Un calendrier AI Act modifié, avec des dates à bien distinguer
Le règlement (UE) 2026/1744 ajuste les échéances d’application du règlement européen sur l’intelligence artificielle, également appelé AI Act ou RIA. Publié au Journal officiel de l’Union européenne le 24 juillet 2026, il est entré en vigueur le 27 juillet 2026. Pour les entreprises, l’enjeu consiste surtout à distinguer trois repères : l’entrée en vigueur du texte, les dispositions déjà applicables et les exigences dont l’application est différée.
Depuis le 2 août 2026, les obligations de transparence de l’article 50 concernent plusieurs usages de l’IA. Elles visent notamment les situations où une personne doit être informée qu’elle interagit avec une technologie algorithmique, ou que des contenus ont été générés ou manipulés artificiellement. Pour certains systèmes déjà mis sur le marché avant cette date, un délai spécifique court jusqu’au 2 décembre 2026 pour les obligations relatives au marquage et à la détection des contenus de synthèse.
Les exigences complètes applicables aux systèmes à haut risque de l’annexe III entreront, pour leur part, en application le 2 décembre 2027. Cette date concerne notamment les usages biométriques encadrés par l’AI Act, ainsi que les systèmes d’IA utilisés comme composants de sécurité dans la gestion ou l’exploitation de certaines infrastructures critiques : infrastructure numérique critique, trafic routier, eau, gaz, chauffage ou électricité. Un dispositif d’analyse vidéo n’est donc pas automatiquement classé à haut risque : sa finalité et son contexte d’utilisation restent déterminants.
Ce calendrier ne doit pas conduire les organisations à différer toute réflexion. Les entreprises qui utilisent déjà des outils d’analyse vidéo ont intérêt à cartographier leurs usages, à identifier les fonctions activées et à mesurer les impacts possibles sur les personnes filmées. Cette revue facilite les choix techniques, juridiques et organisationnels à engager avant les prochaines échéances.
Pourquoi l’analyse vidéo n’est pas automatiquement à haut risque
Un point mérite une attention particulière : tout système d’analyse vidéo n’entre pas de facto dans la catégorie des systèmes d’IA à haut risque. Le classement dépend de la finalité poursuivie, du contexte d’utilisation, des personnes concernées et des conséquences possibles. Une fonction qui détecte un mouvement dans une zone technique n’a pas le même niveau d’enjeu qu’un dispositif biométrique, ni qu’un outil utilisé pour prendre une décision ayant un impact direct sur une personne.
Cette distinction est importante pour les directions sécurité, les achats, les services juridiques et les équipes informatiques. Une appellation commerciale comme « caméra intelligente » ou « analyse vidéo par IA » ne suffit pas à qualifier juridiquement un usage. L’entreprise doit examiner ce que fait réellement la technologie : repère-t-elle une présence, analyse-t-elle un comportement, identifie-t-elle une personne, classe-t-elle des individus ou déclenche-t-elle une action sensible ?
Cette analyse préalable aide à éviter deux erreurs. La première serait de sous-estimer un usage réellement à risque. La seconde serait de considérer, à tort, qu’un outil peu intrusif relève des exigences les plus strictes. Une lecture précise du besoin, du paramétrage et du contexte d’exploitation reste donc indispensable pour éviter les raccourcis et sécuriser la décision.
Les points de vigilance pour la vidéosurveillance, la biométrie et les infrastructures critiques
Les usages de l’IA appliqués à la vidéosurveillance recouvrent des réalités très différentes. Certaines fonctions servent à détecter un franchissement de ligne, une présence dans une zone restreinte, un objet abandonné ou une activité inhabituelle. D’autres traitements, notamment biométriques, soulèvent des questions plus délicates, car ils peuvent concerner l’identification, la catégorisation ou l’analyse de caractéristiques personnelles. Cette différence doit être comprise avant de choisir, d’activer ou d’étendre une fonctionnalité.
Les infrastructures critiques appellent également une vigilance renforcée. Elles regroupent des activités dont l’interruption peut entraîner des conséquences importantes pour la société, l’économie ou la continuité de services essentiels. Les systèmes d’IA utilisés pour soutenir leur fonctionnement, leur supervision ou leur protection doivent donc être analysés avec soin, en particulier lorsque les décisions prises peuvent affecter la sécurité des personnes ou la disponibilité d’un service essentiel.
En parallèle, la Commission européenne a publié en juillet 2026 des orientations non contraignantes pour renforcer la résilience des infrastructures critiques face à des risques naturels ou d’origine humaine. Ce texte relève de la directive sur la résilience des entités critiques, et non directement de l’AI Act. Il rappelle toutefois un principe utile : la sécurité ne se limite pas à la conformité d’un outil. Elle repose aussi sur la prévention des perturbations, la protection physique des installations, l’organisation de la reprise après incident et la sensibilisation des équipes.
RGPD et AI Act : deux cadres à articuler avant tout achat ou déploiement
Le report de certaines dispositions du RIA ne suspend pas l’application du RGPD. Dès qu’un système de vidéosurveillance traite des images permettant d’identifier une personne, les règles relatives aux données personnelles restent applicables. L’entreprise doit définir une finalité claire, limiter la collecte aux informations nécessaires, informer les personnes concernées, maîtriser les durées de conservation et protéger les accès aux données.
Le RGPD et l’AI Act poursuivent des logiques complémentaires. Le premier encadre les traitements de données personnelles. Le second classe les systèmes d’IA selon les risques qu’ils peuvent créer pour la santé, la sécurité ou les droits fondamentaux. Une même installation peut donc relever des deux cadres, d’un seul, ou d’aucun des deux selon les fonctionnalités activées, les informations traitées et les conséquences possibles pour les personnes.
Cette articulation doit être examinée dès la phase d’achat ou d’évolution d’un système existant. Les clauses contractuelles, la documentation technique, les paramètres disponibles, les droits d’accès, l’hébergement et les procédures de supervision doivent être étudiés ensemble. Une installation conforme sur le plan technique peut devenir problématique si son usage réel n’est pas documenté ou si les personnes concernées ne reçoivent pas une information suffisante.
Ce que les entreprises doivent vérifier dès maintenant
Même si certaines échéances sont repoussées, les entreprises ont intérêt à engager une revue de leurs usages de l’IA dès maintenant. La première étape consiste à identifier les systèmes en place : caméras, logiciels d’analyse, outils de supervision, modules biométriques éventuels et scénarios de traitement associés. Cette cartographie doit préciser les finalités, les zones couvertes, les données utilisées, les responsables internes et les fournisseurs impliqués.
La deuxième étape consiste à qualifier les usages. Une technologie destinée à détecter une intrusion ne soulève pas nécessairement les mêmes questions qu’un système biométrique ou qu’une fonction d’analyse comportementale. L’entreprise doit aussi vérifier si une intervention humaine reste prévue avant toute action pouvant affecter une personne. Ce contrôle doit être réel, compris par les équipes et inscrit dans les procédures.
La troisième étape porte sur la gouvernance. Les achats, la direction sécurité, les systèmes d’information, le service juridique et le délégué à la protection des données doivent travailler ensemble. Cette coordination aide à sécuriser les investissements, à éviter des remises à niveau coûteuses et à préparer les futures obligations. Les choix réalisés en 2026 doivent rester compatibles avec les exigences attendues en 2027.
Conclusion : anticiper l’échéance sans attendre 2027
Le règlement (UE) 2026/1744 clarifie plusieurs échéances importantes de l’AI Act. Les obligations de transparence de certains systèmes d’IA sont applicables depuis le 2 août 2026, avec un délai particulier jusqu’au 2 décembre 2026 pour certains systèmes déjà mis sur le marché. Les exigences complètes relatives aux systèmes à haut risque de l’annexe III sont, quant à elles, reportées au 2 décembre 2027. Pour les entreprises, ce délai doit servir à préparer les usages, et non à repousser les décisions.
L’enjeu consiste à qualifier précisément les outils utilisés, leur finalité et leur contexte. L’analyse vidéo, la biométrie et la supervision des infrastructures critiques doivent être examinées avec méthode, en articulation avec le RGPD. Une approche claire aide à préserver la confiance des collaborateurs, des visiteurs, des clients et des partenaires, tout en réduisant les risques de remise en conformité tardive.
Vous souhaitez faire évoluer votre dispositif de vidéosurveillance ou intégrer l’IA dans votre stratégie de sûreté ? Contactez nos experts pour analyser vos besoins et construire une solution adaptée à vos obligations comme à vos enjeux opérationnels.
