Le Portugal a inscrit les systèmes numériques, y compris l’intelligence artificielle, dans le cadre juridique de la commande publique. Le décret-loi n° 177/2026, publié le 4 septembre, entrera en vigueur le 1er octobre 2026. Les nouvelles règles s’appliqueront aux procédures lancées après cette date ainsi qu’aux contrats qui en découleront.
La nouveauté ne se limite pas à autoriser de nouveaux outils. Le nouvel article 1-C fixe cinq principes pour les systèmes numériques utilisés dans les marchés publics : transparence et explicabilité, sécurité, protection des données et informations confidentielles, supervision humaine et interopérabilité avec les plateformes de l’État.
L’IA entre dans le droit de la commande publique
De nombreuses politiques publiques sur l’IA prennent encore la forme de stratégies, de recommandations ou de règles internes. Ici, les exigences sont intégrées au Code des contrats publics lui-même. Elles concernent donc directement les organismes publics et les fournisseurs qui souhaitent vendre des systèmes d’IA à l’administration.
L’article 1-C prévoit que les pouvoirs adjudicateurs utilisent des systèmes numériques, y compris d’intelligence artificielle, pour améliorer l’efficacité de la préparation, de la conduite des procédures et de l’exécution des contrats. Il serait néanmoins excessif d’en déduire une obligation d’utiliser l’IA dans chaque marché. La lecture opérationnelle la plus prudente est que la numérisation devient une composante normale de la commande publique et que, lorsque l’IA est utilisée, elle doit respecter les garanties prévues par le Code.
Cinq exigences à intégrer dès la conception
La première est la transparence et l’explicabilité. Le texte prévoit un droit à l’information sur l’usage des systèmes numériques et sur leur fonctionnement. Une administration qui s’appuie sur l’IA doit donc pouvoir montrer à quel moment elle intervient et quel rôle son résultat joue dans la décision.
La deuxième est la sécurité. Les solutions doivent réduire les risques d’erreur et d’effets discriminatoires. Le contrôle ne porte donc pas seulement sur la cybersécurité, mais aussi sur la fiabilité et les biais possibles.
La troisième concerne les données personnelles, les secrets commerciaux et industriels et les autres informations confidentielles. Cette exigence est centrale lorsque les systèmes manipulent des offres, des prix, des documents techniques ou des informations sensibles sur les fournisseurs.
La quatrième est la supervision humaine. Le Code précise que les systèmes numériques ne dispensent pas les responsables compétents de vérifier les résultats. Une IA peut assister l’analyse, le classement ou la synthèse, mais elle ne fait pas disparaître la responsabilité de l’autorité publique.
La cinquième est l’interopérabilité avec les plateformes agrégatrices de l’État. Ce qui relevait souvent d’un choix d’architecture devient ainsi un élément à prendre en compte dans la conception et l’achat des systèmes.
Les fournisseurs devront apporter des preuves de gouvernance
Pour les éditeurs qui vendent des solutions d’IA au secteur public portugais, la conséquence est directe. Une démonstration produit ou un score de benchmark ne suffira probablement pas à répondre à une évaluation sérieuse. Les acheteurs auront de bonnes raisons de demander comment le système explique ses résultats, protège les informations, trace les actions et impose une validation humaine.
Un dossier de réponse crédible pourra inclure la cartographie des flux de données, les rôles et permissions, les journaux d’audit, les points de contrôle humain, les mécanismes de sécurité et les capacités d’interopérabilité. Le décret n’impose pas une architecture technique unique, mais il renforce la base juridique sur laquelle un acheteur peut exiger ces éléments.
La réforme ajoute aussi un mécanisme de test des systèmes informatiques avant achat. Le nouvel article 35-C permet une mise à disposition gratuite et temporaire afin d’évaluer les aspects techniques, fonctionnels, de sécurité, d’interopérabilité et d’adéquation au besoin. La période est normalement limitée à 30 jours, avec une seule prolongation motivée pouvant aller jusqu’à 90 jours.
La responsabilité doit rester traçable
L’analyse d’Aipolix est que la gouvernance devient une composante du système acheté, et non un document ajouté après coup. Si une administration acquiert une solution intégrant de l’IA, elle doit pouvoir expliquer où l’automatisation intervient, qui vérifie le résultat, comment les données sensibles sont protégées et comment le système s’intègre à l’infrastructure publique.
Cela modifie l’architecture d’une décision d’achat. Le choix du modèle n’est plus suffisant. Il faut une chaîne traçable entre les données d’entrée, le traitement automatisé, la vérification humaine et l’action finale dont un responsable public reste comptable.
Avant le 1er octobre, les organismes concernés peuvent utilement comparer leurs processus assistés par IA aux cinq exigences de l’article 1-C. Les fournisseurs peuvent faire le même exercice côté produit : explicabilité, sécurité, protection des données, contrôle humain et interopérabilité doivent être démontrables dans la solution elle-même.
Entrée en vigueur et portée
Le décret-loi n° 177/2026 entre en vigueur le 1er octobre 2026. Ses modifications s’appliquent aux procédures de marchés publics ouvertes après cette date et aux contrats issus de ces procédures. L’Ordre portugais des ingénieurs techniques a également identifié l’intégration des systèmes numériques et de l’IA parmi les changements importants de la réforme.
Le texte contient de nombreuses autres modifications du droit des marchés publics. L’article 1-C ne doit donc pas être lu isolément. Mais pour la gouvernance de l’IA, le signal est net : dans la commande publique portugaise, les systèmes numériques deviennent une couche opérationnelle encadrée par la loi, et non un simple outil de productivité.