Le règlement européen sur l'IA au Luxembourg : ce que les entreprises doivent faire avant août 2026

Le règlement européen sur l'intelligence artificielle — le règlement (UE) 2024/1689, dit « AI Act » — est la première loi complète au monde encadrant l'IA. Entré en vigueur le 1er août 2024, il s'applique par phases. La prochaine grande échéance, le 2 août 2026, est celle qui compte pour la plupart des entreprises luxembourgeoises : à partir de cette date, l'essentiel des obligations du règlement — y compris la majorité des règles applicables aux systèmes d'IA à haut risque — devient applicable.

Ce guide présente le calendrier, les entreprises concernées et les premières mesures raisonnables à prendre au Luxembourg. Il s'agit d'une information générale, et non d'un conseil juridique : vos obligations dépendent de la classification de vos usages concrets de l'IA, et cette classification mérite un examen sérieux avec votre conseil juridique.

Le calendrier par phases, en termes simples

L'AI Act n'arrive pas d'un bloc. Le calendrier d'application publié par la Commission européenne se résume ainsi :

• 2 février 2025 — pratiques interdites et maîtrise de l'IA. Certaines pratiques sont purement et simplement interdites : notation sociale par les autorités publiques, IA manipulant les personnes à leur détriment, moissonnage non ciblé d'images faciales pour constituer des bases de reconnaissance, reconnaissance des émotions au travail et dans l'enseignement (sauf exceptions étroites), entre autres. Les organisations doivent aussi garantir un niveau suffisant de maîtrise de l'IA chez leur personnel.
• 2 août 2025 — IA à usage général (GPAI). Les obligations des fournisseurs de modèles d'IA à usage général s'appliquent : documentation technique, politique de droits d'auteur, résumé des données d'entraînement, et devoirs renforcés pour les modèles présentant un risque systémique. Le Bureau européen de l'IA et le cadre de gouvernance deviennent opérationnels, et les États membres doivent fixer leurs régimes de sanctions.
• 2 août 2026 — la date d'application générale. La majeure partie du règlement s'applique, y compris les règles relatives aux systèmes d'IA à haut risque de l'annexe III (emploi et gestion des travailleurs, accès aux services essentiels, évaluation de la solvabilité, éducation, application de la loi, etc.) et les obligations de transparence pour les systèmes comme les chatbots et les contenus générés par IA.
• 2 août 2027 — IA à haut risque intégrée dans des produits réglementés. Une transition prolongée s'applique aux systèmes d'IA qui sont des composants de sécurité de produits déjà couverts par la législation européenne sur les produits (annexe I) : machines, dispositifs médicaux, véhicules, etc.

Les sanctions sont graduées : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, avec des paliers inférieurs pour les autres infractions.

Qui est concerné — probablement vous, en tant que déployeur

Le règlement distingue plusieurs rôles. Les deux qui comptent le plus en pratique :

• Les fournisseurs développent des systèmes ou modèles d'IA et les mettent sur le marché de l'UE. Ils portent les obligations les plus lourdes.
• Les déployeurs utilisent des systèmes d'IA sous leur propre autorité. C'est là que se retrouveront la plupart des entreprises luxembourgeoises : dès que vos équipes utilisent un système d'IA pour le recrutement, la notation de clients ou un chat orienté client, vous avez des obligations de déployeur.

Pour les systèmes à haut risque, les obligations du déployeur comprennent l'utilisation conforme aux instructions du fournisseur, la garantie d'un contrôle humain, la surveillance du fonctionnement, la conservation des journaux et — pour les employeurs — l'information des représentants des travailleurs avant la mise en service d'un système d'IA à haut risque sur le lieu de travail. Même hors de la catégorie « haut risque », des obligations de transparence s'appliquent : les personnes doivent savoir qu'elles interagissent avec une IA, et les contenus générés par IA doivent être identifiables comme tels dans les cas définis par le règlement.

Point important : le règlement s'applique quelle que soit la taille de l'entreprise. Les PME bénéficient de certains allègements de proportionnalité — formats de documentation simplifiés, accès aux bacs à sable réglementaires — mais pas d'une exemption.

Le contexte luxembourgeois

L'économie luxembourgeoise concentre précisément les secteurs où l'AI Act pèse le plus. Quelques points à connaître :

• Les entités surveillées par la CSSF. Banques, assureurs, gestionnaires de fonds et établissements de paiement opèrent déjà dans un cadre d'externalisation, de risque informatique et de gouvernance (y compris DORA depuis janvier 2025). Les obligations de l'AI Act ne remplacent pas ce cadre : elles s'y ajoutent. Si vous utilisez l'IA pour évaluer la solvabilité de personnes physiques, ce cas d'usage figure explicitement parmi les usages à haut risque de l'annexe III. La CSSF est publiquement active sur l'IA dans le secteur financier depuis des années, notamment via des travaux thématiques sur l'usage de l'apprentissage automatique par les entités surveillées — il faut s'attendre à une attention prudentielle.
• La CNPD. La plupart des usages d'IA en entreprise traitent des données personnelles : le RGPD — dont l'application au Luxembourg relève de la Commission nationale pour la protection des données — s'applique donc en parallèle de l'AI Act. Une AIPD et une analyse de risque AI Act couvrent souvent des terrains qui se recoupent ; les mener ensemble économise du travail.
• La transposition nationale. Les États membres doivent désigner les autorités nationales chargées de la surveillance du règlement. Au Luxembourg, la mise en œuvre suit son cours législatif ; vérifiez l'état actuel des désignations avec votre conseil plutôt que de le présumer — mais n'attendez pas qu'elle soit finalisée pour commencer, car les échéances ci-dessus découlent directement du règlement.

Que faire maintenant : trois premières étapes concrètes

Vous n'avez pas besoin d'un programme de transformation pour démarrer. Trois chantiers, que la plupart des entreprises peuvent lancer ce trimestre, suffisent :

1. Constituer un inventaire de l'IA. On ne peut pas classifier ce qu'on n'a pas recensé. Répertoriez chaque système d'IA utilisé ou prévu — y compris ceux intégrés aux outils SaaS que vos équipes utilisent déjà, et l'usage officieux de ChatGPT que personne n'a inscrit dans un registre. Pour chacun : ce qu'il fait, qui le fournit, quelles données il touche, qui est affecté par ses résultats.

2. Classer par niveau de risque. Confrontez chaque système aux catégories du règlement : interdit (arrêt immédiat), haut risque (annexe III ou intégré à un produit — les obligations lourdes), risque limité (obligations de transparence), risque minimal (pas d'obligation spécifique, mais une bonne gouvernance reste payante). La plupart des entreprises découvrent que l'essentiel de leurs usages relève du risque minimal — et qu'un ou deux cas, généralement en RH ou en crédit, exigent une vraie attention.

3. Mettre en place une gouvernance légère. Un responsable identifié pour l'IA (pas un comité de tout le monde), une courte politique interne d'usage acceptable, un circuit d'entrée défini pour les nouveaux outils d'IA, et une formation de base du personnel à la maîtrise de l'IA — une obligation légale depuis février 2025, pas un simple « nice-to-have ».

Si vous souhaitez être accompagné précisément dans cet exercice, c'est l'objet de notre audit de conformité AI Act : inventaire, classification des risques et plan de remédiation priorisé, exploitable par votre DPO et votre conseil d'administration.

Une conclusion honnête

Deux choses sont vraies à la fois. D'abord : pour la plupart des entreprises luxembourgeoises, la conformité à l'AI Act est réellement gérable — un inventaire, une classification, un peu de gouvernance et une diligence sur les fournisseurs couvrent la majorité des cas. Ensuite : la catégorie « haut risque » est exigeante, et si vous en relevez, août 2026 est proche au regard du travail à fournir. Les entreprises qui vivront un 2026 serein sont celles qui déterminent maintenant dans laquelle de ces deux situations elles se trouvent — pas celles qui ont le plus gros budget conformité.

Et encore une fois, clairement : cet article est une information générale, pas un conseil juridique. Pour toute décision sur vos obligations concrètes, faites appel à un conseil juridique qualifié.