Idée reçue n°1 : « L'AI Act ne concerne que les grandes entreprises »
Faux. Le règlement s'applique sans seuil d'effectif ni de chiffre d'affaires (article 2). Une TPE qui utilise une IA générative ou un outil de tri de candidatures est concernée. Les PME bénéficient d'allègements (sanctions adaptées, documentation simplifiée), mais pas d'une exemption.
Idée reçue n°2 : « Ça ne vise que les développeurs d'IA »
Faux. La majorité des organisations sont des déployeurs — de simples utilisateurs professionnels — et ont de véritables obligations (article 26 : contrôle humain, information des personnes, conservation des journaux). Utiliser l'IA suffit à entrer dans le champ.
Idée reçue n°3 : « Si on est conforme au RGPD, on est conforme »
Faux. RGPD et AI Act protègent des objets différents : les données personnelles pour l'un, la sécurité et les droits fondamentaux face aux systèmes d'IA pour l'autre. Ils se cumulent. Un système peut être conforme au RGPD et non conforme à l'AI Act (absence de gestion des risques, de contrôle humain, de documentation).
Idée reçue n°4 : « On a jusqu'en 2026 pour se mettre en conformité »
Faux. L'application est échelonnée (article 113). Les pratiques interdites (article 5) et la littératie IA (article 4) sont applicables depuis février 2025 ; les sanctions depuis août 2025. Le 2 août 2026 porte sur la transparence de l'article 50 et le soutien à l'innovation ; les systèmes à haut risque de l'annexe III ont été reportés au 2 décembre 2027 par le règlement (UE) 2026/1744.
Idée reçue n°5 : « L'AI Act interdit l'intelligence artificielle »
Faux. Seules dix pratiques précises sont interdites (article 5) : huit depuis février 2025, deux ajoutées par le règlement (UE) 2026/1744 et applicables le 2 décembre 2026. La très grande majorité des usages relèvent du risque minimal, sans obligation contraignante. L'objectif du règlement est d'encadrer les usages à risque, pas de freiner l'innovation.
Idée reçue n°6 : « Tout usage d'IA est à haut risque »
Faux. Le haut risque est une catégorie précise (article 6, annexes I et III). La plupart des usages courants — bureautique augmentée, recommandation, assistants — ne sont pas à haut risque. Traiter tous ses systèmes comme du haut risque gaspille des ressources.
Idée reçue n°7 : « Utiliser un outil du commerce nous protège »
Faux en partie. Le déployeur a ses propres obligations, même avec un outil tiers conforme. Et attention : personnaliser fortement un outil, le rebrander ou en changer la destination peut faire basculer le déployeur vers le statut de fournisseur (article 25), avec des obligations bien plus lourdes.
Idée reçue n°8 : « L'AI Act, c'est seulement pour l'Europe »
Faux. Le règlement a une portée extraterritoriale (article 2) : il s'applique aux acteurs hors UE dès lors que les résultats de leurs systèmes sont utilisés dans l'Union. Une entreprise américaine ou britannique peut y être soumise.
Idée reçue n°9 : « La littératie IA, c'est facultatif »
Faux. L'obligation de prendre des mesures soutenant la maîtrise de l'IA (article 4) est applicable depuis février 2025, pour tous les fournisseurs et déployeurs, sans seuil de taille. C'est même l'une des obligations les plus accessibles à mettre en œuvre.
Idée reçue n°10 : « Sans être détecté, on ne risque rien »
Faux et risqué. Les autorités disposent de pouvoirs de contrôle (articles 74 et suivants), les personnes peuvent déposer des réclamations (article 85), et les incidents doivent être notifiés (article 73). Les sanctions atteignent 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Le pari de l'invisibilité est intenable.
| Idée reçue | La réalité |
|---|---|
| Réservé aux grandes entreprises | S'applique sans seuil de taille |
| Seuls les développeurs concernés | Les déployeurs aussi (art. 26) |
| RGPD = AI Act | Deux cadres cumulatifs |
| Tout en 2026 | Obligations déjà applicables depuis 2025 |
| L'IA est interdite | Seules 10 pratiques le sont (art. 5) |
| Tout est à haut risque | Le haut risque est une catégorie précise |
Questions fréquentes
Quelle est l'idée reçue la plus dangereuse ?
Sans doute « on a jusqu'en 2026 ». Elle conduit à l'inaction alors que les pratiques interdites, la littératie IA et les sanctions sont déjà en vigueur. Elle expose l'organisation à un risque immédiat, contrairement à ce qu'elle laisse croire.
Le RGPD et l'AI Act peuvent-ils vraiment s'appliquer en même temps ?
Oui, très fréquemment. Un système d'IA traitant des données personnelles relève des deux cadres, qui se cumulent. Être conforme à l'un ne dispense jamais de l'autre.
Mon entreprise hors UE est-elle vraiment concernée ?
Si les résultats de vos systèmes d'IA sont utilisés dans l'Union européenne, oui. La portée extraterritoriale de l'article 2 vise précisément à éviter tout contournement par la localisation.
Comment éviter de tomber dans ces idées reçues ?
En partant d'une cartographie objective de ses usages et d'une qualification rigoureuse du risque et du rôle, plutôt que d'impressions générales. Un diagnostic structuré dissipe la plupart de ces approximations.