Le règlement européen sur l’intelligence artificielle dans l’écosystème numérique et la sécurité des produits. Recensement des renvois, présomptions de conformité et silences du texte

1Un texte transversal se juge d’abord à sa capacité de se situer. Le règlement sur l’intelligence artificielle s’applique à des objets — des systèmes, des modèles — qui traversent toutes les activités économiques : on les trouve dans un ascenseur, dans une plateforme en ligne, dans un dispositif médical, dans un établissement de crédit. Chacun de ces domaines dispose déjà de son régime, de ses autorités et de ses procédures. La question de l’articulation n’est donc pas accessoire : elle détermine quelles obligations s’ajoutent, lesquelles se substituent, et qui contrôle.

2La méthode retenue ici est celle du recensement. Plutôt que de raisonner sur ce que le règlement aurait dû prévoir, on a compté ce qu’il cite, dans son dispositif consolidé et dans son texte de 2024, puis vérifié chaque compte dans la version anglaise. Les nombres qui suivent sont le résultat de ce comptage.

1. Ce que le texte cite, et ce qu’il ne cite pas

3Le règlement sur la surveillance du marché domine très largement : il est cité trente et une fois, aussi bien dans le texte de 2024 que dans le dispositif consolidé^[2]. Vient ensuite, très loin derrière, le règlement sur les services numériques : dix occurrences dans le texte de 2024, dont deux seulement dans le dispositif consolidé. Le règlement sur les données est cité quatre fois en 2024 et aucune dans le dispositif consolidé ; le règlement sur la gouvernance des données, deux fois en 2024 et aucune dans le dispositif ; le règlement relatif à la sécurité générale des produits, deux fois en 2024 et aucune dans le dispositif. Le règlement sur la cyberrésilience apparaît une fois dans le dispositif consolidé et aucune en 2024, pour une raison chronologique : il a été adopté après le règlement sur l’intelligence artificielle, et c’est la révision de 2026 qui l’y a introduit.

4Ce résultat appelle une précaution de lecture. L’absence de citation n’emporte pas absence d’articulation : deux règlements peuvent s’appliquer cumulativement sans se nommer, et le silence d’un texte sur un autre est, en principe, la situation ordinaire. Ce qui rend le constat significatif est la comparaison interne : le règlement a pris soin de se situer par rapport à quatre instruments, et de manière parfois très précise ; son silence sur les cinq autres n’est donc pas une méthode générale, c’est une sélection.

2. Le seul instrument pleinement intégré : la surveillance du marché

5Le règlement sur la surveillance du marché n’est pas un voisin du règlement sur l’intelligence artificielle : il en est le support. Le chapitre IX du règlement construit son dispositif de contrôle non pas à côté, mais dans le cadre de ce texte, dont il emprunte les autorités, les pouvoirs et les procédures. Trente et une occurrences ne sont pas des renvois de courtoisie ; elles marquent une incorporation.

6Ce choix a une conséquence que la présente série a relevée ailleurs : le règlement sur l’intelligence artificielle traite les systèmes comme des produits, et les personnes exposées comme des tiers à la procédure. Le second alinéa de son article 85, qui organise le droit d’introduire une réclamation, renvoie au règlement sur la surveillance du marché — lequel ne comporte qu’une seule occurrence du mot « plainte ». Le régime de contrôle est celui d’une police des produits, et il en a les qualités comme les limites.

3. La sécurité des produits : l’annexe I et ses deux sections

7L’articulation avec la sécurité des produits ne passe pas par des renvois épars, mais par une liste : l’annexe I, qui énumère la législation d’harmonisation de l’Union et se divise en deux sections. La section A recense les instruments fondés sur le nouveau cadre législatif — jouets, bateaux de plaisance, ascenseurs, atmosphères explosibles, équipements radioélectriques, équipements sous pression, installations à câbles, équipements de protection individuelle, appareils à gaz, dispositifs médicaux et dispositifs de diagnostic in vitro. La section B recense les autres : sûreté de l’aviation civile, véhicules à deux ou trois roues, véhicules agricoles et forestiers, équipements marins, interopérabilité ferroviaire, réception des véhicules à moteur, sécurité générale des véhicules, aviation civile pour les aéronefs sans équipage à bord^[4].

8La distinction n’est pas documentaire. L’article 6, paragraphe 1, qualifie de système à haut risque celui qui est destiné à être utilisé comme composant de sécurité d’un produit couvert par l’annexe I — sans distinguer les sections —, ou qui constitue lui-même un tel produit, à la condition que ce produit soit soumis à une évaluation de conformité par un tiers^[5]. La qualification est donc commune. Ce qui diffère, c’est le régime qui en découle.

9L’article 2, paragraphe 2, dispose en effet que, pour les systèmes à haut risque liés à des produits relevant de la section B, « seuls l’article 6, paragraphe 1, l’article 60 bis, et les articles 102 à 112 s’appliquent », les articles 57, 58 et 59 ne s’appliquant « que dans la mesure où les exigences applicables aux systèmes d’IA à haut risque au titre du présent règlement ont été intégrées dans ladite législation d’harmonisation de l’Union »^[6].

10Une question demeure, que l’annexe I ne règle pas : celle des systèmes d’intelligence artificielle incorporés à des produits qui ne sont pas à haut risque. Le règlement ne leur impose aucune exigence de sécurité. Son considérant 166 indique la voie retenue : « Il importe que les systèmes d’IA liés à des produits qui ne sont pas à haut risque au titre du présent règlement et qui ne sont donc pas tenus d’être conformes aux exigences énoncées pour les systèmes d’IA à haut risque soient néanmoins sûrs lorsqu’ils sont mis sur le marché ou mis en service ». Et il ajoute que, pour contribuer à cet objectif, l’application du règlement relatif à la sécurité générale des produits « constituerait un filet de sécurité »^[7]

11Deux observations s’imposent sur cette phrase. La première tient à son mode : le règlement relatif à la sécurité générale des produits « constituerait » un filet de sécurité — un conditionnel, dans un considérant, pour désigner le régime applicable à tous les systèmes qui échappent au haut risque. La seconde tient à son emplacement : aucune disposition du dispositif ne reprend ce renvoi, et le règlement de 2023 n’est cité nulle part ailleurs. La sécurité de la très grande majorité des systèmes d’intelligence artificielle incorporés à des produits est donc renvoyée, par un considérant et au conditionnel, à un texte que le dispositif ignore.

4. Le retrait des machines

12La portée de cette distinction se mesure au sort réservé aux machines, et il faut suivre le mouvement en deux temps.

13Dans le texte de 2024, le point 1 de la section A visait la « Directive 2006/42/CE du Parlement européen et du Conseil du 17 mai 2006 relative aux machines »^[8]. Les machines relevaient donc du régime le plus exigeant. On observera au passage que le règlement citait une directive que le règlement (UE) 2023/1230 du 14 juin 2023 avait déjà abrogée — le règlement sur l’intelligence artificielle, adopté le 13 juin 2024, ne mentionnait pas une seule fois ce règlement de 2023.

14La révision de 2026 a opéré deux changements simultanés. Elle a supprimé le point 1 de la section A — dont la numérotation commence désormais au point 2 — et inséré, comme point 21 de la section B, le « Règlement (UE) 2023/1230 du Parlement européen et du Conseil du 14 juin 2023 sur les machines »^[9]. Le texte applicable aux machines a donc été mis à jour et changé de section dans le même mouvement.

15La conséquence se lit à l’article 2, paragraphe 2 : les systèmes d’intelligence artificielle qui sont composants de sécurité de machines cessent d’être soumis aux exigences du chapitre III. Ils demeurent qualifiés de systèmes à haut risque, mais les obligations attachées à cette qualification ne leur sont plus applicables tant que le règlement sur les machines ne les aura pas intégrées.

16Le considérant 42 du règlement de révision motive ce choix. Il relève que l’application simultanée des deux règlements « pourrait entraîner des chevauchements », affirme qu’il importe de garantir un niveau de protection « cohérent avec le niveau de protection prévu par le règlement (UE) 2024/1689 en ce qui concerne les systèmes d’IA à haut risque », et conclut qu’il convient, « Compte tenu de la spécificité des machines et du secteur des machines, et afin de répondre à la nécessité de simplifier le cadre réglementaire pour les machines qui utilisent l’IA », de « passer à une approche sectorielle »^[10].

17La motivation est explicite, et elle appelle une observation de méthode plutôt qu’une objection. L’approche sectorielle est une technique légitime : elle confie les exigences à celui qui connaît le secteur. Mais elle ne produit ses effets qu’à compter du moment où le législateur sectoriel a écrit les exigences en question. Entre le retrait de la section A, qui est acquis depuis le 27 juillet 2026, et l’intégration des exigences dans le règlement sur les machines, qui n’a pas eu lieu, l’exigence de protection annoncée par le considérant repose sur un texte à venir. Le considérant promet la cohérence ; l’article 2, paragraphe 2, en subordonne la réalisation à une condition qui n’est pas remplie.

5. La cybersécurité : deux présomptions de conformité

18L’article 15 du règlement impose aux systèmes à haut risque un niveau approprié d’exactitude, de robustesse et de cybersécurité. L’article 42 organise deux voies pour être réputé y satisfaire, et ces deux voies sont les seules articulations du règlement qui produisent une présomption de conformité au profit d’un autre instrument.

19La première existait dès 2024. Aux termes de l’article 42, paragraphe 2, les systèmes « qui ont été certifiés ou pour lesquels une déclaration de conformité a été délivrée dans le cadre d’un schéma de cybersécurité conformément au règlement (UE) 2019/881 et dont les références ont été publiées au Journal officiel de l’Union européenne sont présumés conformes aux exigences de cybersécurité énoncées à l’article 15 du présent règlement », dans la mesure où le certificat les couvre^[11].

20La seconde est née de la révision de 2026. Un paragraphe 3 nouveau dispose : « Lorsque des systèmes d’IA à haut risque relèvent du champ d’application du règlement (UE) 2024/2847 et que les conditions énoncées à l’article 12, paragraphe 1, dudit règlement sont remplies, ces systèmes sont réputés conformes aux exigences de cybersécurité énoncées à l’article 15 du présent règlement. »^[12]

21La différence de technique entre les deux paragraphes mérite d’être relevée. Le paragraphe 2 subordonne la présomption à un acte individuel — une certification ou une déclaration délivrée sous un schéma dont les références ont été publiées — et la borne par l’étendue de cet acte. Le paragraphe 3 la fait découler du seul respect d’une disposition d’un autre règlement, sans acte intermédiaire et sans réserve d’étendue. La seconde présomption est donc plus large et plus automatique que la première. Elle constitue, à ce jour, l’unique articulation du règlement avec un instrument de l’écosystème numérique qui dispense effectivement d’une de ses exigences.

6. Les services numériques : une préservation et une compétence

22Le règlement sur les services numériques est le seul instrument de l’écosystème auquel le dispositif consacre deux dispositions, et elles sont de nature opposée.

23La première est une clause de préservation. L’article 2, paragraphe 5, énonce que le règlement « n’affecte pas l’application des dispositions relatives à la responsabilité des prestataires intermédiaires énoncées au chapitre II du règlement (UE) 2022/2065 »^[13]. Le régime d’exonération de responsabilité des hébergeurs et des autres intermédiaires reste donc intact : les obligations du règlement sur l’intelligence artificielle ne peuvent être invoquées pour l’écarter.

24La seconde est une règle de compétence, et elle est bien plus lourde. L’article 75, paragraphe 1, point b), réserve au Bureau de l’IA la compétence exclusive de surveillance pour « les systèmes d’IA qui constituent une très grande plateforme en ligne ou un très grand moteur de recherche en ligne ainsi désignés conformément au règlement (UE) 2022/2065, ou qui sont intégrés dans une telle plateforme ou un tel moteur »^[14]. Cette compétence exclusive vise les fournisseurs de ces systèmes, et ne s’étend aux déployeurs que lorsqu’ils sont également fournisseurs ou appartiennent à la même entreprise.

25La technique employée mérite d’être nommée : le règlement sur l’intelligence artificielle emprunte à un autre texte un acte de désignation, et en tire une conséquence sur sa propre répartition de compétences. Ce n’est ni un renvoi de définition ni une clause de non-préjudice : c’est l’utilisation de la qualification opérée par un régulateur au titre d’un régime pour déterminer qui contrôle au titre d’un autre. Une désignation prononcée pour des motifs de modération des contenus produit ainsi un effet sur la surveillance des systèmes d’intelligence artificielle.

26Ces deux dispositions ne sont pourtant pas tout. Le préambule contient, à l’égard du même règlement, un troisième énoncé, plus lourd que les deux autres, et que le dispositif ne reprend pas.

27Le considérant 118 observe que les systèmes et modèles intégrés dans une très grande plateforme ou un très grand moteur de recherche « sont soumis au cadre de gestion des risques établi par le règlement (UE) 2022/2065 », puis en tire la conséquence suivante : « Par conséquent, il devrait être présumé que les obligations correspondantes du présent règlement sont remplies, à moins que des risques systémiques importants non couverts par le règlement (UE) 2022/2065 n’apparaissent et ne soient recensés dans de tels modèles. »^[15]

28Cet énoncé est une présomption de conformité. Elle porte sur les obligations qui pèsent, au titre du chapitre V, sur les fournisseurs de modèles présentant un risque systémique ; elle est réfragable, puisqu’elle cède devant la constatation de risques systémiques importants non couverts ; et elle joue au bénéfice d’opérateurs déterminés par un acte de désignation pris au titre d’un autre règlement. Elle a, en un mot, la structure exacte des présomptions que l’article 42 organise en matière de cybersécurité.

29À une différence près, décisive : l’article 42 est une disposition du dispositif, et le considérant 118 n’est qu’un considérant. Le contrôle du dispositif consolidé le confirme : il ne comporte que deux occurrences du règlement sur les services numériques, celles des articles 2, paragraphe 5, et 75, paragraphe 1, point b), et aucune ne pose de présomption. Un considérant éclaire le dispositif ; il n’y ajoute pas une dispense que celui-ci ne prévoit pas. La présomption annoncée au considérant 118 est donc, en l’état, dépourvue de support dans le texte qu’elle prétend interpréter — et elle porte sur les obligations les plus lourdes du règlement.

7. Le secteur financier : nommer l’autorité, taire la règle

30Le contraste le plus instructif est celui du secteur financier, parce qu’il montre que le silence du règlement n’est pas uniforme : il nomme, mais il ne nomme pas la même chose selon qu’il désigne une autorité ou une règle.

31Le règlement consacre à ce secteur un traitement systématique. L’expression « établissements financiers » figure huit fois dans le dispositif consolidé et dix fois dans le texte de 2024^[16]. Le procédé est constant : à propos du système de gestion de la qualité, de la conservation de la documentation, de la conservation des journaux, du signalement des incidents par le déployeur et de la surveillance après commercialisation, le règlement répète une même formule conditionnelle — « Si les fournisseurs sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l’Union sur les services financiers »^[17] —, après quoi l’obligation est réputée remplie par l’exécution du régime sectoriel, ou peut y être intégrée.

32Cette formule ne nomme aucun texte. Le dispositif ne comporte, sur l’ensemble du corpus financier, que deux références nominatives, et elles figurent à l’article 74, paragraphe 7, à propos de l’obligation d’informer la Banque centrale européenne : la directive 2013/36/UE et le règlement (UE) n° 1024/2013^[18]. La règle de compétence, elle, procède également par périphrase : l’article 74, paragraphe 6, désigne comme autorité de surveillance du marché « l’autorité nationale responsable de la surveillance financière de ces établissements en vertu de cette législation ».

33Le préambule, en revanche, nomme. Le considérant 158 énumère les actes dont les autorités compétentes doivent être désignées aux fins du règlement : le règlement (UE) n° 575/2013 et les directives 2008/48/CE, 2009/138/CE, 2013/36/UE, 2014/17/UE et (UE) 2016/97^[19]. Six instruments, donc, expressément identifiés — mais tous choisis pour la même fonction : dire quelle autorité surveille. Aucun ne dit ce que l’établissement doit faire de ses systèmes d’information.

34C’est ici que l’absence du règlement sur la résilience opérationnelle numérique du secteur financier prend tout son sens. Ce texte est précisément celui qui régit, dans ce secteur, la gestion du risque informatique, la journalisation, la notification des incidents et la sous-traitance technologique — c’est-à-dire l’objet même des obligations que le règlement déclare pouvoir être satisfaites par le régime sectoriel. Le règlement nomme donc six textes pour désigner l’autorité, et n’en nomme aucun pour identifier la règle qui tient lieu de la sienne. La dispense la plus large qu’il accorde repose sur un corpus qu’il laisse à l’opérateur le soin de délimiter.

8. Les silences, et ce qu’ils coûtent

35Les cinq silences relevés au premier paragraphe n’ont pas tous la même portée, et il faut se garder de les traiter également.

36Deux d’entre eux sont sans conséquence pratique apparente. Le règlement promouvant l’équité et la transparence pour les entreprises utilisatrices de services d’intermédiation en ligne et le règlement sur le libre flux des données à caractère non personnel régissent des objets sans recoupement direct avec les exigences du règlement ; leur absence s’explique.

37Le silence sur le règlement sur les marchés numériques est d’une autre nature. Ce texte impose aux contrôleurs d’accès des obligations d’interopérabilité, d’accès aux données et de non-autopréférence qui portent directement sur des services massivement fondés sur des systèmes d’intelligence artificielle. Le règlement sur l’intelligence artificielle a pourtant su emprunter au règlement sur les services numériques sa désignation des très grandes plateformes pour fixer une compétence ; il n’a pas fait le même geste à l’égard de la désignation des contrôleurs d’accès. La différence de traitement entre deux régimes voisins, qui reposent l’un et l’autre sur une désignation administrative des acteurs les plus puissants, n’est expliquée nulle part.

38Le silence sur la directive relative à la cybersécurité des réseaux et des systèmes d’information est, lui, en voie d’être comblé par un autre canal que le texte. Le projet d’orientations de la Commission sur le signalement des incidents graves, publié le 26 septembre 2025 et toujours à l’état de projet, y consacre de longs développements : il la cite douze fois, rappelle sa définition de l’incident, et relève qu’elle impose aux entités essentielles et importantes de notifier les incidents significatifs^[20]. L’articulation existe donc, mais elle est construite par un document d’interprétation inachevé, et non par le règlement.

39Le silence sur le règlement relatif à la résilience opérationnelle du secteur financier a été examiné plus haut : il n’est pas une lacune, mais la contrepartie d’un choix de rédaction générique. La question qu’il laisse ouverte n’est pas celle de l’articulation, qui est organisée, mais celle de sa lisibilité.

9. Un écosystème en cours de refonte

40Une dernière donnée doit être versée au dossier, car elle modifie la portée de tout ce qui précède. L’ordre juridique auquel le règlement se réfère si peu est lui-même en cours de refonte.

41La proposition de règlement relative à la simplification du cadre législatif numérique, transmise par la Commission le 20 novembre 2025 et sur laquelle le Conseil a arrêté son mandat de négociation le 22 juin 2026, modifierait plusieurs règlements et directives — dont le règlement sur l’intelligence artificielle lui-même — et abrogerait le règlement établissant un cadre applicable au libre flux des données à caractère non personnel, le règlement promouvant l’équité et la transparence pour les entreprises utilisatrices de services d’intermédiation en ligne, le règlement sur la gouvernance européenne des données et la directive concernant les données ouvertes^[21].

42Trois des instruments dont on vient de constater l’absence, ou la présence en préambule seulement, sont ainsi appelés à disparaître : celui sur le libre flux des données non personnelles, celui sur les services d’intermédiation en ligne, celui sur la gouvernance des données. Le silence du règlement à leur égard, qui pouvait passer pour une lacune, se révélera peut-être avoir été prémonitoire. Il reste que la même proposition modifierait aussi la directive sur la cybersécurité des réseaux et des systèmes d’information — l’un des textes que le règlement ne nomme pas et dont son propre document d’interprétation traite longuement.

43Cette proposition n’est pas adoptée. Il faut se garder ici de la confusion la plus fréquente en la matière : le train de mesures dit omnibus numérique comporte deux propositions distinctes, dont l’une, relative à l’intelligence artificielle, est devenue le règlement (UE) 2026/1744 du 8 juillet 2026, tandis que l’autre, relative aux données et au cadre numérique, demeure en négociation.

10. Ce que l’ensemble produit

44Le règlement sur l’intelligence artificielle entretient avec l’écosystème numérique quatre relations, et quatre seulement. Il s’incorpore à la surveillance du marché, dont il emprunte l’appareil de contrôle. Il se greffe sur la sécurité des produits par une liste, l’annexe I, dont la section commande le régime. Il reconnaît deux présomptions de conformité en matière de cybersécurité, dont la seconde a été créée en 2026 et joue de plein droit. Il emprunte au règlement sur les services numériques une désignation administrative pour fixer sa propre compétence, tout en préservant le régime de responsabilité des intermédiaires. Pour le reste, il se tait, ou renvoie à des ensembles qu’il ne nomme pas.

45Ce dessin n’est pas incohérent. Il traduit un choix : le règlement se conçoit comme une législation de produits, greffée sur l’appareil de la sécurité des produits, et non comme un texte de régulation économique du numérique. C’est ce qui explique qu’il connaisse en détail la surveillance du marché et l’annexe des législations d’harmonisation, et qu’il ignore les marchés numériques.

46Mais ce choix a un coût, et la révision de 2026 le rend visible. En déplaçant les machines vers la section B, le législateur a montré que l’appartenance à l’une ou l’autre section — c’est-à-dire à une liste — décide de l’application de tout un chapitre. En créant une présomption automatique au profit du règlement sur la cyberrésilience, il a montré qu’une exigence entière peut être satisfaite par un autre texte sans acte de vérification. Ce qui gouverne réellement l’étendue du règlement n’est donc pas seulement son dispositif : ce sont deux listes annexes et quelques renvois, dont la modification produit des effets que le corps du texte ne laisse pas prévoir.

47Il faut enfin mesurer ce que le recensement ne dit pas. Compter les citations d’un texte par un autre ne mesure pas la cohérence d’un ordre juridique : deux régimes peuvent se compléter parfaitement sans se citer. Ce que le comptage établit est plus modeste et plus sûr : le règlement s’est situé explicitement par rapport à quatre instruments et pas par rapport à cinq autres, et cette sélection n’est motivée nulle part. Là où le texte s’est expliqué — le considérant 42 sur les machines —, on peut discuter son choix. Là où il s’est tu, il n’y a rien à discuter, et c’est précisément le problème : l’articulation se construit alors par des documents d’interprétation, comme le projet d’orientations sur les incidents graves, qui ne lient personne et qui, en l’espèce, n’est pas achevé.