte sur un fait que vous ne maîtrisez pas : la diligence de votre fournisseur. Elle a donc sa place dans le contrat, pas dans la vérification a posteriori. Le texte le confirme d’ailleurs : l’annexe VIII, section C, qui fixe ce que le déployeur inscrit, lui demande en son point 3 l’URL de l’entrée du système dans la base de données faite par le fournisseur. Votre enregistrement est mécaniquement suspendu au sien.
Ce que vous inscrivez, cinq points, et trois seulement pour les systèmes enregistrés dans la section sécurisée du paragraphe 4, qui ne reçoit que les points 1 à 3 : votre identité et celle de la personne qui soumet pour vous ; cette URL ; puis deux synthèses, « une synthèse des conclusions de l’analyse d’impact sur les droits fondamentaux réalisée conformément à l’article 27 » et « un résumé de l’analyse d’impact relative à la protection des données réalisée en application de l’article 35 du règlement (UE) 2016/679 ou de l’article 27 de la directive (UE) 2016/680 […] le cas échéant ». C’est le seul endroit du règlement où une analyse d’impact du règlement général sur la protection des données entre dans une base de données de l’Union.
Une réserve de lecture, que nous signalons plutôt que de l’harmoniser : ce point 5 de l’annexe VIII renvoie à « l’article 26, paragraphe 8 » pour cette analyse, alors que la disposition qui l’organise est le paragraphe 9 du même article. L’écart est dans le texte consolidé ; nous ne le corrigeons pas.
3. Vos systèmes déjà en service échappent-ils aux échéances ?
Moins que ceux du privé, et c’est la disposition qui distingue le plus nettement le secteur public — contre lui. Le régime d’antériorité de l’article 111, paragraphe 2 exonère les systèmes déjà sur le marché tant qu’ils ne subissent pas d’importantes modifications — mais il ajoute un butoir : les systèmes destinés à être utilisés par des autorités publiques doivent être conformes au 2 août 2030 en tout état de cause.
Le régime d’antériorité de l’article 111, paragraphe 2, dans sa rédaction issue du règlement (UE) 2026/1744, dispose :
« Sans préjudice de l’application de l’article 5 visée à l’article 113, troisième alinéa, point a), le présent règlement s’applique aux opérateurs de systèmes d’IA à haut risque, autres que les systèmes visés au paragraphe 1 du présent article, qui ont été mis sur le marché ou mis en service avant la date d’application du chapitre III visée à l’article 113, uniquement si, à compter de cette date, ces systèmes subissent d’importantes modifications de leurs conceptions. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques prennent les mesures nécessaires pour se conformer aux exigences et obligations prévues dans le présent règlement au plus tard le 2 août 2030. »
Trois règles s’y superposent, et il ne faut pas les confondre.
Les trois règles d’antériorité, à ne pas confondre
L’antériorité de droit commun. Un système à haut risque mis sur le marché ou mis en service avant la date d’application du chapitre III, le 2 décembre 2027 pour l’annexe III et le 2 août 2028 pour l’annexe I, ne tombe sous le règlement que s’il subit ensuite « d’importantes modifications de leurs conceptions ». Tant qu’il n’en subit pas, le règlement ne lui est pas opposable — c’est le mot du texte, sous la seule réserve expresse de l’article 5 — et aucune date ne vient y mettre fin.
Le butoir du secteur public. Cette absence de limite ne vaut pas pour les systèmes destinés à être utilisés par des autorités publiques. Au 2 août 2030, fournisseurs et déployeurs doivent s’être mis en conformité, qu’il y ait eu ou non modification importante.
Et l’article 5 n’est jamais couvert. Les paragraphes 1 et 2 de l’article 111 s’ouvrent l’un et l’autre par une réserve de l’article 5. Un système hérité reste soumis aux pratiques interdites depuis le 2 février 2025, et depuis le 2 décembre 2026 pour les deux points ajoutés par le règlement (UE) 2026/1744.
Et une règle voisine, qui n’est pas dans ce paragraphe. La citation ci-dessus commence par écarter « les systèmes visés au paragraphe 1 du présent article », c’est-à-dire les composants des systèmes d’information à grande échelle de l’annexe X, les grands fichiers européens. Ceux-là relèvent du paragraphe 1 et d’un butoir propre, plus tardif, pour ceux d’entre eux mis sur le marché ou mis en service avant le 2 août 2027 : le 31 décembre 2030.
Ce que cela change concrètement. Un parc de systèmes hérités qu’une organisation privée peut laisser en l’état tant qu’elle ne le modifie pas, sous réserve des articles 4, 5 et 50, une administration doit l’avoir mis en conformité pour une date connue. Cette date paraît lointaine ; elle porte sur des systèmes qui existent déjà, dont la documentation technique n’a jamais été constituée, et dont certains fournisseurs n’existeront plus.
→ Le calendrier complet, échéance par échéance
4. Pouvez-vous être sanctionné ? L’État ne l’a pas dit
L’article 99, paragraphe 8 laisse à chaque État membre le soin de fixer dans quelle mesure des amendes peuvent être infligées à ses propres autorités et organismes publics. Le règlement ne tranche donc pas la question ; il la renvoie.
Au 24 août 2026, date de notre dernière vérification, aucun texte français d’application du règlement n’a été identifié comme en vigueur : ni loi, ni ordonnance, ni décret.
Ce constat n’a pas pu être vérifié directement sur Legifrance, resté inaccessible ce jour-là avec une erreur HTTP 403 : aucune recherche négative n’a été conduite sur le corpus réglementaire français, décrets et arrêtés compris, et le constat repose sur cinq sources officielles concordantes.
Ce silence n’est pas une immunité, et il serait imprudent de le lire comme telle. Il ne suspend aucune obligation : le règlement est d’application directe, et les obligations existent sans attendre un texte français. Ce qui manque, c’est le régime de sanction applicable aux personnes publiques, et l’autorité chargée de le mettre en œuvre.
→ Le barème des sanctions, et qui peut l’appliquer
Ce qui ne vous distingue pas, et qu’il faut faire quand même
L’essentiel de vos obligations est celui de n’importe quel déployeur. Les douze paragraphes de l’article 26 sont détaillés sur la page qui leur est consacrée, et cette page ne les reprend pas : contrôle humain au paragraphe 2, surveillance et suspension au paragraphe 5, journaux au paragraphe 6, information des travailleurs au paragraphe 7, information des personnes au paragraphe 11.
Un seul point mérite d’être relevé ici, parce qu’il croise directement la question du parc hérité traitée plus haut : l’information des travailleurs du paragraphe 7 est due avant de mettre en service ou d’utiliser un système à haut risque sur le lieu de travail. Elle ne vise donc pas seulement une mise en service nouvelle — mais elle relève de l’article 26, dont l’antériorité de l’article 111, paragraphe 2 exonère les systèmes déjà en place tant qu’ils ne subissent pas d’importantes modifications de conception. Sur un parc hérité, c’est cette exonération qui commande, jusqu’au butoir du 2 août 2030.
Et deux régimes s’appliquent sans condition de niveau de risque : la maîtrise de l’IA de l’article 4, exigible depuis le 2 février 2025, et la transparence de l’article 50, exigible depuis le 2 août 2026.
→ Toutes les obligations du déployeur
→ Ce que la maîtrise de l’IA impose
Dans quel ordre s’y prendre ?
Recenser d’abord, parce que l’article 27 ne se déclenche que sur un sous-ensemble, et que vous ne pouvez pas savoir lequel avant d’avoir la liste.
Qualifier ensuite, système par système : annexe I ou annexe III, et à quel point de l’annexe III. C’est cette réponse, et elle seule, qui dit si l’analyse d’impact est due.
Vérifier l’enregistrement de chaque système à haut risque dans la base de l’Union, avant tout déploiement et non après.
Dater vos systèmes hérités, parce que le 2 août 2030 se prépare sur des marchés publics dont le cycle se compte en années.
→ Comment recenser ses systèmes d’IA
→ Mon système est-il à haut risque ?
Sur quoi cette page s’appuie
Les articles 2, 26, 27, 46, 49, 99 et 111, ainsi que les annexes VIII et X, du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744, le texte qui fait foi restant celui publié au Journal officiel, la version consolidée n’ayant qu’une valeur documentaire. L’article 111, paragraphe 2 y porte le marqueur ▼M1 : il résulte de l’omnibus, et sa citation est reproduite mot à mot.
Le constat sur l’absence de texte français d’application porte sa date et sa réserve de méthode, comme partout sur ce site : il n’a pas pu être vérifié directement sur Legifrance.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 28 août 2026.
Questions fréquentes
Un organisme public doit-il faire une analyse d’impact sur les droits fondamentaux pour tous ses systèmes à haut risque ?
Non, et c’est l’erreur la plus fréquente sur cette obligation. L’article 27, paragraphe 1 vise les systèmes « visé[s] à l’article 6, paragraphe 2 », c’est-à-dire ceux de l’annexe III et jamais ceux de l’annexe I, le point 2 de l’annexe III, les infrastructures critiques, en étant de surcroît expressément retiré. Un organisme public qui déploie un système à haut risque relevant de l’annexe I, parce qu’il est intégré à un produit réglementé, n’est pas soumis à l’article 27.
Une entreprise privée qui exploite un service public est-elle concernée ?
Oui. L’article 27, paragraphe 1 vise les déployeurs qui sont des « organismes de droit public » mais aussi les « entités privées fournissant des services publics ». Le critère n’est donc pas le statut de l’organisme, c’est la nature du service rendu. Un délégataire de service public entre dans le champ au même titre qu’une collectivité.
Un organisme public doit-il s’enregistrer dans la base de données européenne ?
Oui, et l’obligation a un second volet rarement rapporté. L’article 26, paragraphe 8 impose aux déployeurs qui sont des autorités publiques de s’enregistrer, et leur interdit d’utiliser un système absent de la base de données de l’Union. Un système non enregistré par son fournisseur n’est donc pas déployable par une autorité publique. L’article 49, paragraphe 4 prévoit une section sécurisée non publique pour la répression, la migration, l’asile et les frontières.
Nos systèmes déjà en service échappent-ils au règlement ?
Pas indéfiniment, et c’est le point qui distingue le plus nettement le secteur public. L’article 111, paragraphe 2 exonère les systèmes à haut risque, autres que les composants des grands systèmes d’information de l’annexe X, mis sur le marché avant la date d’application du chapitre III tant qu’ils ne subissent pas d’importantes modifications de leur conception. Mais sa seconde phrase ajoute qu’« en tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques prennent les mesures nécessaires pour se conformer aux exigences et obligations prévues dans le présent règlement au plus tard le 2 août 2030 ». Votre antériorité a une date de fin ; celle des autres n’en a pas.
Une administration peut-elle être condamnée à une amende au titre de l’IA Act ?
Cela dépend de ce que décidera l’État, et en France rien n’est encore décidé. L’article 99, paragraphe 8 laisse à chaque État membre le soin de fixer dans quelle mesure des amendes peuvent être infligées à ses propres autorités et organismes publics. Au 24 août 2026, date de notre dernière vérification, aucun texte français d’application du règlement n’a été identifié comme en vigueur : ni loi, ni ordonnance, ni décret. Ce constat n’a pas pu être vérifié directement sur Legifrance, resté inaccessible ce jour-là avec une erreur HTTP 403 : aucune recherche négative n’a été conduite sur le corpus réglementaire français, décrets et arrêtés compris, et le constat repose sur cinq sources officielles concordantes. Cette absence ne suspend aucune obligation : le règlement est d’application directe.
Les pratiques interdites s’appliquent-elles malgré l’antériorité ?
Oui, sans exception. Les paragraphes 1 et 2 de l’article 111 s’ouvrent l’un et l’autre par une réserve de l’article 5. Un système hérité reste soumis aux pratiques interdites depuis le 2 février 2025, et depuis le 2 décembre 2026 pour les deux points ajoutés par le règlement (UE) 2026/1744. Aucun régime transitoire n’y fait exception.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.