Le règlement européen 2024/1689, dit EU AI Act, est entré en vigueur en août 2024 et fait l'objet d'une application progressive jusqu'à 2027. C'est le premier cadre juridique mondial à classer les systèmes d'intelligence artificielle par niveau de risque et à imposer des obligations différenciées selon ce classement. Pour les entreprises belges qui déploient ou envisagent de déployer de l'IA en prévention des risques, l'impact est concret et déjà actionnable.
Beaucoup de responsables QHSE, conseillers en prévention et responsables RH considèrent l'EU AI Act comme un texte technique, lointain, réservé aux éditeurs de logiciels. C'est une erreur. Dès qu'une organisation utilise ou déploie un système IA (vision par ordinateur, modèle prédictif, chatbot RH, outil d'évaluation des compétences) elle entre dans le périmètre du règlement, avec des obligations qui dépendent du niveau de risque du système.
Cet article décrit la mécanique de la classification, le calendrier d'application, les systèmes IA prévention concernés et les cinq actions prioritaires à engager en 2026. Il s'adresse aux décideurs et opérationnels en charge de la prévention, des ressources humaines et de la conformité dans les organisations belges.
L'EU AI Act repose sur une classification en quatre niveaux de risque, qui détermine les obligations applicables.
- Risque inacceptable : interdiction pure. Concerne notamment les systèmes de notation sociale, les techniques manipulatoires sur des populations vulnérables, certaines formes de reconnaissance biométrique en temps réel dans l'espace public. La reconnaissance des émotions au travail est interdite sauf exceptions médicales ou de sécurité strictement encadrées.
- Risque élevé (haut risque) : autorisé sous conditions strictes. C'est la catégorie la plus structurante pour les entreprises en prévention. Concerne notamment : systèmes de recrutement et de sélection, systèmes d'évaluation des travailleurs et de gestion de carrière, surveillance biométrique au travail, certains systèmes critiques en matière de santé et de sécurité. Obligations : évaluation de conformité, documentation technique, gestion des risques, supervision humaine, registre, transparence, qualité des données.
- Risque limité : obligations de transparence. Le travailleur doit savoir qu'il interagit avec une IA (chatbot, contenu généré, deepfake).
- Risque minimal : pas d'obligation spécifique, mais encouragement à des codes de conduite volontaires.
Un système IA peut basculer de catégorie selon son usage. Une caméra et un même modèle peuvent être à risque limité dans un contexte et à haut risque dans un autre. L'usage compte autant que la technologie.
L'EU AI Act s'applique progressivement, par grandes étapes.
- 1er août 2024 : entrée en vigueur du règlement.
- Février 2025 : entrée en application des interdictions des pratiques à risque inacceptable. Premiers dispositifs à désactiver si concernés.
- Août 2025 : entrée en application des obligations pour les modèles d'IA à usage général (GPAI), des règles de gouvernance et des sanctions.
- Août 2026 : entrée en application de l'essentiel des obligations pour les systèmes à haut risque relevant de l'annexe III (dont les usages en milieu de travail).
- Août 2027 : entrée en application des dernières obligations, incluant les systèmes IA intégrés à des produits réglementés sectoriels.
Concrètement, pour une entreprise belge en prévention : l'année 2026 est l'année charnière où les obligations sur les systèmes à haut risque liés au travail entrent pleinement en application. Les organisations qui n'ont pas commencé leur inventaire et leur classification arrivent en retard.
Les sanctions vont jusqu'à 35 M€ ou 7% du chiffre d'affaires mondial pour les infractions les plus graves.
Plusieurs catégories de systèmes IA fréquemment déployés en prévention sont classés à haut risque ou à risque limité.
- Reconnaissance biométrique des travailleurs (empreintes, visage, voix, posture) : haut risque. Obligations renforcées de documentation, de supervision humaine et de registre.
- Systèmes d'évaluation des travailleurs (performance, comportement, productivité) : haut risque. Particulièrement sensibles, demandent une justification proportionnée et documentée.
- Surveillance critique en santé-sécurité (systèmes IA décidant ou contribuant fortement à des décisions à impact sur la sécurité humaine) : haut risque selon usage.
- Chatbots QHSE de Q&R simple: risque limité. Obligation de transparence : le travailleur doit savoir qu'il interagit avec une IA.
- Modèles prédictifs sur historiques d'incidents : variable selon que le résultat affecte directement des personnes ou seulement des décisions opérationnelles collectives.
- Systèmes IA générant des rapports ou des résumés : généralement risque limité, sauf si la décision automatique impacte les travailleurs.
- Vision par IA pour le port d'EPI : risque limité à élevé selon que l'alerte vise une situation ou une personne identifiée.
Une lecture d'usage est essentielle : la même technologie peut basculer de catégorie selon le contexte de déploiement.
Pour les responsables QHSE, RH et conformité belges, cinq actions structurent une mise en conformité réaliste.
- Cartographier vos systèmes IA déployés et envisagés. Sans inventaire, pas de classification possible. Inclure les systèmes intégrés aux solutions tierces (HRIS, MES, GMAO, GED). C'est souvent l'étape la plus longue et la plus révélatrice.
- Classer chaque système selon les quatre niveaux de risque. La lecture d'usage compte autant que la technologie. Documenter le raisonnement, conserver les éléments de preuve.
- Documenter les systèmes à haut risque selon les exigences du règlement** : finalité, données d'entraînement, performance, limitations, supervision humaine, journalisation. C'est un travail méthodique, à conduire avec l'éditeur ou l'intégrateur.
- Mettre en place la gouvernance interne. Désigner un référent IA, articuler avec le DPO et le conseiller en prévention. Intégrer les systèmes IA aux instances de concertation (CPPT, comité d'entreprise).
- Former les utilisateurs. La supervision humaine n'a de sens que si la personne qui supervise comprend ce qu'elle supervise. Formation des managers, des conseillers en prévention, des opérationnels concernés.
Ces cinq actions ne sont pas séquentielles strictes mais elles structurent une démarche de 12 à 18 mois.
L'EU AI Act ne remplace pas le RGPD ni la CCT n°68. Il s'ajoute.
Une caméra IA déployée pour la sécurité au travail relève simultanément de l'EU AI Act (système IA), du RGPD (données personnelles), de la CCT n°68 (surveillance électronique) et du Code du bien-être au travail belge (démarche de prévention).
Une lecture intégrée est indispensable. Les obligations se cumulent sans se contredire :
- DPIA RGPD
- Évaluation de conformité EU AI Act
- Consultation CPPT CCT n°68
- Mise à jour du plan global de prévention
Bonne pratique : un dossier projet unique qui agrège ces différents volets, validé par le conseiller en prévention, le DPO, le service juridique et le CPPT. Ce dossier devient l'actif documentaire qui prouve la conformité en cas d'audit ou de contentieux.
L'EU AI Act n'est pas un obstacle au déploiement de l'IA en prévention en Belgique. C'est un cadre qui force à clarifier ce que l'on déploie, pourquoi, dans quelles conditions, avec quelles garanties.
Les organisations qui anticipent en 2026 ; "inventaire, classification, documentation, gouvernance, formation" se mettent en position de déployer plus vite et plus solidement les générations suivantes de systèmes IA. Celles qui attendent risquent à la fois des sanctions et un retard concurrentiel.
L'EU AI Act n'est pas une affaire de juristes seuls. C'est une affaire transverse, où le conseiller en prévention joue un rôle structurant aux côtés du DPO, du juridique et des opérationnels.
Sources & références utiles :
- L’EU AI Act (Règlement (UE) 2024/1689) : Texte de référence européen qui classifie les systèmes d'IA selon leur niveau de risque et régit le calendrier progressif d'application (notamment les échéances clés pour les outils RH et de prévention au travail).
- Le RGPD (Règlement Général sur la Protection des Données) : Législation européenne fondamentale qui s'applique conjointement dès lors que les outils d'IA traitent des données personnelles ou biométriques de travailleurs, exigeant la réalisation préalable d'une Analyse d'Impact (DPIA).
- La CCT n°68 (Convention Collective de Travail, Belgique) : Norme nationale belge encadrant spécifiquement l'utilisation de caméras et de technologies de surveillance électronique pour contrôler les travailleurs.
- La Loi du 4 août 1996 relative au bien-être au travail & le rôle du CPPT (Belgique) : Cadre légal imposant d'intégrer toute nouvelle technologie d'IA dans le plan global de prévention de l'entreprise et de consulter préalablement les représentants du personnel.
