AI Act et défense : ce qui est exclu, ce qui reste couvert

Travailler pour la défense ne vous fait pas sortir en bloc de l'AI Act : seule une IA dont la finalité est exclusivement militaire, de défense ou de sécurité nationale échappe au règlement. Le moindre usage civil, dual ou de support fait rentrer votre système dans le champ, avec le RGPD par-dessus. La bonne question n'est donc pas « suis-je exclu ? » mais « lesquels de mes usages le sont vraiment ? ». Beaucoup d'acteurs de la défense raisonnent en tout ou rien et se croient hors périmètre parce que leur secteur est sensible. C'est cette confusion que la méthode ci-dessous vous aide à lever, usage par usage.

Le problème : confondre le secteur et la finalité

Le règlement européen sur l'IA prévoit bien une exclusion pour la défense, à son article 2, paragraphe 3. Mais cette exclusion ne vise pas les entreprises de la base industrielle et technologique de défense dans leur ensemble : elle vise des usages, définis par leur finalité. Un système d'IA n'est exclu que si sa mise sur le marché, sa mise en service ou son utilisation ont une finalité exclusivementmilitaire, de défense ou de sécurité nationale. Le mot « exclusivement » est le cœur du dispositif, et c'est lui que l'on oublie.

Le scénario que je vois revenir : une entreprise de défense déploie une IA de tri de candidatures, un copilote de rédaction pour ses équipes ou une maintenance prédictive sur sa chaîne de production, et suppose que le « contexte défense » couvre le tout. Or ces usages n'ont rien de militaire par nature. Ils restent dans le champ de l'AI Act, parfois même en haut risque, et sous le RGPD dès qu'ils touchent des données personnelles. La conséquence n'est pas théorique : un usage mal qualifié, c'est une obligation ignorée, et une sanction possible là où l'on se croyait à l'abri.

La méthode en 4 étapes pour qualifier le régime

L'objectif est simple : pour chaque système d'IA, savoir s'il sort du champ de l'AI Act ou s'il y reste, sans surestimer ni sous-estimer l'exclusion. Appliquez ces quatre étapes à chaque usage pris séparément.

Étape 1 : inventorier vos usages par leur finalité réelle

Listez chaque système d'IA en service ou en projet, et décrivez pour chacun ce qu'il fait vraiment, pas le service auquel il est rattaché. Une IA de traitement d'images satellite pour du renseignement, une IA de planification logistique et un chatbot RH interne relèvent de trois régimes différents, même s'ils vivent dans la même organisation. Ce recensement est le même exercice de cartographie que pour n'importe quelle entreprise : je le détaille dans mon article sur la méthode pour situer votre périmètre AI Act. Sans cet inventaire, la qualification qui suit n'a aucun support.

Étape 2 : appliquer le test de finalité exclusive

Pour chaque usage, posez la question centrale : sa finalité est-elle exclusivementmilitaire, de défense ou de sécurité nationale ? Si un doute existe, ou si un même système sert à la fois une mission opérationnelle et un besoin civil, la réponse est « non » : le système reste dans le champ. L'exclusion se lit de façon stricte, elle ne se présume pas. Une IA de ciblage embarquée sur un système d'armes coche la case ; une IA de cybersécurité qui protège aussi bien des réseaux militaires que des réseaux administratifs ne la coche pas.

Étape 3 : traiter les zones grises, usages duaux et support

C'est l'étape qui fait la différence. La plupart des usages litigieux ne sont ni purement militaires ni purement civils. Trois familles reviennent sans cesse et restent, sauf exception, dans le champ du règlement :

Un usage de support qui décide ou influence une décision sur une personne, comme un tri de candidatures, bascule même souvent en haut risque au sens de l'Annexe III. Pour savoir si un usage donné franchit ce seuil, la grille est la même que pour tous les secteurs, détaillée dans mon article sur les entreprises concernées par l'IA à haut risque.

Étape 4 : appliquer le bon régime, des deux côtés du test

La qualification ne s'arrête pas à « exclu » ou « couvert ». Chaque branche appelle ses propres exigences, et sortir de l'AI Act ne veut jamais dire sortir de toute règle.

• Usage couvert :vous appliquez l'AI Act selon son niveau de risque (documentation, gestion des risques, supervision humaine, transparence) et le RGPD dès qu'il y a des données personnelles. Les deux se cumulent.
• Usage exclu :vous sortez de l'AI Act, mais restent le droit international, le contrôle export des biens à double usage, les règles de classification et de protection du secret, et vos exigences de souveraineté sur l'hébergement et la chaîne d'approvisionnement du modèle.

Sur ce dernier point, la maîtrise de la provenance et des dépendances de vos modèles est un enjeu de sécurité à part entière, que je développe dans mon article sur l'audit de la chaîne d'approvisionnement de vos modèles.

Le résultat : une fiche de régime par usage

En déroulant ces quatre étapes, vous obtenez pour chaque système d'IA une ligne claire : sa finalité, son statut au regard de l'exclusion, et le régime qui s'applique. Vous cessez de couvrir vos usages de support sous un parapluie « défense » qui ne les protège pas, et vous concentrez vos preuves de conformité là où elles sont réellement exigées. C'est aussi ce qui vous évite le double écueil du secteur : vous croire exclu de tout, ou vous imposer des obligations AI Act sur des systèmes qui en sont légitimement sortis.

Questions fréquentes

Mon entreprise ne fait que de la défense, suis-je exclu de l'AI Act ?

Non, pas automatiquement. L'exclusion vise des usages à finalité exclusivement militaire, pas des organisations. Vos fonctions de support (RH, bureautique, maintenance, cybersécurité mixte) et vos produits duaux restent dans le champ du règlement.

Qu'est-ce qu'un usage dual, concrètement ?

C'est un système conçu ou vendu pour servir à la fois des besoins militaires et des besoins civils : une brique de vision par ordinateur, un drone, un outil de cybersécurité. Le versant civil de cet usage reste soumis à l'AI Act et au RGPD, même si le versant militaire en est exclu.

Si un usage est exclu de l'AI Act, n'ai-je plus aucune contrainte ?

Au contraire. Vous sortez d'un cadre pour entrer dans d'autres : droit international, contrôle des exportations de biens à double usage, classification et protection du secret, exigences de souveraineté sur l'hébergement et les dépendances du modèle. L'exclusion allège l'AI Act, elle ne supprime pas le risque.

Le RGPD s'applique-t-il aussi aux systèmes militaires ?

Le RGPD connaît ses propres exclusions pour certaines activités régaliennes, mais dès qu'un traitement de données personnelles sort de ce cadre strict, notamment pour vos données RH ou vos sous-traitants civils, il s'applique pleinement. Là encore, la qualification se fait traitement par traitement, pas en bloc.

Qualifier le régime de chaque usage d'IA de défense, séparer ce qui est exclu de ce qui reste couvert, puis bâtir les preuves attendues, c'est exactement le travail d'un audit Sécurité & Conformité IAadapté aux enjeux de l'armement et de la défense. Un premier échange suffit pour situer vos usages sensibles et vos angles morts.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.