Le talon d'Achille de tout le règlement
L'AI Act repose sur une intuition simple en apparence : tous les systèmes d'intelligence artificielle ne se valent pas, et les obligations doivent être modulées selon le danger qu'ils représentent. Un filtre anti-spam ne pose pas les mêmes problèmes qu'un algorithme de tri des candidatures à l'embauche ou qu'un système de reconnaissance faciale aux frontières. Le règlement distingue donc quatre niveaux : risque inacceptable, haut risque, risque limité, risque minimal.
Le problème, c'est que la frontière entre ces catégories est tout sauf évidente. L'article 6 du règlement définit les systèmes à haut risque, mais sa rédaction laisse une marge d'interprétation considérable. Une entreprise qui développe un outil d'aide à la décision médicale, un logiciel de gestion des ressources humaines ou un système de notation de crédit doit-elle se soumettre aux obligations lourdes du haut risque, ou peut-elle s'en exonérer ? De la réponse dépendent des coûts de conformité qui se chiffrent parfois en centaines de milliers d'euros. C'est précisément cette zone grise que les lignes directrices du 19 mai entendent éclairer.
La Commission elle-même décrit l'objectif dans son communiqué : ces lignes directrices « visent à aider les fournisseurs, les déployeurs et les autres acteurs concernés à déterminer si un système d'IA relève de la catégorie à haut risque ». Le public visé est large : « fournisseurs et développeurs d'IA, organisations utilisant des systèmes d'IA, autorités publiques, chercheurs, organisations de la société civile, organes de surveillance et membres du public ». Autrement dit, tout l'écosystème.
Un critère central : le composant de sécurité
Le cœur des lignes directrices porte sur la notion de composant de sécurité. Un système d'intelligence artificielle est considéré comme à haut risque s'il fonctionne comme un composant de sécurité d'un produit déjà régulé, ou s'il est lui-même un tel produit, et si une défaillance de sa part peut compromettre la santé ou la sécurité des personnes. C'est une définition fonctionnelle, qui ne s'attache pas à la nature de la technologie mais à son usage et à ses conséquences potentielles.
Les lignes directrices apportent ici une clarification que l'industrie attendait. Les systèmes d'intelligence artificielle qui se contentent d'assister l'utilisateur, d'optimiser des performances ou d'assurer un contrôle qualité ne tomberont pas automatiquement dans la catégorie du haut risque. Pour qu'ils y basculent, il faut qu'une défaillance puisse réellement menacer la sécurité ou la santé. Cette précision, attendue depuis des mois, dissipe une partie de l'incertitude qui pesait sur de nombreux secteurs industriels, de la fabrication aux dispositifs médicaux.
Emma Woollacott, journaliste pour IT Pro, a résumé l'enjeu : la guidance vise à « aider les organisations et les régulateurs à décider si leurs produits et déploiements d'IA doivent se conformer aux règles plus strictes ». La nuance est de taille. Dans un domaine où la qualification juridique commande l'intégralité des obligations, ces lignes directrices fonctionnent comme un aiguillage. Mal posé, il enverra des systèmes inoffensifs dans le régime le plus lourd, ou laissera passer des applications dangereuses dans le régime allégé.
Une consultation comme outil de légitimation
L'ouverture d'une consultation publique jusqu'au 23 juin 2026 n'est pas un détail procédural. Elle traduit une méthode propre à la gouvernance européenne : associer les parties prenantes à l'élaboration du droit dérivé pour en renforcer l'acceptabilité. Mais cette méthode a un revers. Les grandes entreprises technologiques disposent de moyens considérables pour peser sur les consultations, mobilisant juristes, lobbyistes et cabinets spécialisés. Les organisations de la société civile, les associations de défense des droits ou les petites structures, elles, peinent souvent à suivre le rythme et la technicité des textes soumis.
L'agence de presse spécialisée Agence Europe, dans son bulletin du 20 mai, a confirmé la démarche : la Commission « souhaite recueillir les avis des parties intéressées sur le projet de lignes directrices clarifiant la classification des systèmes d'intelligence artificielle à haut risque, qu'elle a publié le mardi 19 mai ». Le calendrier est serré. La consultation se referme le 23 juin, soit à peine plus d'un mois, ce qui laisse peu de temps aux acteurs les moins outillés pour formuler des observations argumentées.
L'OCDE comme caisse de résonance
La seconde annonce du 19 mai, passée plus inaperçue, mérite pourtant l'attention. La Commission a noué une collaboration avec l'OCDE pour le suivi des stratégies nationales d'intelligence artificielle et des investissements dans le secteur. Cette coopération s'appuie sur l'Observatoire des politiques de l'IA de l'OCDE et sur l'index publié par l'organisation en janvier 2026.
Le choix n'est pas neutre. En s'adossant à l'OCDE, organisation qui rassemble les démocraties de marché et dont le centre de gravité reste occidental, la Commission cherche à inscrire la gouvernance européenne de l'IA dans un cadre multilatéral qui dépasse les seules frontières de l'Union. C'est une manière de répondre à la critique récurrente selon laquelle l'Europe régulerait seule dans son coin, déconnectée des dynamiques mondiales. C'est aussi un moyen d'exporter, indirectement, ses propres standards, en alimentant les comparaisons internationales avec des données produites selon une grille européenne.
Les briques qui s'empilent
Ces lignes directrices ne tombent pas du ciel. Elles s'ajoutent à un édifice réglementaire qui se construit pièce par pièce. Le 8 mai, la Commission avait déjà publié un projet de lignes directrices sur l'article 50, qui régit les obligations de transparence, soumis à consultation jusqu'au 3 juin, accompagné de trois études sur les solutions techniques de marquage des contenus générés par intelligence artificielle. Le code de bonne pratique sur le marquage et l'étiquetage de ces contenus, dont la deuxième version a été publiée le 5 mars, devrait être finalisé en juin.
Cet empilement d'actes de droit dérivé révèle la complexité de l'entreprise. Voter un règlement est une chose. Le rendre opérationnel en est une autre, qui suppose des dizaines de textes d'application, de lignes directrices, de codes de bonne pratique et de standards techniques. C'est précisément ce travail de fond qui a pris du retard, et qui a justifié le report des échéances acté par le Digital Omnibus quelques jours plus tôt. Les lignes directrices du 19 mai sont une pièce de ce puzzle, indispensable mais insuffisante à elle seule.
Le pari de la prévisibilité
Pour les entreprises, la publication de ces lignes directrices répond à une demande ancienne de prévisibilité. Dans un environnement où une qualification erronée peut coûter cher, savoir à l'avance comment l'administration interprétera l'article 6 constitue un avantage concurrentiel. Les juristes spécialisés, comme ceux du cabinet Inside Privacy, soulignent que ces clarifications permettent enfin aux organisations de procéder à des évaluations de périmètre fiables et de construire des cadres de gouvernance alignés sur l'approche par les risques du règlement.
Mais cette prévisibilité a un prix. Plus les lignes directrices sont précises, plus elles figent l'interprétation du droit, au risque de mal vieillir face à des technologies qui évoluent à une vitesse fulgurante. Un système jugé inoffensif aujourd'hui peut, par une mise à jour ou un changement d'usage, basculer dans une zone de danger que les critères actuels n'auront pas anticipée. La Commission marche sur une ligne de crête : trop de rigidité étouffe l'innovation, trop de souplesse vide le règlement de sa substance.
Le précédent du RGPD comme leçon
L'expérience du Règlement général sur la protection des données offre un précédent éclairant. Lorsque ce texte est entré en application en 2018, son article 22 sur les décisions automatisées avait suscité d'intenses débats d'interprétation. Que recouvrait exactement la notion de décision fondée exclusivement sur un traitement automatisé ? Les premières années d'application avaient été marquées par une incertitude considérable, que les lignes directrices du Comité européen de la protection des données et la jurisprudence de la Cour de justice ont peu à peu dissipée. Le même scénario se profile pour l'AI Act : un texte de principe dont le sens concret se construira au fil des lignes directrices, des décisions administratives et, à terme, des arrêts des tribunaux.
Cette construction progressive du droit a ses vertus et ses défauts. Sa vertu est l'adaptabilité : en précisant le règlement par étapes, l'Union peut tenir compte de l'évolution des technologies et des usages. Son défaut est l'insécurité de la période transitoire, durant laquelle les acteurs naviguent dans le flou. Les lignes directrices du 19 mai visent précisément à raccourcir cette période d'incertitude, en donnant le plus tôt possible des repères clairs. Mais elles ne remplaceront jamais la sécurité que seule apporte une jurisprudence établie, laquelle mettra des années à se constituer.
Une bataille d'influence feutrée
Derrière l'apparente technicité de la classification des risques se joue une bataille d'influence aux enjeux considérables. Chaque mot des lignes directrices peut faire basculer des pans entiers de l'industrie dans le régime du haut risque ou l'en exonérer. Les fournisseurs de technologies de reconnaissance biométrique, les éditeurs de logiciels de ressources humaines, les développeurs d'outils d'aide à la décision médicale ont tous un intérêt direct à peser sur la rédaction finale du texte. La consultation publique ouverte jusqu'au 23 juin est le théâtre de cette bataille, où s'affrontent les contributions des grandes entreprises, des associations professionnelles, des organisations de la société civile et des autorités nationales.
L'issue de cette bataille déterminera l'équilibre réel du règlement. Si les définitions retenues sont trop restrictives, de nombreux systèmes potentiellement dangereux échapperont aux obligations du haut risque, et le règlement perdra de sa portée protectrice. Si elles sont trop larges, des systèmes inoffensifs se trouveront soumis à des obligations disproportionnées, ce qui alimentera le discours sur la surrégulation européenne. La Commission doit donc trouver un point d'équilibre délicat, sous le regard d'acteurs aux intérêts divergents, dans un contexte où le rapport de forces penche, depuis le Digital Omnibus, du côté de l'allègement des contraintes.
L'OCDE et la fabrique des standards mondiaux
La collaboration annoncée avec l'OCDE le 19 mai mérite qu'on s'y arrête davantage. En s'associant à cette organisation pour le suivi des stratégies et des investissements nationaux en intelligence artificielle, la Commission cherche à inscrire sa propre approche dans un cadre de référence internationalement reconnu. L'OCDE produit depuis plusieurs années des indicateurs, des comparaisons et des recommandations qui font autorité auprès des gouvernements. En alimentant ces travaux avec des données et des grilles d'analyse européennes, l'Union espère exporter, indirectement, sa conception de la gouvernance de l'IA.
C'est une forme de soft power réglementaire. L'Europe ne dispose pas des moyens financiers ou industriels pour imposer ses standards par la puissance économique, comme le font les États-Unis ou la Chine. Elle mise donc sur la qualité et la légitimité de son cadre normatif, relayé par des instances multilatérales comme l'OCDE. La stratégie n'est pas dénuée d'efficacité : c'est ainsi que le RGPD a fini par inspirer des législations sur la protection des données dans le monde entier, du Brésil à la Californie. Reste à savoir si l'AI Act, fragilisé par ses reports successifs, conservera l'autorité morale nécessaire pour jouer ce rôle de modèle mondial.
Les lignes directrices du 19 mai 2026 incarnent l'effort patient et méconnu qui transforme un texte de principe en droit applicable. Elles montrent une Union européenne au travail, soucieuse de clarifier sans étouffer, d'associer sans se laisser capturer. Mais elles révèlent aussi la fragilité d'un édifice qui dépend, pour fonctionner, d'une infrastructure normative et administrative encore largement inachevée. L'Europe a fait le pari de réguler l'intelligence artificielle par la qualité de son droit. Reste à savoir si la qualité du droit suffit, lorsqu'on ne maîtrise ni les modèles, ni l'infrastructure, ni le calendrier d'une technologie qui se moque des consultations publiques.
---
