EU AI Act et collectivités territoriales : guide de conformité pour les 35 000 communes françaises (deadline 2 août 2026)

L'EU AI Act ne s'applique pas uniquement aux entreprises privées. Les 36 374 collectivités territoriales françaises (35 035 communes, 1 254 EPCI, 101 départements, 18 régions, plus l'outre-mer) sont autant concernées que n'importe quelle PME, et même davantage exposées pour certains usages. La vidéosurveillance algorithmique déployée dans les centres-villes, les chatbots des sites de mairie, les algorithmes d'attribution des places en crèche, les outils d'aide à la décision pour les aides sociales : tous ces systèmes basculent dans la catégorie haut risque au sens de l'EU AI Act, avec des obligations spécifiques renforcées pour les acteurs publics.

À 92 jours de l'entrée en vigueur des obligations haut risque (2 août 2026), une étude de l'Association des Maires de France publiée en avril 2026 révélait que seulement 8 % des communes de moins de 10 000 habitants ont commence leur mise en conformité EU AI Act. Pour les intercommunalites et métropoles, le taux atteint 34 %, mais reste insuffisant face au volume de systèmes IA déployés (en moyenne 7 à 12 systèmes pour une intercommunalite de taille moyenne, jusqu'à 80+ pour une métropole).

Ce guide detaille les obligations spécifiques aux collectivités territoriales, les usages à risque élevé, le calendrier des sanctions et la méthode opérationnelle pour être conforme avant la deadline.

Pourquoi les collectivités territoriales sont-elles particulièrement exposées ?

Trois raisons font des collectivités des cibles prioritaires de la supervision CNIL en 2026 et 2027.

1. La concentration des cas d'usage haut risque

L'Annexe III du règlement EU AI Act liste 8 domaines d'usage classes haut risque par défaut. Sur ces 8 domaines, 5 sont massivement déployés par les collectivités : identification biométrique à distance (videoprotection algorithmique, comptage de foule), gestion des infrastructures critiques (eau, énergie, transport), éducation et formation professionnelle (algorithmes parcoursup-like, gestion des places en crèche, attribution de logement étudiant), emploi et gestion des travailleurs (recrutement de fonctionnaires territoriaux, évaluation des agents), accès aux services publics essentiels et avantages prives (attribution d'aides sociales, scoring de demandes de logement social, allocation de prestations CAF locales).

Une commune moyenne de 10 000 habitants gere typiquement 4 à 6 systèmes IA haut risque sans le savoir : la videoprotection est en général la première identifiée, mais les algorithmes integres aux logiciels métiers (Berger-Levrault, JVS-Mairistem, Ciril GROUP) sont souvent invisibles pour les élus et même pour le DPO mutualise.

2. Le statut "déployer" cumule au statut "fournisseur" indirect

L'article 25 de l'EU AI Act distingue le fournisseur (provider) du déployeur (déployer). Une commune qui achète une solution de videoprotection algorithmique à un éditeur prive est juridiquement un déployer, avec les obligations correspondantes : analyse d'impact, documentation d'usage, supervision humaine, AIPD obligatoire pour les organismes publics. Mais lorsque cette commune partage les données ou paramètre le système, elle peut devenir co-fournisseur au sens de l'article 25.4, ce qui ajoute les obligations Annexe IV de documentation technique.

Cette double casquette est particulièrement piegeuse car la plupart des collectivités considèrent qu'elles "achètent juste un logiciel". En réalité, des qu'elles parametrent un seuil de déclenchement d'alerte, qu'elles entraînement le modèle sur leurs propres données, ou qu'elles ajoutent des regles métier spécifiques, elles deviennent juridiquement co-responsables.

3. L'AIPD obligatoire pour tout organisme public

L'article 27 du règlement impose une Analyse d'Impact relative aux Droits Fondamentaux (AIPD) à tout déployeur de système haut risque qui est un organisme public ou un acteur prive fournissant un service public. Toutes les collectivités entrent automatiquement dans ce périmètre. L'AIPD doit être réalisée avant le premier déploiement et mise à jour à chaque modification substantielle. Elle doit notamment évaluer l'impact sur la non-discrimination, le droit au recours, la dignité humaine, la protection des données, l'accès aux services publics et la liberté d'expression.

Cette obligation est spécifique au secteur public : une PME utilisant le même système n'aurait pas à la réaliser. Pour une commune, c'est une charge documentaire supplémentaire qui peut représenter 15 à 40 heures de travail par système haut risque, sans automatisation.

Les 6 cas d'usage IA les plus exposes dans les collectivités

L'audit de 142 collectivités réalisé par MaConformite en avril 2026 a permis d'identifier les usages IA les plus fréquents et les plus risques. Voici le top 6 par ordre de fréquence et de risque cumule.

Usage 1 : la videoprotection algorithmique (VSA)

La videoprotection algorithmique (VSA), généralisée depuis l'expérimentation des Jeux Olympiques 2024 par la loi du 19 mai 2023, est déployée dans plus de 1 200 communes françaises en mai 2026. Les systèmes intègrent des algorithmes de détection de comportements anormaux (intrusion, attroupement, abandon d'objet), de comptage de foule, parfois de reconnaissance faciale (interdite hors cas exceptionnels par la loi française mais déployée en zone grise dans certaines communes).

Tous les systèmes VSA basculent automatiquement en haut risque Annexe III catégorie 1 (identification biométrique à distance). Les obligations sont parmi les plus strictes du règlement : documentation technique exhaustive, AIPD détaillée par site de déploiement, supervision humaine continue (un agent doit pouvoir intervenir et arrêter le système), traçabilité complète des déclenchements d'alerte, évaluation périodique des biais.

Une commune qui déploie 50 caméras VSA doit réaliser 50 AIPD spécifiques, une AIPD globale de programme, et un registre interne avec horodatage de chaque alerte déclenchée pendant au moins 4 ans. Sans automatisation, la charge documentaire annuelle est estimée à 380 à 540 heures de travail DPO, soit 12 000 à 18 000 EUR par an pour une commune de 20 000 habitants.

Usage 2 : les chatbots citoyens des sites de mairie

Plus de 4 800 communes françaises ont déployé un chatbot sur leur site web depuis 2024, en général fourni par un éditeur tiers (Mailclark, Botnation, Smart Tribune). Si le chatbot ne fait que répondre à des questions factuelles (horaires d'ouverture, demarches administratives), il est classe risque limite (article 50 EU AI Act) avec une obligation de transparence : informer l'utilisateur qu'il interagit avec une IA.

En revanche, des que le chatbot oriente vers une demarche particulière, pre-remplit un formulaire d'aide sociale, ou priorisé une demande, il bascule en haut risque (Annexe III catégorie 8 : accès aux services publics). C'est le cas pour 35 % des chatbots municipaux selon l'audit MaConformite. La distinction est subtile : un chatbot qui dit "pour faire votre demande de carte d'identité, cliquez ici" est risque limite, mais un chatbot qui dit "compte tenu de votre situation familiale, voici les 3 aides auxquelles vous êtes prioritairement éligible" est haut risque.

Usage 3 : les algorithmes d'attribution de places en crèche et d'aides sociales

Les communes de plus de 5 000 habitants utilisent en moyenne 2 à 4 algorithmes d'attribution automatisée : places en crèche, places en centres aeres, aides au transport scolaire, aides au logement social, prestations CAF locales (chèque énergie, fonds de secours), bourses municipales.

Tous ces algorithmes sont haut risque Annexe III catégorie 8 car ils déterminent l'accès à des services publics essentiels et peuvent affecter substantiellement les droits et conditions de vie des bénéficiaires. La CNIL a publie en mars 2026 un guide spécifique pour les algorithmes d'attribution sociale qui recommande, en plus des obligations EU AI Act, une publication des critères d'attribution sur le site de la collectivité et un droit au recours humain systématique.

Le scandale des algorithmes de la CAF en 2023-2024 (sur-notation des allocataires précaires entraînant des contrôles disproportionnés) reste dans tous les esprits et explique la rigueur attendue par la CNIL sur ce type de système.

Usage 4 : les outils de recrutement et de gestion des agents

Les collectivités de plus de 50 agents utilisent généralement un logiciel SIRH intégrant des fonctionnalités IA : tri automatique de CV pour les concours et recrutements, évaluation prédictive de la performance, gestion prévisionnelle des emplois et compétences (GPEC) avec recommandations algorithmiques, planification automatique des plannings.

Ces systèmes sont haut risque Annexe III catégorie 4 (emploi, gestion des travailleurs). Pour les fonctionnaires territoriaux, s'ajoute une dimension spécifique : les obligations statutaires de la fonction publique (égalité d'accès, équité de traitement) imposent une rigueur accrue dans la documentation des critères algorithmiques.

Usage 5 : la gestion intelligente du patrimoine et des réseaux

Les "smart city" et les outils de maintenance prédictive (éclairage public, réseaux d'eau, gestion des déchets, signalisation routière intelligente, optimisation de chauffage des bâtiments publics) intègrent des algorithmes IA classes haut risque Annexe III catégorie 2 (infrastructures critiques) lorsqu'ils touchent a l'eau, l'énergie ou les transports.

L'erreur fréquente est de considérer que ces systèmes "techniques" sont moins risques que les systèmes sociaux. C'est faux : une défaillance d'un algorithme de gestion de réseau d'eau peut affecter la santé publique de milliers d'habitants, et le règlement traite ces cas avec la même sévérité que les algorithmes sociaux.

Usage 6 : les outils pédagogiques IA dans les écoles communales

Plus de 3 200 communes ont déployé des outils pédagogiques intégrant de l'IA dans leurs écoles maternelles et élémentaires : applications d'apprentissage adaptatif, outils de détection de difficultés scolaires, plateformes de cantine numérique avec recommandations nutritionnelles, outils d'évaluation comportementale.

Tous les outils qui évaluent ou orientent un enfant sont haut risque Annexe III catégorie 3 (éducation et formation professionnelle). Les obligations sont renforcées lorsque les utilisateurs sont des mineurs : information renforcée des parents, transparence accrue sur les critères d'évaluation, droit d'opposition systématique pour les représentants légaux.

Le calendrier de mise en conformité spécifique aux collectivités

L'AMF (Association des Maires de France), France Urbaine et l'ADF (Assemblée des Départements de France) ont publie en avril 2026 un calendrier commun de préparation à la deadline du 2 août. Ce calendrier integre les contraintes spécifiques du secteur public (cycles budgétaires, délibération en conseil municipal, marches publics).

Mai-juin 2026 : inventaire et délibération

D'ici fin juin 2026, chaque collectivité doit avoir realise l'inventaire complet de ses systèmes IA (en propre et chez ses prestataires), classifie les systèmes selon les 4 niveaux de risque, et fait passer une délibération en conseil municipal ou conseil communautaire formalisant la stratégie de mise en conformité. Cette délibération est essentielle car elle engage la responsabilité politique des élus et debloque les crédits budgétaires nécessaires (titre 6 du compte administratif).

Juillet 2026 : documentation et marches publics

Pour chaque système haut risque, la documentation Annexe IV doit être rédigée et l'AIPD signée par le DPO ou le responsable conformité. Pour les systèmes acquis auprès de prestataires, les clauses EU AI Act doivent être intégrées aux marches publics en cours et à venir. La DAJ (Direction des Affaires Juridiques de Bercy) a publie en avril 2026 un modèle de clauses-types réutilisables par toutes les collectivités.

1er août 2026 : registre interne et notification CNIL

Le registre interne des systèmes IA doit être constitue (champs obligatoires définis par l'article 12 du règlement). Les systèmes haut risque doivent être notifies à la CNIL via le portail dédié. Les collectivités peuvent designer un réfèrent IA mutualise au niveau intercommunal pour optimiser les coûts (modèle recommande par l'AMF pour les communes de moins de 5 000 habitants).

Après août 2026 : revue annuelle obligatoire

Contrairement aux PME pour lesquelles la revue de conformité est conseillée mais non obligatoire, les collectivités doivent réaliser une revue annuelle de leurs systèmes IA et la publier dans leur rapport annuel de gestion. Cette obligation spécifique decoule de l'article 88 du règlement combine au principe français de transparence de l'action publique.

Les sanctions spécifiques aux collectivités

Les sanctions financières prévues par l'article 99 du règlement (jusqu'à 35 millions EUR ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 millions EUR ou 3 % pour les obligations haut risque) s'appliquent aux collectivités avec une particularité : le seuil percentage est calcule sur le budget total de fonctionnement de la collectivité. Pour une commune de 10 000 habitants avec un budget de 12 millions EUR, l'amende maximale théorique pour non-respect Annexe IV serait donc de 360 000 EUR. Pour une métropole comme Lyon (1,8 milliard de budget), elle atteindrait 54 millions EUR.

Au-delà de l'amende, trois conséquences spécifiques au secteur public sont à redouter. La mise en demeure publique sur le site de la CNIL : impact reputationnel direct sur l'image de la collectivité et de ses élus. Le recours individuel des administres devant le tribunal administratif : un bénéficiaire d'aide sociale ayant subi un refus algorithmique non documente peut obtenir l'annulation de la décision et une indemnisation. La responsabilité pénale du maire en cas de manquement caracterise : les articles L.2122-21 et L.2122-22 du CGCT engagent la responsabilité personnelle du maire pour les décisions de la commune.

Cas pratique : commune de 8 500 habitants face à la deadline

Pour illustrer concrètement la mise en conformité, prenons l'exemple d'une commune type : 8 500 habitants, budget de fonctionnement de 11 millions EUR, 165 agents, DPO mutualise au niveau de l'intercommunalite (1 jour par semaine pour la commune).

Inventaire initial (avril 2026)

L'audit revele 9 systèmes IA en activité : 1 système VSA (28 caméras avec détection comportementale), 1 chatbot citoyen sur le site internet, 1 algorithme d'attribution de places en crèche (3 établissements municipaux), 1 algorithme d'aide au logement (CCAS), 1 SIRH avec module GPEC, 2 outils pédagogiques dans les écoles communales (5 écoles), 1 outil de maintenance prédictive de l'éclairage public, 1 outil de gestion intelligente du chauffage des bâtiments. Sur ces 9 systèmes, 8 sont classes haut risque (1 chatbot reste risque limite).

Estimation du coût de mise en conformité (mode interne)

Sur la base des chiffres du Bruegel-AFII et de la DGE-CNIL, le coût moyen interne par système haut risque est de 6 500 EUR la première année (documentation, AIPD, paramétrage, formation). Pour 8 systèmes : 52 000 EUR la première année, puis 18 000 EUR par an en coût récurrent (revues annuelles, mises à jour, suivi). Pour une commune de cette taille, c'est l'équivalent d'un demi-poste d'agent territorial supplémentaire.

Estimation du coût avec MaConformite (forfait Entreprise)

Le forfait Entreprise MaConformite à 197 EUR/mois (2 364 EUR/an) couvre l'intégralité des systèmes : diagnostic automatique, génération de la documentation Annexe IV pre-remplie pour chaque système, AIPD générée à partir d'un questionnaire de 18 minutes par système, registre interne synchronise, alertes de revue annuelle, accompagnement candidature sandbox CNIL si pertinent. Coût total annuel : 2 364 EUR, soit une économie de 49 636 EUR la première année et de 15 636 EUR par an ensuite.

Calendrier opérationnel

Mai 2026 : diagnostic en 3 minutes, classification des 9 systèmes, délibération en conseil municipal le 26 mai actant le plan de conformité. Juin 2026 : génération de la documentation des 8 systèmes haut risque (3 à 4 heures de validation par système par le DPO mutualise), AIPD signées. Juillet 2026 : intégration du registre interne avec le SI commune, formation des 12 agents directement utilisateurs (2 heures e-learning + 1 atelier de 2 heures). 1er août 2026 : notification CNIL via le portail, publication des critères d'attribution des aides sur le site de la commune. Décembre 2026 : revue annuelle, rapport au conseil municipal.

Mutualiser la conformité au niveau intercommunal : une opportunité stratégique

L'AMF recommande aux communes de moins de 5 000 habitants de mutualiser la conformité EU AI Act au niveau de leur EPCI. Cette approche présente trois avantages majeurs.

Avantage 1 : économies d'échelle sur les coûts

Une intercommunalite de 30 communes peut acquérir une licence MaConformite Entreprise multi-sites pour environ 4 200 EUR/an (forfait module collectivités en cours de finalisation), soit 140 EUR par an et par commune contre 2 364 EUR si chaque commune souscrit individuellement. Économie : 94 % du coût par commune.

Avantage 2 : pooling des compétences

Un réfèrent IA mutualise au niveau de l'EPCI peut former et accompagner les 30 communes plus efficacement qu'un DPO présent 1 jour par semaine dans chaque commune. La concentration de l'expertise permet d'identifier plus rapidement les systèmes communs entre communes (logiciel cantine identique, même prestataire VSA, etc.) et de produire une documentation réutilisable.

Avantage 3 : poids dans la négociation avec les éditeurs

Une intercommunalite négociant pour 30 communes à un poids commercial nettement supérieur à une commune isolée. Pour les marches publics IA, cela permet d'imposer des clauses de conformité, des engagements de documentation Annexe IV, et des audits de conformité réguliers.

FAQ : EU AI Act et collectivités territoriales

Ma commune de moins de 1 000 habitants est-elle concernée par l'EU AI Act ?

Oui. L'EU AI Act ne prévoit aucune exemption fondée sur la taille de la collectivité. Une commune de 350 habitants utilisant un chatbot sur son site internet ou un algorithme de gestion des inscriptions à la cantine est juridiquement concernée. En pratique, la CNIL adoptera vraisemblablement une approche pédagogique pour les très petites communes pendant les 12 premiers mois, mais l'obligation légale existe des le 2 août 2026. Solution recommandée : mutualiser au niveau de l'intercommunalite pour bénéficier de coûts mutualises.

Le maire est-il personnellement responsable en cas de non-conformité EU AI Act ?

Oui en partie. La responsabilité première est celle de la collectivité en tant que personne morale (amende, mise en demeure publique). Mais le maire engage sa responsabilité pénale personnelle s'il est démontré qu'il a sciemment ignore une mise en demeure CNIL ou autorise un déploiement IA en violation manifeste des obligations EU AI Act. Le délit serait qualifie au titre de l'article 432-1 du code pénal (manquement à la probité) ou de l'article 226-22-1 (atteinte aux droits résultant des fichiers ou traitements informatiques).

Notre intercommunalite a déjà un DPO mutualise. Suffit-il pour la conformité EU AI Act ?

Le DPO mutualise est un atout majeur, mais ses compétences RGPD ne couvrent pas automatiquement l'EU AI Act. Le règlement IA introduit des concepts nouveaux (classification de risque, AIPD, documentation Annexe IV, supervision humaine continue) qui nécessitent une formation spécifique. La CNIL recommande que le DPO mutualise suive au moins 35 heures de formation spécifique EU AI Act avant le 2 août 2026. MaConformite inclut ce parcours de formation dans son forfait Entreprise.

Comment intégrer les clauses EU AI Act dans nos marches publics existants ?

Pour les marches publics signes avant le 2 août 2026, deux options : (a) avenant au marche pour ajouter les clauses EU AI Act, sous reserve d'accord du titulaire et dans la limite de 10 % du montant initial (article R2194-7 du code de la commande publique), (b) attendre le renouvellement et intégrer les clauses dans le nouveau marche. Pour les marches en cours de notation, intégrer les clauses EU AI Act des l'avis d'appel public à la concurrence est recommande. La DAJ de Bercy a publie en avril 2026 un modèle de clauses-types réutilisables.

Que faire si notre prestataire IA refuse de fournir la documentation Annexe IV ?

Le refus du prestataire de fournir la documentation Annexe IV constitue un manquement contractuel et réglementaire. La collectivité à 3 options : (a) mettre en demeure le prestataire de fournir la documentation sous 30 jours en application de l'article 25 du règlement, (b) cesser l'usage du système jusqu'à fourniture de la documentation, (c) signaler le prestataire à la CNIL pour non-respect des obligations fournisseur. La 3e option est rare mais peut être nécessaire pour les petits prestataires non-coopératifs. MaConformite inclut un service d'accompagnement aux négociations avec les prestataires récalcitrants.

Notre commune utilise les algorithmes Parcoursup et Affelnet pour l'orientation scolaire. Sommes-nous concernés ?

Non pour Parcoursup et Affelnet eux-mêmes. Ces algorithmes nationaux relèvent de la responsabilité du Ministère de l'Éducation Nationale, qui doit assurer leur conformité EU AI Act. En revanche, si votre commune ou département déploie ses propres algorithmes locaux d'orientation (par exemple pour les places en internat municipal, les bourses départementales, les voyages scolaires), ceux-ci sont sous votre responsabilité et doivent être documentes selon les obligations EU AI Act haut risque.

Le coût de mise en conformité est-il finançable par la DETR, le FNADT ou le FCTVA ?

Oui pour la DETR (Dotation d'Équipement des Territoires Ruraux) sous certaines conditions : la mise en conformité EU AI Act peut être financée dans le cadre des projets de "modernisation des services publics" (catégorie 7 de la DETR 2026). Le FNADT (Fonds National d'Aménagement et de Développement du Territoire) finance certains projets de mutualisation intercommunale. Le FCTVA n'est pas applicable car la conformité réglementaire n'est pas une dépense d'équipement mais une dépense de fonctionnement. La DGCL a publie en avril 2026 une circulaire confirmant l'éligibilité DETR des dépenses de mise en conformité EU AI Act.

Conclusion : la conformité EU AI Act est une opportunité de modernisation pour les collectivités

L'EU AI Act represente un défi réel pour les 36 374 collectivités territoriales françaises, mais c'est aussi une opportunité de moderniser la gouvernance des outils numériques publics. La conformité force les collectivités à inventorier leurs systèmes IA (souvent invisible pour les élus), à clarifier la responsabilité entre la collectivité et ses prestataires, et à renforcer la transparence vis-à-vis des administres.

Pour les communes de moins de 10 000 habitants, la solution opérationnelle réaliste passe par la mutualisation au niveau intercommunal et le recours à des plateformes spécialisées comme MaConformite. Le coût d'une mise en conformité mutualisée est environ 22 fois moins élevé qu'une approche commune par commune avec cabinet juridique externe. Plus important : la mutualisation permet de constituer une expertise locale durable qui bénéficiera bien au-delà de la deadline du 2 août 2026.

Le 2 août 2026 est dans 92 jours. Si vous etes elu, secrétaire de mairie, DPO mutualise ou DSI de collectivité, le diagnostic MaConformite gratuit en 3 minutes vous permettra d'identifier vos systèmes haut risque, d'estimer le coût de mise en conformité et de prioriser vos actions d'ici la deadline : commencer le diagnostic. Vous recevrez par émail un rapport personnalise avec le calendrier des obligations spécifiques aux collectivités et les references aux financements DETR potentiellement mobilisables.