AI Act énergie : infrastructures critiques et Annexe III §2

TL;DR

L'essentiel en 30 secondes

• L'Annexe III §2 du Règlement (UE) 2024/1689 classe les systèmes d'IA destinés à la gestion et l'exploitation des infrastructures critiques numériques, du trafic routier, et de l'approvisionnement en eau, gaz, chauffage et électricité comme systèmes à haut risque.
• Les PME françaises qui développent ou déploient ces systèmes doivent réaliser une évaluation de conformité avant mise sur le marché (Article 43) et tenir un système de gestion des risques (Article 9).
• Une analyse d'impact sur les droits fondamentaux (FRIA) est exigée pour les déployeurs publics et certains opérateurs privés (Article 27 du Règlement (UE) 2024/1689).
• L'inscription au registre européen (Article 71) et la documentation technique (Annexe IV) sont obligatoires avant déploiement.
• Les sanctions atteignent 15 M€ ou 3 % du chiffre d'affaires annuel mondial pour les manquements aux obligations sur les systèmes à haut risque (Art. 99).
• L'ISO/IEC 42001:2023 structure le système de management de l'IA et facilite la démonstration de conformité.

---

1. Contexte réglementaire : AI Act et infrastructures critiques

Le Règlement (UE) 2024/1689, dit « AI Act », est entré en vigueur le 1ᵉʳ août 2024. Il s'applique progressivement jusqu'en août 2027. Les obligations sur les systèmes à haut risque listés à l'Annexe III deviennent pleinement applicables le 2 août 2026.

L'Annexe III §2 du Règlement vise spécifiquement :

« Les systèmes d'IA destinés à être utilisés en tant que composants de sécurité dans la gestion et l'exploitation des infrastructures numériques critiques, du trafic routier et de la fourniture d'eau, de gaz, de chauffage ou d'électricité. »

La notion d'infrastructure critique renvoie à la Directive (UE) 2022/2557 (dite « CER ») sur la résilience des entités critiques, qui identifie l'énergie comme l'un des onze secteurs essentiels. En France, le dispositif national des Opérateurs d'Importance Vitale (OIV), régi par les articles L. 1332-1 et suivants du Code de la défense, couvre déjà la plupart des grands acteurs énergétiques.

1.1 Qui est concerné côté PME ?

Une PME française est concernée si elle :

• développe un système d'IA destiné à piloter, surveiller ou sécuriser un réseau électrique, gazier ou de chaleur ;
• fournit un sous-composant logiciel intégré dans un système plus large utilisé par un OIV ou un gestionnaire de réseau ;
• déploie en interne un système d'IA pour exploiter sa propre infrastructure énergétique (cogénération, microgrid industriel, station-service avec gestion intelligente).

Pour comprendre le périmètre général applicable aux PME, consulter notre guide pillar AI Act PME France.

1.2 Articulation avec NIS 2 et CER

L'AI Act ne remplace pas les obligations sectorielles. Il s'y ajoute. Une PME prestataire d'un gestionnaire de réseau de distribution (GRD) cumule les exigences NIS 2 (cybersécurité), CER (résilience) et AI Act (système d'IA à haut risque). La cohérence documentaire devient un enjeu opérationnel majeur.

Texte	Objet	Échéance d'application	Sanction maximale
AI Act (Annexe III §2)	Conformité IA haut risque	2 août 2026	15 M€ ou 3 % CA mondial
Directive NIS 2	Cybersécurité réseaux et systèmes	Transposée FR 2025	10 M€ ou 2 % CA mondial
Directive CER (UE) 2022/2557	Résilience entités critiques	Transposée FR 2024	Variable selon transposition
Code de la défense (OIV)	Sécurité nationale	En vigueur	Sanctions pénales

---

2. Obligations spécifiques pour les PME dans l'Annexe III §2

Un système d'IA relevant de l'Annexe III §2 est qualifié de haut risque au sens de l'Article 6 du Règlement. Les obligations détaillées figurent au Chapitre III, Section 2 (Articles 8 à 17).

2.1 Système de gestion des risques (Art. 9)

La PME fournisseuse doit établir, mettre en œuvre et documenter un processus continu d'identification, d'analyse et de maîtrise des risques prévisibles pour la santé, la sécurité et les droits fondamentaux. Pour un système pilotant un réseau électrique, cela inclut les risques de coupure, de surcharge, de prise de décision automatique non supervisée, et les cyber-risques.

2.2 Gouvernance des données (Art. 10)

Les jeux de données d'entraînement, de validation et de test doivent être pertinents, représentatifs, exempts d'erreurs autant que possible, et complets. Pour une IA prédictive de consommation, les biais saisonniers, géographiques et tarifaires doivent être documentés.

2.3 Documentation technique (Art. 11 et Annexe IV)

La documentation doit permettre à une autorité de contrôle de vérifier la conformité. Elle comprend :

1. Description générale du système et de sa finalité.
2. Description détaillée des éléments du système et du processus de développement.
3. Informations sur les données utilisées.
4. Description du système de gestion des risques.
5. Mesures de surveillance, de fonctionnement et de contrôle.
6. Liste des normes harmonisées appliquées.
7. Copie de la déclaration UE de conformité.

2.4 Tenue de journaux (Art. 12)

Les systèmes à haut risque enregistrent automatiquement les événements (logs) sur toute leur durée de vie. Pour une IA gérant une sous-station électrique, les périodes d'utilisation, les données d'entrée, les identifiants des personnes ayant validé les sorties doivent être traçables.

2.5 Transparence et information des déployeurs (Art. 13)

La notice d'utilisation précise : identité du fournisseur, caractéristiques, performances, limitations connues, mesures de surveillance humaine, ressources informatiques nécessaires, durée de vie attendue.

2.6 Surveillance humaine (Art. 14)

Une personne physique doit pouvoir comprendre les capacités du système, rester consciente du risque d'automatisme excessif, interpréter correctement les sorties, et stopper le système par un bouton d'arrêt ou une procédure équivalente. Pour un dispatcher énergétique, ce point est central.

2.7 Exactitude, robustesse et cybersécurité (Art. 15)

Le système doit atteindre un niveau approprié d'exactitude, être résilient aux erreurs et tentatives d'altération (data poisoning, adversarial attacks), et intégrer des mesures de cybersécurité. Cette exigence s'articule avec la Directive NIS 2.

---

3. Processus d'inscription et de conformité

3.1 Évaluation de conformité (Art. 43)

Pour les systèmes de l'Annexe III §2, la procédure applicable est généralement le contrôle interne décrit à l'Annexe VI, sauf cas particuliers nécessitant l'intervention d'un organisme notifié. Le fournisseur vérifie lui-même la conformité, établit la documentation technique, et appose le marquage CE.

3.2 Déclaration UE de conformité (Art. 47)

Document signé par le fournisseur attestant de la conformité avec le Règlement. Il est conservé pendant 10 ans après la mise sur le marché et tenu à la disposition des autorités nationales compétentes.

3.3 Marquage CE (Art. 48)

Apposition physique ou numérique sur le système, sa documentation, ou son emballage. Le marquage doit être visible, lisible, indélébile.

3.4 Enregistrement dans la base de données de l'UE (Art. 71)

Avant mise sur le marché ou mise en service, le fournisseur enregistre le système et lui-même dans la base de données européenne gérée par la Commission. L'AI Office EU coordonne cette base. Les informations enregistrées sont en partie publiques.

Étape	Acteur	Délai	Référence AI Act
Classification haut risque	Fournisseur	Avant développement	Art. 6 + Annexe III §2
Système de gestion des risques	Fournisseur	En continu	Art. 9
Documentation technique	Fournisseur	Avant mise sur marché	Art. 11 + Annexe IV
Évaluation de conformité	Fournisseur	Avant mise sur marché	Art. 43 + Annexe VI
Déclaration UE de conformité	Fournisseur	Avant mise sur marché	Art. 47
Marquage CE	Fournisseur	Avant mise sur marché	Art. 48
Enregistrement base UE	Fournisseur	Avant mise sur marché	Art. 71
FRIA	Déployeur (selon cas)	Avant mise en service	Art. 27
Surveillance post-marché	Fournisseur	En continu	Art. 72

3.5 Analyse d'impact sur les droits fondamentaux — FRIA (Art. 27)

L'Article 27 du Règlement (UE) 2024/1689 impose une FRIA aux déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics, ainsi qu'aux déployeurs des systèmes listés à l'Annexe III §5(b) et §5(c) (notation de crédit, tarification d'assurance vie/santé).

Pour les infrastructures énergétiques publiques (régies municipales, syndicats d'électrification), la FRIA s'applique. Pour les acteurs privés purement commerciaux, elle n'est pas systématiquement requise, mais reste une bonne pratique. La FRIA comprend notamment :

• description des processus de déploiement ;
• période et fréquence d'utilisation prévues ;
• catégories de personnes physiques susceptibles d'être affectées ;
• risques spécifiques de préjudice ;
• mesures de surveillance humaine ;
• mesures à prendre en cas de matérialisation des risques.

3.6 Échéances clés

Date	Obligation activée
1ᵉʳ août 2024	Entrée en vigueur du Règlement
2 février 2025	Interdictions (Art. 5) et obligations de littératie IA (Art. 4)
2 août 2025	Obligations sur les modèles d'IA à usage général (GPAI)
2 août 2026	Obligations haut risque Annexe III applicables
2 août 2027	Obligations haut risque Annexe I (produits soumis à législation harmonisée)

---

4. Sanctions et risques pour non-conformité

L'Article 99 du Règlement (UE) 2024/1689 structure les sanctions en trois paliers.

Manquement	Plafond	Référence
Pratiques interdites (Art. 5)	35 M€ ou 7 % CA mondial	Art. 99 §3
Non-respect obligations haut risque, transparence, GPAI	15 M€ ou 3 % CA mondial	Art. 99 §4
Fourniture d'informations inexactes aux autorités	7,5 M€ ou 1 % CA mondial	Art. 99 §5

Le montant retenu est le plus élevé des deux pour les grandes entreprises. Pour les PME et les start-ups, l'Article 99 §6 précise que c'est le plus faible des deux montants qui s'applique, en tenant compte de leurs intérêts économiques et de leur viabilité.

Les sanctions sont prononcées par l'autorité nationale de surveillance du marché. En France, la désignation de cette autorité fait l'objet de discussions interministérielles entre la CNIL, la DGE et l'ANSSI [à vérifier au moment de la publication].

Au-delà des amendes, les risques opérationnels incluent :

• retrait du marché du système (Art. 79) ;
• rappel par le fournisseur (Art. 20) ;
• suspension de l'enregistrement européen ;
• réputation et perte de contrats avec les OIV ou collectivités.

Pour une analyse détaillée du régime de sanctions, voir notre article dédié : Sanctions AI Act PME amendes.

---

5. Guide pratique pour les PME : étapes de mise en conformité

5.1 Audit initial de l'usage de l'IA

1. Recenser tous les systèmes d'IA développés, intégrés ou utilisés en interne.
2. Classifier chaque système selon l'Article 6 et l'Annexe III.
3. Identifier le rôle de la PME : fournisseur, déployeur, distributeur, importateur, fabricant de produit.
4. Cartographier les flux de données et les sous-traitants.
5. Vérifier la couverture contractuelle avec les clients OIV ou collectivités.

5.2 Mise en place d'un système de management de l'IA (ISO/IEC 42001:2023)

L'ISO/IEC 42001:2023 publiée en décembre 2023 est la première norme certifiable de système de management de l'IA. Elle suit la structure HLS commune à ISO 9001, ISO 27001 et ISO 14001. Elle couvre :

• contexte de l'organisation et parties intéressées ;
• politique IA et leadership ;
• planification (objectifs, risques, opportunités) ;
• support (ressources, compétences, sensibilisation) ;
• réalisation (cycle de vie IA) ;
• évaluation des performances (audit interne, revue de direction) ;
• amélioration continue.

Couplée à l'ISO/IEC 23894:2023 (gestion des risques liés à l'IA) et à l'ISO/IEC 27001:2022 (sécurité de l'information), elle constitue un socle de conformité solide.

5.3 Formation du personnel — littératie IA (Art. 4)

L'Article 4 du Règlement impose, depuis le 2 février 2025, une obligation de littératie IA pour le personnel des fournisseurs et déployeurs. La formation doit être proportionnée au rôle, au contexte d'utilisation et aux personnes affectées. Pour une PME énergie, cela vise au minimum :

• les ingénieurs développant les modèles ;
• les opérateurs supervisant les systèmes en production ;
• les managers décidant des déploiements ;
• le DPO et le RSSI.

5.4 Mise à jour du registre RGPD

Le traitement des données personnelles dans un système d'IA reste soumis au RGPD. Le registre des activités de traitement (Article 30 RGPD) doit refléter les usages IA. Si l'analyse de risques (AIPD, Article 35 RGPD) révèle un risque élevé, sa réalisation est obligatoire et peut être articulée avec la FRIA AI Act.

5.5 Plan d'action 12 mois

Mois	Action	Livrable
M1-M2	Audit IA et classification	Cartographie + matrice Annexe III
M3-M4	Mise en place SMQ IA (ISO 42001)	Politique IA + plan SMS-IA
M5-M6	Documentation technique Annexe IV	Dossier technique par système
M7-M8	Gestion des risques (Art. 9) + cybersécurité	Registre des risques + tests robustesse
M9-M10	Surveillance humaine + journalisation	Procédures + logs opérationnels
M11	FRIA (si applicable) + AIPD RGPD	Rapport FRIA + AIPD
M12	Déclaration UE + enregistrement Art. 71	Marquage CE + inscription base UE

---

6. Ressources et support pour la conformité

6.1 AI Act Service Desk

La Commission européenne a ouvert l'AI Act Service Desk (ai-act-service-desk.ec.europa.eu). Ce guichet centralise les questions d'interprétation, oriente vers les autorités nationales compétentes et publie des FAQ régulièrement mises à jour.

6.2 Fiches pratiques CNIL

La CNIL a publié en 2024 et 2025 une série de fiches pratiques sur l'IA, articulées avec le RGPD : base légale, AIPD, droits des personnes, sécurité, transferts internationaux. Elles sont consultables sur cnil.fr.

6.3 Guides professionnels

• Cigref, guide AI Act publié en janvier 2025 : retours d'expérience des grandes entreprises françaises.
• Numeum, guide AI Act publié en mars 2025 : focus éditeurs et intégrateurs IT.
• AFNOR, traductions et notes d'application des normes ISO/IEC série 42000.

6.4 Autorités sectorielles à surveiller

Secteur	Autorité	Point de vigilance
Énergie	CRE	Régulation des marchés, smart grids
Cybersécurité	ANSSI	NIS 2, certification SecNumCloud
Données personnelles	CNIL	RGPD, AIPD, fiches IA
Concurrence et consommation	DGCCRF	Pratiques commerciales déloyales

Pour le glossaire des termes techniques et juridiques, voir notre glossaire regulia. L'intégralité des références citées est compilée dans la page sources officielles.

---

7. Cas d'étude : exemple de PME énergétique en conformité

Profil : société de services aux énergies renouvelables, 85 salariés, basée en Auvergne-Rhône-Alpes. Elle commercialise un logiciel d'optimisation de l'autoconsommation collective pour bailleurs sociaux et communautés d'énergie.

Système d'IA concerné : module de prévision de production photovoltaïque et de pilotage des batteries, intégré à un EMS (Energy Management System) déployé dans plusieurs résidences.

Qualification : le système est jugé haut risque au titre de l'Annexe III §2, car il agit comme composant de sécurité dans la fourniture d'électricité d'un microgrid résidentiel.

Démarche entreprise :

1. Audit interne en deux mois, conduit par le RSSI avec appui d'un cabinet externe.
2. Adoption de l'ISO/IEC 42001:2023 comme cadre managérial.
3. Refonte du registre des risques avec ajout d'un volet IA spécifique.
4. Mise à jour de la documentation technique selon l'Annexe IV.
5. Formation de 14 collaborateurs (développeurs, support, commerce).
6. AIPD croisée avec FRIA pour les clients bailleurs sociaux.
7. Enregistrement test dans la base de données UE (Art. 71) dès qu'elle a été ouverte aux fournisseurs.

Défis rencontrés :

• ambiguïté sur la qualification « composant de sécurité » résolue par analyse juridique externe ;
• difficulté à reconstituer la traçabilité des jeux de données d'entraînement antérieurs à 2023 ;
• adaptation des contrats clients pour clarifier les rôles fournisseur/déployeur.

Leçons :

• documenter dès le développement, pas a posteriori ;
• aligner FRIA et AIPD pour éviter la double charge ;
• intégrer les exigences NIS 2 et AI Act dans un même référentiel interne.

---

8. Avenir et évolutions de l'AI Act pour les infrastructures critiques

8.1 Actes d'exécution et lignes directrices attendus

La Commission doit publier des lignes directrices sur l'application de l'Article 6, sur la classification haut risque, et sur les modalités d'évaluation de conformité. Plusieurs actes d'exécution sont prévus entre 2025 et 2027 [à vérifier au calendrier officiel de l'AI Office].

8.2 Normes harmonisées CEN-CENELEC

Le mandat M/593 confie à CEN-CENELEC l'élaboration de normes harmonisées qui, une fois publiées au Journal officiel de l'UE, conféreront une présomption de conformité au Règlement. Les premières publications sont attendues à partir de 2026. L'ISO/IEC 42001:2023 sert de base à plusieurs travaux.

8.3 Convergence sectorielle énergie

Le couplage entre AI Act, NIS 2, CER, et règlement DORA (pour les services financiers liés à l'énergie comme le trading) crée un référentiel de conformité multisectoriel. Les PME ont intérêt à construire un système de management intégré plutôt que de traiter chaque texte isolément.

8.4 Surveillance post-marché renforcée

L'Article 72 impose un plan de surveillance après la mise sur le marché. Les retours d'expérience opérationnels devront alimenter en continu le système de gestion des risques. Les autorités nationales pourront demander accès aux journaux d'événements (Art. 12).

---

FAQ

Quelles sont les infrastructures critiques énergétiques concernées par l'AI Act ?

L'Annexe III §2 du Règlement (UE) 2024/1689 vise la fourniture d'eau, de gaz, de chauffage et d'électricité, ainsi que les infrastructures numériques critiques et le trafic routier. Côté énergie, cela couvre les réseaux de transport et de distribution d'électricité, les réseaux gaziers, les réseaux de chaleur urbains, les centrales électriques jouant un rôle systémique, et les microgrids dès lors que l'IA agit comme composant de sécurité. Les PME prestataires de ces infrastructures, fournissant des logiciels ou modules d'IA intégrés, sont concernées au même titre que les opérateurs.

Quelle est la procédure pour évaluer l'impact de l'IA (FRIA) pour les PME ?

L'analyse d'impact sur les droits fondamentaux (FRIA), encadrée par l'Article 27, s'applique aux déployeurs publics et à certains déployeurs privés assurant des services publics. La PME documente la finalité du système, la période et la fréquence d'utilisation, les catégories de personnes affectées, les risques spécifiques de préjudice, les mesures de surveillance humaine et les actions correctives prévues. Le rapport est notifié à l'autorité de surveillance du marché. L'AI Office propose un modèle harmonisé. La FRIA peut être combinée avec l'AIPD du RGPD pour limiter la duplication.

Quelles sont les sanctions pour non-conformité avec l'AI Act pour les PME ?

L'Article 99 prévoit trois paliers : 35 M€ ou 7 % du CA mondial pour les pratiques interdites (Art. 5), 15 M€ ou 3 % du CA mondial pour les manquements haut risque, transparence et GPAI, 7,5 M€ ou 1 % du CA mondial pour les informations inexactes fournies aux autorités. Pour les PME et start-ups, l'Article 99 §6 prévoit que le plus faible des deux montants s'applique, en tenant compte de la viabilité économique. Les autorités peuvent également imposer le retrait ou le rappel du système (Art. 79).

Comment l'ISO/IEC 42001:2023 aide-t-elle les PME à se conformer à l'AI Act ?

L'ISO/IEC 42001:2023 est la première norme certifiable de système de management de l'IA. Elle fournit une structure organisationnelle pour gouverner le cycle de vie de l'IA : politique, rôles, gestion des risques, contrôles opérationnels, audit, amélioration continue. Elle ne se substitue pas à l'AI Act mais facilite la démonstration de conformité aux exigences de l'Article 9 (gestion des risques), de l'Article 17 (système de management de la qualité) et de l'Article 72 (surveillance post-marché). Une fois publiées les normes harmonisées CEN-CENELEC issues du mandat M/593, l'alignement sera encore plus direct.

Où trouver des ressources officielles sur l'AI Act dans le secteur énergétique ?

Quatre points d'entrée principaux : l'AI Act Service Desk (ai-act-service-desk.ec.europa.eu) pour les questions d'interprétation et le suivi des actes d'exécution ; EUR-Lex (eur-lex.europa.eu) pour le texte officiel consolidé du Règlement (UE) 2024/1689 ; le site artificialintelligenceact.eu pour une lecture annotée et des outils ; la CNIL (cnil.fr) pour les fiches pratiques IA et l'articulation avec le RGPD. Le secteur énergétique peut compléter avec la CRE pour les aspects régulation des marchés, et l'ANSSI pour la cybersécurité au sens NIS 2.

---

Sources officielles

• Règlement (UE) 2024/1689 — texte officiel EUR-Lex
• AI Act Service Desk — Commission européenne
• CNIL — page dédiée AI Act
• AI Act — version annotée artificialintelligenceact.eu
• ISO/IEC 42001:2023 — Système de management de l'IA
• ISO/IEC 23894:2023 — Gestion des risques IA
• ISO/IEC 27001:2022 — Sécurité de l'information
• Directive (UE) 2022/2557 (CER) — résilience entités critiques
• Directive (UE) 2022/2555 (NIS 2) — cybersécurité

---

Disclaimer

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.