IA Act 2026 : la checklist de documentation pour votre école

Ce que le règlement IA exige des écoles — directement

La grande majorité des établissements d'enseignement supérieur ne développent pas de systèmes d'IA : ils les utilisent. Au sens du Règlement (UE) 2024/1689, ils sont déployeurs — et l'article 26 leur impose des obligations concrètes, distinctes de celles des fournisseurs qui construisent les modèles. Ce n'est pas une zone grise : si votre école utilise un chatbot d'admissions, un outil de tri de dossiers ou un algorithme d'orientation, elle est dans le périmètre du règlement et doit agir avant le 2 août 2026.

Le règlement distingue deux grandes catégories d'obligations selon le niveau de risque du système IA déployé. Pour les systèmes à risque limité (chatbots d'information, FAQ automatisées), l'obligation principale est la transparence : informer les utilisateurs qu'ils interagissent avec une IA. Pour les systèmes à haut risque (scoring de candidature, orientation automatisée), les exigences sont nettement plus lourdes : documentation technique, surveillance humaine, registre d'incidents, et conservation des enregistrements sur 10 ans.

L'IA Act n'est pas un texte de plus à vague application future. Les pratiques interdites sont en vigueur depuis le 2 février 2025. Le 2 août 2026 marque l'échéance pour les systèmes à haut risque et les obligations de transparence de l'article 50. Pour la catégorie spécifique de l'Annexe III (systèmes à haut risque basés sur l'usage), un report au 2 décembre 2027 a été acté en mai 2026 dans le cadre de l'omnibus réglementaire — mais cela ne dispense pas d'engager la démarche dès maintenant.

Quels systèmes IA de votre école sont concernés ?

La première étape est l'inventaire. Voici comment classer les usages IA les plus courants dans les écoles privées françaises :

Point d'attention sur les systèmes interdits. La reconnaissance d'émotions dans un contexte éducatif est interdite sans exception depuis le 2 février 2025 (article 5, §1, point f). Plusieurs outils d'analyse vidéo d'entretiens d'admission utilisent cette technologie sous des appellations marketing différentes. Si votre prestataire analyse les expressions faciales ou le ton de voix des candidats pour produire un score, c'est une pratique illégale — indépendamment du consentement obtenu.

Pour une analyse détaillée de chaque niveau de risque, consultez notre guide de classification des risques IA Act.

La checklist de documentation complète

La documentation IA Act pour les déployeurs s'articule autour de deux ensembles d'obligations : celles qui portent sur le système IA lui-même (Annexe IV pour les systèmes à haut risque) et celles qui portent sur la conduite du déployeur (article 26).

Documents Annexe IV — systèmes à haut risque uniquement

L'Annexe IV du règlement liste sept catégories de documents techniques que le fournisseur doit constituer et que le déployeur doit obtenir et conserver. Si votre prestataire refuse de fournir ces éléments, c'est un signal de non-conformité à traiter immédiatement.

1. Description générale du système IA

• Objectif du système et cas d'usage prévus
• Niveau de précision, robustesse et cybersécurité
• Interactions avec d'autres systèmes de l'établissement

2. Spécification technique détaillée

• Architecture du modèle
• Paramètres et hyperparamètres utilisés
• Logiciels, matériels et infrastructure technique

3. Description des données d'entraînement

• Sources, volumes et caractéristiques des données utilisées
• Méthodes de préparation et de nettoyage
• Biais identifiés et mesures de mitigation

4. Mesures de surveillance et de performance

• Indicateurs de performance définis et mesurés
• Protocole de surveillance continue
• Seuils d'alerte et procédures d'escalade

5. Résultats des tests

• Tests de performance sur données réelles ou représentatives
• Tests de robustesse et tests adversariaux
• Résultats des audits de biais ou d'équité

6. Processus de gestion des risques

• Identification des risques liés à l'usage prévu
• Mesures d'atténuation mises en place
• Risques résiduels documentés et acceptés

7. Procédures du système de management de la qualité (QMS)

• Procédures de validation et vérification
• Gestion des changements de version
• Traçabilité des modifications

Obligations de l'article 26 — déployeurs

L'article 26 définit ce que l'école, en tant que déployeur, doit faire de son côté — indépendamment de ce que fournit le prestataire.

Évaluation des risques dans le contexte spécifique

Avant tout déploiement d'un système à haut risque, l'école doit conduire sa propre évaluation des risques dans son contexte d'usage précis. Cette évaluation est distincte de celle du fournisseur, qui couvre l'usage générique. Elle porte sur : la population concernée (mineurs en BTS ?), les biais potentiels dans votre bassin de recrutement, les impacts spécifiques sur les droits des candidats.

Registre d'utilisation sur 10 ans

Les déployeurs de systèmes à haut risque doivent conserver les journaux d'utilisation générés par le système pendant 10 ans. Ces journaux incluent les décisions prises, les interventions humaines, et les incidents. Vérifiez avec votre prestataire que les logs sont bien exportables et stockés dans un format pérenne.

Désignation d'un responsable de la supervision humaine

L'article 26 exige la désignation nominative d'une ou plusieurs personnes chargées de la supervision humaine du système IA. Cette désignation doit être documentée, avec description précise du périmètre de contrôle et des droits d'intervention.

Analyse d'impact relative à la protection des données (AIPD / DPIA)

Si le système IA à haut risque traite des données personnelles — ce qui est presque systématiquement le cas pour les outils d'admission — une AIPD au sens du RGPD est obligatoire. L'AIPD IA Act et l'AIPD RGPD peuvent être conduites conjointement. Consultez notre guide complet RGPD données étudiantes pour le périmètre RGPD applicable aux écoles.

Information des parties prenantes

Les personnes concernées par un système à haut risque doivent être informées de son utilisation, de sa finalité, et des modalités de contestation des décisions. Pour les outils d'admission, cela implique une mention explicite dans la politique de confidentialité et dans les communications aux candidats.

Documents pour les systèmes à risque limité (chatbots)

Pour un chatbot d'information relevant de l'article 50, la documentation est plus légère mais doit être tracée :

• Mention d'identification IA : capture ou texte de la notification affichée aux utilisateurs
• Date de mise en conformité de la fonctionnalité d'identification
• Preuve contractuelle que votre prestataire fournit cette identification (clause dans le contrat ou SLA)
• Procédure de signalement en cas de défaut d'identification

Le calendrier concret pour votre école

Note sur le report de décembre 2027. L'omnibus réglementaire de mai 2026 a accordé un délai supplémentaire pour les systèmes à haut risque relevant spécifiquement de l'Annexe III (classification par usage). Ce report concerne notamment les outils d'admission et de scoring. Il ne s'applique pas aux obligations de transparence de l'article 50 ni aux pratiques interdites — ces deux catégories restent soumises aux échéances initiales.

Ce que ça change concrètement pour votre chatbot de recrutement

Pour les écoles utilisant un chatbot d'information — le cas le plus courant — les obligations IA Act sont à la fois simples et immédiatement actionnables. L'article 50 exige que l'utilisateur soit informé qu'il interagit avec une IA. C'est tout. Mais cette obligation doit être documentée, et votre contrat avec votre prestataire doit le prévoir explicitement.

Ce cadre réglementaire ne doit pas freiner l'adoption des chatbots IA dans le recrutement étudiant. Les données Skolbot montrent que 72 % des questions posées par les prospects aux chatbots d'école sont simples et automatisables (Source : analyse de 12 000 conversations Skolbot, 2025-2026). Ce sont des questions sur les frais de scolarité, les modalités d'alternance, les dates de JPO — des informations que le chatbot fournit plus vite et plus régulièrement qu'un conseiller humain.

Un chatbot IA répond en 3 secondes 24h/24, contre 72h pour un formulaire de contact (Source : audit Skolbot 2025, 80 établissements FR). Ce différentiel de réactivité a un impact direct sur les taux de conversion : un prospect qui obtient une réponse immédiate à 22h un dimanche soir avance dans son processus de décision sans attendre lundi matin.

La conformité IA Act pour un chatbot d'information se résume à trois actions concrètes :

1. Afficher une mention claire dès l'ouverture de la conversation : « Je suis un assistant IA de [Nom de l'école]. »
2. Prévoir un accès facilité à un conseiller humain (lien, email ou numéro visible).
3. Documenter la mise en conformité avec une date et une capture de l'interface.

Pour choisir un fournisseur de chatbot dont la conformité est déjà intégrée, consultez notre guide sur les chatbots RGPD-compliant pour écoles.

FAQ

Notre école est-elle un « fournisseur » ou un « déployeur » au sens de l'IA Act ?

Votre école est déployeur si elle utilise un système IA développé par un tiers (chatbot SaaS, outil d'admission d'un prestataire, CRM avec fonctions IA). Elle serait fournisseur si elle développait elle-même un système IA pour le mettre sur le marché ou à disposition d'autres établissements. Dans l'immense majorité des cas, les écoles privées françaises sont des déployeurs. Leurs obligations relèvent principalement de l'article 26, qui est moins contraignant que les articles 9 à 15 applicables aux fournisseurs — mais ces obligations sont bien réelles et doivent être respectées.

Un chatbot de recrutement étudiant est-il un système IA à haut risque ?

Non, dans la configuration standard. Un chatbot qui répond aux questions des prospects (frais de scolarité, dates, alternance, candidature) et ne produit aucun score ni décision d'admission est un système à risque limité au sens de l'article 50. Son obligation principale est la transparence : afficher clairement qu'il s'agit d'une IA. En revanche, si le chatbot collecte des données structurées sur le candidat qui alimentent ensuite un algorithme de scoring, l'ensemble du dispositif peut basculer en haut risque. La frontière est l'impact sur la décision d'admission.

Notre école a moins de 250 salariés : bénéficie-t-on d'une simplification ?

Oui, en partie. L'omnibus réglementaire de juin 2026 a introduit des simplifications pour les établissements de moins de <250 salariés, notamment une réduction des exigences de documentation pour certains systèmes à haut risque. Ces simplifications portent sur le volume et la granularité de la documentation technique, pas sur les obligations de fond (transparence, supervision humaine, registre). Concrètement, un établissement <250 salariés peut présenter une documentation Annexe IV allégée, mais doit quand même disposer d'une évaluation des risques, d'une désignation de supervision humaine et d'un registre d'utilisation. Consultez votre DPO ou un juriste spécialisé pour adapter le niveau de documentation à votre situation.

Que se passe-t-il si notre fournisseur de chatbot n'est pas conforme IA Act ?

En tant que déployeur, votre école partage une responsabilité dans la conformité du système qu'elle utilise. L'article 26 impose au déployeur de s'assurer que le fournisseur a respecté ses obligations avant de déployer le système. Si votre fournisseur ne peut pas vous fournir la documentation Annexe IV pour un système à haut risque, ou ne peut pas attester de la conformité article 50 pour un chatbot, vous exposez votre école. Les sanctions pour violation des obligations de transparence (article 50) peuvent atteindre 7,5 millions d'euros ou 1,5 % du chiffre d'affaires annuel mondial. Pour les violations des obligations sur systèmes à haut risque, le plafond monte à <15 millions d'euros ou 3 % du chiffre d'affaires. La première action à mener est d'intégrer dans tous vos contrats prestataires une clause de conformité IA Act avec fourniture des justificatifs.

Ressources officielles

• Texte complet du Règlement (UE) 2024/1689 — IA Act — Journal officiel de l'UE
• CNIL — Intelligence artificielle et données personnelles — Lignes directrices françaises
• Commission européenne — Cadre réglementaire pour l'IA — Ressources et FAQ officielles