AI Act au Luxembourg : autorités, conformité et spécificités 2026

Le projet de loi 8476 du 23 décembre 2024 organise la supervision de l'AI Act au Luxembourg autour d'une autorité de référence unique (la CNPD, point de contact officiel auprès de la Commission européenne et de l'AI Office) et de 8 autorités sectorielles. Cette répartition vise à éviter les chevauchements et à offrir un guichet sectoriel clair aux organisations régulées.

CNPD - autorité de référence et coordination

La Commission nationale pour la protection des données coordonne l'application du règlement, anime les sandboxes réglementaires, publie les guidances et représente le Luxembourg auprès de l'AI Board européen. Désignée dès novembre 2024 sans attendre la loi nationale, elle assure aussi la cohérence avec le RGPD pour les usages IA impliquant des données personnelles. Site de référence : cnpd.public.lu.

CSSF - secteur finance et fonds

La Commission de surveillance du secteur financier supervise l'usage de l'IA dans les banques, les sociétés de gestion d'OPC, les gestionnaires de fonds alternatifs (AIFM), les PSF et les institutions de paiement. Les usages haut risque concernent en particulier : scoring crédit automatisé, KYC/AML basés sur IA, surveillance des transactions, conseil en investissement assisté, modèles de pricing dans la gestion d'actifs. Les exigences AI Act s'ajoutent au régime DORA (résilience opérationnelle numérique, applicable depuis le 17 janvier 2025) et à MiFID II.

CAA - secteur assurance

Le Commissariat aux assurances supervise l'application de l'AI Act aux compagnies d'assurance et de réassurance basées au Luxembourg, en particulier sur les modèles de pricing, la sélection des risques, l'évaluation des sinistres et les chatbots de souscription. Recoupements avec Solvabilité II et IDD (Insurance Distribution Directive).

ILR - infrastructures essentielles et recoupement NIS2

L'Institut Luxembourgeois de Régulation est le point différenciant du dispositif luxembourgeois. Il supervise les déployeurs de systèmes IA haut risque qui sont aussi opérateurs de services essentiels au sens de NIS2 (loi 8364). Concrètement, un opérateur de télécom, un fournisseur d'énergie ou de service postal luxembourgeois dialogue avec un seul interlocuteur pour ses obligations cyber NIS2 et ses obligations IA. Le Luxembourg figure ainsi parmi les rares États membres à avoir confié cette double supervision à une seule autorité, ce qui simplifie considérablement la conformité multi-régulations.

ILNAS - infrastructures critiques et métrologie

L'Institut luxembourgeois de la normalisation, de l'accréditation, de la sécurité et qualité des produits et services supervise les systèmes IA intégrés à des produits réglementés (annexe I) hors santé : machines industrielles, jouets, ascenseurs, équipements radio. ILNAS pilote aussi les comités nationaux de normalisation, en lien avec CEN-CENELEC et ETSI.

ALIA - deepfakes et services audiovisuels

L'Autorité luxembourgeoise indépendante de l'audiovisuel est compétente sur les usages IA dans le secteur des médias et des services de communication audiovisuelle : obligations de transparence sur les contenus synthétiques (deepfakes), détection et signalement. Recoupement avec la directive SMA (Services de médias audiovisuels) et le DSA.

ALMPS - dispositifs médicaux et produits de santé

L'Agence luxembourgeoise des médicaments et des produits de santé supervise les systèmes IA intégrés à des dispositifs médicaux (annexe I AI Act + MDR / IVDR) : aide au diagnostic radiologique, suivi de patients, dispositifs implantables avec composante IA, IA dans les essais cliniques. Recoupement obligatoire avec le CE marking médical.

JSA - administration de la justice

Le Justice Sector Authority supervise les usages IA dans la justice : outils de prédiction de décisions, analyse de pièces, gestion automatisée de dossiers, sans pour autant remplacer le juge. Article 5 du règlement : interdiction de l'évaluation des risques de récidive purement algorithmique.

OLAS - accréditation des organismes notifiés

L'Office luxembourgeois d'accréditation et de surveillance accrédite les organismes notifiés qui évaluent la conformité des systèmes IA haut risque (procédures d'évaluation de conformité, audit, CE marking). Indispensable pour les fournisseurs qui doivent passer par un organisme tiers (article 43 du règlement).

Le Luxembourg figure parmi les rares États membres de l'Union européenne à avoir confié à une même autorité (l'ILR) la supervision combinée des opérateurs de services essentiels NIS2 et des déployeurs de systèmes IA haut risque dans ces mêmes secteurs. Cette consolidation crée une simplification opérationnelle réelle pour les entreprises concernées.

Qui est concerné par les deux régimes simultanément

Une entreprise luxembourgeoise est concernée par les deux régimes si elle remplit deux conditions cumulatives :

• Entité essentielle ou importante au sens de NIS2 (énergie, transport, eau, santé, infrastructures numériques, services postaux, etc.).
• Déployeur d'un ou plusieurs systèmes IA haut risque au sens de l'AI Act (système intégré à un service essentiel ou modulant des décisions sur les personnes).

Exemples typiques : un opérateur télécom luxembourgeois utilisant IA pour la détection de fraude, un fournisseur d'énergie utilisant IA pour le smart metering, un hôpital ou un opérateur de service postal avec composante IA. Pour ces entreprises, l'ILR devient le guichet unique pour les obligations cybersécurité (NIS2) et IA (AI Act).

Avantages concrets pour les entreprises

• Dossier de conformité unifié : une seule documentation accepte les deux régimes (gestion des risques, contrôle humain, journalisation, incident response).
• Un interlocuteur réglementaire : pas de risque d'avis contradictoires entre une autorité cyber et une autorité IA.
• Audits coordonnés : un audit ILR peut couvrir simultanément les exigences NIS2 article 21 et AI Act article 9 (gestion des risques).
• Cohérence terminologique : pas de divergence d'interprétation entre les régimes (par exemple sur la notion de "système critique").

Recommandation organisationnelle

Côté entreprise, mettre en place une équipe transverse cyber + IA + DPO + métier dès la phase d'audit, plutôt que de séparer les chantiers. Désigner un référent unique de la conformité multi-régulations (souvent le RSSI ou le DPO) qui coordonne les échanges avec l'ILR. Voir notre guide NIS2 pour la méthodologie cybersécurité, et notre guide AI Act pour la méthodologie IA.

Pour une entreprise multi-juridictionnelle ou un groupe avec filiales transfrontalières, comprendre les différences d'approche entre États membres permet d'anticiper les zones de friction réglementaire.

Pour les groupes transfrontaliers, le Luxembourg offre actuellement le cadre le plus prévisible : architecture publiée, autorité de référence opérationnelle depuis 18 mois, recoupement NIS2 consolidé sous une seule autorité. Si votre groupe a un choix de domiciliation à faire pour son hub IA européen, c'est un argument à intégrer dans la décision.