Comment fonctionne réellement la gouvernance de l'IA au Royaume-Uni : il n'existe pas de loi unique sur l'IA

Le Royaume-Uni a délibérément choisi une voie différente de celle de l'UE. Contrairement à l'AI Act européen, qui est un règlement unique et complet s'appliquant de manière uniforme à tous les secteurs, le Royaume-Uni met en œuvre la gouvernance de l'IA par l'intermédiaire des régulateurs sectoriels existants, en s'appuyant sur leurs pouvoirs statutaires déjà en place. Le Livre blanc de 2023 intitulé « A Pro-Innovation Approach to AI Regulation » a énoncé cinq principes non contraignants, sûreté/sécurité/robustesse, transparence appropriée, équité, responsabilité et possibilité de contestation, et a demandé aux régulateurs existants (ICO, FCA, Ofcom, CMA, MHRA, EHRC, et autres) de les appliquer dans le cadre de leurs propres compétences statutaires.

Conséquence pratique : les exigences réglementaires applicables à votre système d'IA dépendent de ce que fait l'IA, des personnes qu'elle affecte et du secteur dans lequel elle opère. Il n'existe ni régulateur unique auprès duquel s'enregistrer, ni système universel de classification des risques. Un projet de loi britannique complet sur l'IA (UK AI Bill) est attendu au second semestre 2026, mais son périmètre et son calendrier demeurent incertains. D'ici là, la conformité secteur par secteur reste la réalité opérationnelle.

Les régulateurs sectoriels et leur champ d'action

ICO (Information Commissioner's Office), le régulateur de facto chef de file en matière d'IA. Dès lors qu'un système d'IA traite des données personnelles, ce qui couvre la plupart des applications d'IA destinées aux consommateurs et aux ressources humaines, l'ICO est compétent. Le Data (Use and Access) Act 2025 (sanction royale le 19 juin 2025) a remplacé l'article 22 du RGPD britannique par de nouveaux articles 22A à 22D, modifiant le cadre applicable à la prise de décision automatisée. Les décisions entièrement automatisées sont désormais autorisées sous réserve de garanties (information de la personne concernée, droit de présenter des observations, droit de contester), les restrictions les plus strictes étant réservées aux décisions fondées sur des données de catégorie particulière. L'ICO pilote la coordination du Digital Regulation Cooperation Forum (DRCF) avec la FCA, l'Ofcom et la CMA. Amendes maximales : 17,5 millions de livres sterling ou 4 % du chiffre d'affaires mondial.

FCA (Financial Conduct Authority), l'IA dans les services financiers. La FCA a été explicite : il n'y aura pas de corpus de règles spécifique à l'IA. La gouvernance de l'IA s'articule au contraire autour du Consumer Duty (depuis juillet 2024), du Senior Managers and Certification Regime (SM&CR) et des exigences de résilience opérationnelle. La Mills Review (lancée en janvier 2026) classe l'IA dans les services financiers de détail en trois catégories, assistive, consultative et autonome ; ses recommandations sont attendues pour l'été 2026. Le FCA AI Lab propose des environnements de test (Supercharged Sandbox, AI Live Testing Cohort 2 débutant en avril 2026).

MHRA (Medicines and Healthcare products Regulatory Agency), l'IA en tant que dispositif médical. L'IA en tant que dispositif médical (AI as a Medical Device, AIaMD) et les logiciels en tant que dispositif médical (Software as a Medical Device, SaMD) doivent respecter les Medical Devices Regulations 2002 (marquage UKCA) ainsi que les exigences de surveillance post-commercialisation. Le 18 décembre 2025, la MHRA a lancé un appel à contributions destiné à alimenter la National Commission into the Regulation of AI in Healthcare ; l'appel s'est clôturé le 2 février 2026, les recommandations étant attendues en 2026. Le non-respect de ces règles constitue une infraction pénale passible d'amendes illimitées.

Ofcom (Office of Communications), l'IA dans les contenus en ligne et la radiodiffusion. L'IA est régie par l'Online Safety Act 2023 (OSA) dès lors qu'elle interagit avec des services en ligne. L'Ofcom a publié une lettre ouverte aux fournisseurs de services en ligne sur la manière dont l'OSA s'applique à l'IA générative et aux chatbots, ainsi que des lignes directrices spécifiques sur les chatbots d'IA au titre de l'OSA. L'Ofcom collabore également avec la CMA, l'ICO et la FCA au sein du DRCF sur le sujet de l'IA agentique. Sir Ian Cheshire a été désigné candidat privilégié du gouvernement à la présidence de l'Ofcom le 8 avril 2026, en remplacement de Lord Grade à compter du 1er mai 2026.

CMA (Competition and Markets Authority), concurrence et protection des consommateurs face à l'IA. La CMA traite les questions liées à l'IA au moyen de ses pouvoirs en matière de droit de la concurrence et de protection des consommateurs. Sarah Cardell, directrice générale de la CMA, préside actuellement le DRCF. L'appel à contributions du DRCF d'octobre 2025 sur l'IA agentique visait à recueillir des avis sur les difficultés pratiques et les incertitudes réglementaires auxquelles les entreprises sont confrontées lors du déploiement de systèmes d'IA autonomes.

EHRC (Equality and Human Rights Commission), la discrimination algorithmique. L'EHRC applique l'Equality Act 2010 aux systèmes d'IA qui produisent des résultats discriminatoires. La discrimination indirecte résultant d'outils d'IA, en particulier en matière d'emploi, de recrutement et d'accès aux services, relève du champ d'action de l'EHRC. L'EHRC a publié des lignes directrices sur l'IA et l'emploi et dispose de pouvoirs d'enquête formels.

HSE (Health and Safety Executive), la sécurité de l'IA sur le lieu de travail. Les systèmes d'IA utilisés dans les opérations en milieu de travail, y compris la surveillance assistée par IA et les décisions critiques pour la sécurité pilotées par IA, relèvent de la compétence de la HSE au titre du Health and Safety at Work Act 1974.

Ofgem (Office of Gas and Electricity Markets), l'IA dans le secteur de l'énergie. L'Ofgem a publié des lignes directrices supplémentaires sur l'IA en mai 2025 afin de compléter le cadre réglementaire existant pour le secteur de l'énergie, en s'appuyant sur son approche stratégique de l'IA de 2024.

Ofqual, l'IA dans les qualifications. L'Ofqual réglemente l'utilisation de l'IA dans les qualifications, l'évaluation et les examens.

Le Digital Regulation Cooperation Forum (DRCF) : la coordination entre régulateurs

Le DRCF réunit l'ICO, l'Ofcom, la FCA et la CMA afin de coordonner leur action sur des enjeux transversaux, dont l'IA. Sous la présidence de Sarah Cardell en 2025/26, le plan de travail du DRCF vise à approfondir la compréhension, par les régulateurs, de la manière dont leurs régimes réglementaires respectifs s'appliquent à l'IA, et à résoudre les points de friction. L'appel à contributions d'octobre 2025 sur l'IA agentique a laissé entrevoir la publication prochaine de lignes directrices coordonnées sur les systèmes d'IA autonomes. Pour les organisations opérant dans plusieurs secteurs, le DRCF constitue le meilleur indicateur de l'orientation que prend la réflexion réglementaire coordonnée au Royaume-Uni.

Les obligations transversales applicables quel que soit le secteur

Le RGPD britannique (administré par l'ICO) s'applique à tout système d'IA traitant des données personnelles, quel que soit le secteur. Les articles 22A à 22D régissent les décisions entièrement automatisées ; les articles 13 à 15 imposent la transparence sur le traitement automatisé ; l'article 35 impose la réalisation d'analyses d'impact relatives à la protection des données pour les traitements d'IA à haut risque. L'Equality Act 2010 (administré par l'EHRC) interdit la discrimination directe et indirecte résultant de systèmes d'IA. Le droit britannique du droit d'auteur s'applique aux données d'entraînement de l'IA : l'entraînement commercial sur des œuvres protégées au Royaume-Uni sans licence constitue une contrefaçon, et aucune exception légale n'est actuellement en vigueur. Le Consumer Rights Act 2015 s'applique aux produits et services de consommation reposant sur l'IA.

Ce que cela implique pour la planification de la conformité

Faites correspondre chaque système d'IA de votre organisation au(x) régulateur(s) sectoriel(s) compétent(s) et désignez un responsable conformité nommément identifié pour chaque relation réglementaire. Traitez les cinq principes du Livre blanc comme le référentiel normatif opérationnel : chaque système d'IA déployé devrait disposer de preuves documentées sur la manière dont chaque principe est traité. Auditez les systèmes d'IA au regard des articles 22A à 22D du RGPD britannique et du cadre du DUAA 2025. Suivez les lignes directrices propres à chaque secteur : les régulateurs formulent des attentes de plus en plus prescriptives, et non plus de simples principes à interpréter. Les entreprises opérant dans plusieurs secteurs (services financiers et santé, distribution et technologie, éducation et emploi) supportent les charges de conformité les plus complexes, car plusieurs régimes réglementaires s'appliquent simultanément aux mêmes systèmes d'IA.

Pour aller plus loin : lignes directrices de l'ICO sur l'IA

À lire également

Pour aller plus loin : lignes directrices de l'ICO sur l'IA