AI Act et collectivités : ce qui change pour une mairie, date par date

Le règlement européen sur l’intelligence artificielle, souvent appelé AI Act, est en vigueur depuis le 1er août 2024. Ses obligations s’appliquent par étapes. Le règlement (UE) 2026/1744 du 8 juillet 2026, en vigueur depuis le 27 juillet 2026, en a déplacé plusieurs et en a réécrit d’autres. Une commune est concernée dès qu’elle utilise un outil d’IA : un assistant qui répond aux habitants, un outil de rédaction pour les agents, un logiciel qui trie des demandes. Cette page donne l’état du droit au 22 octobre 2026, date par date, avec l’article du règlement qui fonde chaque règle.

Fournisseur et déployeur : la place de la mairie

Le règlement attache chaque obligation à un rôle. Le déployeur est « une autorité publique [...] utilisant sous sa propre autorité un système d’IA » (article 3, point 4). Une mairie qui ouvre un assistant aux habitants, ou qui met un outil d’IA à la disposition de ses agents, est donc déployeur. L’éditeur qui conçoit l’outil et le propose aux communes est fournisseur (article 3, point 3). Les deux rôles n’ont pas les mêmes obligations. L’information de l’habitant qui dialogue avec une IA pèse sur le fournisseur. Le signalement des textes publiés pèse sur la mairie. La maîtrise de l’IA pèse sur les deux.

Le calendrier au 22 octobre 2026

Les dates qui suivent viennent du règlement (UE) 2024/1689, article 113, et du règlement (UE) 2026/1744, article 1. Ce second texte, adopté le 8 juillet 2026 et publié au Journal officiel de l’Union européenne le 24 juillet 2026, a reporté le haut risque, réécrit l’article 4 et ajouté deux interdictions. La colonne de droite dit ce que chaque date change pour une commune. Une ligne marquée « pas encore applicable » est adoptée et s’appliquera à la date indiquée.

Le texte de 2024 faisait partir le haut risque de l’annexe III le 2 août 2026. Le règlement de 2026 a remplacé cette date par le 2 décembre 2027. Le 2 août 2027 n’est plus une échéance pour une commune. Cette date ne vaut plus que pour les modèles d’IA à usage général mis sur le marché avant le 2 août 2025 (article 111, paragraphe 3). Un second volet de simplification, qui toucherait au RGPD, aux données et aux cookies, reste une proposition de la Commission du 19 novembre 2025. Au 22 octobre 2026, elle attend une décision de commission au Parlement européen.

Quatre niveaux d’usage dans une mairie

Le règlement classe les usages selon le risque qu’ils font courir aux personnes. Une commune peut rencontrer quatre niveaux, du plus strict au plus léger. Le classement dépend de ce que fait l’outil : un même logiciel peut informer les habitants dans un service et trier des demandes dans un autre. Le classement se fait donc usage par usage, service par service. Le tableau donne des exemples pour chaque niveau ; les sections suivantes détaillent les règles et leurs dates.

Les pratiques interdites depuis le 2 février 2025

L’article 5 du règlement interdit certaines pratiques d’IA depuis le 2 février 2025. Six d’entre elles peuvent concerner une commune, dans ses services, ses écoles ou la gestion de son personnel. Deux interdictions nouvelles, sur les images intimes sans consentement et les contenus pédocriminels, s’ajouteront le 2 décembre 2026. La Commission a publié des lignes directrices sur ces pratiques (C(2025) 5052) : elles ne sont pas contraignantes et donnent sa lecture du texte.

• la notation sociale des personnes, quand elle conduit à les traiter défavorablement (point c) ;
• la prédiction du risque qu’une personne commette une infraction, fondée sur son seul profilage (point d) ;
• les bases de reconnaissance faciale constituées par moissonnage non ciblé d’images d’internet ou de vidéosurveillance (point e) ;
• l’inférence des émotions sur le lieu de travail et dans les établissements d’enseignement, sauf raison médicale ou de sécurité (point f) ;
• la catégorisation biométrique qui déduit l’origine, les opinions, la religion ou l’orientation sexuelle (point g) ;
• l’identification biométrique à distance en temps réel dans l’espace public à des fins répressives, sauf dans les cas limités que le règlement énumère et qu’une loi nationale peut autoriser (point h, et paragraphe 5).

L’assistant qui répond aux habitants

Depuis le 2 août 2026, un système d’IA conçu pour dialoguer avec des personnes doit les informer qu’elles échangent avec une IA (article 50, paragraphe 1). L’information est donnée au plus tard au premier échange, de façon claire et accessible (paragraphe 5). L’obligation pèse sur le fournisseur, qui conçoit l’outil pour qu’il le dise. La mairie peut le vérifier sur une démonstration, avant de signer. Selon la Commission, l’exception prévue quand il est évident qu’on parle à une IA s’interprète de façon restrictive (questions-réponses sur l’article 50, mise à jour du 24 juillet 2026).

Cette information ne remplace pas celle du RGPD. L’article 13 du RGPD demande à la mairie, responsable du traitement, d’informer les habitants sur le traitement de leurs questions, dans des mentions distinctes. Les deux peuvent se trouver au même endroit : la bulle d’accueil dit que l’outil est une IA, et un lien mène aux mentions de la mairie. Les critères d’un assistant qui répond à partir des seules sources de la mairie sont décrits sur la page guichet citoyen IA.

Les textes que la mairie publie

L’article 50, paragraphe 4, vise la mairie elle-même. Un texte généré ou modifié par IA, publié pour informer le public sur une question d’intérêt public, doit indiquer qu’il a été généré par IA. L’obligation tombe quand le texte a fait l’objet d’une relecture humaine ou d’un contrôle éditorial, et qu’une personne en assume la responsabilité éditoriale. Selon la Commission, une correction d’orthographe ou de grammaire ne compte pas comme relecture. Un article du bulletin municipal rédigé avec un outil d’IA peut donc relever de cette règle, s’il porte sur une question d’intérêt public.

Une mairie peut s’en tenir à une règle interne simple : aucun texte publié sans relecture de fond par une personne nommée, qui en répond. Cette règle évite de trancher, texte par texte, si un sujet relève de l’intérêt public. Le schéma de contrôle annoncé par la Direction générale des entreprises le 9 septembre 2025, qui n’est pas encore une loi, confierait ces textes à l’Arcom.

Les usages à haut risque, à partir du 2 décembre 2027

L’annexe III, point 5, a, vise les systèmes utilisés par ou pour les autorités publiques « pour évaluer l’éligibilité des personnes physiques aux prestations et services d’aide sociale essentiels [...] ainsi que pour octroyer, réduire, révoquer ou récupérer ces prestations ». Une commune touche aussi d’autres points de l’annexe : le tri des candidatures (point 4, a), l’affectation dans un établissement d’enseignement (point 3, a), le tri des appels d’urgence (point 5, d). Un assistant qui informe les habitants et cite ses sources n’y figure pas. Le classement change probablement si l’outil dit à quelqu’un qu’il a droit ou non, calcule un montant, pré-instruit, trie ou priorise des demandes.

À partir du 2 décembre 2027, la mairie qui utilise un système à haut risque aura les obligations de l’article 26. Elle suivra la notice d’utilisation, confiera le contrôle humain à des personnes formées et habilitées, surveillera le fonctionnement et gardera les journaux au moins six mois. Elle informera les représentants du personnel et les personnes visées par une décision, et enregistrera son usage. Avant le premier usage, elle réalisera une analyse d’impact sur les droits fondamentaux (article 27). Les systèmes à haut risque destinés aux autorités publiques et déjà en service ont jusqu’au 2 août 2030.

Le droit français s’applique déjà, sans attendre 2027. Toute décision individuelle prise sur le fondement d’un traitement algorithmique porte une mention explicite qui en informe la personne. L’administration lui communique, à sa demande, les règles qui définissent ce traitement et les principales modalités de sa mise en œuvre (article L311-3-1 du code des relations entre le public et l’administration). Une administration d’au moins 50 agents publie en ligne les règles des principaux traitements qui fondent des décisions individuelles (article L312-1-3).

Les agents et l’article 4

L’article 4, dans sa rédaction du 27 juillet 2026, s’adresse aux fournisseurs et aux déployeurs. Ils prennent des mesures pour favoriser la maîtrise de l’IA de leur personnel et des personnes qui utilisent les systèmes pour leur compte. Ces mesures tiennent compte des connaissances de chacun et du contexte d’usage. Aucun niveau précis n’est exigé. Selon la Commission, aucun format de formation n’est imposé et aucun certificat n’est demandé ; faire seulement lire la notice d’utilisation aux agents est souvent insuffisant. Une organisation peut tenir un registre interne de ses formations et de ses autres actions (questions-réponses sur la maîtrise de l’IA, mise à jour du 20 octobre 2026).

Une mairie peut commencer par trois gestes sans budget. Le premier est une heure de présentation pour les agents qui utilisent un outil d’IA : ce qu’il fait, pourquoi il peut se tromper, ce que la mairie autorise. Le deuxième est une charte d’usage d’une page, avec la liste des outils autorisés et celle des données qu’un agent n’envoie pas à un outil d’IA. Le troisième est un registre des présentations faites et des agents présents, mis à jour à chaque nouvel outil.

Six questions à poser à un fournisseur

Avant de signer, une mairie peut poser six questions écrites au fournisseur d’un outil d’IA. Cinq renvoient à un article du règlement européen ou du RGPD ; la sixième porte sur la qualité des réponses. Les réponses se gardent au dossier du marché, avec leur date. Elles montrent sur quels faits la mairie a choisi l’outil, et elles servent de base au contrôle après l’ouverture.

1. Comment l’outil dit-il qu’il est une IA, et à quel moment ? La réponse attendue montre la phrase et l’écran du premier message (article 50, paragraphes 1 et 5).
2. L’outil évalue-t-il un droit, calcule-t-il un montant, trie-t-il ou priorise-t-il des demandes ? Si oui, il relève probablement de l’annexe III : demander au fournisseur son analyse de classement et la notice d’utilisation prévue pour le 2 décembre 2027.
3. Les contenus générés sont-ils marqués comme tels, dans un format lisible par machine ? L’article 50, paragraphe 2, l’impose aux fournisseurs d’IA générative depuis le 2 août 2026, et à partir du 2 décembre 2026 pour les systèmes mis sur le marché avant cette date.
4. Quelle documentation le fournisseur remet-il aux agents ? Elle nourrit les mesures de maîtrise de l’IA que la mairie prend au titre de l’article 4.
5. Quels sous-traitants reçoivent les données, et où les traitent-ils ? Le contrat de sous-traitance de l’article 28 du RGPD les liste ; le lieu de calcul du modèle se lit au contrat.
6. Comment les réponses ont-elles été testées avant l’ouverture ? La méthode pour tester un chatbot de mairie avant de l’ouvrir aux habitants vaut pour tout fournisseur.

Sanctions et autorités en France

Le règlement fixe, à l’article 99, des plafonds d’amende par catégorie de manquement. Chaque plafond combine un montant et un pourcentage du chiffre d’affaires, pensé pour les entreprises. Pour une autorité publique, l’article 99, paragraphe 8, laisse chaque État décider dans quelle mesure elle peut recevoir une amende. Au 22 octobre 2026, la France ne l’a pas fait. Le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne a été adopté par le Sénat le 18 février 2026. Il est en commission à l’Assemblée nationale (dossier du projet de loi n° 2518). Aucune amende ne se chiffre donc aujourd’hui pour une commune.

La Direction générale des entreprises a publié le 9 septembre 2025, sous réserve du vote du Parlement, un partage des rôles. La DGCCRF serait le point de contact unique. La CNIL contrôlerait la notation sociale avec la DGCCRF, cinq autres pratiques interdites et des systèmes à haut risque de l’annexe III. La DGCCRF et l’Arcom contrôleraient l’information de l’article 50, paragraphe 1, et l’Arcom les textes de l’article 50, paragraphe 4. La version adoptée par le Sénat élargit le rôle de la CNIL. Aucune autorité n’est encore désignée par la loi.

Le RGPD reste entier

Le règlement sur l’IA s’ajoute au RGPD sans le modifier : son article 2, paragraphe 7, dans la rédaction de 2026, laisse le RGPD intact, hors deux dispositions particulières. La commune reste responsable du traitement des données de ses habitants. Elle signe un contrat de sous-traitance avec l’éditeur (article 28 du RGPD), inscrit le traitement à son registre (article 30) et informe les habitants (article 13). Le délégué à la protection des données est obligatoire pour une autorité publique (article 37). Une analyse d’impact est présumée nécessaire quand le traitement remplit au moins deux des neuf critères retenus par la CNIL. Le détail est dans le guide RGPD et IA en collectivité.

Chez Marianne

Marianne, l’assistante que Civik-ia propose aux mairies, est en test : aucune commune ne l’a en service. Marianne se présente comme une IA dès le premier message. Dans les communes réglées en sources strictes, elle renvoie à la page d’où vient la réponse. Sa bulle d’accueil dit, au 22 octobre 2026 : « Bonjour ! Je suis Marianne, l’assistante d’intelligence artificielle de la mairie. Posez-moi vos questions ou choisissez un sujet ci-dessous. » C’est le type de phrase qu’une mairie peut demander à voir chez tout fournisseur, avant de signer. Cette page ne classe pas Marianne au regard de l’annexe III : pour elle comme pour tout outil, le classement se juge sur ce qu’elle fait dans chaque commune. Le produit est présenté sur la page Marianne.

Questions fréquentes

Une mairie est-elle concernée par l’AI Act ?

Oui, dès qu’elle utilise un système d’IA. Le règlement (UE) 2024/1689 appelle déployeur toute autorité publique qui utilise un système d’IA sous sa propre autorité (article 3, point 4). Depuis le 2 février 2025, elle prend des mesures pour la maîtrise de l’IA de ses agents (article 4). Depuis le 2 août 2026, elle signale les textes d’information générés par IA qu’elle publie, sauf relecture éditoriale (article 50, paragraphe 4).

Quand les règles du haut risque s’appliquent-elles aux collectivités ?

Au 22 octobre 2026, les règles des systèmes à haut risque de l’annexe III s’appliqueront le 2 décembre 2027 (règlement (UE) 2026/1744). Elles visent par exemple un outil qui évalue l’éligibilité à une aide sociale ou qui trie des candidatures. Les systèmes à haut risque destinés aux autorités publiques et déjà en service ont jusqu’au 2 août 2030. Le haut risque lié aux produits de l’annexe I suit au 2 août 2028.

Un chatbot de mairie doit-il dire qu’il est une IA ?

Oui, depuis le 2 août 2026. Un système d’IA conçu pour dialoguer avec des personnes doit les informer qu’elles échangent avec une IA. L’information est donnée au plus tard au premier échange, de façon claire et accessible (article 50, paragraphes 1 et 5). L’obligation pèse sur le fournisseur de l’outil. La mairie peut le vérifier sur une démonstration, avant d’ouvrir l’outil aux habitants.

Une mairie doit-elle former ses agents à l’IA ?

Elle doit prendre des mesures pour favoriser la maîtrise de l’IA de ses agents et des personnes qui utilisent ses outils pour elle (article 4, rédaction du 27 juillet 2026). Aucun niveau précis n’est exigé. Selon la Commission, aucun format de formation n’est imposé et aucun certificat n’est demandé ; faire seulement lire la notice d’utilisation aux agents est souvent insuffisant. Une présentation aux agents, une charte d’usage et un registre des actions menées sont des mesures possibles.

Un assistant qui informe les habitants est-il à haut risque ?

Un assistant qui informe et cite ses sources ne figure pas dans l’annexe III. Le point 5, a, de cette annexe vise l’évaluation de l’éligibilité des personnes aux prestations et services d’aide sociale essentiels, par ou pour une autorité publique. Il vise aussi l’octroi, la réduction, la révocation ou la récupération de ces prestations. Le classement change probablement si l’outil dit à quelqu’un qu’il a droit ou non, calcule un montant, trie ou priorise des demandes.

Quelle amende risque une commune ?

Aucune amende ne se chiffre aujourd’hui pour une commune. L’article 99, paragraphe 8, laisse chaque État décider dans quelle mesure une autorité publique peut être mise à l’amende. Au 22 octobre 2026, aucune loi française ne l’a fait : le projet de loi n° 2518, adopté par le Sénat le 18 février 2026, est en commission à l’Assemblée nationale. Aucune autorité de contrôle n’est encore désignée par la loi.

L’AI Act remplace-t-il le RGPD ?

Non. Le RGPD reste entier : l’article 2, paragraphe 7, du règlement sur l’IA, dans sa rédaction de 2026, le laisse intact, hors deux dispositions particulières. La mairie reste responsable du traitement des données de ses habitants, signe un contrat de sous-traitance avec l’éditeur et informe les habitants. Le règlement sur l’IA ajoute ses propres obligations : maîtrise de l’IA, transparence et, à partir de 2027, celles du haut risque.

Pour aller plus loin

• Les usages à haut risque d’une collectivité, annexe III
• Article 4 : la maîtrise de l’IA par les agents