L'article 14 du AI Act : ce que dit précisément le texte

Le Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 — publié au Journal officiel de l'Union européenne le 12 juillet 2024 — consacre son article 14 à la surveillance humaine (« human oversight »). L'exigence se décompose en quatre obligations cumulatives à la charge du fournisseur du système d'IA à haut risque.

Premièrement, le système doit être conçu et développé de manière à pouvoir être surveillé efficacement par des personnes physiques pendant la période où il est utilisé. Cette obligation est de design, non d'usage : un système qui rend la supervision impossible — boîte noire intégrale, absence d'interface de contrôle — est non conforme par construction.

Deuxièmement, les mesures de surveillance doivent être proportionnées aux risques, au niveau d'autonomie et au contexte d'utilisation. Un outil de tri de CV n'appelle pas la même intensité de supervision qu'un système de diagnostic médical d'imagerie.

Troisièmement, les personnes assignées à la supervision doivent pouvoir : comprendre les capacités et limites du système, détecter et corriger les biais d'automatisation (automation bias), interpréter correctement les sorties, décider de ne pas utiliser le système ou d'en ignorer le résultat, et intervenir sur le fonctionnement via un bouton d'arrêt ou une procédure équivalente.

Quatrièmement, pour les systèmes biométriques d'identification à distance visés à l'annexe III §1.a, une double validation humaine est exigée : aucune action ou décision ne peut être prise sur la seule base de l'identification produite par le système, sauf vérification et confirmation séparée par au moins deux personnes physiques compétentes.

Les quatre catégories de risque et le périmètre de l'article 14

Le AI Act adopte une approche graduée par les risques, rappelée par la Direction générale des Entreprises dans sa note du 28 juillet 2025. Quatre catégories structurent les obligations.

Risque inacceptable (article 5)

Interdits depuis le 2 février 2025 : la notation sociale par les autorités publiques, l'exploitation des vulnérabilités, l'identification biométrique en temps réel dans l'espace public (hors exceptions strictes de police judiciaire). Ces systèmes ne relèvent pas de l'article 14 — ils sont prohibés.

Risque élevé (annexes I et III)

C'est le périmètre central de l'article 14. L'annexe III liste huit domaines : biométrie, infrastructures critiques, éducation et formation, emploi et gestion des travailleurs, accès aux services essentiels publics et privés (crédit, assurance, prestations sociales), application de la loi, migration et contrôle aux frontières, administration de la justice et processus démocratiques. L'annexe I couvre l'IA intégrée à des produits réglementés (dispositifs médicaux, jouets, machines, équipements radio).

Risque limité (article 50)

Obligation de transparence : informer l'utilisateur qu'il interagit avec une IA, marquer les contenus générés (deepfakes, synthèses vocales). La surveillance humaine n'est pas une obligation de design au sens de l'article 14, mais reste recommandée comme bonne pratique.

Risque minimal

Filtres anti-spam, jeux vidéo, recommandations triviales : aucune obligation spécifique au titre du Règlement.

Comme le rappelle GNIUS, le portail de l'Agence du Numérique en Santé, les systèmes d'IA utilisés dans les infrastructures critiques (santé, transport, énergie), les outils de recrutement automatisé et les IA appliquées à la justice ou aux services publics essentiels sont systématiquement classés haut risque. Pour un panorama complet du cadre, consultez notre hub AI Act.

Modèle 1 : Supervision humaine proactive dans les systèmes critiques

Le premier modèle s'applique aux secteurs où l'erreur de l'IA met directement en jeu la vie, la santé ou la liberté : imagerie médicale, aide au diagnostic, scoring de risque clinique, systèmes de tri aux urgences, IA appliquée aux infrastructures de transport. La supervision est ici proactive : le professionnel humain reste décideur final sur chaque sortie, l'IA produit une recommandation argumentée et auditable.

Concrètement, dans un cabinet de radiologie de 12 praticiens que nous avons accompagné en 2025, l'IA de pré-lecture mammographique fournit un score de probabilité et des zones d'intérêt — le médecin valide, infirme ou nuance, et sa décision est enregistrée avec horodatage. Trois principes opérationnels :

  • Aucun acte médical n'est posé sur la sortie IA seule. Le compte rendu est signé par le radiologue, qui assume la responsabilité ordinale (Conseil national de l'Ordre des médecins).
  • Le système journalise chaque divergence praticien/IA. Ces écarts alimentent le rapport semestriel de surveillance post-commercialisation prévu à l'article 72 du Règlement.
  • Une formation continue de 7 heures par an est imposée aux utilisateurs sur les biais connus du modèle, sa fenêtre de fiabilité et les cas où il sous-performe (ex. : seins denses).

Ce modèle est aussi pertinent pour les systèmes d'IA en hébergement de données de santé : la conformité HDS (référentiel Agence du Numérique en Santé) impose déjà des traces d'accès et de décision compatibles avec les exigences de l'article 14. Pour le détail métier, voir notre page IA en cabinet médical.

Modèle 2 : Contrôle expert pour les systèmes de recrutement automatisé

Les outils de tri de CV, de scoring de candidatures et de présélection vidéo sont explicitement classés haut risque par l'annexe III §4 du AI Act. La CNIL, dans ses recommandations IA publiées depuis 2024, alerte sur les risques discriminatoires : biais de genre, d'âge, d'origine, de handicap. Le second modèle organise un contrôle par une équipe d'experts pluridisciplinaire — RH, juriste social, référent diversité, parfois représentant du personnel.

La mécanique opérationnelle :

  • Pré-déploiement : audit d'impact sur les droits fondamentaux (FRIA, article 27 du Règlement, obligatoire pour les organismes publics et certaines entreprises). Test du modèle sur jeux de données représentatifs, mesure des taux de sélection par groupe protégé.
  • Production : revue mensuelle d'un échantillon aléatoire de 5 à 10 % des décisions IA par le comité. Aucune élimination de candidat sur sortie IA sans relecture humaine — l'article 22 du RGPD le rappelle pour toute décision « produisant des effets juridiques » ou « significatifs ».
  • Post-déploiement : reporting semestriel au CSE, au DPO et à la direction. Conservation des logs de décision dix ans (article 19 du AI Act, durée des registres).

Un cabinet de recrutement parisien de 35 collaborateurs avec lequel nous avons cadré le dispositif a chiffré la charge à environ 0,4 ETP — soit 28 000 € par an chargés — pour traiter 2 000 candidatures mensuelles. C'est le coût de l'évitement d'une sanction CNIL et d'un contentieux prud'homal pour discrimination algorithmique.

Modèle 3 : Transparence renforcée pour les systèmes à risque limité

Tous les systèmes ne sont pas haut risque. Pour les chatbots service client, les générateurs de contenu marketing, les assistants conversationnels internes, l'obligation primaire est la transparence (article 50). Mais une supervision allégée reste pertinente — non par obligation, par hygiène opérationnelle.

Ce troisième modèle articule trois mesures :

  • Signalisation explicite dès la première interaction : « Vous échangez avec un assistant automatique. Pour parler à un conseiller, tapez "humain" ». Position retenue par la CNIL dans sa fiche pratique chatbots.
  • Marquage des contenus générés : watermark, mention « contenu généré par IA » pour les visuels et textes publiés. Obligation renforcée pour les deepfakes (article 50.4).
  • Surveillance d'anomalies : monitoring quotidien des conversations pour détecter dérives (hallucinations, propos inappropriés, fuites de données clients). Une cellule de 1 à 2 personnes suffit pour un volume jusqu'à 5 000 interactions/jour.

Sur un déploiement Ollama + OpenWebUI on-premise que nous avons réalisé pour une ETI industrielle de 220 salariés, l'IA interne (Mistral 7B quantizé Q4_K_M) est classée risque minimal pour l'usage RH-FAQ, mais nous avons préventivement appliqué les obligations du risque limité — coût de bascule vers le haut risque maîtrisé si l'usage évolue. Voir notre guide des modèles open source souverains.

Modèle 4 : Bacs à sable réglementaires pour l'innovation responsable

Le AI Act prévoit à ses articles 57 à 63 un mécanisme original : les bacs à sable réglementaires (regulatory sandboxes). Chaque État membre doit en mettre en place au moins un d'ici le 2 août 2026. La DGE rappelle qu'il s'agit d'un cadre contrôlé permettant de tester des systèmes d'IA innovants en conditions réelles, sous supervision d'un régulateur et avec une souplesse temporaire des règles.

Ce quatrième modèle est particulièrement adapté aux PME et startups qui développent un cas d'usage borderline haut risque / risque limité. Bénéfices opérationnels :

  • Dialogue avec l'autorité de surveillance (en France, vraisemblablement la DGE et la CNIL) en amont du déploiement commercial, ce qui désamorce les risques d'interprétation divergente.
  • Test grandeur nature avec utilisateurs réels et données réelles, sans risque de sanction immédiate, sous réserve du respect des principes fondamentaux (droits des personnes, sécurité, transparence).
  • Accès prioritaire aux dispositifs Bpifrance et France Num — voir notre hub aides au financement IA pour le détail des cofinancements mobilisables.

La surveillance humaine reste exigée dans le bac à sable : c'est même une condition d'admission. Mais elle peut être adaptée — par exemple, une supervision humaine accrue compense une fonctionnalité expérimentale autorisée provisoirement. Pour les opérateurs européens, France Num a publié en septembre 2025 un webinaire Bpifrance détaillant la mécanique.

Modèle 5 : Gouvernance partagée entreprises – autorités publiques

Le cinquième modèle, plus structurel, s'adresse aux opérateurs déployant des systèmes à fort impact sociétal : assureurs, banques, opérateurs d'OIV (opérateurs d'importance vitale), administrations. Il repose sur un triangle gouvernance interne / autorité sectorielle / utilisateurs ou représentants.

Trois briques :

  • Comité de gouvernance IA interne : DG, DSI, DPO, RSSI, métiers, direction juridique. Réunion trimestrielle minimum. Validation des nouveaux déploiements haut risque, revue des incidents, arbitrage des dérives.
  • Notification aux autorités sectorielles : ACPR pour la banque-assurance, AMF pour les marchés, ARS pour la santé, CNIL transverse. L'article 26.5 du AI Act impose au déployeur de notifier sans délai au fournisseur et à l'autorité compétente toute incident grave.
  • Information des personnes concernées : article 26.11. Les personnes faisant l'objet d'une décision prise par un système d'IA haut risque doivent en être informées et pouvoir obtenir des explications claires sur la logique sous-jacente. Cohérent avec l'article 22 du RGPD.

Pour le secteur financier, l'ACPR a publié dès 2020 des principes sur la gouvernance des algorithmes en finance qui anticipent largement l'article 14. Cohérence sectorielle utile à exploiter — voir notre page IA en banque-assurance.

Cas pratique : ce que coûte (et rapporte) une supervision conforme

Données de terrain issues de trois missions IAPRO 2025. Ordres de grandeur indicatifs, à pondérer selon votre contexte.

Profil organisation Système IA Coût annuel supervision ROI mesuré
Cabinet RH 35 sal. Tri CV (haut risque) 28 000 € Évitement contentieux + accélération embauche 22 %
PME industrielle 80 sal. Maintenance prédictive (risque minimal) 8 000 € 14 000 €/an arrêts évités
ETI santé 250 sal. Aide au diagnostic imagerie 65 000 € Productivité radiologue +18 %, conformité HDS

Le coût de supervision intègre : journalisation et infrastructure de logs (environ 15 %), temps homme dédié (60 %), formation continue (10 %), audit annuel externe (15 %). Pour estimer votre propre cas, utilisez notre calculateur ROI IA.

À l'inverse, la non-conformité expose à des sanctions lourdes. L'article 99 du Règlement fixe le plafond à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour les manquements aux obligations applicables aux systèmes à haut risque (dont l'article 14), et 35 millions ou 7 % pour les pratiques interdites de l'article 5. À cela s'ajoutent les contentieux civils (responsabilité du fait des produits défectueux, directive 2024/2853) et prud'homaux pour les décisions RH.

Articulation avec le RGPD et les doctrines sectorielles

L'article 14 du AI Act ne remplace pas l'article 22 du RGPD — il le complète. La CNIL a clarifié l'articulation dans ses recommandations IA : lorsque le système traite des données personnelles, les deux régimes s'appliquent cumulativement. La supervision humaine doit alors satisfaire à la fois l'effectivité de l'article 14 (capacité réelle d'intervention) et la signifiance de l'article 22 RGPD (intervention non purement formelle, pouvoir réel de contester).

Pour les acteurs réglementés, les doctrines sectorielles ajoutent un troisième étage. L'ACPR attend une explicabilité auditable des modèles de scoring crédit. L'OEC et le CNB rappellent le secret professionnel applicable à l'usage d'IA en cabinet d'expertise comptable ou d'avocats — la supervision humaine devient ici aussi un acte couvert par le secret. Notre partenaire Regulia.fr intervient sur ces audits AI Act multi-référentiels.

Méthode IAPRO : feuille de route 12 mois pour se mettre en conformité

Pour une PME ou ETI qui démarre, voici la séquence éprouvée chez IAPRO sur 30 missions :

  • Mois 1-2 : cartographie. Inventaire des systèmes IA déjà déployés ou en projet. Classification par catégorie de risque (annexe III). Identification des systèmes haut risque nécessitant supervision article 14.
  • Mois 3-4 : gap analysis. Audit des dispositifs existants de supervision (qui supervise ? avec quels droits ? quelles traces ?). Comparaison aux exigences de l'article 14 et écarts à combler.
  • Mois 5-7 : conception. Choix du ou des modèles applicables parmi les cinq exposés. Rédaction des procédures, paramétrage des interfaces de contrôle, mise en place du logging.
  • Mois 8-9 : formation. Cycle de 14 à 21 heures par superviseur, finançable par votre OPCO (Atlas, 2i, Constructys selon branche) et par le FIF-PL pour les libéraux.
  • Mois 10-12 : déploiement contrôlé. Pilote sur un périmètre restreint, mesure des indicateurs de supervision, ajustements, généralisation.

Le coût total d'accompagnement IAPRO pour une PME de 50 à 150 salariés se situe entre 18 000 et 45 000 € selon périmètre, finançable jusqu'à 50 % via les dispositifs Bpifrance Diag Cybersécurité, France Num et CIR/CII (consultez impots.gouv.fr). Voir notre simulateur d'aides pour estimer votre éligibilité.

FAQ — Surveillance humaine et article 14 AI Act

Quels sont les risques juridiques d'un manque de surveillance humaine ?

Pour un système d'IA à haut risque, l'absence ou l'insuffisance de surveillance humaine expose à une sanction administrative pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel (article 99 du Règlement (UE) 2024/1689). S'y ajoutent les contentieux civils (responsabilité produit, dommages aux personnes), prud'homaux pour les usages RH, et disciplinaires pour les professions réglementées.

Comment choisir entre les 5 modèles opérationnels selon le type de système d'IA ?

Le choix dépend de trois variables : la catégorie de risque (annexe III ou non), le secteur d'activité (santé et justice = modèle 1 proactif obligatoire) et l'autonomie du système. Une PME peut combiner plusieurs modèles : transparence renforcée (modèle 3) pour son chatbot, contrôle expert (modèle 2) pour son outil de tri CV, gouvernance partagée (modèle 5) pour son scoring crédit. Notre page hub AI Act propose une grille d'aide à la décision.

Quels sont les outils technologiques pour implémenter la supervision humaine ?

Trois briques techniques : une interface d'override permettant à l'opérateur humain de stopper, modifier ou ignorer la sortie IA ; un système de logs immuables horodatés (typiquement journalisation en append-only, conservation dix ans) ; un tableau de bord de supervision avec alertes sur dérives. Sur stack souveraine on-premise, nous déployons Ollama + OpenWebUI + journalisation PostgreSQL + Grafana pour les alertes.

Comment les PME peuvent-elles s'adapter aux exigences de l'article 14 ?

Trois leviers PME : (1) commencer par cartographier les systèmes IA déjà en usage — souvent un chatbot SaaS et un outil RH suffisent à activer l'article 14 ; (2) mutualiser la supervision sur un référent IA formé (14 à 21 heures), pas un département entier ; (3) mobiliser les cofinancements Bpifrance, France Num, OPCO et CIR pour réduire de 30 à 50 % la facture. Voir notre hub aides au financement.

Quels sont les coûts associés à la mise en œuvre des modèles de supervision humaine ?

Pour une PME de 50 à 200 salariés, le budget annuel récurrent se situe entre 25 000 et 80 000 € selon le nombre de systèmes haut risque et leur intensité d'usage. Il intègre temps homme (60 %), infrastructure de logging (15 %), formation continue (10 %) et audit externe annuel (15 %). Le coût initial de mise en conformité se situe entre 18 000 et 45 000 € sur 12 mois.

Quels sont les exemples concrets de systèmes d'IA à haut risque soumis à la surveillance humaine ?

L'annexe III du Règlement liste : systèmes biométriques d'identification à distance, IA dans les infrastructures critiques (eau, gaz, électricité, transport), IA en éducation (notation d'épreuves, accès aux formations), outils RH (tri CV, évaluation salariés, surveillance), scoring crédit et assurance, IA en application de la loi, en gestion de la migration et de l'asile, en administration de la justice.

Comment les autorités publiques contrôlent-elles la conformité des systèmes d'IA ?

Le contrôle est multi-niveaux. L'AI Office européen, installé au sein de la Commission, supervise les modèles à usage général. Au niveau national, chaque État membre désigne ses autorités — en France, la CNIL est l'autorité référente avec la DGE, complétée par les régulateurs sectoriels (ACPR, ARS, AMF). Le contrôle s'exerce par audits sur pièces, inspections sur place, notifications d'incidents et enquêtes sur plainte.

Quels sont les avantages de la supervision humaine sur la réputation d'une entreprise ?

Au-delà de la conformité, une supervision humaine documentée devient un argument commercial dans les appels d'offres B2B et publics — les acheteurs intègrent désormais des clauses AI Act. Côté clients finaux, la transparence sur le rôle de l'humain dans la décision réduit la défiance algorithmique. Bpifrance, dans son cycle de conférences 2025, en fait un levier de confiance pour les PME.

Quelles sont les sanctions en cas de non-conformité à l'article 14 ?

L'article 99 du Règlement gradue les sanctions. Manquement aux obligations applicables aux systèmes à haut risque (dont l'article 14) : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel. Pratiques interdites de l'article 5 : jusqu'à 35 millions ou 7 %. Fourniture d'informations inexactes aux autorités : jusqu'à 7,5 millions ou 1 %. Les PME bénéficient d'une modulation à la baisse selon leur taille (article 99.6).

Comment les bacs à sable réglementaires facilitent-ils l'innovation en IA ?

Les bacs à sable (articles 57 à 63 du Règlement) offrent un cadre contrôlé permettant de tester des systèmes innovants en conditions réelles, sous supervision du régulateur, avec souplesse temporaire sur certaines règles. Bénéfices : sécurisation juridique en amont, retours rapides de l'autorité, accès facilité aux financements Bpifrance et France Num. Chaque État membre doit en mettre en place au moins un d'ici le 2 août 2026.

Pour aller plus loin avec IAPRO

Vous déployez un système d'IA susceptible d'entrer dans l'annexe III du Règlement (UE) 2024/1689 et vous cherchez à cadrer votre dispositif de surveillance humaine avant l'échéance d'août 2026 ? Notre formule Audit AI Act + Plan de conformité article 14 (à partir de 4 800 € HT, finançable Bpifrance et OPCO) couvre la cartographie de vos systèmes, la classification par catégorie de risque, la gap analysis sur l'article 14 et la livraison d'une feuille de route opérationnelle 12 mois. Échangeons sur votre cas d'usage : prendre rendez-vous via /contact.

Liens utiles