IA embarquée : calendrier réglementaire 2028

TL;DR

L'essentiel en 30 secondes

• Le 2 août 2028 est la date applicable aux systèmes d'IA à haut risque liés aux produits réglementés de l'Annexe I.
• Une IA embarquée n'est pas automatiquement à haut risque : les deux conditions de l'Art. 6(1) doivent être réunies.
• Le fabricant concentre l'essentiel des obligations : gestion des risques, documentation, contrôle humain, cybersécurité, évaluation de conformité.
• Le manquement à ces obligations expose à un plafond de 15 M€ ou 3 % du CA mondial. Pour une PME, le montant le plus bas s'applique.
• La référence est le Règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744 « Omnibus IA ».

Votre entreprise fabrique, intègre ou utilise un équipement doté d'une IA ? La première question porte sur la législation applicable au produit. La date dépend de ce classement, pas de la seule présence d'un algorithme.

Ce guide complète le dossier général sur l'AI Act pour les PME françaises. Il se concentre sur les produits réglementés et l'échéance de 2028.

1. Calendrier réglementaire de l'Annexe I

Le Règlement (UE) 2024/1689, ou AI Act, s'applique par étapes. L'Omnibus IA, règlement (UE) 2026/1744, a modifié ce calendrier. Il a été publié au JOUE le 24 juillet 2026 et il est en vigueur depuis le 27 juillet 2026.

Pour les produits réglementés de l'Annexe I, la date à retenir est le 2 août 2028.

Date	Dispositions concernées	Situation à contrôler pour un produit doté d'IA
2 février 2025	Art. 5 (pratiques interdites) et Art. 4 (maîtrise de l'IA)	Fonctions interdites, mesures de maîtrise de l'IA
2 août 2025	Modèles d'IA à usage général (Art. 51 à 56)	Modèle intégré au produit et informations du fournisseur
2 août 2026	Art. 50 (transparence)	Assistant conversationnel, contenus générés
2 décembre 2026	Art. 50(2) pour les systèmes mis sur le marché avant le 2 août 2026 ; nouvelles interdictions de l'Art. 5	Marquage technique des contenus générés, usages interdits
2 décembre 2027	Systèmes à haut risque de l'Annexe III	Usage relevant d'un domaine listé à l'Annexe III
2 août 2028	Systèmes à haut risque liés à l'Annexe I	Composant de sécurité d'un produit réglementé

Cette date ne suspend pas les autres règles. Un produit peut relever de l'Annexe I pour sa fonction de sécurité et de l'Art. 50 pour son assistant vocal.

Les produits déjà sur le marché demandent un contrôle distinct. L'Art. 111 traite des systèmes existants. Lisez sa rédaction consolidée avant de décider du sort d'une gamme en circulation.

2. Qu'est-ce que l'Annexe I ?

L'Annexe I n'est pas une liste de machines. Elle énumère des législations d'harmonisation de l'Union qui encadrent des catégories de produits. « IA embarquée » est une expression d'usage, pas une catégorie juridique du règlement.

L'Article 6 du Règlement (UE) 2024/1689 fixe le test applicable. Selon l'Art. 6(1), deux conditions cumulatives rendent le système à haut risque :

1. Le système est un composant de sécurité d'un produit couvert par l'Annexe I, ou constitue lui-même ce produit.
2. Le produit doit passer une évaluation de conformité par un tiers au titre de cette législation.

Une IA qui ajuste le confort d'un appareil ne remplit pas forcément ces conditions. Une IA qui assure une fonction de sécurité dans un produit soumis à un organisme tiers doit, elle, être examinée de près.

L'Annexe I comporte deux sections, et leurs effets diffèrent. L'Art. 2(2) limite l'application directe du règlement aux produits de la section B.

Section	Exemples dans la version publiée en 2024	Conséquence pratique
Section A	Jouets, ascenseurs, équipements radio, dispositifs médicaux	Les exigences de l'AI Act s'articulent avec l'évaluation de conformité sectorielle
Section B	Véhicules à moteur, aviation civile, ferroviaire, équipements marins	Application directe limitée, avec prise en compte par les textes sectoriels

Les véhicules autonomes relèvent donc d'abord de la réglementation automobile. Les robots industriels et les équipements de production relèvent d'abord de la législation sur les machines.

Pour ces derniers, ne vous fiez pas à une lecture antérieure à l'Omnibus IA. Contrôlez la section applicable dans la version consolidée sur EUR-Lex. Le glossaire regulia rappelle les termes utiles à cette analyse.

3. Obligations pour les PME

Les obligations dépendent de votre rôle, pas de votre taille. Une PME de dix personnes qui met un produit à haut risque sur le marché reste soumise aux obligations du fournisseur.

L'Art. 25(3) prévoit un cas clé. Le fabricant du produit est considéré comme le fournisseur lorsque le système est commercialisé avec le produit, sous son nom ou sa marque. Le cas se présente aussi lors d'une mise en service sous ce nom ou cette marque, après la commercialisation du produit.

Rôle	Situation type	Principales obligations
Fabricant-fournisseur	Vous vendez le produit sous votre marque	Art. 8 à 17, évaluation de conformité, déclaration UE, marquage CE
Fournisseur de composant	Vous livrez une brique d'IA à un fabricant	Selon le cas : Art. 25(4), accord écrit, informations et assistance technique
Importateur ou distributeur	Vous mettez sur le marché ou revendez le produit	Art. 23 et 24 : vérifications avant la mise à disposition
Déployeur	Vous utilisez l'équipement dans vos ateliers	Art. 26 : usage conforme, contrôle humain, surveillance, journaux

Documentation technique et sécurité

Le fournisseur doit établir une documentation technique selon l'Art. 11 et l'Annexe IV. Pour les produits de la section A, l'Art. 11(2) prévoit un jeu unique de documentation technique. Celui-ci réunit les informations exigées par l'AI Act et par le texte sectoriel.

Les PME peuvent fournir ces éléments sous une forme simplifiée, prévue par l'Art. 11(1). Cette simplification porte sur la forme de la documentation. Elle ne supprime pas les exigences de fond.

Les exigences techniques couvrent notamment :

• le système de gestion des risques (Art. 9) ;
• la qualité et la gouvernance des données (Art. 10) ;
• l'enregistrement automatique des événements (Art. 12) ;
• la notice d'utilisation et la transparence envers les déployeurs (Art. 13) ;
• le contrôle humain (Art. 14) ;
• l'exactitude, la robustesse et la cybersécurité (Art. 15).

Conformité et normes européennes

Le fournisseur met aussi en place un système de gestion de la qualité (Art. 17). Pour les produits de la section A, l'Art. 43(3) renvoie à la procédure d'évaluation de conformité prévue par le texte sectoriel.

L'Art. 40 attache une présomption de conformité aux normes harmonisées dont les références sont publiées au JOUE. Avant de vous appuyer sur une norme, contrôlez ce référencement. Une norme ISO utile à votre organisation n'emporte pas cette présomption par elle-même.

Maîtrise de l'IA des équipes

L'Art. 4 s'applique depuis le 2 février 2025. Selon sa rédaction issue de l'Omnibus, fournisseurs et déployeurs « prennent des mesures pour favoriser » la maîtrise de l'IA.

Adaptez ces mesures aux métiers concernés. Un opérateur doit comprendre les alertes, les limites du système et la procédure d'arrêt. Un technicien de maintenance doit savoir quelles interventions peuvent modifier le comportement du système.

4. Sanctions pour non-conformité

L'Art. 99 fixe trois paliers. Le palier applicable dépend de la nature de l'infraction, et non de la présence d'IA dans un produit.

Infraction	Plafond général	Règle pour une PME ou une petite ETI
Pratiques interdites (Art. 5)	35 M€ ou 7 % du CA mondial	Le montant le plus bas des deux
Obligations des opérateurs, dont la transparence de l'Art. 50	15 M€ ou 3 % du CA mondial	Le montant le plus bas des deux
Informations inexactes fournies aux autorités	7,5 M€ ou 1 % du CA mondial	Le montant le plus bas des deux

Pour une entreprise hors de ce régime, le montant le plus élevé des deux sert de plafond. L'Art. 99(6) inverse cette logique pour les PME. Cette règle s'étend aux petites ETI, ou SMC, de moins de 750 salariés.

Prenons le palier de 15 M€ ou 3 %. Ces montants sont des plafonds, pas des amendes prévisibles.

Profil	CA mondial annuel	3 % du CA	Plafond retenu
PME	10 M€	300 000 €	300 000 €
PME	40 M€	1,2 M€	1,2 M€
Grande entreprise	1 Md€	30 M€	30 M€

L'autorité ne part pas automatiquement du plafond. L'Art. 99(7) lui demande de tenir compte notamment de la gravité et de la durée de l'infraction. La taille de l'opérateur et les amendes déjà infligées pour les mêmes faits entrent aussi en compte.

L'amende n'est pas le seul risque. L'Art. 20 impose au fournisseur des mesures correctives en cas de non-conformité, pouvant aller jusqu'au retrait ou au rappel. L'Art. 79 permet aussi aux autorités d'exiger de telles mesures.

Pour un fabricant, l'impact peut donc toucher une gamme entière, des contrats clients et la relation avec les distributeurs. Le guide des sanctions de l'AI Act pour les PME détaille le mécanisme de l'Art. 99.

5. Comment se préparer ?

La préparation commence par un inventaire, pas par la rédaction de documents. Sans classement fiable, vous risquez de documenter le mauvais périmètre.

1. Recensez les produits et équipements concernés. Notez chaque fonction d'IA, son fournisseur, sa version et son rôle dans la sécurité.
2. Identifiez la législation produit. Rattachez chaque produit à son texte sectoriel, puis à la section de l'Annexe I dans la version consolidée.
3. Appliquez le test de l'Art. 6(1). Documentez la réponse aux deux conditions, y compris lorsque le résultat écarte le haut risque.
4. Clarifiez votre rôle. Déterminez si vous agissez comme fabricant, fournisseur, importateur, distributeur ou déployeur.
5. Mesurez les écarts. Comparez vos pratiques aux exigences des Art. 9 à 15 et à votre dossier technique actuel.
6. Sécurisez la chaîne d'approvisionnement. Demandez aux fournisseurs de composants les informations nécessaires à votre dossier et encadrez-les par contrat.
7. Préparez la vie du produit. Organisez la surveillance après commercialisation (Art. 72) et le signalement des incidents graves (Art. 73).

Un audit interne peut structurer les étapes 1 à 5. Il n'a pas la valeur d'une évaluation de conformité. Lorsque le texte sectoriel exige un organisme notifié, cette intervention reste nécessaire.

Interrogez tôt votre organisme notifié habituel. Demandez-lui comment il prévoit de traiter les exigences de l'AI Act dans vos procédures. Sa réponse peut influencer votre planning de conception et d'essais.

Chantier	Responsable possible	Livrable attendu
Inventaire et classement	Direction technique, qualité	Registre des fonctions d'IA et note de classement
Analyse des écarts	Qualité, ingénierie, RSSI	Plan d'actions priorisé
Fournisseurs	Achats, juridique	Questionnaires et clauses contractuelles
Dossier technique	Bureau d'études, qualité	Documentation Annexe IV intégrée au dossier produit
Maîtrise de l'IA	RH, responsables métiers	Mesures adaptées aux postes concernés

Si la fonction d'IA traite des données personnelles, associez votre DPO. Le RGPD s'applique alors en parallèle de l'AI Act. Une caméra embarquée sur une ligne de production, par exemple, peut soulever cette question.

6. Ressources pour les PME

Privilégiez les sources officielles, puis utilisez les guides professionnels comme aides de lecture. Contrôlez toujours leur date de publication, car l'Omnibus IA a modifié plusieurs dispositions.

Ressource	Usage recommandé	Point d'attention
EUR-Lex (CELEX 32024R1689)	Texte de référence	Utilisez la version consolidée
AI Act Service Desk	Information de la Commission européenne	Ne remplace pas une analyse de votre produit
artificialintelligenceact.eu	Navigation dans le texte	Comparez avec EUR-Lex avant toute décision
Fiches pratiques IA de la CNIL	Traitements de données personnelles	Portent sur le RGPD, pas sur la conformité produit
Guides Cigref (janvier 2025) et Numeum (mars 2025)	Lecture opérationnelle	Antérieurs à l'Omnibus IA : leurs dates peuvent être dépassées
Conseil juridique ou consultant spécialisé	Cas complexes de classement ou de rôle	Vérifiez son expérience de votre secteur

Le dossier AI Act pour les PME donne une vue d'ensemble. La page des sources regulia rassemble les références officielles utiles à vos recherches.

Le pack regulia peut servir de base à la documentation de gouvernance. Il comprend notamment un registre des systèmes d'IA, des évaluations des risques et une évaluation des fournisseurs. Ces modèles ne remplacent ni le dossier produit ni l'évaluation de conformité.

FAQ

Quelles machines sont concernées par l'Annexe I ?

La présence d'une IA ne suffit pas. L'Annexe I vise des législations produit, et l'Art. 6(1) ajoute deux conditions cumulatives. Pour un robot ou un équipement de production, contrôlez la législation applicable dans la version consolidée du règlement.

Quelles sont les sanctions pour non-conformité ?

Le manquement aux obligations des opérateurs expose à un plafond de 15 M€ ou 3 % du CA mondial. Pour une PME, le montant le plus bas s'applique. Le palier de 35 M€ ou 7 % concerne les pratiques interdites de l'Art. 5.

Quand doit-on commencer à se préparer ?

Commencez par l'inventaire et le classement de vos produits dès que possible. L'échéance est fixée au 2 août 2028, mais les cycles de conception, d'essais et d'évaluation peuvent être longs. Certaines règles, comme l'Art. 4 et l'Art. 50, s'appliquent déjà.

Où trouver des ressources pour se conformer ?

Consultez d'abord EUR-Lex et l'AI Act Service Desk. La CNIL publie des fiches sur l'IA et les données personnelles. La page des sources regulia recense des références officielles, et un conseil spécialisé peut traiter les cas complexes.

Quelles sont les obligations spécifiques pour les PME ?

Les PME suivent les obligations liées à leur rôle. Elles disposent toutefois d'aménagements, dont la documentation technique simplifiée de l'Art. 11(1) et le montant le plus bas de l'Art. 99(6). Ces mesures ne constituent pas une exemption.

Sources officielles

• Règlement (UE) 2024/1689 sur EUR-Lex (CELEX 32024R1689)
• Règlement (UE) 2026/1744 « Omnibus IA », Journal officiel de l'Union européenne du 24 juillet 2026
• AI Act Service Desk, Commission européenne
• Texte de l'AI Act sur artificialintelligenceact.eu
• Fiches pratiques IA de la CNIL

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.