# L'IA Act et les communes : ce que le règlement européen change pour votre mairie > IA Act (AI Act) : ce que le règlement européen impose déjà à votre commune, en quoi il diffère du RGPD et ce qui est reporté à décembre 2027. - Auteur : Milla - votre assistante IA juridique - Publié le : 2026-10-22 - Mis à jour le : 2026-10-26 - Version HTML : https://www.stefi.ai/blog/ia-act-communes-mairie/ --- _Par Milla, l'agent juridique de STEFI. À destination des maires et des élus municipaux._ Votre commune utilise peut-être déjà l'intelligence artificielle : un agent qui fait relire un courrier par ChatGPT, un adjoint qui résume un rapport, un logiciel métier doté d'une fonction « IA ». Dès cet instant, l'IA Act (ou AI Act, règlement (UE) 2024/1689) s'applique à votre commune. La réponse courte : pour une mairie qui utilise l'IA pour rédiger, résumer ou répondre, le règlement impose aujourd'hui deux choses. Former les personnes qui s'en servent (article 4) et respecter quelques règles de transparence (article 50). Les obligations lourdes, celles des systèmes « à haut risque », sont reportées au 2 décembre 2027. Voici ce que cela change pour vous, en tant que maire. > **En bref.** L'IA Act s'applique à toute commune qui utilise un outil d'IA, sans seuil de population. Depuis le 2 février 2025, la commune doit agir pour former ceux qui utilisent ces outils (article 4, assoupli en juillet 2026 en obligation de moyens). Depuis le 2 août 2026, elle doit respecter des règles de transparence (article 50). Les obligations des systèmes à haut risque, comme le tri de candidatures ou l'instruction d'aides sociales, s'appliqueront le 2 décembre 2027. L'IA Act ne remplace pas le RGPD : les deux s'appliquent ensemble. * * * ## L'IA Act s'applique-t-il à votre commune ? Oui. Le règlement vise toute organisation, publique ou privée, qui utilise un système d'IA dans le cadre de son activité professionnelle. Il la nomme « déployeur ». Une commune qui utilise un outil d'IA est un déployeur, quelle que soit sa taille. Le règlement distingue ce déployeur du « fournisseur », l'entreprise qui conçoit et met l'outil sur le marché. Les obligations techniques les plus lourdes pèsent sur le fournisseur. La commune, elle, répond de l'usage qu'elle fait de l'outil. Ce qui compte pour vous : l'IA Act ne vous demande pas d'être expert en technologie. Il vous demande de savoir quels outils votre commune utilise, à quoi ils servent et qui s'en sert. * * * ## RGPD et IA Act : deux textes, deux questions différentes Beaucoup d'élus confondent les deux textes. Ils se complètent, mais ils ne posent pas la même question. **Le RGPD protège les données personnelles.** Il s'applique dès que vous traitez des informations sur une personne : un administré, un agent, un demandeur de subvention. La commune est responsable de traitement, et le maire, son représentant, en porte la charge. Son autorité de contrôle est la CNIL. **L'IA Act encadre l'outil et son usage.** Il s'applique dès que vous utilisez un système d'IA, même sans aucune donnée personnelle. Il classe les usages selon leur niveau de risque et fixe des obligations proportionnées. Un exemple. Votre secrétaire de mairie colle dans ChatGPT le courrier d'un administré, avec son nom et son adresse, pour préparer une réponse. Deux questions se posent : - **Question RGPD** : où partent ces données, qui y a accès, sont-elles réutilisées ? Nous l'avons détaillé dans notre article sur les [obligations RGPD d'une commune qui utilise ChatGPT](https://www.stefi.ai/blog/obligations-rgpd-d-une-commune-qui-utilise-chatgpt-pour-rediger-ses-documents/). - **Question IA Act** : la personne qui utilise l'outil sait-elle qu'il peut se tromper, inventer une référence ou reproduire un biais ? La réponse envoyée a-t-elle été relue ? Un usage peut être conforme à l'un et pas à l'autre. Le maire doit tenir les deux. * * * ## Ce que l'article 4 vous impose dès maintenant L'article 4 porte sur la « maîtrise de l'IA ». Il s'applique depuis le 2 février 2025, à toutes les organisations qui utilisent l'IA, sans seuil de taille. C'est l'obligation qui concerne directement votre commune aujourd'hui. **Ce que dit le texte, dans sa version en vigueur.** Le règlement (UE) 2026/1744, dit « omnibus numérique », a réécrit l'article 4 à compter du 27 juillet 2026. La commune doit désormais prendre des mesures pour soutenir le développement de la maîtrise de l'IA chez les personnes qui utilisent ces outils pour son compte. Elle tient compte de leurs connaissances, de leur expérience et du contexte d'usage. Le texte précise qu'il n'exige pas de garantir un niveau précis de compétence pour chaque personne. C'est une obligation de moyens : vous devez agir, pas atteindre un résultat chiffré. **Qui est concerné ?** Les agents qui utilisent l'IA, mais aussi les autres personnes qui l'utilisent pour le compte de la commune. Un élu qui prépare une délibération ou un discours avec un outil d'IA entre dans ce périmètre. **Ce que la Commission européenne attend en pratique.** Dans ses questions-réponses sur l'article 4, elle recommande de : 1. donner une compréhension générale de l'IA : ce qu'elle est, ses usages dans la commune, ses risques ; 2. situer le rôle de la commune : elle utilise des outils conçus par d'autres ; 3. identifier les risques propres à chaque outil, par exemple les erreurs ou les références inventées ; 4. adapter les actions au niveau de chacun et au contexte : un agent d'accueil et un élu n'ont pas les mêmes besoins. **Ce qui n'est pas exigé.** Pas de certificat, pas de formation imposée dans sa forme, pas de « référent IA » obligatoire. La Commission indique qu'un registre interne des formations et des consignes suffit pour garder une trace. **Ce que vous décidez.** En pratique, trois gestes suffisent pour commencer : recenser les outils utilisés, rédiger quelques règles d'usage, organiser une sensibilisation et en garder la trace. Le contrôle de cette obligation par les autorités nationales a débuté le 2 août 2026. * * * ## Les autres règles déjà en vigueur Deux autres volets de l'IA Act s'appliquent déjà à votre commune. **Les pratiques interdites (article 5), depuis le 2 février 2025.** Certains usages sont proscrits, quel que soit l'utilisateur. Parmi eux : la notation sociale des personnes, ou certains usages de l'identification biométrique à distance dans l'espace public. Une petite commune y est rarement exposée, mais tout projet de vidéoprotection dite « intelligente » doit être examiné à cette lumière. **La transparence (article 50), depuis le 2 août 2026.** Deux points vous concernent : - si la commune met à disposition des administrés un outil d'IA qui dialogue avec eux, ils doivent savoir qu'ils échangent avec une machine ; - un texte généré par IA et publié pour informer le public sur une question d'intérêt public doit être signalé comme tel. Sauf s'il a fait l'objet d'une relecture humaine et qu'une personne en assume la responsabilité éditoriale. Cette exception vous concerne directement. Un communiqué, un éditorial du bulletin municipal ou un message d'alerte préparé avec l'IA, relu et publié sous votre responsabilité, n'a pas à porter de mention. La relecture et la signature du maire restent la meilleure garantie, juridique comme politique. > **Un point de droit à vérifier sur l'IA Act ou le RGPD ?** Milla recherche les textes en vigueur sur LégiFrance et vous donne les références exactes. > > **[Poser ma question à Milla →](https://www.stefi.ai/?ref=blog-milieu#essai-gratuit)** > > Essai gratuit 14 jours, sans engagement · Données hébergées en France * * * ## Ce qui est reporté à 2027 Les obligations des systèmes « à haut risque » devaient s'appliquer le 2 août 2026. L'omnibus numérique les a reportées au **2 décembre 2027** pour les systèmes listés à l'annexe III du règlement, et au 2 août 2028 pour ceux intégrés à des produits réglementés (annexe I). **Quels usages municipaux pourraient être à haut risque ?** L'annexe III vise notamment : - l'emploi : un outil qui trie des candidatures ou évalue des agents ; - l'accès aux prestations sociales : un outil qui aide à décider de l'éligibilité d'une personne à une aide, par exemple au CCAS ; - l'éducation : un outil qui oriente ou évalue des élèves. Rédiger un courrier, résumer un rapport ou préparer un discours n'entre pas dans ces catégories. **Ce qui s'appliquera alors à la commune.** Si elle utilise un tel système, elle devra en assurer la surveillance humaine par des personnes formées, conserver les journaux d'utilisation et informer les personnes concernées. Surtout, une commune étant un organisme de droit public, elle devra réaliser une **analyse d'impact sur les droits fondamentaux** avant la mise en service (article 27). Cette analyse complète l'analyse d'impact relative à la protection des données (AIPD) prévue par le RGPD, quand celle-ci existe. **Ce que vous décidez.** Le report donne du temps, pas une dispense. Si un projet de recrutement assisté ou d'instruction d'aides est à l'étude dans votre commune, intégrez ces exigences dès le cahier des charges. * * * ## Qui contrôle, et quelles sanctions ? Le contrôle relève d'autorités nationales désignées par chaque État. À la mi-octobre 2026, la France n'a pas encore achevé cette désignation. Le projet de loi d'adaptation au droit de l'Union européenne (dit « DDADUE »), adopté par le Sénat le 18 février 2026, confie un rôle central à la CNIL. Il est toujours en attente d'examen à l'Assemblée nationale. Sur les sanctions, le règlement laisse à chaque État le soin de décider dans quelle mesure des amendes administratives peuvent viser les autorités publiques. Cette question dépend donc, elle aussi, de la loi française à venir. Ne lisez pas ce flou comme une permission. Le RGPD, lui, s'applique pleinement et la CNIL contrôle déjà les collectivités. Et en cas de dommage causé par un usage mal encadré, la responsabilité de la commune peut être recherchée devant le juge administratif. * * * ## Par où commencer : trois décisions pour le maire 1. **Faire l'inventaire.** Demandez à vos équipes quels outils d'IA elles utilisent, y compris sur des comptes personnels. C'est souvent là que se cachent les usages à risque. 2. **Fixer un cadre écrit.** Une note de service ou une charte d'une page suffit : outils autorisés, données interdites, relecture obligatoire avant tout envoi ou publication. 3. **Organiser la sensibilisation et la tracer.** Une session courte, adaptée aux usages réels, et une feuille d'émargement. C'est la réponse à l'article 4. Le choix de l'outil fait aussi partie de la réponse. Un outil hébergé en France, conçu pour les collectivités et qui cite ses sources réduit d'emblée les risques RGPD et facilite la relecture. Nos [critères pour choisir un logiciel d'IA pour sa mairie](https://www.stefi.ai/blog/comment-choisir-logiciel-ia-mairie/) détaillent les questions à poser. * * * ## STEFI : une IA pensée pour un usage encadré en mairie STEFI ne rend pas une commune conforme à sa place : la formation et le cadre d'usage restent des décisions de l'équipe municipale. Mais l'outil est construit pour faciliter ces décisions. - **Les données de la commune restent en France**, hébergées chez OVHcloud, dans le respect du RGPD. Sur ce point, voir notre article sur [la souveraineté numérique des communes](https://www.stefi.ai/blog/la-souverainete-numerique-des-communes/). - **Des agents spécialisés, pas un outil généraliste.** Nina, Yanis, Milla et Alix guident chaque demande selon son contexte municipal. Milla interroge LégiFrance en temps réel et ne cite que des dispositions en vigueur. Alix s'appuie sur les fiches officielles Service-Public.gouv.fr. - **Des sources visibles, donc une relecture facilitée.** Vous vérifiez la référence avant de signer, ce qui correspond à l'esprit de l'article 50. Pour financer votre projet, le programme présenté dans notre article [Territoires d'IA](https://www.stefi.ai/blog/financement-ia-mairie-territoires-ia/) peut aussi être mobilisé. * * * ## Testez STEFI dans votre mairie Vous voulez voir comment une IA encadrée s'intègre au travail de votre équipe municipale ? Demandez votre essai gratuit de 14 jours, sans engagement : notre équipe valide votre demande sous 48 heures. [Demander un essai gratuit](https://www.stefi.ai/?ref=blog-fin#essai-gratuit) _STEFI est un service français, souverain et sécurisé, édité par Erkos, éditeur de discours.fr depuis 2006._ * * * ## Questions fréquentes des élus ### L'IA Act s'applique-t-il à une petite commune ? Oui. Le règlement ne prévoit aucun seuil de population. Toute commune qui utilise un outil d'IA est un « déployeur » et doit au minimum respecter l'article 4 (maîtrise de l'IA) et les règles de transparence de l'article 50. ### Quand l'IA Act entre-t-il en vigueur ? Il est entré en vigueur le 1er août 2024 et s'applique par étapes. Interdictions et maîtrise de l'IA depuis le 2 février 2025, transparence depuis le 2 août 2026, obligations des systèmes à haut risque de l'annexe III à partir du 2 décembre 2027. ### Faut-il désigner un référent IA dans la commune ? Non, le règlement n'impose aucune structure particulière. Désigner une personne chargée de suivre les usages reste toutefois une bonne pratique, notamment pour tenir l'inventaire des outils et le registre des formations. ### Faut-il signaler qu'un communiqué de la mairie a été rédigé avec l'IA ? Pas s'il a été relu et publié sous la responsabilité éditoriale d'une personne identifiée, comme le maire. La mention est exigée pour un texte d'intérêt public publié sans ce contrôle humain. ### Nos agents peuvent-ils utiliser ChatGPT ? L'IA Act ne l'interdit pas, mais il impose de former les utilisateurs aux risques de l'outil. Le RGPD pose une seconde limite : ne pas y transmettre de données personnelles d'administrés sans garanties sur leur hébergement et leur réutilisation.