L’AI Act, ou IA Act, est le règlement européen qui encadre l’intelligence artificielle. Il s’applique aux entreprises qui conçoivent des systèmes d’IA, mais aussi à toutes celles qui les utilisent : une entreprise dont les salariés travaillent avec ChatGPT est soumise à l’AI Act. Ce guide explique qui est concerné, quelles obligations s’appliquent et à quelle date, et comment se mettre en conformité.
Qu’est-ce que l’AI Act ?
Le règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024. Il s’applique directement dans tous les États membres, sans loi de transposition. Il ne régit pas l’intelligence artificielle en général, mais les systèmes d’IA mis sur le marché ou utilisés dans l’Union européenne.
Un système d’IA est, en substance, un logiciel qui fonctionne avec une certaine autonomie et qui, à partir des données qu’il reçoit, produit des prédictions, des contenus, des recommandations ou des décisions. Un outil de tri de CV, un assistant de rédaction, un logiciel de détection de fraude ou un robot conversationnel (comme ChatGPT, Claude IA ou Gemini) sont des systèmes d’IA. Un tableur qui applique des formules fixées par l’utilisateur n’en est pas un.
La logique de l’AI Act est simple : plus le risque pour les personnes est élevé, plus les obligations sont lourdes. La plupart des usages courants ne sont soumis qu’à des obligations légères ; quelques usages sont interdits.
Qui est concerné par l’AI Act ?
L’AI Act distingue plusieurs rôles. Une même entreprise peut en cumuler plusieurs :
- le fournisseur : celui qui développe un système d’IA, ou le fait développer, et le met sur le marché sous son nom. C’est lui qui porte l’essentiel des obligations ;
- le déployeur : celui qui utilise un système d’IA dans le cadre de son activité professionnelle. Une entreprise qui permet à ses salariés d’utiliser ChatGPT dans leur travail est déployeur d’IA et soumises à ce titre à des obligations de mise en conformité ;
- l’importateur et le distributeur, qui font entrer ou circuler un système d’IA sur le marché européen.
Attention : un déployeur devient fournisseur s’il commercialise un système à haut risque sous son propre nom ou s’il le modifie de manière substantielle. L’AI Act s’applique aussi aux entreprises établies hors de l’Union, dès lors que leur système est utilisé dans l’Union ou que ses résultats y sont utilisés.
Quels sont les quatre niveaux de risque de l’AI Act ?
1. Les pratiques interdites
Certains usages sont purement et simplement interdits : la manipulation des personnes par des techniques subliminales, l’exploitation de la vulnérabilité liée à l’âge ou au handicap, la notation sociale, la prédiction du risque de délinquance fondée sur le seul profilage, la constitution de bases de reconnaissance faciale par collecte massive d’images, la reconnaissance des émotions au travail et à l’école, la catégorisation biométrique visant à déduire l’origine, les opinions ou l’orientation sexuelle, et, sauf exceptions, l’identification biométrique à distance en temps réel par la police dans l’espace public. Le règlement omnibus de 2026 y ajoute, à compter du 2 décembre 2026, la génération d’images intimes sans consentement et de contenus pédocriminels.
2. Les systèmes à haut risque
Deux catégories de systèmes sont à haut risque :
- les systèmes d’IA intégrés à des produits déjà réglementés (jouets, dispositifs médicaux, machines, véhicules…) ;
- les systèmes utilisés dans des domaines sensibles : biométrie, infrastructures critiques, éducation et formation, emploi et gestion des ressources humaines (recrutement, évaluation, promotion), accès aux services essentiels (crédit, assurance santé et vie, prestations sociales), police, migrations, justice et processus démocratiques.
Un système relevant de ces domaines peut échapper à la qualification de haut risque s’il n’accomplit qu’une tâche accessoire et n’influence pas réellement la décision. Cette exception doit être documentée.
3. Les systèmes soumis à une obligation de transparence
Les robots conversationnels (ChatGPT, Claude IA…), les systèmes qui génèrent des textes, images, sons ou vidéos et les « hypertrucages » (deepfakes) constituent des systèmes soumis à des obligations de transparence. Les entreprises qui utilisent de telles outils doivent ainsi, notamment, réaliser une analyse d’impact, encadrer les usages internes en prévoyant notamment un contrôle humain, informer les personnes concernées que leurs données sont traitées avec IA. Voir Deepfakes et obligation de transparence.
4. Les autres systèmes
Tous les autres systèmes (filtres anti-spam, correcteurs, outils de traduction…) ne sont soumis à aucune obligation propre, en dehors de la maîtrise de l’IA par le personnel. Les règles générales, notamment le RGPD, continuent de s’appliquer.
Les grands modèles algorithmiques sur lesquels reposent les outils d’IA générative obéissent à un régime juridique propre, qui pèse sur leurs concepteurs : documentation technique, informations destinées aux entreprises qui les intègrent, politique de respect du droit d’auteur, résumé public des données d’entraînement. Voir AI Act : quelles obligations pour les modèles génératifs ? et Synthèse des données d’entraînement.
Quelles obligations pour les fournisseurs de systèmes à haut risque ?
Avant de mettre un système à haut risque sur le marché, le fournisseur doit notamment :
- mettre en place un système de gestion des risques tout au long de la vie du système ;
- garantir la qualité des données d’entraînement, de validation et de test, en particulier contre les biais ;
- établir une documentation technique et prévoir la journalisation automatique des événements ;
- fournir une notice d’utilisation claire aux déployeurs ;
- concevoir le système pour permettre un contrôle humain effectif ;
- assurer son exactitude, sa robustesse et sa cybersécurité ;
- mettre en place un système de gestion de la qualité, réaliser l’évaluation de conformité, apposer le marquage CE et enregistrer le système dans la base de données européenne ;
- surveiller le système après sa mise sur le marché et signaler les incidents graves.
Quelles obligations pour les déployeurs ?
Le déployeur d’un système à haut risque doit :
- l’utiliser conformément à la notice du fournisseur ;
- confier le contrôle humain à des personnes compétentes et formées ;
- veiller à la pertinence des données qu’il y introduit et surveiller son fonctionnement ;
- conserver les journaux générés pendant au moins six mois ;
- informer les salariés et leurs représentants avant d’utiliser un tel système au travail, et informer les personnes visées par une décision prise avec son aide ;
- réaliser, le cas échéant, une analyse d’impact relative à la protection des données et, pour les organismes publics, les entreprises chargées d’un service public et les établissements qui évaluent la solvabilité des personnes ou tarifent l’assurance vie et santé, une analyse d’impact sur les droits fondamentaux.
Tout déployeur, même d’un système à risque minimal, doit en outre respecter les obligations de transparence (signaler un deepfake, informer qu’un texte publié a été généré) et prendre des mesures pour assurer la maîtrise de l’IA par son personnel.
Quel est le calendrier de l’AI Act ?
L’AI Act s’applique par étapes. Le règlement (UE) 2026/1744, dit « omnibus numérique », a reporté les obligations des systèmes à haut risque :
- 2 février 2025 : pratiques interdites et maîtrise de l’IA par le personnel ;
- 2 août 2025 : modèles d’IA à usage général, gouvernance et sanctions ;
- 2 août 2026 : obligations de transparence et pouvoirs des autorités nationales ;
- 2 décembre 2026 : nouvelles interdictions et marquage des contenus générés par les systèmes déjà en service ;
- 2 décembre 2027 : systèmes à haut risque des domaines sensibles (emploi, crédit, éducation…) ;
- 2 août 2028 : systèmes à haut risque intégrés à des produits réglementés.
Le report ne dispense de rien : les obligations des systèmes à haut risque restent inchangées sur le fond, et une mise en conformité demande plusieurs mois.
Quelles sanctions en cas de non-conformité ?
- jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour une pratique interdite ;
- jusqu’à 15 millions d’euros ou 3 % pour la méconnaissance des autres obligations ;
- jusqu’à 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes aux autorités.
Pour les PME et les jeunes entreprises, le montant retenu est le plus faible des deux. En France, plusieurs autorités se partagent le contrôle, dont la CNIL et la DGCCRF.
Comment l’AI Act s’articule-t-il avec le RGPD ?
Les deux textes se cumulent. Dès qu’un système d’IA traite des données personnelles, ce qui est presque toujours le cas, le RGPD s’applique en même temps que l’AI Act : base légale de l’entraînement et de l’utilisation, information des personnes, droits d’accès et d’opposition, analyse d’impact. Le RGPD interdit aussi, sauf exceptions, les décisions entièrement automatisées produisant des effets juridiques. Une mise en conformité sérieuse traite donc les deux textes ensemble. Voir Mise en conformité RGPD.
Comment se mettre en conformité avec l’AI Act ?
Notre méthode, appliquée dans le cadre de notre offre Conformité Data, se déroule en six étapes :
- Recenser les systèmes d’IA utilisés ou développés, y compris les outils adoptés spontanément par les équipes.
- Qualifier chaque système : votre rôle (fournisseur ou déployeur) et son niveau de risque. Cette qualification commande toute la suite.
- Mesurer les écarts entre la situation actuelle et les obligations applicables.
- Produire les documents : cartographie des systèmes d’IA, analyse d’impact, politique interne d’utilisation de l’IA, mentions d’information affichées dans vos applications, clauses à négocier avec vos fournisseurs d’IA.
- Former le personnel à la maîtrise de l’IA : comprendre les outils utilisés, leurs limites et les règles internes.
- Attester la conformité : un pack documentaire daté, dont chaque pièce reçoit une empreinte numérique, et une attestation signée électroniquement.
Le cabinet applique cette méthode à lui-même. Déployeur d’outils d’IA dans sa propre pratique, il a cartographié ses usages, réalisé son analyse d’impact et adopté une politique interne d’utilisation de l’IA.
Combien coûte une mise en conformité AI Act ?
L’audit AI Act est proposé à partir de 3 000 € HT. La mise en conformité et la formation du personnel font ensuite l’objet d’un devis, selon le nombre de systèmes, votre rôle et leur niveau de risque.
RÉFÉRENCES :
- Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (AI Act), notamment articles 3, 4, 5, 6, 16, 26, 27, 50, 99 et annexes I et III
- Règlement (UE) 2026/1744 du 8 juillet 2026 (omnibus numérique sur l’IA)
- Règlement (UE) 2016/679 (RGPD), articles 22 et 35
