EU AI Act et education : obligations des universités, écoles et edtech françaises

Le secteur de l'education est l'un des domaines explicitement identifies par l'EU AI Act comme presentant un risque élève. L'Annexe III du règlement (UE) 2024/1689 designe nommement l'accès a l'education et la formation professionnelle, ainsi que l'évaluation des apprenants, parmi les cas d'usage a haut risque. Pour les universités, les grandes écoles, les lycées et les éditeurs edtech français, la date butoir est claire : 2 août 2026.

Cet article detaille les obligations concretes du secteur educatif, les systèmes concernés, les erreurs a éviter et la méthode pour atteindre la conformité avant l'échéance.

Pourquoi l'education est-elle classee à haut risque ?

Le legislateur européen a considere que l'IA dans l'education touche des décisions qui faconnent les parcours de vie. Un algorithme qui decide d'une admission, qui note une dissertation, qui detecte une fraude pendant un examen à distance ou qui oriente un étudiant vers une filiere a un impact direct et durable sur son avenir professionnel et personnel.

Trois catégories d'usages sont explicitement visees par l'Annexe III :

• L'admission et l'accès aux établissements d'education et de formation professionnelle a tous les niveaux
• L'évaluation des résultats d'apprentissage, y compris lorsque ces résultats orientent le parcours ultérieur
• L'évaluation du niveau d'education approprie pour un individu et la détection d'interdictions d'utiliser des appareils pendant les examens (proctoring)

Quels systèmes d'IA sont concernés en pratique ?

La plupart des établissements d'enseignement supérieur français et une part croissante des lycées utilisent déjà des systèmes qui tombent sous l'EU AI Act, souvent sans le savoir.

Systèmes d'admission et d'orientation

Les algorithmes de tri des dossiers Parcoursup, les scoring utilisés par les grandes écoles privees pour filtrer les candidatures, les outils d'orientation bases sur l'IA qui recommandent des filieres : tous ces systèmes entrent dans le haut risque s'ils contribuent de manière substantielle a la décision d'admission.

Plateformes de proctoring et surveillance d'examens

TestWe, Proctorio, Respondus, Examus et les solutions equivalentes qui analysent le comportement d'un étudiant pendant un examen à distance (regard, bruits, présence d'autres personnes) relevent explicitement du haut risque. Plusieurs établissements français ont déjà été rappeles a l'ordre par la CNIL pour des usages disproportionnes.

Évaluation automatisée et correction IA

Les outils qui notent automatiquement des copies (dissertations, QCM avec analyse semantique, exercices de code), les plateformes comme Gradescope, les systèmes de tutorat adaptatif qui evaluent le niveau d'un apprenant et adaptent le parcours : tous ces usages sont haut risque si la note ou l'évaluation produite a un impact sur la validation d'une formation.

Plateformes edtech avec IA générative

Les éditeurs edtech qui integrent des modèles de langue (ChatGPT, Claude, Mistral) dans leurs produits doivent vérifier deux obligations distinctes : le risque limite de l'IA générative (transparence sur le fait que le contenu est genere par IA) et le haut risque si le produit evalue les élèves.

Les 7 obligations pour les systèmes d'IA haut risque en education

Les articles 9 a 15 de l'EU AI Act definissent sept obligations applicables à tout système haut risque :

1. Système de gestion des risques

Identifier et évaluer les risques que le système fait peser sur la santé, la sécurité et les droits fondamentaux des élèves. Pour une plateforme de proctoring, cela inclut le risque de discrimination (faux positifs plus fréquents sur certaines couleurs de peau), le stress psychologique et la vie privee.

2. Gouvernance des données

Les jeux de données d'entrainement, validation et test doivent être pertinents, representatifs, exempts d'erreurs et complets. Un modèle entraine uniquement sur des copies d'étudiants d'une certaine catégorie socio-professionnelle produira des biais systematiques.

3. Documentation technique (Annexe IV)

Dossier complet decrivant le système, ses finalites, les données utilisées, les performances, les limites, les mesures de gestion des risques. Ce document doit être tenu à jour et disponible pour les autorités de surveillance.

4. Journalisation automatique

Le système doit enregistrer automatiquement les evenements pertinents pour permettre une traçabilité en cas d'incident ou de recours. Pour un outil de correction automatique, cela implique de journaliser chaque note attribuee et les elements qui l'ont motivee.

5. Transparence et information des utilisateurs

Les étudiants et leurs familles doivent être informes de l'utilisation d'un système d'IA haut risque, de sa finalite et de ses caractéristiques principales. Les notices d'utilisation doivent être claires, complètes et accessibles.

6. Supervision humaine

Aucune décision majeure (admission refusee, note eliminatoire, exclusion d'un examen pour suspicion de fraude) ne peut être prise par le système sans intervention humaine. Un enseignant ou un responsable administratif doit pouvoir remettre en cause la décision de l'IA.

7. Exactitude, robustesse et cybersécurité

Le système doit atteindre un niveau approprie de précision et resister aux tentatives de manipulation (triche des élèves, attaques adversariales, fuites de données).

L'analyse d'impact sur les droits fondamentaux (AIPD)

L'article 27 de l'EU AI Act introduit une obligation spécifique pour les organismes publics (ce qui inclut les universités publiques, les rectorats, les lycées publics) et pour les opérateurs prives fournissant un service public d'education : réaliser une analyse d'impact sur les droits fondamentaux (AIPD) avant tout déploiement.

Cette analyse doit documenter :

• Le processus dans lequel le système IA sera utilise
• La durée et la fréquence prévue d'utilisation
• Les catégories de personnes physiques et de groupes susceptibles d'être affectes
• Les risques spécifiques de prejudice pour ces personnes
• Les mesures de supervision humaine prévues
• Les mesures à prendre en cas de materialisation des risques

Pour un établissement, la AIPD doit notamment analyser les risques de discrimination (algorithmique, sociale, territoriale), d'atteinte a la vie privee, de stress psychologique et d'atteinte a la liberte pédagogique.

Les erreurs fréquentes dans le secteur educatif

Erreur n 1 : croire que les outils commerciaux sont déjà conformes

Beaucoup d'établissements pensent que parce qu'ils utilisent un SaaS d'un éditeur reconnu (Respondus, Proctorio, Gradescope), le fournisseur gere la conformité. C'est faux. L'EU AI Act distingue le fournisseur du système et le déployeur. L'établissement qui utilise le système est le déployeur et a ses propres obligations, notamment la AIPD, l'information des étudiants et la supervision humaine.

Erreur n 2 : confondre RGPD et EU AI Act

Être en conformité RGPD ne signifie pas être en conformité avec l'EU AI Act. Les deux règlements se complementent mais couvrent des obligations distinctes. Une plateforme de proctoring peut respecter le RGPD (consentement, minimisation, durée de conservation) et être pourtant non conforme à l'EU AI Act (absence de documentation technique, pas de supervision humaine formalisee).

Erreur n 3 : ne rien faire en attendant les decrets d'application

La deadline du 2 août 2026 est une date ferme inscrite dans le règlement européen d'application directe. Elle n'attend pas de decret français pour s'appliquer. Les établissements qui attendent la sortie de textes nationaux seront en retard.

Plan d'action pour un établissement educatif

Avril a mai 2026 : inventaire et classification

Recenser tous les systèmes d'IA utilisés, y compris ceux integres dans des plateformes plus larges (Moodle avec plugin IA, ENT, Parcoursup, solutions de visio avec transcription IA). Pour chacun, identifier s'il releve du risque minimal, limite ou haut risque.

Mai a juin 2026 : production des documents

Pour chaque système haut risque identifie, produire l'Annexe IV et réaliser la AIPD. Les établissements publics doivent intégrer ces documents a leur registre de traitement RGPD et les tenir à disposition du DPO.

Juin a juillet 2026 : formation et gouvernance

Former le corps enseignant et les personnels administratifs aux obligations de supervision humaine. Mettre en place un comite d'ethique IA ou elargir les attributions du comite ethique existant. Designer un referent IA.

Juillet 2026 : tests et audit interne

Tester les procédures de recours étudiant, vérifier les logs, réaliser un audit interne avec le DPO et la direction. Corriger les écarts avant la deadline.

2 août 2026 : deadline

A partir de cette date, tout système IA haut risque non conforme expose l'établissement a des sanctions. Pour une université ou une grande école, une non conformité publique serait aussi une atteinte majeure a sa réputation.

Sanctions applicables au secteur educatif

Les amendes sont les mêmes que pour les autres secteurs : jusqu'à 15 millions d'euros ou 3 pourcent du chiffre d'affaires mondial pour le non respect des obligations haut risque. Pour un établissement public, les sanctions peuvent egalement prendre la forme de mises en demeure publiques, d'obligations de retrait de systèmes et d'injonctions de la part des autorités de surveillance. L'impact reputationnel, notamment sur les classements et le recrutement d'étudiants internationaux, est souvent plus redoutable que l'amende elle-même.

Comment MaConformite accompagne le secteur education

MaConformite propose un Pole Education dédié qui adapte les questionnaires, templates et checklists aux spécificités pédagogiques :

• Questionnaires adaptes aux systèmes educatifs français (universités, grandes écoles, lycées, edtech)
• Templates Annexe IV avec terminologie pédagogique
• AIPD guidee sur les droits fondamentaux des apprenants (non discrimination, vie privee, accès a l'education)
• Articulation RGPD, Code de l'education, recommandations CNIL et EU AI Act
• Bibliotheque de cas types : proctoring, correction automatique, admission, tutorat IA
• Export PDF professionnel pour le DPO, la direction et les autorités de surveillance

Le diagnostic gratuit permet en 3 minutes d'identifier les systèmes haut risque de votre établissement et les obligations qui s'appliquent. Tout est accessible sans création de compte et sans carte bancaire.

Questions fréquentes — EU AI Act et éducation

Les logiciels adaptatifs d'apprentissage sont-ils à haut risque sous l'AI Act ?

Oui, si leur usage peut influencer le parcours ou l'évaluation de l'étudiant. L'Annexe III (point 3) classe à haut risque les systèmes d'IA utilisés pour déterminer l'accès à l'éducation, l'évaluation, ou l'orientation des apprenants. Un outil d'apprentissage adaptatif qui recommande des filières ou influence les notes est directement concerné.

Les universités sont-elles des déployeurs ou des fournisseurs d'IA sous l'AI Act ?

Généralement des déployeurs, si elles utilisent des logiciels IA tiers. Mais une université qui développe son propre outil d'IA (ex. plateforme d'évaluation automatisée de dissertations) devient fournisseur avec des obligations renforcées : documentation technique Annexe IV, enregistrement, marquage CE si le système entre dans le commerce.

L'usage de ChatGPT ou d'outils IA générative par les étudiants est-il réglementé ?

L'AI Act réglemente les fournisseurs et déployeurs, pas les usages privés des individus. Mais l'université qui utilise un outil de détection de plagiat IA (ex. Turnitin AI) est déployeuse de ce système et a des obligations de transparence envers les étudiants. Par ailleurs, l'article 50 oblige à signaler les contenus générés par IA dans certains contextes académiques.

Les outils de surveillance d'examens en ligne (proctoring IA) sont-ils autorisés ?

Les outils de proctoring qui utilisent la reconnaissance faciale ou l'analyse comportementale pour détecter la triche sont classés à haut risque. Leur déploiement exigé une transparence totale envers l'étudiant, une supervision humaine, et une analyse d'impact. Plusieurs universités européennes les ont suspendus en raison de biais algorithmiques documentés.

Les EdTech françaises qui vendent leurs outils à des écoles sont-elles fournisseurs ?

Oui. Une EdTech qui développe et commercialise un système d'IA destiné à être utilisé dans un contexte éducatif est un fournisseur au sens de l'AI Act. Elle doit effectuer une évaluation de conformité avant mise sur le marché, produire une documentation technique, apposer le marquage CE, et enregistrer son système dans la base de données UE si c'est un système à haut risque.