AI Act au Luxembourg : vos obligations et le calendrier

Au Grand-Duché, l’AI Act arrive rarement par le Journal officiel. Il arrive par le questionnaire d’un client bancaire, par la compliance d’une société de gestion ou par un DPO qui demande si l’outil de tri des CV relève du « haut risque ».

J’y réponds avec le texte européen tel que l’omnibus l’a modifié, puis avec ce qui n’existe qu’ici : le projet de loi n° 8476 et l’avis du Conseil d’État qui le freine. Le volet données personnelles a son guide RGPD pour le Luxembourg.

Fournisseur ou déployeur : le rôle d’une société luxembourgeoise

L’article 3 distingue deux rôles. Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son nom. Le déployeur l’utilise sous sa propre autorité, hors usage purement personnel.

Une fiduciaire qui fait résumer des bilans par Copilot est déployeur, comme une commune qui traduit ses courriers. La frontière bouge avec l’article 25 : modifier la destination d’un outil généraliste pour qu’il devienne un système à haut risque fait de vous son fournisseur.

C’est le piège que je guetterais dans une banque de la place. Passer par une passerelle d’entreprise reste un usage ; un outil maison, ou un modèle chargé de noter la solvabilité d’un client, fait changer de rôle (article 16).

Pratiques interdites : l’article 5 face aux outils de bureau

Les interdits s’appliquent depuis le 2 février 2025 et pèsent le plus lourd en amende. Pour un employeur, le point f) compte d’abord : inférer les émotions d’une personne sur le lieu de travail est interdit, sauf raison médicale ou de sécurité.

L’omnibus ajoute deux interdits au 2 décembre 2026 : les images intimes réalistes d’une personne identifiable sans son consentement, et le matériel pédopornographique. Le déployeur n’est visé que s’il se sert de l’outil dans ce but. Une agence qui crée des visuels de campagne n’est pas visée.

Un module « qualité » qui mesure le stress des conseillers au téléphone, je le couperais avant même de lire son contrat. La CNPD n’a d’ailleurs pas besoin de l’AI Act pour s’y intéresser : ses moyens actuels sont décrits dans notre guide sur la CNPD et l’IA.

Annexe III et haut risque : banque, fonds, RH et assurance

Le haut risque ne dépend pas de l’outil, mais de son usage. L’annexe III vise notamment le recrutement et la gestion du personnel (point 4), la solvabilité des particuliers (point 5 b) et la tarification des assurances vie et maladie (point 5 c).

Pour la gestion de fonds, la liste dit peu : choisir des titres n’y figure pas. Les banques ont un cas net, la note de solvabilité ; leurs usages courants sont sur notre page banques. L’article 6, paragraphe 3, écarte certaines tâches préparatoires, jamais le profilage.

Côté assurance, la ligne sépare vie et maladie d’un côté, auto et habitation de l’autre ; le contexte du secteur est sur notre page assurances. Le point 4 b) m’inquiète davantage que le crédit : un tableau de bord qui classe les conseillers d’après leurs ventes y entre dès qu’il sert à les évaluer.

Un CV traîne souvent un matricule ou un numéro de sécurité sociale français : le dossier d’un frontalier en contient plusieurs, que l’outil de tri n’a pas besoin de voir.

Transparence de l’article 50 : chatbot, voix de synthèse, article publié

L’article 50 s’applique depuis le 2 août 2026. Le chatbot qui s’annonce comme une IA et le marquage technique des contenus générés pèsent sur le fournisseur ; l’omnibus laisse jusqu’au 2 décembre 2026 aux systèmes génératifs déjà sur le marché pour le marquage.

Le déployeur signale ses hypertrucages : image, son ou vidéo qui imite une personne, un lieu ou un événement réels. Idem pour un texte informant le public d’une question d’intérêt public, sauf contrôle éditorial humain. Au Luxembourg, ce volet irait à l’ALIA.

Je ne publierais pas la voix clonée d’un associé, même pour un message de vœux, sans une mention lisible dès la première seconde. Les règles internes qui fixent qui valide ces contenus ont leur place dans une charte IA d’entreprise.

Calendrier de l’AI Act : ce que l’omnibus a décalé à 2027 et 2028

Le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA, a été publié au Journal officiel le 24 juillet 2026 et s’applique depuis le 27 juillet. Le Parlement européen l’avait voté le 16 juin, le Conseil le 29 juin.

Rien ne bouge pour ce qui court déjà : interdits et maîtrise de l’IA depuis février 2025, modèles à usage général et gouvernance depuis août 2025, le reste depuis août 2026. L’article 4 a été réécrit au passage ; il est traité dans notre guide sur ChatGPT au Luxembourg.

Le haut risque, lui, recule : seize mois pour l’annexe III, un an pour les produits de l’annexe I. Seize mois, c’est court pour un projet de scoring : je n’attendrais pas 2027 pour ouvrir l’article 26.

Qui contrôle l’AI Act au Luxembourg : CNPD, CSSF, CAA ou ALIA

Le projet de loi n° 8476 fait de la CNPD l’autorité de surveillance du marché de droit commun et le point de contact unique. Exceptions prévues : CSSF, Commissariat aux assurances, ALIA, ILNAS pour les produits, ILR pour certaines infrastructures critiques, agence des médicaments pour les dispositifs médicaux, Autorité de contrôle judiciaire pour les juridictions.

Le débat porte sur la CSSF. Le texte lui confie tout système d’IA d’une entité qu’elle surveille. Dans son avis du 17 janvier 2025, elle juge ce périmètre trop large : elle accepte de suivre toutes ses entités, certains PSF et POST Luxembourg compris, mais pour le seul haut risque lié au service financier.

L’outil RH d’une banque montre l’enjeu : CSSF selon le texte, CNPD si l’on exige un lien direct avec le service financier. J’écrirais donc sa documentation pour un lecteur qui ne connaît pas la banque : c’est peut-être la CNPD qui l’ouvrira. Le point de vue du superviseur est dans notre guide CSSF et IA.

Pour les droits fondamentaux, une autre liste existe depuis le 31 octobre 2024 : ALIA, CNPD et Inspection du travail et des mines (article 77). Depuis l’omnibus, l’ITM obtient la documentation d’un outil de tri des CV par l’autorité de surveillance du marché, qui peut la réclamer au déployeur.

Projet de loi 8476 : ce que le Conseil d’État a bloqué

Au 10 novembre 2026, le dossier est toujours « en commission » à la Chambre des députés, avec Félix Eischen pour rapporteur. Son parcours depuis le dépôt est retracé dans notre guide sur ChatGPT au Luxembourg.

Le dernier document versé, l’avis du Conseil d’État du 10 juillet 2026, impose une réécriture. Il formule des oppositions formelles sur quatre articles et refuse la dispense du second vote tant que la loi créant l’agence des médicaments (projet n° 8491) n’est pas en vigueur.

Ce verrou m’agace : il lie le calendrier de l’IA à celui d’une agence de santé. L’Autorité de la concurrence, dans son avis du 3 avril 2025 (document n° 8476/07), demandait en plus que les autorités de surveillance l’informent « sans tarder ».

Amendes de l’AI Act : plafonds de l’article 99 et procédure au Luxembourg

Les plafonds viennent du règlement, article 99, et le projet n° 8476 les recopie à son article 16. Le Conseil d’État demande d’ailleurs de supprimer cette copie, inutile pour un règlement directement applicable.

Au Luxembourg, le projet prévoit trois sanctions par ordre de gravité : avertissement, blâme, amende administrative. L’AED recouvrerait les amendes, sauf celles de la CSSF et du Commissariat aux assurances, qui les encaisseraient elles-mêmes. Les décisions seraient publiées et contestables devant le tribunal administratif.

Pour un cabinet d’avocats ou une banque, ces amendes s’ajoutent à un risque plus ancien : le secret que protège le Code pénal ne connaît pas de report à 2027. C’est par lui que je trierais d’abord ce qui peut partir vers un outil.

Dossiers RH et crédit sous l’AI Act : l’étiquette avant le prompt

Un outil de tri des CV ou de scoring relève de l’AI Act, quoi que vous fassiez du texte. Les notes, CV et dossiers que vos équipes collent dans un assistant relèvent, eux, du RGPD dès aujourd’hui. Les deux chantiers avancent mieux séparés.

Le second se règle en partie avant l’envoi. Nonimo pour le Luxembourg substitue des étiquettes au nom du candidat, à son e-mail, à son matricule ou à l’IBAN d’un emprunteur, sur votre ordinateur, puis rétablit les données d’origine quand la réponse arrive.

Le matricule est le premier champ que j’enlèverais d’une note RH : aucun assistant n’en a besoin, et ses 13 chiffres disent la date de naissance.

Un document complet, PDF ou Word, se traite plutôt avec nos outils qui masquent les fichiers.

Pour une équipe entière, les formules Nonimo au Luxembourg sont détaillées à part.

Pour des outils internes branchés sur les API des fournisseurs, la même règle passe par la passerelle Nonimo. Le projet de loi peut encore changer de répartition : avant de signer pour un outil RH ou de crédit, faites valider sa classification par un avocat.

Sources

• Règlement (UE) 2024/1689 sur l’intelligence artificielle, EUR-Lex : articles 3, 5, 6, 25, 26, 50, 74, 99, 111, 113 et annexe III.
• Règlement (UE) 2026/1744, omnibus numérique sur l’IA, EUR-Lex : JO du 24 juillet 2026, vote du Parlement le 16 juin et du Conseil le 29 juin, nouvelles dates des articles 5, 111 et 113, article 99, paragraphe 6 bis.
• Commission européenne, « Législation sur l’IA » : accord politique du 7 mai 2026, entrée en vigueur de l’omnibus le 27 juillet 2026.
• Chambre des députés, dossier n° 8476 : statut « en commission », rapporteur, dernière mise à jour du 10 juillet 2026.
• Dossier consolidé n° 8476 : texte du projet (articles 2, 7, 9, 16 et 17), avis de la CSSF (17 janvier 2025), de l’Autorité de la concurrence (3 avril 2025) et du Conseil d’État (n° 62.024, 10 juillet 2026).
• Autorités luxembourgeoises de l’article 77 : ALIA, CNPD et ITM, liste du 31 octobre 2024.
• Gouvernement, « L’AI Act en action » : en janvier 2026, les régulateurs restent « proposés » par le projet n° 8476.

Consulté le 10 novembre 2026.