Le cabinet fédéral allemand approuve, le 12 février 2026, son projet de loi de supervision IA intitulé KI-MIG. La Bundesnetzagentur (BNetzA), agence fédérale des réseaux, en devient la coordinatrice centrale et autorité de surveillance des marchés IA.

• La BNetzA devient coordinatrice centrale de la supervision IA en Allemagne
• Deadline inflexible fixée au 2 août 2026 pour la conformité des systèmes haut-risque
• L’absence de normes harmonisées crée un vide critique dans la conformité
• Quatre chantiers prioritaires : inventaire, classification, gouvernance des fournisseurs, documentation

La BNetzA devient coordinatrice centrale de la supervision IA

Le cabinet fédéral allemand approuve, le 12 février 2026, son projet de loi de supervision IA intitulé KI-MIG. La Bundesnetzagentur (BNetzA), agence fédérale des réseaux, en devient la coordinatrice centrale et autorité de surveillance des marchés IA.

La BNetzA cumule trois responsabilités :

• piloter la supervision du marché IA
• garantir la cohérence entre autorités sectorielles
• servir de guichet unique d’information aux entreprises

Cette agence régule déjà les grandes plateformes (Facebook, Instagram, YouTube, TikTok, X) sous la Loi sur les services numériques et dispose d’une expertise reconnue en régulation numérique.

La gouvernance reste fragmentée. L’Office fédéral des cartels, la BaFin (autorité financière) et les autorités de protection des données conservent leurs responsabilités sectorielles. Une entreprise ayant un système IA en ressources humaines, un outil de scoring de crédit et une application médicale doit classifier chaque système selon son risque et l’acheminer vers l’autorité compétente. Cette architecture distribée complique la conformité pour les organisations multi-secteurs.

2 août 2026 : deadline inflexible

Cette date limite provient directement du réglement européen et n’est pas négociable au niveau national.

À partir d’août 2026, les systèmes IA haut-risque devront satisfaire des obligations fermées :

• Transparence : information claire des utilisateurs sur l’utilisation de l’IA
• Gouvernance des données : qualité, documentation et versioning des jeux d’entraînement
• Documentation technique : spécifications détaillées, architecture, risques identifiés
• Robustesse : défense contre cyberattaques, défaillances et manipulations
• Cybersécurité : mesures explicites de protection des données et du système
• Supervision humaine : opérateurs formés avec capacité d’intervention

Les systèmes de reconnaissance d’émotions en contexte professionnel ou éducatif, ainsi que ceux permettant l’évaluation des comportements sociaux de masse, demeurent interdits.

L'absence de normes harmonisées crée un vide critique

Un obstacle de taille bloque la conformité : les normes techniques harmonisées n’existent pas encore.

La Commission européenne devait publier ses directives de classification et ses critères techniques avant le 2 février 2026. À la date de l’approbation allemande, cet objectif n’était pas atteint. Les entreprises font face à une deadline ferme sans feuille de route technique partagée.

Comment démontrer la transparence, la robustesse ou la gouvernance des données sans critères harmonisés d’évaluation ? Quelle documentation satisfera les autorités sans guidance définitive de la Commission ?

L’industrie allemande et la France ont demandé un report de 24 mois. La Commission n’a pas encore formellement accepté ou rejeté cette demande. Attendre une clarification européenne comporte un risque : en cas de refus du report, les entreprises se trouveraient contraintes de se conformer à des normes implicites.

Quatre chantiers prioritaires pour les entreprises

Malgré l’incertitude réglementaire, le gouvernement allemand prône une action immédiate. Les directeurs de conformité doivent structurer leur approche autour de quatre piliers.

Inventaire exhaustif. Établir un catalogue complet de tous les systèmes utilisant l’IA : développements internes, modules fournis par les éditeurs logiciels, déploiements informels au sein des départements. La plupart des entreprises allemandes n’ont pas encore effectué cet audit de base.

Classification du risque. Évaluer le profil de risque de chaque IA. Un algorithme de sélection de candidats RH relève du haut-risque, tandis qu’une application de recommandation de produits engage un risque plus faible. Seuls les systèmes haut-risque entraîneront des obligations complexes à partir d’août 2026.

Gouvernance des fournisseurs. Interroger éditeurs et prestataires sur leur propre documentation de conformité, exiger les données d’entraînement et l’architecture, préparer des audits réguliers. Le déploiement final reste responsable, même si le système provient d’un tiers.

Documentation de conformité opérationnelle. Construire l’infrastructure documentaire : protocoles de monitoring et logs d’exécution, traces de supervision humaine, données d’entraînement versionnées, évaluations d’impact et rapports de risque. Cette documentation formera la base des preuves de conformité en cas de contrôle réglementaire.

Allemagne rattrape son retard administratif

L’Allemagne a manqué le calendrier européen initial : la Commission fixait au 2 août 2025 l’installation des structures de supervision nationales. Berlin a raté cette échéance, notamment du fait des élections fédérales anticipées de février 2025.

La BNetzA a lancé en juillet 2025 un « AI Service Desk » et publié des directives d’alphabétisation IA à l’intention des entreprises. Le projet de loi KI-MIG doit franchir l’examen du Bundestag et l’approbation du Bundesrat. Le gouvernement signale que ce processus s’accélère et met l’accent sur une supervision « maximalement favorable à l’innovation ».

L'impératif immédiat : commencer sans attendre

Le cabinet fédéral allemand a franchi un cap administratif réel : la supervision IA ne relève plus du théorique, elle s’inscrit dans un texte législatif soumis au parlement.

Persiste toutefois un paradoxe central : une deadline inflexible s’impose à des entreprises et régulateurs naviguant sans standards harmonisés, sans guidance définitive de la Commission, et sans certitude quant aux demandes de report.

La stratégie prudente consiste à inventorier, classifier, former et documenter dès aujourd’hui. C’est l’unique assurance contre une non-conformité de facto en septembre 2026.