AI Act et vidéosurveillance : ce qui change pour les entreprises dès août 2026

Le règlement européen sur l'intelligence artificielle - AI Act (règlement UE 2024/1689) - est entré en vigueur le 1er août 2024. Premier cadre juridique mondial sur l'IA, il impose une nouvelle grille de lecture à tout projet de vidéosurveillance moderne intégrant de l'analyse algorithmique : reconnaissance d'objets, détection de comportements, lecture de plaques, comptage de personnes, ou recherche par requête en langage naturel.

À partir du 2 août 2026, l'essentiel du dispositif entre en application : obligations de transparence (article 50), gouvernance, et - selon le calendrier issu du Digital Omnibus du 7 mai 2026 - application progressive des obligations pour les systèmes à haut risque. Pour les RSSI, DPO, directeurs sûreté et dirigeants, le moment est venu de cartographier les caméras IA déployées, d'évaluer leur niveau de risque, et de préparer une démarche de conformité documentée. Ce guide W3CAM décrypte l'AI Act appliqué à la vidéosurveillance professionnelle en 2026.

L'AI Act suit une application progressive sur quatre ans, structurée pour laisser aux entreprises le temps de s'adapter aux obligations les plus contraignantes. Quatre dates clés rythment ce déploiement.

Le 2 février 2025, l'article 5 sur les pratiques d'IA interdites et l'article 4 sur la littératie en IA sont devenus pleinement applicables. Toute pratique listée à l'article 5 (reconnaissance faciale temps réel dans l'espace public, inférence d'émotions au travail, catégorisation biométrique sensible…) est désormais illégale et passible de sanctions immédiates.

Le 2 août 2025, les obligations applicables aux modèles d'IA à usage général (GPAI : GPT, Claude, Mistral, Gemini…) sont entrées en vigueur pour les fournisseurs de ces modèles. Cela impacte indirectement les caméras IA qui intègrent ou s'appuient sur ces modèles.

Le 2 août 2026 marque l'entrée en application de l'essentiel du dispositif : obligations de transparence (article 50), structure de gouvernance, sanctions, et  selon le plan initial obligations pour les systèmes à haut risque de l'Annexe III. Toutefois, le Digital Omnibus on AI, accord politique provisoire conclu entre le Conseil et le Parlement européen le 7 mai 2026, prévoit de reporter les obligations applicables aux systèmes à haut risque de l'Annexe III au 2 décembre 2027. Ce report vise à laisser le temps à la Commission européenne de publier les standards techniques harmonisés et les lignes directrices d'application. Au moment de la publication de ce guide, l'accord politique doit encore être confirmé par publication au Journal officiel de l'UE.

Le 2 août 2028, l'intégration complète prendra effet pour les systèmes d'IA composants de produits déjà soumis à harmonisation européenne (dispositifs médicaux, jouets, machines, ascenseurs). En résumé : pour la vidéosurveillance professionnelle, les pratiques interdites s'appliquent depuis 2025, les obligations de transparence sont applicables au 2 août 2026, et les obligations renforcées pour les systèmes à haut risque sont reportées à décembre 2027 - sous réserve de la confirmation du Digital Omnibus.

L'AI Act adopte une approche par les risques. Plus l'impact potentiel d'un système d'IA sur les droits fondamentaux ou la sécurité des personnes est élevé, plus les obligations sont strictes. La vidéosurveillance, parce qu'elle traite par essence des images de personnes, est concernée par les quatre niveaux selon les usages.

L'article 5 de l'AI Act liste les pratiques d'IA interdites sur l'ensemble du territoire de l'Union européenne, sans dérogation possible pour les acteurs privés. Cinq de ces interdictions concernent directement la vidéosurveillance.

La sanction pour violation de l'article 5 est la plus élevée prévue par l'AI Act : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial du groupe, le montant le plus élevé étant retenu. Aucune dérogation contractuelle ou consentement individuel ne peut lever ces interdictions.

L'Annexe III du règlement liste huit domaines dans lesquels les systèmes d'IA sont automatiquement classés à haut risque. Quatre d'entre eux concernent directement ou indirectement la vidéosurveillance : la biométrie (identification biométrique à distance dans les cas autorisés, catégorisation biométrique non sensible, reconnaissance des émotions hors lieux interdits), la gestion des infrastructures critiques (énergie, eau, transports), l'application de la loi, et la gestion des frontières.

Concrètement, une caméra qui réalise une identification biométrique de personnes (même différée, par comparaison avec une base interne) dans le cadre d'un contrôle d'accès, ou qui effectue une catégorisation par attributs personnels (couleur de vêtement, port de masque, accessoires) pour effectuer une recherche post-événement, peut entrer dans la catégorie haut risque. Les fonctions AcuSeek (Hikvision) et WizSeek (Dahua), qui permettent de rechercher dans les enregistrements par description textuelle d'attributs personnels (« femme en blouson noir avec un sac à dos rouge »), méritent une analyse cas par cas selon l'usage déployé.

Les obligations attachées au haut risque sont substantielles : système de gestion des risques documenté et continu (article 9), gouvernance des données (article 10), documentation technique complète (article 11, Annexe IV : 9 sections incluant description du système, architecture, métriques, monitoring post-marché), conservation des journaux (article 12), transparence et information des utilisateurs (article 13), supervision humaine (article 14), exactitude et robustesse (article 15), marquage CE et évaluation de conformité, et enregistrement dans la base de données européenne (article 49). Pour les déployeurs publics, une évaluation d'impact sur les droits fondamentaux (article 27) est obligatoire. La sanction en cas de non-conformité est de 15 millions d'euros ou 3 % du chiffre d'affaires mondial.

L'article 50 introduit des obligations de transparence applicables à tous les systèmes d'IA qui interagissent avec des personnes ou génèrent du contenu, indépendamment de leur niveau de risque. Pour la vidéosurveillance, cela se traduit concrètement par plusieurs exigences applicables à partir du 2 août 2026.

Les personnes filmées doivent être informées de manière claire et accessible qu'elles sont soumises à un dispositif intégrant de l'analyse algorithmique. La simple signalétique « vidéosurveillance » devient insuffisante : les panneaux devront mentionner explicitement la présence d'un traitement algorithmique automatisé et son objet (filtrage humain/véhicule, comptage, détection de comportements…). La CNIL a déjà publié des recommandations en ce sens.

Les systèmes de reconnaissance d'émotions et de catégorisation biométrique (dans les cas autorisés hors article 5) doivent informer explicitement les personnes concernées. Toute image ou vidéo manipulée par IA (deepfake) qui ressemble à une personne réelle doit être clairement identifiée comme telle. Les contenus générés par IA doivent être marqués de manière lisible par machine (watermarking) : pour cette obligation spécifique, le Parlement européen propose une application au 2 novembre 2026 dans le cadre du Digital Omnibus, mais les autres obligations de l'article 50 restent attendues au 2 août 2026. Sanction en cas de manquement : jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial.

L'AI Act distingue plusieurs rôles dans la chaîne de valeur d'un système d'IA. Identifier votre position est la première étape de toute analyse de conformité - vos obligations en dépendent directement.

Point important : un déployeur peut basculer en statut de fournisseur s'il modifie substantiellement un système d'IA, s'il le commercialise sous son propre nom, ou s'il change la destination prévue. Un intégrateur qui personnalise une analyse de comportement pour un usage non prévu par le constructeur peut ainsi devenir fournisseur au sens de l'AI Act.

L'AI Act ne remplace aucun texte existant, il s'y ajoute. Le RGPD reste applicable à tout traitement de données personnelles, y compris lorsqu'il est réalisé par un système d'IA. La CNIL conserve son rôle d'autorité de contrôle pour le volet protection des données, et a déjà publié plusieurs lignes directrices sur les « caméras augmentées ». Une analyse d'impact (AIPD) au sens de l'article 35 du RGPD est obligatoire pour toute caméra IA réalisant une surveillance systématique à grande échelle d'une zone accessible au public.

Le Code du travail impose des obligations spécifiques aux employeurs déployant de la vidéosurveillance algorithmique dans leurs locaux : information préalable du CSE, information individuelle des salariés sur l'existence et les modalités du dispositif, respect du principe de proportionnalité, interdiction de la surveillance permanente du poste de travail. Les fonctions IA modifient la nature du traitement et imposent une nouvelle consultation lorsqu'elles sont activées.

La directive NIS 2 (transposition française en cours via le projet de loi Résilience) impose pour sa part des obligations de cybersécurité aux entités essentielles et importantes. Les caméras IA étant des équipements connectés, elles entrent dans le périmètre NIS 2 sous l'angle de la cybersécurité. Les sanctions des trois cadres sont cumulables : un même incident peut donner lieu à des procédures parallèles CNIL, autorité AI Act et ANSSI. Le principe non bis in idem ne s'applique pas entre ces régimes distincts.

L'évaluation se fait cas d'usage par cas d'usage, et non globalement sur le parc de caméras. Une même caméra DeepinView ou WizMind peut relever du risque limité dans une configuration et du haut risque dans une autre.

Au-delà du cadre théorique, voici une démarche structurée à engager dès maintenant pour préparer les échéances 2026-2027.

L'AI Act est doté du régime de sanctions le plus dissuasif du droit numérique européen, supérieur à celui du RGPD lui-même. Trois niveaux d'amendes administratives sont prévus.

Le montant le plus élevé entre la somme fixe et le pourcentage du CA est retenu. Pour les PME et les start-ups, les sanctions sont proportionnellement plafonnées pour ne pas mettre en péril leur existence. En France, les autorités désignées pour le contrôle de l'AI Act incluent la CNIL (volet protection des données), la DGCCRF (volet produits et concurrence) et l'Arcom (volet contenu et médias).

Le déploiement de caméras IA en 2026 ne peut plus se résumer au choix d'un modèle dans un catalogue. La superposition AI Act + RGPD + Code du travail + NIS 2 + CRA exige une approche structurée, documentée et auditable. Trop d'entreprises continuent d'activer des fonctions IA avancées (AcuSeek, WizSeek, comptage par attributs, détection de comportements) sans avoir préalablement qualifié leur niveau de risque ni mis en place les obligations correspondantes  s'exposant à des sanctions cumulables jusqu'à 35 millions d'euros.

Distributeur officiel des cinq marques majeures du marché - Hikvision, Dahua, Axis, Hanwha, Ajax - W3CAM connaît finement les capacités IA réelles de chaque gamme : AcuSense vs DeepinView vs DeepinViewX, WizSense vs WizMind vs Xinghan, ACAP vs Object Analytics, Wisenet 7 vs Wisenet 9. Nos ingénieurs avant-vente vous aident à activer les bonnes fonctions IA pour votre besoin réel, en évitant les déploiements à haut risque non justifiés et les pratiques interdites par l'article 5.

Nous assurons une veille réglementaire permanente sur l'AI Act, le Digital Omnibus, les standards harmonisés européens, les lignes directrices de la Commission européenne, les recommandations CNIL et le droit du travail. Vous bénéficiez du paiement en 4× sans frais, d'une garantie « satisfait ou remboursé » sous 15 jours, et d'un support technique gratuit. Contactez nos experts W3CAM pour qualifier le niveau AI Act de votre projet et choisir les caméras et fonctions IA adaptées à votre cas d'usage.

AI Act : préparez vos caméras IA dès aujourd'hui pour les échéances 2026-2027 avec l'expertise W3CAM des 5 marques majeures !