À qui l'AI Act s'applique-t-il ?
Le règlement a une portée extraterritoriale, à l'image du RGPD. Il s'applique notamment aux fournisseurs qui mettent sur le marché ou en service des systèmes d'IA dans l'Union, où qu'ils soient établis ; aux déployeurs situés dans l'Union ; et même aux fournisseurs et déployeurs établis dans un pays tiers lorsque les résultats produits par le système sont utilisés dans l'Union. Sont aussi visés importateurs, distributeurs, mandataires et fabricants de produits. En clair : ce n'est pas la nationalité qui compte, mais le lien avec le marché européen.
Les exclusions de l'article 2
| Domaine exclu | Portée de l'exclusion |
|---|---|
| Militaire, défense, sécurité nationale | Systèmes exclusivement destinés à ces fins — hors champ |
| Autorités de pays tiers / coopération internationale | Sous conditions et garanties (répression), hors champ |
| Recherche et développement scientifiques | Systèmes développés et mis en service aux seules fins de R&D scientifique |
| Activités de R&D pré-commercialisation | Recherche, essais, développement avant mise sur le marché (sauf essais en conditions réelles) |
| Usage personnel non professionnel | Personnes physiques utilisant l'IA à titre purement privé |
| IA libre (open source) | Allègements, sauf systèmes interdits, à haut risque, GPAI ou soumis à transparence |
Militaire, défense et sécurité nationale
L'AI Act ne s'applique pas aux systèmes d'IA mis sur le marché, mis en service ou utilisés (avec ou sans modification) exclusivement à des fins militaires, de défense ou de sécurité nationale — quelle que soit l'entité qui les exploite. Point de vigilance : dès qu'un système sort de cet usage exclusif (double usage civil, réaffectation), il peut retomber dans le champ du règlement. L'exclusion est donc finaliste et stricte.
Recherche, développement et innovation
Le règlement veille à ne pas freiner la recherche. Sont exclus les systèmes développés et mis en service aux seules fins de recherche et développement scientifiques, ainsi que les activités de recherche, d'essai et de développement menées avant la mise sur le marché. Cette exclusion s'arrête toutefois aux [essais en conditions réelles](/ressources/ai-act-essais-conditions-reelles) (article 60), qui restent, eux, encadrés. L'objectif : laisser innover en amont, tout en protégeant les personnes dès que l'IA sort du laboratoire.
Usage personnel et logiciels libres
Un particulier qui utilise l'IA à titre purement personnel et non professionnel n'est pas soumis aux obligations du règlement. Par ailleurs, les systèmes et modèles d'IA publiés sous licence libre et [open source](/ressources/ia-open-source-ai-act) bénéficient d'allègements — mais avec des limites nettes : ces allègements ne s'appliquent pas lorsque le système est interdit (article 5), à haut risque, relève des obligations de transparence de l'article 50, ou constitue un modèle à usage général présentant un risque systémique. L'open source n'est donc pas un blanc-seing.
Comment vérifier si vous êtes concerné ?
- 01
Vérifier le lien avec le marché de l'Union
Votre système est-il mis sur le marché de l'UE, ou ses résultats y sont-ils utilisés ? Si oui, le champ territorial est établi, quel que soit votre pays.
- 02
Passer les exclusions de l'article 2
Militaire/défense/sécurité nationale, R&D scientifique, R&D pré-commercialisation, usage personnel : votre cas relève-t-il d'une exclusion ?
- 03
Tester la limite de l'exclusion
L'usage est-il vraiment exclusif (militaire) ou purement personnel ? Sortez-vous de la R&D vers un usage réel ? La frontière est décisive.
- 04
Qualifier votre rôle et votre risque
Si vous êtes dans le champ, poursuivez par la qualification du rôle (art. 3) et du niveau de risque (art. 5, 6, 50).
Questions fréquentes
Une entreprise hors UE est-elle concernée par l'AI Act ?
Oui, potentiellement. Le règlement s'applique aux fournisseurs qui mettent un système sur le marché de l'Union où qu'ils soient établis, et aux acteurs de pays tiers lorsque les résultats du système sont utilisés dans l'Union. La portée est extraterritoriale, comparable à celle du RGPD.
La sécurité nationale est-elle totalement exclue ?
Les systèmes d'IA mis sur le marché ou utilisés exclusivement à des fins de sécurité nationale, de défense ou militaires sont hors du champ de l'AI Act, quelle que soit l'entité. Mais l'exclusion est finaliste : dès qu'un usage sort de ce cadre exclusif, le règlement peut s'appliquer.
L'open source échappe-t-il à l'AI Act ?
Pas totalement. Les systèmes et modèles libres bénéficient d'allègements, mais ceux-ci ne jouent pas lorsque le système est interdit, à haut risque, soumis à la transparence de l'article 50, ou constitue un modèle à usage général à risque systémique. L'open source réduit certaines obligations, il ne les supprime pas toutes.
Utiliser ChatGPT à titre personnel me soumet-il au règlement ?
Non. L'usage purement personnel et non professionnel par une personne physique est exclu des obligations de l'AI Act. En revanche, dès que l'usage s'inscrit dans un cadre professionnel, au nom d'une organisation, les obligations pertinentes (dont la littératie de l'article 4) s'appliquent.