Le règlement européen sur l’IA classe les usages, outil par outil. L’annexe III liste les domaines où un système d’IA est à haut risque, et l’article 6 dit quand un système de cette liste peut en sortir. Pour une commune, ces règles visent des outils précis : ceux qui décident, ou préparent une décision, sur une aide, un recrutement, une affectation scolaire ou un appel d’urgence. Cette page les passe en revue au 22 octobre 2026, avec les obligations de la mairie et le droit français déjà en vigueur. Le calendrier complet du règlement est sur la page AI Act et collectivités.
Comment un usage devient haut risque
Un système d’IA mentionné à l’annexe III du règlement (UE) 2024/1689 est à haut risque (article 6, paragraphe 2). L’article 6, paragraphe 3, ouvre des dérogations : un système de l’annexe III sort du haut risque s’il ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux des personnes, notamment parce qu’il ne pèse pas de façon significative sur le résultat de la décision. Il doit aussi remplir l’une des quatre conditions du texte, par exemple exécuter une tâche procédurale étroite ou une tâche préparatoire à une évaluation. Le fournisseur qui s’en prévaut documente son évaluation avant la mise sur le marché (article 6, paragraphe 4). Ces dérogations ne jouent jamais pour un système qui fait du profilage de personnes physiques : il reste à haut risque (article 6, paragraphe 3, dernier alinéa). Le classement part donc de ce que l’outil fait dans le service.
Les usages d’une commune visés par l’annexe III
Quatre points de l’annexe III peuvent toucher une commune. Le premier concerne l’action sociale. Le point 5, a, vise les systèmes utilisés par ou pour les autorités publiques « pour évaluer l’éligibilité des personnes physiques aux prestations et services d’aide sociale essentiels [...] ainsi que pour octroyer, réduire, révoquer ou récupérer ces prestations ». Les trois autres portent sur le recrutement, l’école et les appels d’urgence. Le tableau donne un exemple pour chacun. Chaque exemple illustre un usage type.
| Point de l’annexe III | Usage visé | Exemple dans une commune |
|---|---|---|
| 5, a | Évaluer l’éligibilité aux prestations et services d’aide sociale essentiels ; les octroyer, réduire, révoquer ou récupérer | Un outil du centre communal d’action sociale qui dit si une demande d’aide est recevable, ou qui en calcule le montant |
| 4, a | Recrutement, dont le tri des candidatures | Un logiciel qui classe les candidatures à un poste de la mairie |
| 3, a | Accès ou affectation dans un établissement d’enseignement | Un outil qui propose l’affectation des enfants dans les écoles de la commune |
| 5, d | Tri des appels d’urgence | Un outil qui classe par priorité des appels d’urgence reçus par un service de la commune |
Un assistant qui informe les habitants et cite ses sources ne figure pas dans l’annexe III. Le classement change probablement quand l’outil franchit une étape. C’est le cas s’il dit à quelqu’un qu’il a droit ou non à une aide, calcule un montant, pré-instruit un dossier, trie ou priorise des demandes, ou adapte sa réponse au profil de la personne. D’autres usages s’apprécient au cas par cas : l’orientation personnalisée vers une aide, le pré-remplissage d’un formulaire, le résumé d’un dossier pour l’agent qui l’instruit. Ils peuvent relever des dérogations de l’article 6, paragraphe 3, s’ils ne font aucun profilage et ne pèsent pas de façon significative sur la décision.
Les obligations de la mairie (article 26)
À partir du 2 décembre 2027, une commune qui utilise un système à haut risque aura les obligations du déployeur, fixées à l’article 26. Elles se préparent avec le fournisseur, dont la notice d’utilisation fixe l’usage prévu de l’outil, et avec le délégué à la protection des données. Plusieurs supposent une organisation écrite : la personne qui contrôle, celle qui garde les journaux, celle qui informe. Le tableau les reprend une par une, avec ce que la mairie fait.
| Obligation | Ce que la mairie fait |
|---|---|
| Usage | Utiliser l’outil selon la notice d’utilisation du fournisseur |
| Contrôle humain | Confier le contrôle à des personnes formées et habilitées |
| Données d’entrée | Veiller à la pertinence des données d’entrée |
| Surveillance | Surveiller le fonctionnement de l’outil |
| Journaux | Conserver les journaux de l’outil au moins six mois |
| Personnel | Informer les représentants du personnel |
| Enregistrement | Enregistrer son usage, en tant qu’autorité publique (article 26, paragraphe 8) |
| Personnes concernées | Informer les personnes visées par une décision (article 26, paragraphe 11) |
L’analyse d’impact sur les droits fondamentaux (article 27)
Une commune est un organisme de droit public. Avant le premier usage d’un système à haut risque, elle réalisera une analyse d’impact sur les droits fondamentaux, puis la notifiera à l’autorité de surveillance du marché (article 27). Les systèmes du point 2 de l’annexe III en sont exclus. L’analyse peut s’appuyer sur l’analyse d’impact relative à la protection des données menée au titre du RGPD (article 27, paragraphe 4, modifié en 2026). La mairie la prépare donc avec son délégué à la protection des données. Le guide RGPD et IA en collectivité rappelle quand l’analyse du RGPD est nécessaire.
Les dates : 2 décembre 2027 et 2 août 2030
Le règlement (UE) 2026/1744 a reporté les règles du haut risque de l’annexe III au 2 décembre 2027 (texte au Journal officiel de l’Union européenne). Le texte de 2024 les faisait partir du 2 août 2026. Au 22 octobre 2026, ces règles sont adoptées et pas encore applicables. Les systèmes à haut risque destinés aux autorités publiques et déjà en service ont jusqu’au 2 août 2030. Le haut risque lié aux produits de l’annexe I est reporté au 2 août 2028.
Le droit français, déjà en vigueur
Sans attendre 2027, le droit français encadre les décisions administratives prises avec un algorithme. Toute décision individuelle prise sur le fondement d’un traitement algorithmique porte une mention explicite qui en informe la personne. L’administration lui communique, à sa demande, les règles qui définissent ce traitement et les principales modalités de sa mise en œuvre (article L311-3-1 du code des relations entre le public et l’administration). Une administration d’au moins 50 agents publie aussi en ligne les règles des principaux traitements qui fondent des décisions individuelles (article L312-1-3). Le RGPD encadre en plus les décisions fondées exclusivement sur un traitement automatisé (article 22).
Quatre gestes dès 2026
Les obligations de 2027 se préparent avant la date. Quatre gestes sont possibles dès 2026, sans budget particulier. Ils servent aussi le droit français déjà en vigueur, qui demande d’expliquer une décision algorithmique à la personne qui la reçoit. Le premier, l’inventaire, conditionne les trois autres : une mairie ne contrôle que les outils qu’elle a listés.
- Faire l’inventaire des usages. Lister chaque outil d’IA de la commune, le service qui l’emploie et ce qu’il fait : informer, rédiger, trier, calculer ou décider.
- Écarter un outil de score sans documentation. Un outil qui note ou classe des personnes, et dont le fournisseur ne dit pas comment il calcule, ne se prête ni au contrôle humain ni à l’explication due à la personne.
- Écrire le circuit du contrôle humain. Qui relit la proposition de l’outil, qui signe la décision, et comment la personne concernée obtient les règles du traitement.
- Garder les journaux. Demander au fournisseur ce que l’outil enregistre, où et combien de temps ; l’article 26 demandera au moins six mois. Les mesures de traçabilité d’une base de données sont sur la page sécuriser la base de données d’une collectivité.
Questions fréquentes
Un chatbot de mairie est-il un système d’IA à haut risque ?
Un assistant qui informe les habitants et cite ses sources ne figure pas dans l’annexe III du règlement européen sur l’IA. Le point 5, a, vise l’évaluation de l’éligibilité aux prestations d’aide sociale essentielles, et leur octroi, leur réduction, leur révocation ou leur récupération. Le classement change probablement si l’outil dit à quelqu’un qu’il a droit ou non, calcule un montant, trie ou priorise des demandes.
À partir de quand les obligations du haut risque s’appliquent-elles aux collectivités ?
Au 22 octobre 2026, les règles des systèmes à haut risque de l’annexe III s’appliqueront le 2 décembre 2027 (règlement (UE) 2026/1744). Elles devaient partir le 2 août 2026 dans le texte de 2024. Les systèmes à haut risque destinés aux autorités publiques et déjà en service ont jusqu’au 2 août 2030 pour respecter ces règles.
Qu’est-ce que l’analyse d’impact sur les droits fondamentaux ?
C’est l’analyse qu’un organisme de droit public, une commune par exemple, réalise avant le premier usage d’un système à haut risque (article 27 du règlement européen sur l’IA). Elle est notifiée à l’autorité de surveillance du marché. Elle peut s’appuyer sur l’analyse d’impact relative à la protection des données menée au titre du RGPD. L’obligation s’appliquera à partir du 2 décembre 2027.
Combien de temps garder les journaux d’un système à haut risque ?
Au moins six mois, selon l’article 26 du règlement européen sur l’IA, à partir du 2 décembre 2027. Les journaux sont ceux que le système génère. La mairie demande au fournisseur, avant la signature, ce que l’outil enregistre, où les journaux sont stockés et comment elle y accède. Elle note la durée retenue dans la liste de ses outils d’IA.
Une décision prise avec un algorithme doit-elle être signalée à l’habitant ?
Oui, dès aujourd’hui. L’article L311-3-1 du code des relations entre le public et l’administration impose une mention explicite sur toute décision individuelle prise sur le fondement d’un traitement algorithmique. L’administration communique à la personne qui le demande les règles qui définissent le traitement et les principales modalités de sa mise en œuvre.
Un logiciel qui trie les candidatures à la mairie est-il concerné ?
Oui. L’annexe III, point 4, a, vise les systèmes d’IA utilisés pour le recrutement, dont le tri des candidatures. Une mairie qui utilise un tel outil sera déployeur d’un système à haut risque à partir du 2 décembre 2027. Elle devra confier le contrôle humain à des personnes formées, garder les journaux, informer les représentants du personnel et les candidats visés par une décision.