Le 2 août 2026 marque une étape concrète pour la sécurité augmentée par l’intelligence artificielle. À cette date, certaines obligations de transparence prévues par l’article 50 du règlement européen sur l’intelligence artificielle — l’AI Act — deviennent applicables. L’enjeu ne concerne pas chaque caméra installée dans un hall, un entrepôt ou aux abords d’un site. Il vise les systèmes qui vont au-delà de la captation ou de la détection classique, notamment lorsqu’ils exposent des personnes à une reconnaissance des émotions ou à une catégorisation biométrique.

Cette nuance est décisive. Dans la sécurité physique, l’IA est souvent présentée à travers des termes commerciaux larges : « analyse vidéo avancée », « intelligence comportementale », « estimation d’attributs », « analyse d’audience » ou « détection d’état ». Or, derrière ces intitulés, les fonctionnalités activées — et non la seule présence d’une caméra ou d’un logiciel — déterminent le régime à examiner. Pour les responsables de site, intégrateurs et acheteurs, la conformité commence donc désormais par une question beaucoup plus précise : que fait réellement le système avec l’image des personnes ?

Une échéance du 2 août 2026, mais pas une bascule uniforme de tout l’AI Act

La Commission européenne a indiqué le 31 juillet 2026 que l’AI Office et les autorités nationales commençaient, à compter du 2 août, à faire appliquer de nouvelles règles de l’AI Act, dont les exigences de transparence. Les lignes directrices de la Commission consacrées à ce sujet précisent le cadre applicable aux fournisseurs et aux déployeurs de certains systèmes d’IA.

Il ne faut toutefois pas lire cette date comme l’entrée en vigueur simultanée de toutes les contraintes relatives aux IA dites « à haut risque ». Le calendrier est progressif. Selon l’AI Act Service Desk de la Commission, les règles applicables aux systèmes à haut risque répertoriés à l’annexe III s’appliquent notamment à partir du 2 décembre 2027. Pour certains systèmes intégrés à des produits réglementés, l’échéance est fixée au 2 août 2028.

Le changement du 2 août 2026 est donc ciblé, mais il est loin d’être anecdotique : il introduit une exigence immédiatement intelligible pour les personnes concernées. Lorsqu’un système entre dans le champ de l’article 50, l’organisation qui le déploie doit penser à la façon dont elle informe les individus exposés. La transparence quitte le seul dossier juridique pour devenir une composante du projet de sécurité.

Le point de bascule : de la caméra qui voit à l’outil qui qualifie

Une caméra qui enregistre une scène, permet une levée de doute ou détecte un mouvement ne déclenche pas, du seul fait de son existence, toutes les obligations évoquées ici. Assimiler toute vidéosurveillance à un système de catégorisation biométrique serait une simplification erronée.

La ligne de partage se situe dans la fonction d’IA effectivement employée. La Commission rappelle que les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent informer les personnes exposées au fonctionnement du système. Cette obligation vaut aussi bien lorsque le traitement s’effectue en direct que lorsqu’il intervient a posteriori sur des images déjà collectées.

Reconnaître une émotion n’est pas seulement observer un comportement

La reconnaissance des émotions ambitionne d’inférer ou de déduire un état émotionnel à partir de données biométriques. Dans un environnement de sécurité, la promesse peut paraître séduisante : détecter une nervosité supposée, un stress ou une agitation dans un flux vidéo. Mais c’est précisément ce type de fonction qui appelle une vigilance renforcée, tant il déplace le système de l’observation d’un événement vers l’interprétation automatisée d’une personne.

Au-delà de la transparence exigée par l’AI Act, l’organisation doit s’interroger sur la finalité, la nécessité, la fiabilité opérationnelle et le cadre légal de son usage. Une alerte produite par algorithme ne saurait, à elle seule, devenir un raccourci vers une décision défavorable ou une conclusion humaine non vérifiée.

Catégorisation biométrique : regarder les attributs, pas seulement l’identité

La catégorisation biométrique consiste à classer des personnes selon des attributs déduits de leurs données biométriques. Il ne s’agit donc pas nécessairement de mettre un nom sur un visage. Un outil peut, par exemple, prétendre estimer des caractéristiques ou segmenter des individus à partir de leur apparence. C’est l’une des raisons pour lesquelles des expressions marketing imprécises doivent être clarifiées avant achat ou activation.

Une distinction mérite également d’être conservée : la vérification biométrique, utilisée pour confirmer qu’une personne est bien celle qu’elle prétend être, n’est pas assimilée par l’annexe III à l’identification biométrique à distance. À l’inverse, l’annexe III cite, sous réserve que les usages soient autorisés par le droit applicable, certains systèmes d’identification biométrique à distance, de catégorisation biométrique et de reconnaissance des émotions parmi les cas à haut risque. Les mots employés dans un cahier des charges ont donc des conséquences très concrètes.

Dans les projets de sécurité, la signalétique ne suffit plus à elle seule

Les exploitants de sites ont déjà l’habitude de la signalétique liée à la présence de caméras. Avec les fonctions d’IA concernées, l’enjeu n’est plus uniquement de signaler qu’une zone est filmée ; il est d’informer de manière appropriée que des personnes sont exposées à un système de reconnaissance des émotions ou de catégorisation biométrique.

Dans la pratique, cette exigence appelle une approche cohérente plutôt qu’un simple ajout d’affichage. La signalétique visible peut constituer un point d’entrée, mais elle doit s’articuler avec des mentions d’information accessibles, une documentation interne à jour et une répartition nette des responsabilités. Une information trop générale sur une « caméra intelligente » ne donne pas nécessairement aux personnes concernées une compréhension suffisante de la fonction employée.

Cette évolution vaut notamment pour les projets de contrôle d’accès avancé, de supervision vidéo centralisée, de sûreté dans les espaces accueillant du public et d’analyse automatisée de flux. Elle concerne aussi les organisations qui ajoutent ultérieurement une option logicielle à une installation existante. L’activation d’un module d’analyse peut modifier la qualification du projet sans qu’aucun nouveau matériel ne soit physiquement posé.

Le bon réflexe n’est pas de demander si une caméra « contient de l’IA », mais quelle donnée elle analyse, quelle inférence elle produit, à quelle fin et à qui cette information est communiquée.

Fournisseur, intégrateur, déployeur : la responsabilité ne s’arrête pas au logiciel

L’AI Act distingue les rôles. Un fournisseur conçoit ou met sur le marché un système ; un déployeur l’utilise sous sa propre autorité. Dans le secteur de la sécurité, la chaîne peut réunir un éditeur logiciel, un fabricant de caméras, un intégrateur, un prestataire de télésurveillance et l’exploitant final d’un site. Cette pluralité ne dispense pas l’utilisateur final de ses propres obligations.

Autrement dit, un acheteur ne peut pas se contenter d’une formule commerciale indiquant que la solution est « conforme » ou « prête pour l’AI Act ». Il doit être capable d’identifier les fonctionnalités mises en œuvre dans son contexte. Cela implique de demander une description claire des modules activés, des données utilisées, de la durée de conservation, des sorties produites et des possibilités de désactivation.

Cette discipline est particulièrement utile lorsque les fonctions sont vendues en option ou incluses dans une mise à jour : détection d’émotions, estimation d’attributs, recherche par apparence, comparaison faciale, alertes comportementales, génération ou manipulation de contenus. Une même interface de gestion peut agréger des briques aux statuts très différents. Une caméra extérieure qui transmet une image, par exemple, ne doit pas être confondue avec un dispositif qui attribue automatiquement des catégories à des individus présents dans son champ.

Quatre vérifications à inscrire dans tout projet d’analyse vidéo

Il ne s’agit pas de transformer chaque déploiement en audit exhaustif de l’AI Act. En revanche, les équipes sécurité, DSI, juridiques et achats gagnent à intégrer quatre vérifications simples dès l’expression du besoin.

1. Cartographier les fonctions réellement activées. Distinguer captation, détection de mouvement, comptage, identification, vérification, catégorisation et reconnaissance des émotions. Les étiquettes commerciales ne remplacent pas cette qualification.
2. Identifier le rôle de l’organisation. Qui fournit ? Qui paramètre ? Qui exploite les résultats ? Qui décide de l’information délivrée aux personnes ? Un contrat d’intégration ne transfère pas automatiquement toutes les responsabilités.
3. Préparer l’information des personnes avant l’activation. Affichage, notice accessible, procédure de mise à jour et interlocuteur interne doivent être prévus avant le passage en production, et non après une réclamation.
4. Documenter l’articulation avec les autres règles applicables. L’AI Act complète, sans les effacer, les obligations de protection des données. Le RGPD, les règles nationales et, selon les contextes, le cadre « police-justice » restent à analyser.

Cette logique de qualification vaut également pour les équipements de protection de la vie privée ou de contrôle d’un environnement sensible. Les démarches de matériel de contre-espionnage répondent à une finalité différente de la surveillance algorithmique, mais elles reposent sur la même exigence de base : savoir précisément quelle technologie est en œuvre, quelles informations elle traite et dans quelles limites elle doit être utilisée.

Le RGPD reste dans le décor — et souvent au premier plan

La transparence de l’AI Act ne remplace pas l’information requise en matière de données personnelles. Les documents de la Commission rappellent que le règlement sur l’IA s’applique en complément du cadre européen de protection des données, dont le RGPD, le règlement applicable aux institutions européennes et la directive relative à la protection des données dans les domaines répressifs.

Pour une organisation privée ou publique, cette superposition impose de ne pas isoler le sujet IA du reste de la gouvernance. Une analyse vidéo qui traite des données personnelles doit être examinée selon ses finalités, sa base légale, sa proportionnalité, les droits des personnes, les destinataires des données et les mesures de sécurité. L’ajout d’une fonction de catégorisation ou de reconnaissance des émotions peut nécessiter une réévaluation sérieuse du dispositif, plutôt qu’une simple mise à jour du libellé affiché à l’entrée.

Les lecteurs qui souhaitent resituer les principes généraux d’usage d’une caméra dans leur contexte peuvent aussi consulter notre dossier sur les caméras espions et la législation en France, en Europe et dans le monde. Il ne remplace pas une analyse juridique adaptée à un projet d’IA, mais rappelle que la légitimité d’un dispositif dépend toujours de son usage concret, de son emplacement et des personnes susceptibles d’être filmées.

La vraie nouveauté : la gouvernance des fonctionnalités devient un sujet de terrain

La portée opérationnelle de l’échéance du 2 août 2026 tient moins à une révolution matérielle qu’à un changement de méthode. Les projets de sécurité ne peuvent plus se limiter à choisir une résolution, une connectivité ou un angle de vue. Pour les systèmes concernés, il faut aussi gouverner l’inférence : ce que le logiciel prétend déduire d’un visage, d’un comportement ou d’une présence.

Cela invite à privilégier des solutions dont les fonctions sont lisibles, paramétrables et documentées, et à éviter les activations par défaut mal comprises. Qu’il s’agisse d’une installation de vidéosurveillance Wi-Fi ou d’une architecture plus centralisée, l’intelligence ajoutée doit être examinée avec autant de soin que l’objectif de sécurité auquel elle répond.

La conclusion est volontairement sobre : toutes les caméras ne sont pas soumises au même niveau d’exigence au titre de l’AI Act. Mais dès qu’un système expose des personnes à la reconnaissance des émotions ou à la catégorisation biométrique, la transparence n’est plus un supplément de communication. Depuis le 2 août 2026, elle fait partie du fonctionnement attendu du dispositif.

Sources

• Commission européenne, Commission starts enforcing AI Act rules and new transparency requirements on 2 August.
• Commission européenne, Guidelines on transparency obligations for providers and deployers of certain AI systems.
• Commission européenne, Transparency obligations under Article 50 of the AI Act.
• AI Act Service Desk, When does enforcement start?.
• AI Act Service Desk, Annex III — High-risk AI systems.