IA Act et enseignement supérieur : ce que votre école doit savoir

L'IA Act entre en application : les écoles sont concernées

Le règlement européen sur l'intelligence artificielle (IA Act, règlement UE 2024/1689) est le premier cadre juridique au monde à réglementer les systèmes d'IA par niveau de risque. Son application a débuté en février 2025 pour les pratiques interdites, et les obligations concernant les systèmes à haut risque — dont certains utilisés dans l'éducation — entreront en vigueur en août 2026 (Source : Journal Officiel de l'UE, règlement 2024/1689, art. 113).

Pour les établissements d'enseignement supérieur, ce n'est pas un sujet abstrait. Dès qu'une école utilise un chatbot d'admissions, un outil de scoring de candidatures, un système de détection de plagiat par IA ou un algorithme de recommandation de formations, elle déploie un système d'IA au sens du règlement. La question n'est pas de savoir si votre école est concernée — elle l'est. La question est de savoir dans quelle catégorie de risque tombent vos outils.

La classification des risques : où se situe votre école

L'IA Act classe les systèmes d'IA en quatre niveaux de risque. Chaque niveau implique des obligations différentes.

Risque inacceptable (interdit)

Sont interdits les systèmes de notation sociale généralisée, la manipulation subliminale, et l'exploitation des vulnérabilités des personnes. Dans le contexte éducatif, un système qui noterait les étudiants en fonction de leur comportement social global (assiduité aux événements, participation aux réseaux sociaux de l'école) pour décider de leur admission serait interdit (Source : IA Act, art. 5, paragraphe 1).

Ce scénario semble extrême, mais certaines pratiques de scoring « holistique » des candidatures s'en approchent. Si votre outil d'aide à la décision d'admission intègre des données comportementales non liées à l'aptitude académique, faites-le auditer.

Haut risque (obligations strictes)

C'est la catégorie la plus importante pour l'enseignement supérieur. L'Annexe III du règlement classe explicitement dans le haut risque les systèmes d'IA utilisés pour « déterminer l'accès ou l'admission à des établissements d'enseignement » (Source : IA Act, Annexe III, point 3a).

Concrètement, sont concernés :

• Les outils de présélection automatisée des candidatures : tout système qui filtre, classe ou score les dossiers de candidature sur la base de critères traités par un algorithme
• Les systèmes de détection de plagiat par IA qui influencent la notation ou l'évaluation
• Les algorithmes de placement ou d'orientation qui déterminent l'accès à des parcours spécifiques
• Les systèmes de notation automatisée qui produisent ou influencent une évaluation académique

Les obligations pour ces systèmes sont lourdes : système de gestion des risques, données d'entraînement documentées, transparence technique, contrôle humain, journalisation, et enregistrement dans la base de données européenne.

Risque limité (obligations de transparence)

Les chatbots d'admissions et d'information tombent dans cette catégorie. L'obligation principale est simple mais non négociable : informer l'utilisateur qu'il interagit avec un système d'IA (Source : IA Act, art. 50, paragraphe 1).

Concrètement, votre chatbot doit afficher clairement qu'il est un assistant IA, pas un humain. Un message du type « Je suis un assistant IA de [Nom de l'école]. Un conseiller humain est disponible sur demande » remplit cette obligation.

Sont aussi dans cette catégorie :

• Les systèmes de génération de contenu par IA (emails automatisés, descriptions de formations)
• Les systèmes de reconnaissance d'émotions (analyse de ton dans les entretiens vidéo — un sujet en forte croissance)
• Les outils de traduction automatique des contenus pédagogiques

Risque minimal (aucune obligation spécifique)

Les outils d'IA sans impact sur les droits fondamentaux : correcteurs orthographiques, filtres anti-spam, outils d'optimisation de planning. Aucune obligation réglementaire, mais les bonnes pratiques de transparence restent recommandées.

Le calendrier de mise en conformité

Les échéances sont échelonnées. Voici les dates qui concernent directement les écoles.

2 février 2025 — Entrée en vigueur des interdictions (pratiques à risque inacceptable). Si votre école utilise un système de notation sociale ou de manipulation, il doit être désactivé. C'est déjà effectif.

2 août 2025 — Obligations pour les modèles d'IA à usage général (GPAI). Concerne les fournisseurs de modèles comme OpenAI, Anthropic, Mistral — pas directement les écoles, mais les fournisseurs de vos outils IA devront se conformer. Exigez une déclaration de conformité de vos prestataires.

2 août 2026 — Obligations pour les systèmes à haut risque (Annexe III). C'est la date critique pour les écoles. Si vous utilisez un outil de présélection des candidatures ou de notation automatisée, il devra être conforme à cette date.

2 août 2027 — Extension aux systèmes à haut risque réglementés par des législations sectorielles spécifiques.

Reste 5 mois avant l'entrée en vigueur des obligations à haut risque. Si votre école n'a pas encore audité ses outils IA, le délai est serré mais pas insurmontable.

Les obligations concrètes pour chaque cas d'usage

Chatbot d'admissions (risque limité)

Les obligations sont proportionnées et réalistes.

Obligation 1 — Transparence : le chatbot doit s'identifier comme IA. Un bandeau permanent ou un message d'accueil clair suffit. Les utilisateurs ne doivent pas croire qu'ils échangent avec un humain.

Obligation 2 — Information sur le traitement des données : conformément au RGPD (qui s'applique en parallèle), le traitement des données collectées par le chatbot doit être documenté dans la politique de confidentialité. Notre guide RGPD pour les données étudiantes détaille ces obligations.

Obligation 3 — Possibilité de contact humain : le prospect doit pouvoir demander à parler à un humain à tout moment. Un bouton « Parler à un conseiller » doit être visible en permanence.

Coût de mise en conformité estimé : quasi nul si votre chatbot est déjà transparent. Comptez 2 à 5 jours de travail pour auditer, documenter et ajuster l'interface si nécessaire.

Outil de présélection des candidatures (haut risque)

Les obligations sont significativement plus lourdes.

Obligation 1 — Système de gestion des risques : documenter les risques liés à l'utilisation de l'outil (biais de sélection, discrimination indirecte, erreurs de classification), les mesures de mitigation, et les tests effectués.

Obligation 2 — Qualité des données : les données utilisées pour entraîner ou paramétrer l'outil doivent être pertinentes, représentatives et exemptes de biais connus. Si votre outil apprend sur les profils des étudiants admis historiquement, vérifiez qu'il ne reproduit pas les biais de sélection passés.

Obligation 3 — Documentation technique : un dossier technique décrivant le fonctionnement de l'outil, ses limites, ses performances et ses conditions d'utilisation.

Obligation 4 — Contrôle humain : un être humain doit pouvoir comprendre les sorties du système, décider de ne pas suivre sa recommandation, et interrompre son fonctionnement. Aucune décision d'admission ne peut être entièrement automatisée.

Obligation 5 — Journalisation : les entrées, les sorties et les décisions intermédiaires du système doivent être enregistrées et conservées pendant la durée prévue par le règlement (minimum 6 mois).

Obligation 6 — Enregistrement dans la base de données européenne : avant la mise sur le marché ou la mise en service, le système doit être enregistré dans la base de données de l'UE.

Coût de mise en conformité estimé : 15 000 à 50 000 EUR pour un audit complet, la documentation technique et la mise en place des processus de contrôle humain. Ce coût est principalement supporté par le fournisseur de l'outil, mais l'école (en tant que « déployeur » au sens du règlement) a aussi des obligations.

Détection de plagiat IA (haut risque si impact sur notation)

Si l'outil de détection de plagiat produit un résultat qui influence directement la notation ou la décision académique, il tombe dans le haut risque. Les obligations sont similaires à celles de la présélection des candidatures.

Le point critique ici est le taux de faux positifs. Les outils de détection de texte généré par IA affichent un taux de faux positifs de 5 à 15 % selon les études (Source : Stanford HAI, rapport sur les détecteurs d'IA, 2025). Un étudiant accusé à tort de plagiat IA subit un préjudice réel. Le contrôle humain n'est pas une option — c'est une obligation légale.

L'articulation avec le RGPD

L'IA Act ne remplace pas le RGPD — il s'y ajoute. Les deux réglementations se superposent sur plusieurs points.

Données personnelles traitées par l'IA : tout traitement de données personnelles par un système d'IA reste soumis au RGPD. Base légale, minimisation des données, droits d'accès et de suppression, analyse d'impact (AIPD) pour les traitements à risque.

Prise de décision automatisée : l'article 22 du RGPD interdit déjà les décisions produisant des effets juridiques fondées uniquement sur un traitement automatisé. L'IA Act renforce cette protection avec des exigences de transparence et de contrôle humain plus détaillées.

Double conformité : une école qui déploie un chatbot IA doit être conforme au RGPD (traitement des données de conversation) et à l'IA Act (transparence sur la nature IA du système). Les deux réglementations ne se contredisent pas — elles se complètent.

Pour approfondir la conformité RGPD spécifique aux données étudiantes, consultez notre guide dédié sur la protection des données étudiantes.

Checklist de mise en conformité en 10 points

1. Inventaire des systèmes IA : listez tous les outils utilisant de l'IA dans votre établissement (chatbot, CRM intelligent, scoring, détection de plagiat, recommandation).

2. Classification par niveau de risque : pour chaque outil, déterminez s'il est à risque minimal, limité, haut ou inacceptable selon les critères de l'Annexe III.

3. Audit des fournisseurs : demandez à chaque fournisseur d'outil IA sa déclaration de conformité à l'IA Act et son calendrier de mise en conformité.

4. Transparence des chatbots : vérifiez que tous les systèmes conversationnels s'identifient clairement comme IA et offrent une option de contact humain.

5. Contrôle humain sur les décisions : vérifiez qu'aucune décision d'admission, de notation ou d'orientation n'est entièrement automatisée. Un humain doit valider.

6. Documentation technique : pour les systèmes à haut risque, constituez ou obtenez du fournisseur le dossier technique complet.

7. Analyse des biais : testez vos outils de présélection sur la présence de biais (genre, origine géographique, type de lycée). Documentez les résultats et les corrections apportées.

8. Mise à jour de la politique de confidentialité : intégrez les informations sur les traitements IA dans votre politique de confidentialité existante.

9. Formation des équipes : formez les équipes admissions et pédagogiques aux obligations de l'IA Act qui les concernent directement (transparence, contrôle humain, signalement d'incidents).

10. Calendrier de revue : planifiez un audit annuel de conformité IA Act, aligné sur votre revue RGPD existante.

Les sanctions en cas de non-conformité

L'IA Act prévoit des amendes graduées : jusqu'à 35 millions EUR (7 % du CA) pour les pratiques interdites, 15 millions EUR (3 %) pour la non-conformité haut risque, et 7,5 millions EUR (1 %) pour les informations inexactes. Le risque réputationnel est au moins aussi préoccupant : une école sanctionnée pour non-conformité IA perd de la crédibilité sur sa capacité à former aux métiers du numérique.

Ce que les écoles doivent exiger de leurs fournisseurs IA

En tant que « déployeurs » au sens du règlement, les écoles partagent la responsabilité. Exigez de chaque fournisseur : une déclaration de conformité IA Act datée, la classification du risque avec justification, la documentation technique accessible, un engagement contractuel sur le contrôle humain et la transparence, un audit de biais documenté, et un plan de mise à jour réglementaire.

Pour comprendre comment l'IA influence la visibilité des écoles au-delà de la conformité, notre article sur les critères IA de recommandation des écoles explore le sujet en profondeur.

FAQ

Mon chatbot d'admissions est-il à haut risque ?

Non, sauf s'il prend des décisions d'admission autonomes. Un chatbot qui informe, répond aux questions et qualifie les prospects est classé « risque limité ». Il doit s'identifier comme IA et offrir un accès humain, mais n'est pas soumis aux obligations lourdes du haut risque. En revanche, si le chatbot décide automatiquement d'accepter ou de refuser une candidature, il bascule dans le haut risque.

L'IA Act s'applique-t-il aux écoles hors UE qui recrutent en Europe ?

Oui. Le règlement s'applique à tout système d'IA dont les sorties sont utilisées dans l'UE, quel que soit le lieu d'établissement du fournisseur ou du déployeur. Une école suisse ou britannique qui utilise un outil de scoring pour sélectionner des candidats résidant dans l'UE est soumise à l'IA Act.

Quel lien entre l'IA Act et le RGPD pour les données de candidature ?

Les deux réglementations s'appliquent simultanément. Le RGPD régit la collecte, le stockage et le traitement des données personnelles. L'IA Act ajoute des obligations sur la manière dont ces données sont utilisées par les systèmes d'IA (transparence, contrôle humain, audit de biais). Une conformité RGPD ne dispense pas d'une conformité IA Act, et réciproquement.

Combien de temps et de budget prévoir pour la mise en conformité ?

Pour une école utilisant un chatbot (risque limité) et un CRM avec scoring basique : 2 à 4 semaines de travail et 3 000 à 8 000 EUR en audit et ajustements. Pour une école utilisant un système de présélection automatisée (haut risque) : 2 à 4 mois et 15 000 à 50 000 EUR, dont une part significative facturée par le fournisseur de l'outil.