Un système d'IA qui se trompe sous pression, qui peut être manipulé par des données corrompues ou qui tombe en panne sans mécanisme de secours : voilà exactement ce que le règlement européen sur l'intelligence artificielle (UE) 2024/1689 cherche à prévenir. Parmi les exigences techniques les plus structurantes du texte figurent la robustesse et la cybersécurité des systèmes d'IA à haut risque. Ces obligations ne sont pas encore opposables aux PME — le règlement omnibus (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a repoussé les exigences de l'annexe III au 2 décembre 2027 — mais le travail de mise en conformité doit être engagé dès maintenant pour tenir cette échéance. Cet article décrypte ce que la loi exige réellement et comment vous pouvez vous y préparer concrètement.
Pourquoi l'EU AI Act traite la cybersécurité comme une exigence de fond
La cybersécurité n'est pas une annexe technique dans l'EU AI Act : elle est intégrée directement dans les exigences essentielles applicables aux systèmes à haut risque, à l'article 15 du règlement. Le législateur européen part d'un constat simple : un système d'IA vulnérable à des attaques ou incapable de fonctionner de manière fiable dans des conditions dégradées peut causer des préjudices graves aux personnes, en particulier dans des domaines sensibles comme le recrutement, le crédit, l'éducation ou les services publics.
L'article 15 exige que les systèmes à haut risque atteignent un niveau approprié de précision, de robustesse et de cybersécurité, et qu'ils maintiennent ces niveaux tout au long de leur cycle de vie. Ce n'est pas une obligation de résultat absolu — aucun système n'est invulnérable — mais une obligation de conception rigoureuse et de surveillance continue.
Les trois piliers techniques : précision, robustesse, résilience
L'article 15 articule les exigences autour de trois dimensions complémentaires, souvent confondues dans la pratique.
La précision désigne la capacité du système à produire des résultats corrects, cohérents et reproductibles. Elle doit être mesurée, documentée et communiquée dans la documentation technique obligatoire. Il ne suffit pas qu'un système soit précis en laboratoire : il doit l'être dans les conditions réelles d'utilisation, avec les données réelles de vos utilisateurs.
La robustesse va plus loin : elle désigne la capacité du système à maintenir son niveau de performance face à des perturbations — données d'entrée erronées, cas limites non anticipés, variations de l'environnement opérationnel. Le règlement impose notamment que les systèmes soient résilients face aux tentatives de manipulation par des tiers cherchant à en altérer l'usage, les résultats ou les performances. On parle ici d'attaques adversariales, de data poisoning ou d'exploitation de biais.
La résilience concerne les mécanismes de secours : le système doit être conçu pour échouer de manière sûre (fail-safe). En cas de défaillance, il doit pouvoir basculer vers un mode dégradé contrôlé ou permettre une intervention humaine immédiate. Ce principe de supervision humaine, central dans l'EU AI Act, est indissociable des exigences de robustesse.
Cybersécurité by design : ce que cela implique pour vos équipes techniques
L'EU AI Act s'inscrit dans la continuité du cadre européen de cybersécurité, notamment le règlement sur la cybersécurité (ENISA) et la directive NIS 2. Pour les systèmes d'IA à haut risque, la cybersécurité doit être intégrée dès la conception — le principe de security by design — et non ajoutée après coup.
Concrètement, cela implique plusieurs obligations pratiques pour les fournisseurs de systèmes à haut risque :
- Documenter les vecteurs d'attaque identifiés et les mesures de mitigation adoptées dans la documentation technique (annexe IV du règlement).
- Mettre en place des mécanismes de journalisation permettant de détecter des comportements anormaux ou des tentatives d'exploitation.
- Réaliser des tests de robustesse incluant des scénarios adversariaux avant la mise sur le marché.
- Prévoir des procédures de mise à jour et de correction des vulnérabilités découvertes après déploiement, dans le cadre du système de gestion de la qualité imposé par l'article 17.
Pour les PME qui développent ou déploient des solutions d'IA, ces exigences peuvent sembler intimidantes. Des acteurs spécialisés comme AInspiration, qui accompagne les PME dans la mise en œuvre concrète de l'IA, peuvent vous aider à structurer une approche technique réaliste et proportionnée à votre taille.
Fournisseurs et déployeurs : qui est responsable de quoi ?
L'EU AI Act distingue clairement les fournisseurs (ceux qui développent ou mettent sur le marché un système d'IA) des déployeurs (ceux qui l'utilisent dans un contexte professionnel). Les obligations de l'article 15 pèsent principalement sur les fournisseurs. Mais les déployeurs ne sont pas exonérés de toute responsabilité technique.
En tant que déployeur, vous avez l'obligation de n'utiliser le système que conformément aux instructions du fournisseur, de surveiller son fonctionnement réel et de signaler tout incident ou dysfonctionnement. Si vous modifiez substantiellement un système existant — en le réentraînant sur vos données, en changeant son objectif ou en l'intégrant dans un pipeline plus large — vous pouvez basculer dans la catégorie fournisseur et hériter de l'ensemble des obligations techniques.
Cette distinction est particulièrement importante pour les PME qui utilisent des solutions d'IA tierces et les personnalisent. Un audit préalable de vos contrats et de vos pratiques d'intégration est indispensable pour déterminer votre position réglementaire exacte.
Préparer la conformité dès maintenant : les étapes prioritaires
Les exigences de robustesse et de cybersécurité de l'annexe III ne s'appliquent pas encore — l'échéance est fixée au 2 décembre 2027 par le règlement omnibus. Mais la mise en conformité technique prend du temps : cartographie des systèmes, tests de robustesse, refonte éventuelle de l'architecture, documentation. Attendre 2027 pour commencer, c'est prendre le risque de ne pas être prêt.
Voici les étapes prioritaires à enclencher dès aujourd'hui :
- Identifier vos systèmes à haut risque au sens de l'annexe III : recrutement automatisé, scoring de crédit, outils d'évaluation scolaire, systèmes de gestion des accès aux services publics, etc.
- Réaliser une analyse des risques techniques pour chaque système identifié, en incluant les dimensions cybersécurité et robustesse.
- Vérifier vos contrats fournisseurs pour s'assurer que les obligations de l'article 15 sont bien répercutées sur les prestataires qui développent vos solutions.
- Former vos équipes aux exigences de l'EU AI Act — rappelons que l'obligation de littératie IA (article 4) est applicable depuis le 2 février 2025 et concerne déjà tous les personnels travaillant avec des systèmes d'IA.
Notez par ailleurs que si votre activité implique la production de contenus générés par IA — voix de synthèse, scripts audio, contenus médias — les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Des prestataires comme Distr Action, spécialisé dans la production audio et le voice-over, intègrent déjà ces contraintes de marquage dans leurs processus de production.
Conclusion : la robustesse n'est pas une option technique, c'est une obligation légale
La cybersécurité et la robustesse des systèmes d'IA à haut risque ne sont pas des bonnes pratiques optionnelles : elles constituent des exigences essentielles inscrites dans le règlement (UE) 2024/1689. Le report accordé par l'omnibus jusqu'au 2 décembre 2027 offre un délai supplémentaire, mais pas une dispense. Les PME qui utilisent ou développent des systèmes d'IA dans des domaines sensibles ont tout intérêt à engager dès maintenant leur travail de mise en conformité technique, sous peine de se retrouver dans une situation de rattrapage coûteuse et risquée à l'approche de l'échéance.
Vous ne savez pas par où commencer ? Réalisez votre diagnostic de conformité gratuit sur audityo.eu et identifiez en quelques minutes les obligations qui vous concernent, les risques prioritaires à traiter et les actions concrètes à mettre en œuvre.