EU AI Act et éducation : obligations des universités, écoles et edtech françaises

Le secteur de l'éducation est l'un des domaines explicitement identifies par l'EU AI Act comme présentant un risque élevé. L'Annexe III du règlement (UE) 2024/1689 designe nommément l'accès a l'éducation et la formation professionnelle, ainsi que l'évaluation des apprenants, parmi les cas d'usage a haut risque. Pour les universités, les grandes écoles, les lycées et les éditeurs edtech français, la date butoir est claire : 2 août 2026.

Cet article detaille les obligations concrètes du secteur éducatif, les systèmes concernés, les erreurs à éviter et la méthode pour atteindre la conformité avant l'échéance.

Pourquoi l'éducation est-elle classée à haut risque ?

Le législateur européen a considéré que l'IA dans l'éducation touche des décisions qui façonnent les parcours de vie. Un algorithme qui décide d'une admission, qui note une dissertation, qui détecte une fraude pendant un examen à distance ou qui oriente un étudiant vers une filière à un impact direct et durable sur son avenir professionnel et personnel.

Trois catégories d'usages sont explicitement visées par l'Annexe III :

• L'admission et l'accès aux établissements d'éducation et de formation professionnelle à tous les niveaux
• L'évaluation des résultats d'apprentissage, y compris lorsque ces résultats orientent le parcours ultérieur
• L'évaluation du niveau d'éducation approprie pour un individu et la détection d'interdictions d'utiliser des appareils pendant les examens (proctoring)

Quels systèmes d'IA sont concernés en pratique ?

La plupart des établissements d'enseignement supérieur français et une part croissante des lycées utilisent déjà des systèmes qui tombent sous l'EU AI Act, souvent sans le savoir.

Systèmes d'admission et d'orientation

Les algorithmes de tri des dossiers Parcoursup, les scoring utilisés par les grandes écoles privées pour filtrer les candidatures, les outils d'orientation bases sur l'IA qui recommandent des filières : tous ces systèmes entrent dans le haut risque s'ils contribuent de manière substantielle à la décision d'admission.

Plateformes de proctoring et surveillance d'examens

TestWe, Proctorio, Respondus, Examus et les solutions équivalentes qui analysent le comportement d'un étudiant pendant un examen à distance (regard, bruits, présence d'autres personnes) relèvent explicitement du haut risque. Plusieurs établissements français ont déjà été rappelés a l'ordre par la CNIL pour des usages disproportionnés.

Évaluation automatisée et correction IA

Les outils qui notent automatiquement des copies (dissertations, QCM avec analyse sémantique, exercices de code), les plateformes comme Gradescope, les systèmes de tutorat adaptatif qui évaluent le niveau d'un apprenant et adaptent le parcours : tous ces usages sont haut risque si la note ou l'évaluation produite à un impact sur la validation d'une formation.

Plateformes edtech avec IA générative

Les éditeurs edtech qui intègrent des modèles de langue (ChatGPT, Claude, Mistral) dans leurs produits doivent vérifier deux obligations distinctes : le risque limite de l'IA générative (transparence sur le fait que le contenu est généré par IA) et le haut risque si le produit evalue les élèves.

Les 7 obligations pour les systèmes d'IA haut risque en éducation

Les articles 9 à 15 de l'EU AI Act définissent sept obligations applicables à tout système haut risque :

1. Système de gestion des risques

Identifier et évaluer les risques que le système fait peser sur la santé, la sécurité et les droits fondamentaux des élèves. Pour une plateforme de proctoring, cela inclut le risque de discrimination (faux positifs plus fréquents sur certaines couleurs de peau), le stress psychologique et la vie privée.

2. Gouvernance des données

Les jeux de données d'entraînement, validation et test doivent être pertinents, représentatifs, exempts d'erreurs et complets. Un modèle entraine uniquement sur des copies d'étudiants d'une certaine catégorie socio-professionnelle produira des biais systématiques.

3. Documentation technique (Annexe IV)

Dossier complet décrivant le système, ses finalités, les données utilisées, les performances, les limites, les mesures de gestion des risques. Ce document doit être tenu à jour et disponible pour les autorités de surveillance.

4. Journalisation automatique

Le système doit enregistrer automatiquement les evenements pertinents pour permettre une traçabilité en cas d'incident ou de recours. Pour un outil de correction automatique, cela implique de journaliser chaque note attribuée et les éléments qui l'ont motivée.

5. Transparence et information des utilisateurs

Les étudiants et leurs familles doivent être informes de l'utilisation d'un système d'IA haut risque, de sa finalité et de ses caractéristiques principales. Les notices d'utilisation doivent être claires, complètes et accessibles.

6. Supervision humaine

Aucune décision majeure (admission refusée, note éliminatoire, exclusion d'un examen pour suspicion de fraude) ne peut être prise par le système sans intervention humaine. Un enseignant ou un responsable administratif doit pouvoir remettre en cause la décision de l'IA.

7. Exactitude, robustesse et cybersécurité

Le système doit atteindre un niveau approprie de précision et résister aux tentatives de manipulation (triche des élèves, attaques adversariales, fuites de données).

L'analyse d'impact sur les droits fondamentaux (AIPD)

L'article 27 de l'EU AI Act introduit une obligation spécifique pour les organismes publics (ce qui inclut les universités publiques, les rectorats, les lycées publics) et pour les opérateurs prives fournissant un service public d'éducation : réaliser une analyse d'impact sur les droits fondamentaux (AIPD) avant tout déploiement.

Cette analyse doit documenter :

• Le processus dans lequel le système IA sera utilise
• La durée et la fréquence prévue d'utilisation
• Les catégories de personnes physiques et de groupes susceptibles d'être affectes
• Les risques spécifiques de préjudice pour ces personnes
• Les mesures de supervision humaine prévues
• Les mesures à prendre en cas de matérialisation des risques

Pour un établissement, la AIPD doit notamment analyser les risques de discrimination (algorithmique, sociale, territoriale), d'atteinte à la vie privée, de stress psychologique et d'atteinte à la liberté pédagogique.

Les erreurs fréquentes dans le secteur éducatif

Erreur n 1 : croire que les outils commerciaux sont déjà conformes

Beaucoup d'établissements pensent que parce qu'ils utilisent un SaaS d'un éditeur reconnu (Respondus, Proctorio, Gradescope), le fournisseur gere la conformité. C'est faux. L'EU AI Act distingue le fournisseur du système et le déployeur. L'établissement qui utilise le système est le déployeur et à ses propres obligations, notamment la AIPD, l'information des étudiants et la supervision humaine.

Erreur n 2 : confondre RGPD et EU AI Act

Être en conformité RGPD ne signifie pas être en conformité avec l'EU AI Act. Les deux règlements se complementent mais couvrent des obligations distinctes. Une plateforme de proctoring peut respecter le RGPD (consentement, minimisation, durée de conservation) et être pourtant non conforme à l'EU AI Act (absence de documentation technique, pas de supervision humaine formalisée).

Erreur n 3 : ne rien faire en attendant les décrets d'application

La deadline du 2 août 2026 est une date ferme inscrite dans le règlement européen d'application directe. Elle n'attend pas de décret français pour s'appliquer. Les établissements qui attendent la sortie de textes nationaux seront en retard.

Plan d'action pour un établissement éducatif

Avril a mai 2026 : inventaire et classification

Recenser tous les systèmes d'IA utilisés, y compris ceux integres dans des plateformes plus larges (Moodle avec plugin IA, ENT, Parcoursup, solutions de visio avec transcription IA). Pour chacun, identifier s'il relève du risque minimal, limite ou haut risque.

Mai a juin 2026 : production des documents

Pour chaque système haut risque identifie, produire l'Annexe IV et réaliser la AIPD. Les établissements publics doivent intégrer ces documents à leur registre de traitement RGPD et les tenir à disposition du DPO.

Juin a juillet 2026 : formation et gouvernance

Former le corps enseignant et les personnels administratifs aux obligations de supervision humaine. Mettre en place un comité d'éthique IA ou élargir les attributions du comité éthique existant. Designer un réfèrent IA.

Juillet 2026 : tests et audit interne

Tester les procédures de recours étudiant, vérifier les logs, réaliser un audit interne avec le DPO et la direction. Corriger les écarts avant la deadline.

2 août 2026 : deadline

À partir de cette date, tout système IA haut risque non conforme expose l'établissement à des sanctions. Pour une université ou une grande école, une non conformité publique serait aussi une atteinte majeure à sa réputation.

Sanctions applicables au secteur éducatif

Les amendes sont les mêmes que pour les autres secteurs : jusqu'à 15 millions d'euros ou 3 pourcent du chiffre d'affaires mondial pour le non respect des obligations haut risque. Pour un établissement public, les sanctions peuvent également prendre la forme de mises en demeure publiques, d'obligations de retrait de systèmes et d'injonctions de la part des autorités de surveillance. L'impact reputationnel, notamment sur les classements et le recrutement d'étudiants internationaux, est souvent plus redoutable que l'amende elle-même.

Comment MaConformite accompagne le secteur éducation

MaConformite propose un Pôle Éducation dédié qui adapte les questionnaires, templates et checklists aux spécificités pédagogiques :

• Questionnaires adaptes aux systèmes éducatifs français (universités, grandes écoles, lycées, edtech)
• Templates Annexe IV avec terminologie pédagogique
• AIPD guidée sur les droits fondamentaux des apprenants (non discrimination, vie privée, accès a l'éducation)
• Articulation RGPD, Code de l'éducation, recommandations CNIL et EU AI Act
• Bibliothèque de cas types : proctoring, correction automatique, admission, tutorat IA
• Export PDF professionnel pour le DPO, la direction et les autorités de surveillance

Le diagnostic gratuit permet en 3 minutes d'identifier les systèmes haut risque de votre établissement et les obligations qui s'appliquent. Tout est accessible sans création de compte et sans carte bancaire.

Questions fréquentes — EU AI Act et éducation

Les logiciels adaptatifs d'apprentissage sont-ils à haut risque sous l'AI Act ?

Oui, si leur usage peut influencer le parcours ou l'évaluation de l'étudiant. L'Annexe III (point 3) classe à haut risque les systèmes d'IA utilisés pour déterminer l'accès à l'éducation, l'évaluation, ou l'orientation des apprenants. Un outil d'apprentissage adaptatif qui recommande des filières ou influence les notes est directement concerné.

Les universités sont-elles des déployeurs ou des fournisseurs d'IA sous l'AI Act ?

Généralement des déployeurs, si elles utilisent des logiciels IA tiers. Mais une université qui développe son propre outil d'IA (ex. plateforme d'évaluation automatisée de dissertations) devient fournisseur avec des obligations renforcées : documentation technique Annexe IV, enregistrement, marquage CE si le système entre dans le commerce.

L'usage de ChatGPT ou d'outils IA générative par les étudiants est-il réglementé ?

L'AI Act réglemente les fournisseurs et déployeurs, pas les usages privés des individus. Mais l'université qui utilise un outil de détection de plagiat IA (ex. Turnitin AI) est déployeuse de ce système et à des obligations de transparence envers les étudiants. Par ailleurs, l'article 50 oblige à signaler les contenus générés par IA dans certains contextes académiques.

Les outils de surveillance d'examens en ligne (proctoring IA) sont-ils autorisés ?

Les outils de proctoring qui utilisent la reconnaissance faciale ou l'analyse comportementale pour détecter la triche sont classés à haut risque. Leur déploiement exigé une transparence totale envers l'étudiant, une supervision humaine, et une analyse d'impact. Plusieurs universités européennes les ont suspendus en raison de biais algorithmiques documentés.

Les EdTech françaises qui vendent leurs outils à des écoles sont-elles fournisseurs ?

Oui. Une EdTech qui développe et commercialise un système d'IA destiné à être utilisé dans un contexte éducatif est un fournisseur au sens de l'AI Act. Elle doit effectuer une évaluation de conformité avant mise sur le marché, produire une documentation technique, apposer le marquage CE, et enregistrer son système dans la base de données UE si c'est un système à haut risque.