L’article 87 de l’AI Act : un tournant pour les entreprises
Lorsqu’elles préparent leur mise en conformité avec l’AI Act, les entreprises concentrent naturellement leurs efforts sur les exigences les plus médiatisées : classification des systèmes d’IA selon leur niveau de risque, évaluations de conformité, obligations de transparence ou documentation technique.
Cette approche laisse toutefois dans l’ombre une disposition qui pourrait devenir l’un des principaux leviers d’application du règlement : l’article 87.
En quelques lignes seulement, cet article relie l’AI Act au dispositif européen de protection des lanceurs d’alerte. Pour les entreprises présentes en France, où le cadre juridique des lanceurs d’alerte est déjà l’un des plus protecteurs d’Europe, cette articulation mérite une attention particulière.
Que prévoit l’article 87 de l’AI Act ?
Intitulé « Signalement des violations et protection des personnes qui les signalent », l’article 87 de l’AI Act, prévoit que la Directive (UE) 2019/1937 sur la protection des lanceurs d’alerte s’applique également aux violations du règlement. En d’autres termes, toute personne signalant un manquement à l’AI Act bénéficie des garanties offertes par le droit européen en matière de protection des lanceurs d’alerte. Le considérant 172 le confirme explicitement.
Les conséquences sont loin d’être théoriques. Qu’il s’agisse du recours à une pratique d’IA interdite, de la mise sur le marché d’un système d’IA à haut risque non conforme ou du non-respect des obligations de transparence, une violation de l’AI Act peut désormais faire l’objet d’un signalement dans le cadre du dispositif européen de protection des lanceurs d’alerte. Ces manquements rejoignent ainsi d’autres domaines déjà couverts, tels que les services financiers, la sécurité des produits, la protection des données ou encore le droit de l’environnement.
Concrètement, cela signifie que vos collaborateurs, mais aussi vos prestataires, fournisseurs, candidats à un emploi ou toute autre personne protégée par la directive peuvent signaler des pratiques liées à l’IA qu’ils estiment contraires à l’AI Act. Ce signalement peut être effectué par les canaux internes de l’entreprise ou directement auprès des autorités compétentes. Dans tous les cas, toute mesure de rétorsion à leur encontre est interdite.
Petit rappel sur la Directive européenne relative à la protection des lanceurs d’alerte
Adoptée en octobre 2019, la Directive (UE) 2019/1937 établit un socle commun de protection pour les personnes qui signalent des violations du droit de l’Union européenne. Elle repose sur quatre principes essentiels :
Une protection qui dépasse largement les seuls salariés
Le dispositif couvre un cercle beaucoup plus large de personnes : anciens employés, candidats à un emploi, prestataires, sous-traitants, fournisseurs, actionnaires ou encore toute personne ayant aidé un lanceur d’alerte dans le cadre de son signalement.
Des dispositifs de signalement obligatoires
Les entreprises du secteur privé comptant au moins 50 salariés doivent mettre en place des canaux de signalement internes qui garantissent la confidentialité des échanges. Les États membres sont aussi tenus de désigner des autorités compétentes chargées de recevoir les signalements effectués par voie externe.
Une protection renforcée contre les représailles
Licenciement, rétrogradation, harcèlement, mise à l’écart ou toute autre mesure de rétorsion sont interdits. La directive prévoit des mécanismes de protection et de réparation pour les lanceurs d’alerte. Dans de nombreux États membres, elle instaure également un renversement de la charge de la preuve : c’est à l’employeur de démontrer qu’une mesure prise à l’encontre du lanceur d’alerte est étrangère au signalement.
Plusieurs voies de signalement possibles
Les lanceurs d’alerte peuvent effectuer un signalement par les canaux internes de leur organisation ou directement auprès des autorités compétentes. Dans certaines situations, notamment en cas de risque imminent pour l’intérêt général ou de crainte légitime de représailles, ils peuvent aussi rendre les informations publiques tout en conservant le bénéfice de leur protection.
La directive fixe toutefois des normes minimales. Chaque État membre l’a donc transposée dans son droit national avec certaines spécificités. En France, cette transposition s’est traduite par un régime parmi les plus protecteurs d’Europe.
France : un cadre déjà bien établi avec les lois Sapin II et Waserman
La France n’a pas attendu Bruxelles pour encadrer la protection des lanceurs d’alerte. Dès le 9 décembre 2016, la loi Sapin II a instauré un statut général du lanceur d’alerte, faisant du pays l’un des précurseurs en Europe sur ce sujet.
La Directive (UE) 2019/1937 est venue renforcer ce dispositif. Sa transposition en droit français s’est concrétisée avec la loi Waserman du 21 mars 2022 (loi n° 2022-401), entrée en vigueur le 1er septembre 2022. Celle-ci s’est accompagnée d’une loi organique renforçant les missions du Défenseur des droits, ainsi que de plusieurs décrets d’application publiés en 2022.
Plusieurs caractéristiques du régime français méritent une attention particulière dans le contexte de l’AI Act :
Un champ d’application plus large que celui de la directive européenne
Le droit français adopte une définition particulièrement large du lanceur d’alerte. Sont ainsi protégées les personnes qui signalent, de bonne foi et sans contrepartie financière directe, un crime, un délit, une menace ou un préjudice pour l’intérêt général, ainsi qu’une violation d’un engagement international, du droit de l’Union européenne ou d’une disposition législative ou réglementaire.
L’AI Act, en tant que règlement européen directement applicable dans tous les États membres, relève donc naturellement de ce champ d’application. Autrement dit, les signalements portant sur des violations de l’AI Act pouvaient vraisemblablement déjà bénéficier de la protection offerte par le droit français, avant même que l’article 87 ne vienne l’affirmer expressément.
Le signalement interne n’est plus un passage obligé
La loi Waserman a supprimé l’obligation de suivre un parcours de signalement hiérarchisé. En France, un lanceur d’alerte peut désormais saisir directement un canal externe – une autorité compétente, le Défenseur des droits ou l’autorité judiciaire – sans être tenu d’effectuer un signalement préalable au sein de son organisation.
Pour les équipes en charge de la gouvernance de l’IA, les conséquences sont importantes. Elles ne peuvent plus partir du principe qu’elles seront les premières informées d’un problème de conformité. Un ingénieur, un data scientist ou tout autre employé ayant connaissance d’un manquement à l’AI Act peut choisir de s’adresser directement au régulateur.
Une protection étendue à l’entourage du lanceur d’alerte
Le droit français ne protège pas uniquement le lanceur d’alerte. Il étend également cette protection aux personnes et aux organisations qui l’accompagnent dans sa démarche, notamment les facilitateurs, y compris les personnes morales à but non lucratif, par exemple les syndicats et les associations, ainsi qu’aux personnes qui lui sont liées, telles que ses collègues ou les membres de sa famille.
Des dispositifs de signalement obligatoires à partir de 50 salariés
Les entreprises et les organismes publics employant au moins 50 salariés sont tenus de mettre en place un dispositif de recueil des signalements garantissant la confidentialité de l’identité du lanceur d’alerte. Cette obligation s’applique aussi aux communes de plus de 10 000 habitants.
Un rôle explicitement reconnu pour le Défenseur des droits
Le Défenseur des droits est désormais explicitement chargé d’informer, de conseiller, d’orienter et d’accompagner les lanceurs d’alerte. Cette mission s’applique également, le cas échéant, aux personnes qui signalent des violations présumées de l’AI Act ou d’autres pratiques liées à l’intelligence artificielle.
À quoi pourrait ressembler, concrètement, un signalement portant sur l’IA ?
Les entreprises françaises doivent s’attendre à voir émerger de nouveaux types de signalements. Un salarié pourrait, par exemple, signaler qu’un outil de présélection des candidats, pourtant qualifié de système d’IA à haut risque, est utilisé sans que les mesures obligatoires de gestion des risques et de supervision humaine aient été mises en œuvre.
Un data scientist pourrait signaler qu’un chatbot destiné aux clients ne respecte pas les obligations de transparence prévues par l’AI Act. Un prestataire pourrait dénoncer le déploiement, sur le lieu de travail, d’un système de reconnaissance des émotions relevant des pratiques interdites par le règlement. De son côté, un fournisseur pourrait informer les autorités que le marquage CE ou la documentation technique d’un produit intégrant de l’IA est incomplet ou trompeur.
Tous ces scénarios relèvent désormais de deux cadres juridiques qui se superposent : d’un côté, l’AI Act, qui prévoit des amendes pouvant atteindre 7 % du chiffre d’affaires mondial pour les violations les plus graves ; de l’autre, le droit français des lanceurs d’alerte, qui rend nulles les mesures de représailles et fait de l’entrave au signalement une infraction pénale.
Le nouvel outil de signalement de l’AI Act
S’il fallait une preuve que l’Union européenne considère les lanceurs d’alerte comme un levier essentiel de l’application de l’AI Act, la voici. En novembre 2025, la Commission européenne a lancé un outil de signalement dédié à l’AI Act : il s’agit d’une plateforme en ligne sécurisée qui permet de signaler directement à l’AI Office de l’Union européenne des violations présumées du règlement.
Conçu pour lever les principaux freins au signalement, cet outil permet d’effectuer une déclaration de manière anonyme, dans n’importe quelle langue officielle de l’Union européenne. Un salarié basé à Lyon peut ainsi transmettre un signalement en français directement à Bruxelles. Il est aussi possible d’y joindre des éléments de preuve, quel qu’en soit le format.
La confidentialité est garantie par un chiffrement certifié. Une messagerie sécurisée permet en outre à l’AI Office de demander des informations complémentaires sans jamais connaître l’identité du lanceur d’alerte. La Commission européenne a d’ailleurs précisé le public auquel cet outil s’adresse en priorité : les personnes qui, dans le cadre de leurs fonctions – salariés, prestataires, actionnaires ou membres des organes de direction – sont en contact avec des fournisseurs de systèmes d’IA. Autant d’acteurs susceptibles de détecter des manquements que les autorités de contrôle ne peuvent pas identifier depuis l’extérieur.
Les entreprises doivent en tirer deux enseignements, qui conduisent à une même exigence.
Premier enseignement : cet outil ne vous dispense en rien de vos propres obligations. Votre canal interne de signalement reste une exigence légale.
L’existence d’une plateforme européenne de signalement ne modifie en rien le droit français. Si votre entreprise compte au moins 50 salariés en France, elle demeure tenue de mettre à disposition un dispositif interne de recueil des signalements, sécurisé et garantissant la confidentialité, conformément au cadre défini par la loi Sapin II, renforcé par la loi Waserman. L’outil mis en place par la Commission européenne constitue une voie de signalement externe supplémentaire, et non un substitut à vos obligations de conformité. Autrement dit, il complète votre dispositif interne, sans jamais le remplacer.
Second enseignement : mieux vaut être informé en interne que par un régulateur.
Pour une entreprise, il est toujours préférable de découvrir un problème de conformité lié à l’IA par l’intermédiaire de son propre dispositif de signalement plutôt que par un courrier de l’AI Office européen ou d’une autorité française. Un signalement interne vous laisse le temps d’enquêter, de corriger la situation, de documenter les mesures prises et de démontrer votre bonne foi avant toute intervention des autorités. À l’inverse, lorsqu’un signalement est adressé directement au régulateur, celui-ci dispose déjà du dossier, parfois accompagné de preuves, et l’entreprise se retrouve d’emblée en position de devoir se défendre.
C’est pourquoi chaque obstacle, réel ou perçu, qui décourage le recours à votre dispositif interne devient aujourd’hui un facteur de risque. Un outil peu ergonomique, des doutes sur la confidentialité, la crainte de représailles ou l’absence d’une interface disponible dans la langue des employés peuvent inciter ces derniers à privilégier la solution proposée par Bruxelles : un canal de signalement anonyme, sécurisé, accessible en français et conçu pour simplifier au maximum la démarche.
Un calendrier réglementaire encore en évolution
Un point mérite toutefois une attention particulière : les obligations prévues par l’AI Act n’entrent pas en vigueur simultanément. Les interdictions relatives à certaines pratiques d’IA et les obligations en matière de maîtrise de l’IA s’appliquent depuis février 2025, tandis que les règles applicables aux modèles d’IA à usage général sont entrées en vigueur en août 2025. Les dispositions relatives aux lanceurs d’alerte, comme l’essentiel du dispositif de contrôle et de sanction, deviennent quant à elles applicables à compter du 2 août 2026.
Par ailleurs, les institutions européennes sont convenues en mai 2026 d’un accord politique sur le « Digital Omnibus on AI ». S’il est définitivement adopté, ce texte repoussera l’application des principales obligations relatives aux systèmes d’IA à haut risque (annexe III) à décembre 2027, et celle des obligations applicables aux systèmes d’IA intégrés à des produits réglementés à août 2028.
Deux conclusions s’imposent. D’abord, le report de certaines obligations ne réduit pas le risque de signalement. En France, les lanceurs d’alerte peuvent déjà signaler des violations des dispositions de l’AI Act en vigueur, notamment celles relatives aux pratiques interdites, à la maîtrise de l’IA et aux modèles d’IA à usage général. Les obligations de transparence viennent s’y ajouter à partir d’août 2026.
Ensuite, le calendrier réglementaire reste susceptible d’évoluer. Avant de fonder leur stratégie de conformité sur un éventuel report, les entreprises ont tout intérêt à vérifier l’état d’avancement des textes et les dates effectivement applicables.
Cinq priorités pour les entreprises opérant en France
1. Intégrez l’AI Act à votre dispositif d’alerte
Mettez à jour votre politique de signalement afin d’y inclure explicitement les violations potentielles de l’AI Act. Les personnes chargées de recevoir et d’analyser les alertes doivent également être formées à identifier les signalements liés aux systèmes d’IA.
2. Décloisonnez les fonctions concernées
Un signalement lié à l’IA peut relever simultanément de la conformité, de la protection des données, de la gouvernance de l’IA ou encore de l’éthique. Définissez en amont les circuits d’escalade et les responsabilités de chaque équipe afin de garantir un traitement coordonné.
3. Faites de votre canal interne le premier réflexe
Avec la possibilité de signaler directement une violation auprès des autorités françaises ou de l’AI Office européen, votre dispositif interne doit inspirer confiance. Il doit être simple d’utilisation, garantir la confidentialité et s’inscrire dans une véritable culture de la prise de parole.
4. Redoublez de vigilance face au risque de représailles
Le droit français protège les lanceurs d’alerte contre toute mesure de rétorsion. Tout signalement relatif à l’IA doit donc faire l’objet d’un traitement particulièrement rigoureux, notamment lorsqu’il concerne un salarié susceptible d’être affecté par une décision des ressources humaines.
5. Documentez chaque étape du traitement des alertes
Respect des délais, conduite de l’enquête, mesures prises et décisions adoptées : conservez une trace de l’ensemble du processus. Cette documentation sera essentielle pour démontrer la diligence de l’entreprise en cas de contrôle ou de contentieux.
Les lanceurs d’alerte, nouveaux acteurs de la conformité
L’article 87 de l’AI Act est bref, mais ses conséquences sont loin d’être anecdotiques en France. En s’articulant avec l’un des régimes de protection des lanceurs d’alerte les plus développés d’Europe, il renforce le rôle du signalement dans le contrôle du respect de la réglementation.
Pour les entreprises qui développent ou déploient des systèmes d’IA sur le marché français, une réalité s’impose : la conformité à l’AI Act ne se joue plus uniquement dans les échanges avec le régulateur. Salariés, prestataires, partenaires ou fournisseurs sont désormais susceptibles de détecter et de signaler d’éventuels manquements, en bénéficiant d’une protection juridique.
Réservez une démo WhistleB
Démarrez ou adaptez un programme de signalement en quelques jours, non en quelques mois, avec NAVEX WhistleB.
Questions les plus fréquentes sur l'AI Act
Que prévoit concrètement l'article 87 de l'AI Act ?
Il rattache l’AI Act au régime européen existant de protection des lanceurs d’alerte. À cette fin, l’article 87 étend le champ d’application de la Directive (UE) 2019/1937 – la directive sur la protection des lanceurs d’alerte, adoptée le 23 octobre 2019 – aux signalements de violations de l’AI Act ainsi qu’à leurs auteurs.
Des manquements tels que le déploiement d’une pratique d’IA interdite, la mise sur le marché d’un système d’IA à haut risque non conforme ou le non-respect des obligations de transparence deviennent ainsi des faits pouvant faire l’objet d’un signalement protégé, au même titre que les violations relatives aux services financiers, à la sécurité des produits ou à la protection des données.
Qui peut signaler un manquement lié à l'IA et bénéficier d'une protection ?
Le cercle des personnes protégées est particulièrement large. La protection ne se limite pas aux salariés en poste : elle s’étend aussi aux anciens salariés, aux candidats à un emploi, aux travailleurs indépendants, aux sous-traitants, aux fournisseurs, aux actionnaires ainsi qu’aux personnes qui apportent leur soutien au lanceur d’alerte.
Le droit français va encore plus loin en protégeant également les facilitateurs (notamment les syndicats et les associations) ainsi que les personnes liées au lanceur d’alerte, telles que ses collègues ou ses proches.
Mon entreprise est-elle tenue de mettre en place un dispositif interne de signalement ?
Oui, si elle emploie au moins 50 salariés en France. En vertu du dispositif issu de la loi Sapin II, renforcé par la loi Waserman, elle doit mettre en place un canal de signalement interne sécurisé garantissant la confidentialité de l’identité du lanceur d’alerte.
La même obligation s’applique aux personnes morales de droit public et aux communes de plus de 10 000 habitants. L’outil de signalement externe mis à disposition par l’Union européenne ne dispense pas les organisations de cette obligation.
Un salarié peut-il s'adresser directement à une autorité plutôt que de signaler le problème en interne ?
Oui. En France, la loi Waserman a supprimé l’ancienne obligation de privilégier un signalement interne. Un lanceur d’alerte peut donc saisir directement une autorité compétente, le Défenseur des droits ou la justice, sans avoir à signaler préalablement les faits au sein de son organisation. En pratique, les entreprises ne peuvent plus partir du principe qu’elles seront les premières informées d’un problème.
À quoi peut ressembler un signalement lié à l'IA ?
Les situations peuvent être très diverses. Un salarié peut, par exemple, signaler qu’un outil de présélection des candidatures, classé parmi les systèmes d’IA à haut risque, n’a jamais fait l’objet des mesures obligatoires de gestion des risques ni d’une supervision humaine appropriée.
Un data scientist peut alerter sur le non-respect des obligations de transparence par un chatbot destiné aux clients. Un prestataire peut dénoncer l’utilisation d’un système de reconnaissance des émotions sur le lieu de travail, pourtant interdite par l’AI Act.
Enfin, un fournisseur peut informer les autorités que le marquage CE ou la documentation technique d’un produit intégrant un système d’IA est incomplet ou trompeur.
Qu'est-ce que l'outil de signalement de l'AI Act de l'Union européenne et remplace-t-il le dispositif interne de l'entreprise ?
Il s’agit d’un portail en ligne sécurisé, lancé par la Commission européenne le 24 novembre 2025, qui permet à toute personne ayant un lien professionnel avec un fournisseur de systèmes d’IA de signaler directement au Bureau européen de l’IA une suspicion de violation de l’AI Act.
Les signalements peuvent être effectués anonymement, dans n’importe quelle langue officielle de l’Union européenne, grâce à un système de chiffrement certifié et à une messagerie sécurisée permettant les échanges avec l’AI Office sans révéler l’identité du lanceur d’alerte.
Cet outil constitue une voie de signalement externe supplémentaire, et non un substitut au dispositif interne de l’entreprise. Celui-ci demeure obligatoire.
En revanche, en simplifiant considérablement le recours au signalement externe, ce portail élève le niveau d’exigence auquel les entreprises doivent répondre : leur propre dispositif doit être suffisamment fiable, accessible et crédible pour inciter les lanceurs d’alerte à l’utiliser en priorité.
Quelles sont les conséquences de mesures de représailles à l'encontre d'un lanceur d'alerte ?
En droit français, les mesures de représailles, par exemple le licenciement d’un lanceur d’alerte, sont frappées de nullité. La victime peut obtenir réparation de son préjudice et le fait de faire obstacle à un signalement constitue une infraction pénale.
Le droit français prévoit également un aménagement de la charge de la preuve : dès lors qu’un lanceur d’alerte établit avoir subi un préjudice après avoir effectué un signalement, il appartient à l’employeur de démontrer que la mesure contestée est étrangère à ce signalement.
En pratique, toute décision prise par les ressources humaines à l’égard d’une personne ayant signalé des préoccupations liées à l’IA doit donc faire l’objet d’une vigilance particulière et être soigneusement motivée et documentée.
Les signalements liés à l'IA sont-ils déjà protégés ou seulement à partir d'août 2026 ?
La protection contre les représailles prévue par la Directive européenne sur les lanceurs d’alerte s’applique explicitement aux violations de l’AI Act à compter du 2 août 2026. C’est la date retenue par la Commission européenne qui, jusqu’à cette échéance, présente la confidentialité comme la principale garantie offerte au niveau de l’Union.
Cela étant, un signalement peut déjà bénéficier d’une protection aujourd’hui pour deux raisons distinctes. D’une part, le droit français retient une définition large du lanceur d’alerte, qui couvre les signalements portant sur des violations du droit de l’Union européenne déjà en vigueur. On peut donc soutenir que les manquements aux dispositions de l’AI Act déjà applicables – notamment celles relatives aux pratiques interdites, à la culture de l’IA ou aux modèles d’IA à usage général – entrent d’ores et déjà dans ce cadre. D’autre part, de nombreux signalements liés à l’IA concernent des domaines déjà couverts par la directive, tels que la protection des données, la sécurité des produits ou la protection des consommateurs.
En pratique, il est donc prudent de considérer que les signalements relatifs à l’IA peuvent déjà bénéficier du régime de protection des lanceurs d’alerte. Il ne s’agit pas d’une perspective future, mais d’une possibilité bien réelle dès à présent.
Le report des obligations applicables aux systèmes d'IA à haut risque réduit-il notre exposition ?
Non. Il convient toutefois de bien distinguer les différentes échéances. Après un accord politique intervenu le 7 mai 2026, le Parlement européen et le Conseil ont adopté le 8 juillet 2026 le Digital Omnibus sur l’IA. Ce règlement reporte l’application des obligations relatives aux systèmes d’IA à haut risque autonomes (annexe III) au 2 décembre 2027, et celles concernant les systèmes d’IA intégrés dans des produits réglementés (annexe I) au 2 août 2028.
Surtout, ce report ne concerne pas les dispositions de l’AI Act déjà applicables. Les interdictions de certaines pratiques et les obligations relatives à la culture de l’IA s’appliquent depuis le 2 février 2025.
Les règles applicables aux modèles d’IA à usage général sont applicables depuis le 2 août 2025. Les obligations de transparence prévues par l’article 50 entrent en application à compter du 2 août 2026, sous réserve de certains aménagements introduits par le Digital Omnibus.
Toutes ces obligations sont susceptibles de donner lieu à un signalement bénéficiant de la protection des lanceurs d’alerte.
Quel est le lien avec la protection des données et le rôle de la CNIL ?
Les recoupements sont nombreux. Un signalement lié à l’IA peut soulever simultanément des questions de gouvernance de l’IA, de protection des données et de conformité ou d’éthique. Dès lors qu’un traitement de données personnelles est en cause, la CNIL peut également être amenée à intervenir.
Ces différents sujets relevant souvent d’équipes distinctes au sein de l’organisation, il est essentiel de définir à l’avance les circuits d’escalade et de coordination entre les fonctions concernées, plutôt que de les improviser à la réception du premier signalement.
Par où dois-je commencer ?
Commencez par intégrer explicitement les violations de l’AI Act dans les catégories de signalements prévues par vos procédures Sapin II / Waserman. Formez ensuite les personnes chargées de recevoir et d’analyser les signalements afin qu’elles puissent identifier les alertes liées à l’IA. Enfin, mettez en place des circuits d’escalade clairement définis entre les équipes en charge de la gouvernance de l’IA, de la protection des données et de la conformité.
Surtout, veillez à ce que votre dispositif interne de signalement soit plus simple d’utilisation et inspire davantage confiance que les canaux externes. C’est le meilleur moyen d’être informé d’un problème avant qu’il ne soit porté à la connaissance d’une autorité de contrôle.
2026 Lancement d’alerte et conformité en Europe
Découvrez les tendances en matière de signalement et de conformité en Europe, notamment la confiance des employés, la culture du signalement et les comportements de prise de parole en 2026.
