Checklist pour les déployeurs d'IA à haut risque : vos obligations selon l'article 26 du règlement sur l'IA

Que doit faire le déployeur d'un système d'IA à haut risque ? L'article 26 du règlement sur l'IA fixe les obligations en douze paragraphes. En bref : vous utilisez le système conformément à la notice d'utilisation du fournisseur. Vous confiez le contrôle humain à des personnes compétentes. Vous surveillez le fonctionnement, conservez les journaux au moins six mois, et informez les travailleurs et les personnes concernées. Si vous avez des raisons de considérer que le système présente un risque, vous informez sans retard injustifié et suspendez son utilisation. Si vous détectez un incident grave, vous informez d'abord le fournisseur.

Pour les systèmes d'IA à haut risque de l'annexe III, l'article 26 s'applique à partir du 2 décembre 2027. Pour les systèmes de l'annexe I, il s'applique à partir du 2 août 2028 (article 113, point c), modifié par le règlement (UE) 2026/1744).

Ci-dessous : les douze paragraphes en checklist, les signaux d'alerte qui vous obligent à agir, les délais de signalement, et la comparaison entre fournisseur et déployeur.

Les citations viennent du texte français du règlement (UE) 2024/1689, version consolidée du 27 juillet 2026 (CELEX 02024R1689-20260727).

Qui est déployeur ?

L'article 3, point 4, définit le déployeur comme « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d'IA sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel ».

Un exemple : une entreprise achète un logiciel qui fait un premier tri des candidatures et l'utilise dans son équipe RH. L'entreprise est le déployeur. L'éditeur du logiciel est le fournisseur. Ces systèmes figurent à l'annexe III, point 4 a).

Selon l'article 3, point 3, le fournisseur est celui qui développe un système d'IA, ou le fait développer, « et le met sur le marché ou met le système d'IA en service sous son propre nom ou sa propre marque ». Une entreprise qui développe un système et l'utilise elle-même est à la fois fournisseur et déployeur de ce système (article 3, points 3 et 11).

À partir de quand l'article 26 s'applique-t-il ?

L'article 26 figure au chapitre III, section 3. Selon l'article 113, point c), cette section s'applique à partir du 2 décembre 2027 aux systèmes d'IA « classés comme étant à haut risque en vertu de l'article 6, paragraphe 2, et de l'annexe III ». Elle s'applique à partir du 2 août 2028 aux systèmes classés à haut risque en vertu de l'article 6, paragraphe 1, et de l'annexe I. Pour les systèmes mis sur le marché ou mis en service avant ces dates, l'article 111, paragraphe 2, s'applique : le règlement ne les vise qu'après une modification importante de leur conception. Les systèmes destinés à être utilisés par des autorités publiques doivent être mis en conformité au plus tard le 2 août 2030.

Beaucoup de pages indiquent encore le 2 août 2026. C'était la date prévue pour les systèmes de l'annexe III dans le texte initial de 2024. Le règlement (UE) 2026/1744 l'a reportée. L'article 113 fixe désormais des dates précises. Elles ne dépendent pas de la disponibilité des normes harmonisées.

Certaines obligations s'appliquent déjà. Depuis le 2 février 2025 : la maîtrise de l'IA (article 4) et la plupart des pratiques interdites (article 5). Depuis le 2 août 2026 : les obligations de transparence des déployeurs prévues à l'article 50, paragraphes 3 et 4. Les articles 72 et 73 figurent au chapitre IX, pas au chapitre III. L'article 113 ne prévoit pas d'exception pour le chapitre IX. La date générale s'y applique donc : le 2 août 2026. En pratique, ils ne visent un système qu'à partir du moment où il est à haut risque au sens de l'article 6, donc aux dates indiquées plus haut.

La checklist : les douze paragraphes de l'article 26

Chaque ligne donne un paragraphe, l'obligation et une preuve que vous pouvez présenter lors d'un contrôle. La colonne des preuves contient nos suggestions, pas des exigences du règlement.

Le paragraphe 3 ne crée pas d'obligation supplémentaire, et le paragraphe 10 ne concerne que l'identification biométrique à distance a posteriori, surtout dans les enquêtes pénales. Ils figurent dans la liste pour qu'aucun paragraphe ne manque.

L'article 49, paragraphe 3, précise le paragraphe 8. Avant de mettre en service ou d'utiliser un système de l'annexe III (sauf le point 2), les déployeurs qui sont des autorités publiques ou des institutions, organes ou organismes de l'Union, ou des personnes agissant en leur nom, s'enregistrent. Ils sélectionnent ensuite le système et enregistrent son utilisation dans la base de données de l'UE.

Signaux d'alerte (red flags) : quand vous devez suspendre l'utilisation ou signaler

L'expression « red flag checklist » ne figure pas dans le règlement. Elle désigne en général une liste de signaux d'alerte. L'article 26 cite cinq situations dans lesquelles vous devez agir tout de suite :

• Vous avez des raisons de considérer que l'utilisation du système conformément à la notice pourrait conduire à un risque au sens de l'article 79, paragraphe 1. Vous devez en informer, « sans retard injustifié, le fournisseur ou le distributeur ainsi que l'autorité de surveillance du marché concernée », et suspendre l'utilisation du système (paragraphe 5).
• Vous détectez un incident grave. Vous informez « immédiatement d'abord le fournisseur, puis l'importateur ou le distributeur et les autorités de surveillance du marché concernées » (paragraphe 5).
• Vous ne pouvez pas joindre le fournisseur. L'article 73 s'applique alors « mutatis mutandis » (paragraphe 5). Notre lecture : l'obligation de signalement et les délais ci-dessous vous incombent alors.
• Vous êtes une autorité publique ou une institution, un organe ou un organisme de l'Union (paragraphe 8), et le système que vous envisagez d'utiliser n'est pas enregistré dans la base de données de l'UE visée à l'article 71. Vous ne l'utilisez pas, et vous informez le fournisseur ou le distributeur (paragraphe 8).
• Pour l'identification biométrique à distance a posteriori, l'autorisation est rejetée. Vous interrompez l'utilisation avec effet immédiat et supprimez les données à caractère personnel qui y sont liées (paragraphe 10).

Notez pour chaque situation qui décide, qui signale et à qui. Quand elle se produit, il n'y a plus le temps de l'organiser.

Qu'est-ce qu'un incident grave, et quels délais s'appliquent ?

L'article 3, point 49, cite quatre cas. Un incident grave est un incident ou dysfonctionnement d'un système d'IA qui entraîne « directement ou indirectement » l'une des conséquences suivantes :

• « le décès d'une personne ou une atteinte grave à la santé d'une personne » ;
• « une perturbation grave et irréversible de la gestion ou du fonctionnement d'infrastructures critiques » ;
• « la violation des obligations au titre du droit de l'Union visant à protéger les droits fondamentaux » ;
• « un dommage grave à des biens ou à l'environnement ».

Le signalement de l'article 73 est fait par le fournisseur (paragraphe 1). Selon l'article 26, paragraphe 5, le déployeur informe d'abord le fournisseur, puis l'importateur ou le distributeur et les autorités de surveillance du marché. Les délais courent à partir du moment où le fournisseur « ou, le cas échéant, le déployeur » a eu connaissance de l'incident.

Les mots « au plus tard » ne veulent pas dire que vous pouvez attendre jusqu'à cette date. Le signalement est dû immédiatement, dès que le lien de causalité, ou sa probabilité raisonnable, est établi. En cas de décès, il est dû dès que le lien est soupçonné.

Surveillance : l'article 26, paragraphe 5, n'est pas l'article 72

Le déployeur surveille le fonctionnement de son système « sur la base de la notice d'utilisation » et, le cas échéant, informe le fournisseur (article 26, paragraphe 5).

Le fournisseur établit et documente un système de surveillance après commercialisation (article 72, paragraphe 1). Ce système collecte et analyse des données sur les performances tout au long du cycle de vie, y compris les données fournies par les déployeurs (paragraphe 2). Son plan fait partie de la documentation technique de l'annexe IV (paragraphe 3).

En bref : le déployeur surveille sa propre utilisation et informe. Le fournisseur surveille le produit chez tous ses clients et analyse les données. Ce que vous signalez en tant que déployeur fait partie des données que le fournisseur analyse selon l'article 72.

Plus de détails dans notre article sur la surveillance continue des systèmes d'IA.

Fournisseur ou déployeur : quelles tâches le fournisseur d'IA doit-il accomplir ?

Les obligations du fournisseur figurent à l'article 16, points a) à l). Celles du déployeur figurent à l'article 26. Le tableau les met côte à côte. La surveillance et la notification des incidents figurent aux articles 72 et 73 ; le système de gestion de la qualité de l'article 17 les couvre.

Une question de quiz fréquente demande quelles tâches le fournisseur d'IA doit accomplir. La réponse se trouve à l'article 16 : respecter les exigences, le système de gestion de la qualité, l'évaluation de la conformité, la déclaration UE de conformité, le marquage CE, l'enregistrement et les mesures correctives. Utiliser le système conformément à la notice, assurer le contrôle humain au quotidien, surveiller le fonctionnement et informer les travailleurs sont les tâches du déployeur.

Quand devenez-vous vous-même fournisseur ?

Selon l'article 25, paragraphe 1, vous êtes considéré comme un fournisseur et êtes soumis aux obligations de l'article 16 si vous :

• commercialisez sous votre propre nom ou votre propre marque un système d'IA à haut risque déjà mis sur le marché ou mis en service (point a) ; un contrat peut toutefois prévoir une autre répartition des obligations) ;
• apportez une modification substantielle à un tel système, de telle manière qu'il reste à haut risque (point b)) ;
• modifiez la destination d'un système qui n'a pas été classé à haut risque, y compris un système d'IA à usage général, de telle manière qu'il devient à haut risque (point c)).

Un exemple pour le point c) : vous utilisez un assistant conversationnel à usage général pour noter des candidatures. Le système peut alors relever de l'annexe III, point 4 a), et vous pouvez devenir fournisseur pour cette utilisation.

Ce que cela signifie pour la documentation technique : modèle de l'annexe IV et article 11.

Les obligations à côté de l'article 26

Maîtrise de l'IA (article 4). Les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte ». Une obligation de maîtrise de l'IA s'applique depuis le 2 février 2025 à tous les systèmes d'IA ; cette formulation vient du règlement (UE) 2026/1744. Elle ne fixe aucun niveau : le règlement ne contraint pas les déployeurs « à garantir un niveau spécifique de maîtrise de l'IA par un individu ».

Pour consigner vos mesures, utilisez notre registre gratuit de la maîtrise de l'IA.

Analyse d'impact sur les droits fondamentaux (article 27). Elle est obligatoire avant le déploiement d'un système d'IA à haut risque visé à l'article 6, paragraphe 2 (annexe III), pour les organismes de droit public, les entités privées fournissant des services publics et les déployeurs de systèmes de l'annexe III, point 5 b) et c) (évaluation de la solvabilité et note de crédit ; évaluation des risques et tarification en assurance-vie et assurance maladie). Les systèmes de l'annexe III, point 2, sont exclus.

Qui assure la surveillance en Allemagne ?

La loi allemande sur la surveillance du marché de l'IA et l'innovation (KI-MIG) est entrée en vigueur le 29 juillet 2026. Elle désigne la Bundesnetzagentur comme autorité de surveillance du marché, point de contact et service des réclamations pour le règlement sur l'IA.

Le KI-Service Desk de la Bundesnetzagentur donne des conseils et propose un outil en ligne pour une première vérification de la classe de risque. Selon l'article 74, paragraphes 3, 6 et 8, d'autres autorités sont compétentes pour certains systèmes, par exemple l'autorité de surveillance financière pour les systèmes utilisés par les établissements financiers.

Par où commencer

1. Recensez vos systèmes d'IA et vérifiez pour chacun s'il relève de l'annexe III. Notre auto-évaluation gratuite est un premier pas.
2. Pour chaque système à haut risque, demandez la notice d'utilisation au fournisseur. Sans elle, vous ne pouvez pas respecter les paragraphes 1, 5 et 9.
3. Désignez les personnes chargées du contrôle humain et consignez leur formation.
4. Fixez la voie de signalement : qui informe qui en cas de risque ou d'incident, avec les coordonnées du fournisseur, du distributeur et de l'autorité.
5. Fixez la durée de conservation des journaux : au moins six mois, sauf disposition contraire du droit de l'Union ou du droit national. Alignez-la sur vos règles de suppression.

Ce que propose LandingRed

Dans LandingRed, la page « Obligations du déployeur » montre, pour chaque système d'IA que vous déployez, huit des douze paragraphes de l'article 26 et l'analyse d'impact sur les droits fondamentaux de l'article 27. Pour chaque obligation, vous voyez si la preuve est présente, partielle ou absente. Les obligations du fournisseur selon l'article 16 ont leur propre page.

Découvrez le règlement sur l'IA dans LandingRed, ou commencez par l'auto-évaluation gratuite.

Questions fréquentes

Qu'est-ce qu'une checklist des signaux d'alerte (red flags) pour l'IA ?

Le terme ne figure pas dans le règlement sur l'IA. Il désigne en général une liste de signaux d'alerte. Pour les déployeurs d'IA à haut risque, les principaux signaux d'alerte viennent de l'article 26, paragraphe 5 : un risque au sens de l'article 79, paragraphe 1 (informer et suspendre l'utilisation) et un incident grave (informer d'abord le fournisseur).

À partir de quand les obligations du déployeur de l'article 26 s'appliquent-elles ?

Pour les systèmes d'IA à haut risque de l'annexe III, à partir du 2 décembre 2027. Pour les systèmes de l'annexe I, à partir du 2 août 2028 (article 113, point c), modifié par le règlement (UE) 2026/1744). L'obligation de maîtrise de l'IA de l'article 4 s'applique depuis le 2 février 2025. Pour les systèmes mis sur le marché plus tôt, l'article 111, paragraphe 2, s'applique.

Le déployeur doit-il signaler lui-même les incidents graves à l'autorité ?

Le déployeur informe l'autorité, mais le signalement formel de l'article 73 est fait par le fournisseur. Selon l'article 26, paragraphe 5, le déployeur informe immédiatement d'abord le fournisseur, puis l'importateur ou le distributeur et les autorités de surveillance du marché. Si le déployeur ne peut pas joindre le fournisseur, l'article 73 s'applique à lui mutatis mutandis.

Quelles tâches le fournisseur d'IA doit-il accomplir, et non le déployeur ?

Les tâches de l'article 16 : respecter les exigences applicables au système, le système de gestion de la qualité, l'évaluation de la conformité, la déclaration UE de conformité, le marquage CE, l'enregistrement selon l'article 49, paragraphe 1, les mesures correctives et l'accessibilité. Le déployeur utilise le système conformément à la notice, en assure le contrôle, surveille le fonctionnement et conserve les journaux.

Combien de temps le déployeur doit-il conserver les journaux ?

Au moins six mois, dans la mesure où les journaux sont sous son contrôle et sauf disposition contraire du droit de l'Union ou du droit national (article 26, paragraphe 6). La durée doit être adaptée à la destination du système. Les établissements financiers soumis à des exigences de gouvernance interne au titre du droit de l'Union sur les services financiers les conservent dans le cadre de la documentation prévue par ce droit.

Ressources associées

• Surveillance continue des systèmes d'IA : article 72 et article 26, paragraphe 5
• Documentation technique de l'article 11 : qui l'établit après un changement de rôle
• Classification à haut risque selon l'annexe III : votre système est-il à haut risque ?
• Checklist de conformité au règlement sur l'IA
• LandingRed pour le règlement sur l'IA : inventaire, classification, obligations du déployeur

Cette page donne des informations, pas un conseil juridique. Le texte cité est le règlement (UE) 2024/1689 dans sa version consolidée du 27 juillet 2026 (CELEX 02024R1689-20260727). Les informations sur l'Allemagne sont à jour au 2 novembre 2026. Seuls les textes publiés au Journal officiel de l'Union européenne font foi.

Revu et publié sous la responsabilité éditoriale d'AB Corporate Advisory S.R.L.