Un règlement qui s'applique par paliers
Le règlement (UE) 2024/1689 est entré en vigueur le 1er août
2024, mais son application est étalée dans le temps. Trois jalons sont
déjà passés : les pratiques interdites depuis le
2 février 2025, les règles sur les modèles d'IA à usage
général et la désignation des autorités nationales depuis le
2 août 2025, puis le palier le plus large le
2 août 2026. C'est une architecture fondée sur le risque :
plus un usage touche aux droits des personnes, plus les obligations sont
lourdes — et plus leur entrée en application est tardive, le temps que les
normes techniques et les organismes d'évaluation se mettent en place.
Ce que l'Omnibus a repoussé — et ce qu'il n'a pas touché
Le règlement (UE) 2026/1744, dit « Digital Omnibus sur l'IA »,
publié à l'été 2026 et entré en vigueur le 27 juillet 2026, a
modifié le calendrier initial. Constatant que ni l'industrie ni les organismes
de normalisation n'étaient prêts, la Commission a reporté au 2 décembre
2027 l'application des obligations pesant sur les systèmes à haut risque
de l'annexe III — dont relèvent notamment les systèmes
biométriques — et au 2 août 2028 celles des systèmes d'IA
intégrés à des produits déjà réglementés (annexe I). Le cadre de fond,
lui, n'est pas rouvert : les catégories de risque, les interdits et la logique
de conformité restent identiques. Pour un exploitant de sûreté, cela laisse une
fenêtre pour se préparer, pas une dispense.
Les obligations de transparence, applicables depuis le 2 août 2026
L'article 50 du règlement est, lui, bien applicable depuis le
2 août 2026, sans report. Deux points concernent directement la sûreté :
l'exploitant d'un système de reconnaissance des émotions ou de
catégorisation biométrique doit informer les personnes
qui y sont exposées ; et tout contenu image, son ou vidéo généré ou
manipulé par IA de façon à pouvoir passer pour authentique doit être signalé
comme tel. S'y ajoutent, à la même date, le régime de sanctions
(jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel
mondial pour les manquements les plus graves) et la
surveillance du marché. Ces obligations de transparence ne
remplacent pas l'information RGPD due aux personnes filmées : elles s'y
ajoutent.
Les pratiques interdites depuis février 2025
Quatre usages sont proscrits depuis le 2 février 2025, et il est utile de les
avoir en tête avant toute étude :
- l'identification biométrique à distance en temps réel dans
les espaces accessibles au public à des fins répressives (réservée à des
exceptions strictement encadrées au bénéfice des autorités) ;
- la reconnaissance des émotions sur le lieu de travail et
dans les établissements d'enseignement ;
- la catégorisation biométrique visant à déduire des
caractéristiques sensibles (origine, opinions, orientation…) ;
- la constitution de bases de reconnaissance faciale par
moissonnage non ciblé d'images issues d'Internet ou de la vidéosurveillance.
Un projet de sûreté qui frôle l'un de ces usages doit être requalifié ou
abandonné : aucun aménagement contractuel ne rend licite une pratique interdite.
Vidéo « augmentée » n'est pas reconnaissance biométrique
C'est la distinction la plus utile sur le terrain. La vidéo
« augmentée » (ou algorithmique) analyse automatiquement des images
pour repérer des situations ou des comportements prédéfinis —
intrusion en zone, objet abandonné, mouvement de foule, franchissement — et
alerter un opérateur. Elle ne cherche pas à savoir qui est la
personne. La reconnaissance biométrique, elle, traite une
caractéristique physique ou comportementale pour identifier ou
authentifier une personne de manière unique. La CNIL retient deux
critères de tri : la nature des données et l'objectif du dispositif. La vidéo
augmentée reste possible, mais elle n'est jamais « neutre » : elle exige une
base légale, une nécessité et une proportionnalité démontrées, une information
claire du public et, presque toujours, une analyse d'impact.
RGPD et IA Act : deux régimes qui se cumulent
Le règlement IA n'abroge pas le RGPD, il s'y superpose. Le RGPD gouverne le
traitement de données personnelles — base légale, information,
durée de conservation, droits des personnes, AIPD ; le règlement IA gouverne le
système en tant que produit — classification par risque,
documentation, transparence, surveillance humaine, gestion des risques. Une
caméra augmentée déployée dans un bâtiment relève des deux : elle nécessite une
analyse d'impact relative à la protection des données dès lors
qu'elle surveille systématiquement une zone accessible au public, recourt à
l'IA ou croise la vidéo avec d'autres données, et, pour la voie publique, une
autorisation préfectorale de vidéoprotection. La conformité se
construit à la conception, pas après la mise en service.
Le rôle de l'intégrateur et du bureau d'études
Concrètement, avant de chiffrer un système de sûreté à composante IA, nous
procédons dans cet ordre : recenser chaque fonction
algorithmique du système proposé (analyse d'image, biométrie, comptage,
lecture de plaques) ; qualifier chacune au regard du règlement
(pratique interdite, obligation de transparence, futur haut risque) ;
documenter la base légale, la nécessité et la proportionnalité
avec le responsable de traitement ; mener l'AIPD et préparer
les mentions d'information ; choisir des équipements dont le
fournisseur documente la conformité et fournit la notice technique attendue par
le règlement. Ce travail relève de la maîtrise d'un sujet réglementaire et
technique — il ne présume d'aucune certification ou agrément particulier, et
s'appuie sur les textes en vigueur au moment de l'étude.
