En bref. Le règlement (UE) 2024/1689 sur l'intelligence artificielle s'applique aux organisations qui utilisent l'IA, y compris les ESMS qui en font usage. Depuis le 2 février 2025, l'article 4 leur demande de prendre des mesures pour développer la maîtrise de l'IA de leur personnel. Depuis la modification de 2026, il s'agit d'une obligation de moyens. L'article 5 interdit certaines pratiques, dont l'exploitation de la vulnérabilité liée à l'âge ou au handicap. Pour préparer votre structure, recensez les outils utilisés, formez les professionnels selon leur rôle, rédigez une charte d'usage et désignez un référent IA. Les règles sur les systèmes à haut risque ont été reportées au 2 décembre 2027. Cette page donne des repères factuels. Vérifiez votre situation avec votre délégué à la protection des données ou votre conseil.
Quelles dates retenir ?
Le règlement (UE) 2024/1689 s'applique par étapes. Depuis le 2 février 2025, deux articles s'appliquent : l'article 4 sur la maîtrise de l'IA et l'article 5 sur les pratiques interdites. Les obligations de transparence, qui concernent notamment les agents conversationnels et les contenus générés par l'IA, ont pour date d'application le 2 août 2026. Les règles applicables aux systèmes à haut risque de l'annexe III ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744. Depuis la modification de 2026, l'article 4 est formulé comme une obligation de moyens. Le calendrier peut encore évoluer. Consultez le texte en vigueur sur le site officiel de l'Union européenne. Faites le point avec votre délégué à la protection des données ou votre conseil avant toute décision.
Que demande l'article 4 sur la maîtrise de l'IA ?
L'article 4 demande aux organisations qui utilisent l'IA de prendre des mesures pour développer la maîtrise de l'IA de leur personnel. Dans un ESMS, cela concerne les professionnels qui se servent d'un outil d'IA dans leur travail : direction, cadres, accompagnants, travailleurs sociaux, secrétariat, ressources humaines. Depuis la modification de 2026, il s'agit d'une obligation de moyens. Garder une trace des actions engagées aide à en rendre compte : formations suivies, règles d'usage diffusées, référent désigné. Les besoins varient selon les fonctions. Une direction doit comprendre les responsabilités et les risques. Un éducateur doit savoir rédiger une transmission sans donnée identifiante et vérifier une réponse. Le choix d'une formation adaptée au médico-social dépend donc du métier de chaque professionnel.
Quelles pratiques sont interdites ?
L'article 5 du règlement liste des pratiques interdites depuis le 2 février 2025. Deux d'entre elles touchent de près le secteur. La première est l'exploitation de la vulnérabilité d'une personne liée à son âge ou à son handicap. Les ESMS accompagnent des personnes âgées, des personnes en situation de handicap et des enfants. La seconde est la notation sociale. Le texte définit précisément ces pratiques et leurs conditions. Il est utile de savoir les reconnaître, en particulier si un fournisseur propose un outil qui classe ou évalue des personnes accompagnées. Posez-lui des questions précises sur le fonctionnement de l'outil et sur les données qu'il utilise. Gardez une trace écrite de ses réponses. En cas de doute, interrogez votre délégué à la protection des données ou votre conseil avant toute utilisation.
Un ESMS est-il concerné par les systèmes à haut risque ?
L'annexe III du règlement liste des systèmes d'IA dits à haut risque. Elle vise notamment les systèmes utilisés pour évaluer l'éligibilité de personnes à des prestations publiques. Certaines activités du secteur social touchent à l'accès aux droits et aux prestations. Le règlement (UE) 2026/1744 a reporté au 2 décembre 2027 l'échéance des règles applicables à ces systèmes. Ce délai laisse le temps de préparer la structure. Recensez dès maintenant les outils qui produisent un classement, un score ou une proposition de décision concernant une personne accompagnée. Interrogez leurs fournisseurs sur la qualification de ces outils au regard du règlement. Cette page ne constitue pas un avis juridique. La qualification d'un outil se vérifie au cas par cas avec votre délégué à la protection des données ou votre conseil.
Par quoi commencer dans l'établissement ?
Quatre actions préparent un ESMS au règlement. D'abord, recensez les outils d'IA utilisés, y compris ceux installés par les professionnels eux-mêmes. Ensuite, rédigez une charte d'usage de l'IA avec les usages autorisés et interdits. Puis désignez un référent IA, chargé du registre des usages et de la remontée des incidents. La page Comment former un référent IA présente son rôle. Enfin, formez les professionnels selon leur métier. Ces actions rejoignent les règles du RGPD, détaillées sur la page IA et données des personnes accompagnées. La CNIL recommande aussi de former les utilisateurs et d'associer le délégué à la protection des données. Le catalogue des formations propose des modules pour chaque fonction de l'établissement.
Questions fréquentes
L'article 4 impose-t-il une formation ?
Depuis la modification de 2026, l'article 4 est formulé comme une obligation de moyens. Il demande des mesures pour développer la maîtrise de l'IA du personnel. La formation en fait partie, avec la charte et le référent. Vérifiez la portée exacte avec votre conseil.
Les obligations de transparence concernent-elles un ESMS ?
Elles portent notamment sur les agents conversationnels et les contenus générés par l'IA, avec une date d'application au 2 août 2026. Un ESMS qui met un agent conversationnel à disposition des familles a intérêt à examiner ces obligations avec son délégué à la protection des données.
Le report au 2 décembre 2027 concerne-t-il toutes les règles ?
Non. Le report concerne les systèmes à haut risque de l'annexe III. Les articles 4 et 5 s'appliquent depuis le 2 février 2025. Les obligations de transparence ont pour date d'application le 2 août 2026. Suivez l'évolution des textes.
Qui pilote la démarche dans un ESMS ?
La direction porte la démarche. Elle s'appuie sur le délégué à la protection des données pour les questions juridiques et sur un référent IA pour l'animation des usages. Dans une association gestionnaire, le siège peut coordonner l'ensemble des établissements.
Cette page remplace-t-elle un avis juridique ?
Non. Elle présente des repères factuels sur le calendrier et le contenu du règlement. La situation de chaque structure dépend de ses outils et de ses activités. Vérifiez-la avec votre délégué à la protection des données ou votre conseil.