AI Act au Luxembourg : régulateurs, mise en conformité et particularités 2026

Le projet de loi 8476 du 23 décembre 2024 structure la surveillance de l'AI Act autour d'une autorité chef de file, la CNPD, qui sert de point de contact officiel face à la Commission européenne et à l'AI Office, complétée par 8 régulateurs sectoriels. L'objectif assumé : limiter les recouvrements de compétences et donner à chaque organisation régulée un guichet sectoriel sans ambiguïté.

CNPD - chef de file et coordination d'ensemble

La Commission nationale pour la protection des données orchestre l'application du règlement : elle pilote les bacs à sable réglementaires, diffuse les orientations et porte la voix du Luxembourg au sein de l'AI Board européen. Installée dans ce rôle dès novembre 2024, avant même le vote de la loi nationale, elle veille en outre à l'articulation avec le RGPD chaque fois qu'une IA traite des données personnelles. Pour s'informer : cnpd.public.lu.

CSSF - finance et industrie des fonds

La Commission de surveillance du secteur financier encadre l'IA chez les banques, les sociétés de gestion d'OPC, les AIFM, les PSF et les établissements de paiement. Les cas haut risque visés sont notamment la notation de crédit automatisée, le KYC/AML piloté par IA, le suivi des opérations, le conseil en investissement assisté et les modèles tarifaires de la gestion d'actifs. Ces obligations AI Act viennent s'empiler sur DORA (résilience numérique, en vigueur depuis le 17 janvier 2025) et sur MiFID II.

CAA - assurance et réassurance

Le Commissariat aux assurances applique l'AI Act aux assureurs et réassureurs domiciliés au Luxembourg, en ciblant la tarification, la sélection des risques, l'estimation des sinistres et les agents conversationnels de souscription. À surveiller également : les croisements avec Solvabilité II et la directive sur la distribution d'assurances (IDD).

ILR - infrastructures essentielles et jonction NIS2

L'Institut Luxembourgeois de Régulation incarne la vraie singularité du modèle luxembourgeois. Il prend en charge les déployeurs d'IA haut risque qui sont aussi opérateurs de services essentiels au titre de NIS2 (loi 8364). En pratique, un opérateur télécom, un énergéticien ou un acteur postal du pays ne traite qu'avec un seul interlocuteur pour ses obligations cyber NIS2 et ses obligations IA. Cette double mission confiée à une autorité unique reste exceptionnelle en Europe et fait gagner un temps précieux sur la conformité multi-régulations.

ILNAS - infrastructures critiques et métrologie

L'Institut luxembourgeois de la normalisation, de l'accréditation, de la sécurité et qualité des produits et services couvre les IA embarquées dans des produits réglementés (annexe I) en dehors de la santé : machines industrielles, jouets, ascenseurs, équipements radio. L'ILNAS anime par ailleurs les comités nationaux de normalisation, en lien avec CEN-CENELEC et ETSI.

ALIA - audiovisuel et contenus synthétiques

L'Autorité luxembourgeoise indépendante de l'audiovisuel intervient sur les usages d'IA dans les médias et les services de communication audiovisuelle : transparence sur les contenus générés artificiellement (deepfakes), repérage et signalement. Des passerelles existent avec la directive SMA (Services de médias audiovisuels) et le DSA.

ALMPS - santé et dispositifs médicaux

L'Agence luxembourgeoise des médicaments et des produits de santé encadre les IA logées dans des dispositifs médicaux (annexe I de l'AI Act, couplée à MDR / IVDR) : aide au diagnostic en imagerie, surveillance des patients, implants à composante IA, recours à l'IA dans les essais cliniques. Le croisement avec le marquage CE médical est ici incontournable.

JSA - secteur de la justice

La Justice Sector Authority veille sur les usages d'IA dans le monde judiciaire : aide à la prédiction de décisions, analyse de pièces, traitement automatisé des dossiers, toujours sans se substituer au magistrat. L'article 5 du règlement proscrit l'évaluation purement algorithmique du risque de récidive.

OLAS - accréditation des organismes notifiés

L'Office luxembourgeois d'accréditation et de surveillance habilite les organismes notifiés chargés de vérifier la conformité des IA haut risque (procédures d'évaluation, audits, marquage CE). Un maillon obligatoire pour les fournisseurs tenus de recourir à un tiers évaluateur, conformément à l'article 43 du règlement.

Rares sont les pays de l'Union à avoir réuni sous une seule autorité, l'ILR, la surveillance des opérateurs de services essentiels NIS2 et celle des déployeurs d'IA haut risque opérant dans ces mêmes domaines. Cette mutualisation se traduit, pour les entreprises concernées, par un allègement opérationnel bien tangible.

Qui relève des deux régimes à la fois

Une société luxembourgeoise bascule dans les deux cadres lorsqu'elle réunit deux critères cumulatifs :

• Entité essentielle ou importante au regard de NIS2 (énergie, transport, eau, santé, infrastructures numériques, services postaux, etc.).
• Déployeur d'au moins une IA haut risque au sens de l'AI Act (solution greffée à un service essentiel ou influençant des décisions visant des personnes).

Quelques illustrations courantes : un opérateur télécom du pays recourant à l'IA pour traquer la fraude, un énergéticien équipant son smart metering d'IA, un hôpital ou un acteur postal doté d'une brique IA. Pour eux, l'ILR devient le point d'entrée unique couvrant à la fois la cybersécurité (NIS2) et l'IA (AI Act).

Ce que les entreprises y gagnent

• Un dossier de conformité mutualisé : une documentation unique satisfait les deux régimes (maîtrise des risques, supervision humaine, journalisation, réponse aux incidents).
• Un seul interlocuteur réglementaire : plus de risque de positions divergentes entre une autorité cyber et une autorité IA.
• Des contrôles mutualisés : un audit de l'ILR peut traiter d'un coup l'article 21 de NIS2 et l'article 9 de l'AI Act (gestion des risques).
• Un vocabulaire homogène : aucune lecture contradictoire d'un régime à l'autre, par exemple sur ce qui constitue un « système critique ».

Mon conseil côté organisation

Plutôt que de mener les chantiers en silos, je recommande de réunir dès la phase d'audit une cellule pluridisciplinaire mêlant cybersécurité, IA, DPO et métier. Confiez le pilotage de la conformité multi-régulations à un référent unique, généralement le RSSI ou le DPO, qui centralise les échanges avec l'ILR. Mon guide NIS2 détaille la méthode côté cybersécurité, et mon guide AI Act côté intelligence artificielle.

Quand on opère sur plusieurs juridictions ou qu'on dirige un groupe à filiales transfrontalières, saisir les différences d'approche d'un État à l'autre aide à repérer en amont les zones de friction réglementaire.

Pour un groupe à dimension transfrontalière, c'est aujourd'hui le Luxembourg qui propose le cadre le plus lisible : organisation déjà publiée, chef de file opérationnel depuis dix-huit mois et regroupement du volet NIS2 sous une autorité unique. Si vous devez arbitrer la domiciliation de votre hub IA européen, voilà un critère qui mérite sa place dans la décision.