AI ActComprendre et anticiper le règlement européen sur l’intelligence artificielle
Le premier cadre juridique complet sur l’intelligence artificielle : des obligations graduées selon le niveau de risque des systèmes d’IA, applicables par étapes depuis 2024.
Qu’est-ce que l’AI Act ?
Le règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024. Pour la première fois dans l’histoire, un cadre juridique complet et contraignant encadre le développement, la mise sur le marché et l’utilisation des systèmes d’intelligence artificielle au sein de l’Union européenne. Sa portée est extraterritoriale : toute organisation dont les systèmes d’IA produisent des effets sur le territoire européen est concernée, qu’elle soit établie dans l’UE ou non.
L’AI Act repose sur une approche fondée sur les risques : plus le risque associé à un système d’IA est élevé, plus les obligations sont strictes. Il distingue les IA interdites, les IA à haut risque soumises aux exigences les plus strictes, les IA à risque limité soumises à des obligations de transparence, et les IA à risque minimal qui ne font l’objet d’aucune réglementation spécifique.
Avec les premières obligations déjà effectives depuis février 2025 et les exigences pour les systèmes à haut risque qui s’appliquent à partir d’août 2026, le temps de l’anticipation est aujourd’hui. Cette page vous présente les exigences clés du règlement, son calendrier d’application, les sanctions encourues et les étapes concrètes pour engager votre mise en conformité.
L’AI Act est le premier cadre réglementaire mondial dédié à l’intelligence artificielle. Adopté par le Parlement européen en mars 2024 et publié au Journal Officiel de l’Union Européenne en juillet 2024, il établit des règles harmonisées applicables à l’ensemble des États membres. Son objectif : garantir que les systèmes d’IA déployés en Europe respectent les droits fondamentaux, la sécurité des utilisateurs et les valeurs de l’Union, tout en favorisant l’innovation.
Le règlement s’applique à un large périmètre d’opérateurs, définis à l’article 3 du règlement :
- Les fournisseurs : entités qui développent ou mettent sur le marché des systèmes d’IA
- Les déployeurs : toute organisation utilisant un système d’IA sous sa propre autorité dans un cadre professionnel
- Les importateurs et distributeurs de systèmes d’IA
- Les organisations établies hors de l’UE dont les systèmes d’IA produisent des effets sur le territoire européen
Les quatre niveaux de risque de l’AI Act
L’AI Act classe les systèmes d’IA en quatre catégories selon leur niveau de risque. Ce classement détermine directement les obligations applicables à chaque organisation.
-
Risque inacceptable : les IA interdites
Certains usages de l’IA sont strictement prohibés sur le territoire européen depuis le 2 février 2025. Parmi les pratiques interdites figurent notamment :
- La manipulation subliminale des comportements humains
- L’exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation sociale
- Les systèmes de notation sociale (social scoring) à usage général par les autorités publiques
- La reconnaissance faciale biométrique en temps réel dans les espaces publics, sauf exceptions strictement encadrées par le règlement
-
Risque élevé : les IA les plus réglementées
Les systèmes d’IA à haut risque sont ceux utilisés dans des domaines sensibles listés aux Annexes I et III du règlement : infrastructures critiques, éducation et formation, emploi et gestion des ressources humaines, accès aux services essentiels, application de la loi, gestion des migrations, administration de la justice. Ils concentrent l’essentiel des obligations du règlement.
-
Risque limité : les obligations de transparence
Les systèmes à risque limité, comme les chatbots ou les générateurs de contenu synthétique, doivent informer les utilisateurs qu’ils interagissent avec une IA. La transparence est ici le principal levier réglementaire.
-
Risque minimal ou nul : les IA non réglementées
Les systèmes d’IA à risque minimal, comme les filtres anti-spam, ne sont soumis à aucune obligation spécifique. Environ 85 % des systèmes d’IA entrent dans cette catégorie et peuvent être mis sur le marché sans exigences particulières.
Les exigences clés pour les systèmes d’IA à haut risque
Les systèmes d’IA à haut risque doivent satisfaire à un ensemble d’exigences cumulatives avant leur mise sur le marché ou leur mise en service. Ces obligations s’imposent tout au long du cycle de vie du système.
-
Un système de gestion des risques tout au long du cycle de vie
Les fournisseurs et déployeurs de systèmes à haut risque doivent mettre en place un processus continu d’identification, d’évaluation et de réduction des risques. Ce système doit être documenté et mis à jour régulièrement, conformément à l’article 9 du règlement.
-
La gouvernance des données d’entraînement, de validation et de test
Les données utilisées pour entraîner les systèmes à haut risque doivent être de haute qualité, représentatives et traitées pour limiter les biais. L’article 10 du règlement impose une gouvernance rigoureuse des jeux de données, en cohérence avec les exigences du RGPD.
-
La documentation technique et les journaux d’événements
Les fournisseurs doivent constituer une documentation technique complète démontrant la conformité du système aux exigences du règlement (article 11). Les journaux d’événements (article 12) assurent quant à eux la traçabilité des décisions prises par le système et doivent être conservés pendant dix ans après la mise sur le marché.
-
La surveillance humaine obligatoire (human oversight)
Tout système d’IA à haut risque doit permettre une intervention humaine effective. Les utilisateurs doivent être en mesure de comprendre les capacités et les limites du système, de surveiller son fonctionnement et de l’arrêter si nécessaire.
-
L’exactitude, la robustesse et la cybersécurité
Les systèmes à haut risque doivent atteindre des niveaux appropriés d’exactitude et de robustesse, y compris face aux tentatives de manipulation. L’article 15 du règlement impose explicitement des exigences de cybersécurité, créant un lien direct avec les démarches de sécurité des systèmes d’information.
-
La transparence envers les utilisateurs
Les déployeurs ont l’obligation d’informer les utilisateurs qu’ils interagissent avec un système d’IA à haut risque et de leur fournir les informations nécessaires pour en comprendre le fonctionnement et les limites (article 13).
-
L’enregistrement, la déclaration de conformité et le marquage CE
Les systèmes d’IA à haut risque doivent être enregistrés dans la base de données européenne dédiée, faire l’objet d’une déclaration UE de conformité et obtenir le marquage CE avant leur mise sur le marché. Certaines organisations devront également désigner un délégué à la conformité IA.
L’AI Act face aux exigences transverses
Correspondance avec les 12 exigences communes aux référentiels cyber : chaque carte renvoie au comparatif détaillé de l’exigence.
Calendrier d’application de l’AI Act
-
Passé
Publication au Journal Officiel de l’UE
Le règlement (UE) 2024/1689 est publié au Journal Officiel de l’Union Européenne et entre en vigueur le 1er août 2024.
-
Passé
Interdictions et littératie IA
Depuis le 2 février 2025, les pratiques d’IA à risque inacceptable sont interdites sur l’ensemble du territoire européen. L’obligation de littératie IA (article 4) est également en vigueur : toute organisation utilisant des systèmes d’IA doit s’assurer que son personnel dispose d’un niveau suffisant de culture en matière d’IA.
-
Passé
Obligations pour les modèles d’IA à usage général (GPAI)
Depuis le 2 août 2025, les fournisseurs de modèles d’IA à usage général (GPAI) sont soumis à des obligations spécifiques de transparence et d’évaluation des risques. Les autorités nationales compétentes ont été désignées dans chaque État membre. En France, la CNIL, la DGCCRF et la DGE se partagent les responsabilités de contrôle selon les domaines concernés.
-
Passé
Application des obligations principales
À partir du 2 août 2026, la majorité des dispositions du règlement entrent en vigueur. Les autorités nationales commencent leurs contrôles. Les obligations de transparence de l’article 50 s’appliquent, ainsi que les règles pour les systèmes à haut risque relevant de l’Annexe III. Les bacs à sable réglementaires sont mis en place dans chaque État membre pour favoriser l’innovation.
-
À venir
Application complète
Les obligations pour les systèmes d’IA à haut risque intégrés dans des produits réglementés (Annexe I) entrent pleinement en vigueur le 2 août 2027, marquant l’application complète du règlement.
Sanctions et risques en cas de non-conformité
L’AI Act prévoit un régime de sanctions administratives à trois niveaux, proportionnés à la gravité de l’infraction et à la taille de l’organisation. Les PME bénéficient de plafonds inférieurs à ceux applicables aux grandes entreprises.
Violations des pratiques interdites
Les infractions les plus graves, liées à l’utilisation de systèmes d’IA à risque inacceptable, exposent aux amendes les plus élevées du règlement.
Non-conformité des systèmes à haut risque
Le non-respect des obligations applicables aux systèmes d’IA à haut risque est sanctionné par des amendes pouvant aller jusqu’à ce plafond.
Informations inexactes aux autorités
La fourniture d’informations incorrectes ou trompeuses aux autorités de contrôle expose à des amendes pouvant atteindre ce montant.
Les PME bénéficient de plafonds inférieurs à ceux applicables aux grandes organisations. Au-delà des sanctions financières, les autorités nationales peuvent prononcer des interdictions temporaires de mise sur le marché ou de déploiement de systèmes non conformes.
Les étapes de mise en conformité à l’AI Act
La mise en conformité à l’AI Act suit une démarche structurée qui s’applique aussi bien aux fournisseurs qu’aux déployeurs, c’est-à-dire à toute organisation utilisant des outils d’IA dans un cadre professionnel.
-
Inventaire des systèmes d’IA
La première action consiste à cartographier l’ensemble des systèmes d’IA utilisés ou développés au sein de l’organisation. Cela inclut les outils explicitement déployés, les fonctionnalités d’IA intégrées dans des logiciels métiers et les usages informels.
-
Classification des risques
Pour chaque système identifié, il convient d’évaluer son niveau de risque selon les quatre catégories de l’AI Act. Cette classification détermine directement les obligations applicables et les actions prioritaires à engager.
-
Revue des IA interdites
L’organisation doit s’assurer qu’aucun usage interdit par l’article 5 du règlement n’est présent dans ses pratiques. Cette vérification est obligatoire depuis le 2 février 2025.
-
Conformité des systèmes à haut risque
Pour chaque système classé à haut risque, la mise en conformité implique la mise en place d’un système de gestion des risques, la constitution de la documentation technique, la mise en œuvre de la surveillance humaine et la validation de la qualité des données.
-
Politique IA interne
L’organisation doit formaliser une politique interne encadrant le développement et l’usage responsable de l’IA. Ce document définit les règles d’utilisation, les responsabilités, les processus de validation des nouveaux outils et les modalités de veille réglementaire.
-
Formation et gouvernance
L’article 4 du règlement impose une culture suffisante en matière d’IA pour l’ensemble du personnel utilisant des systèmes d’IA, sans exemption de taille d’organisation. Il est recommandé de nommer un référent conformité IA chargé de piloter la démarche, de former les équipes et d’assurer la veille réglementaire.
AI Act en 4 questions
Mon organisation est-elle concernée par l’AI Act ?
Oui, si votre organisation utilise un outil d’IA dans un cadre professionnel, elle est considérée comme déployeur au sens de l’article 3 du règlement et est soumise à ses obligations. Cela inclut l’utilisation de chatbots, de logiciels intégrant des fonctionnalités d’IA ou tout autre système automatisé de prise de décision.
Quelle est la différence entre fournisseur et déployeur dans l’AI Act ?
Le fournisseur est l’entité qui développe ou met sur le marché un système d’IA. Le déployeur est toute organisation qui utilise ce système dans un contexte professionnel. Un déployeur peut être requalifié en fournisseur s’il modifie substantiellement un système d’IA ou l’intègre dans un usage à haut risque.
Quels systèmes d’IA sont considérés à haut risque ?
Les systèmes d’IA à haut risque sont ceux utilisés dans des domaines sensibles listés aux Annexes I et III du règlement : infrastructures critiques, éducation, emploi, accès aux services essentiels, application de la loi, gestion des migrations et administration de la justice.
Quelle est la différence entre l’AI Act et le RGPD ?
Le RGPD encadre le traitement des données personnelles, tandis que l’AI Act encadre les systèmes d’intelligence artificielle dans leur ensemble. Les deux règlements sont complémentaires et convergents sur les exigences de gouvernance des données et de transparence. Une organisation qui a déjà engagé sa conformité RGPD dispose d’une base solide pour aborder l’AI Act.
Votre conformité AI Act avec Fidens
Inventaire des systèmes d’IA, classification des risques, gouvernance et documentation : nos consultants vous aident à anticiper l’AI Act en vous appuyant sur votre socle ISO 27001.
