FAQ AI Act : les 20 questions les plus posées sur le règlement sur l'IA

C'est le nom usuel du règlement (UE) 2024/1689, première législation transversale au monde sur l'intelligence artificielle. Il fixe des règles harmonisées pour concevoir, mettre sur le marché et utiliser des systèmes d'IA dans l'Union, selon une approche fondée sur les risques.

Si vous développez, mettez sur le marché ou utilisez de l'IA dont les résultats sont exploités dans l'UE, oui — quelle que soit votre taille et que vous soyez public ou privé. La plupart des organisations sont concernées au minimum en tant que déployeurs.

Oui, si les résultats produits par ses systèmes d'IA sont utilisés dans l'Union européenne (article 2). La portée extraterritoriale du règlement vise à éviter tout contournement par la localisation.

Non. Seules dix pratiques précises sont interdites (article 5) : huit depuis février 2025, deux ajoutées par le règlement (UE) 2026/1744 et applicables le 2 décembre 2026. La très grande majorité des usages relèvent du risque minimal, sans obligation contraignante.

Par étapes (article 113) : pratiques interdites et littératie IA au 2 février 2025 ; modèles à usage général, gouvernance et sanctions au 2 août 2025 ; transparence (art. 50) et soutien à l'innovation au 2 août 2026 ; systèmes à haut risque de l'annexe III au 2 décembre 2027 ; produits réglementés de l'annexe I au 2 août 2028.

En partie, oui. Les pratiques interdites, la littératie IA, le régime des modèles à usage général et les sanctions sont déjà en vigueur. La transparence de l'article 50 s'applique au 2 août 2026, et les systèmes à haut risque de l'annexe III au 2 décembre 2027.

Jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites ; jusqu'à 15 M€ ou 3 % pour la plupart des manquements ; jusqu'à 7,5 M€ ou 1 % pour les informations inexactes. Des plafonds adaptés protègent les PME (article 99).

Oui. Les sanctions sont applicables depuis le 2 août 2025 et les interdictions de l'article 5 depuis février 2025. Considérer que « rien ne se passe » avant 2026 est une erreur d'appréciation du risque.

Le fournisseur développe un système d'IA et le met sur le marché sous son nom ; le déployeur l'utilise sous sa propre autorité à titre professionnel. Les obligations diffèrent fortement. La plupart des entreprises sont des déployeurs (article 3).

Un système susceptible d'affecter significativement la santé, la sécurité ou les droits fondamentaux : composant de sécurité d'un produit réglementé (annexe I) ou usage relevant de l'un des huit domaines de l'annexe III (emploi, crédit, éducation, biométrie…).

Généralement non : l'IA générative relève le plus souvent du risque minimal ou de la transparence (article 50). Elle peut devenir à haut risque si elle est utilisée pour des décisions à fort impact dans un domaine de l'annexe III.

Oui, en tant que déployeur : au minimum l'obligation de littératie IA (article 4) et, selon les usages, la transparence (article 50). Les obligations restent toutefois légères pour un usage courant à faible risque.

Les plus urgentes car déjà applicables : écarter les pratiques interdites (article 5) et déployer la littératie IA (article 4). Puis cartographier ses usages et préparer les échéances haut risque de 2026.

Non. RGPD et AI Act protègent des objets différents et se cumulent. Un système conforme au RGPD peut être non conforme à l'AI Act (absence de gestion des risques, de contrôle humain, de documentation).

L'AI Act n'impose pas de fonction dédiée obligatoire, contrairement au DPO du RGPD. Mais une responsabilité clairement identifiée (référent IA, souvent adossé au DPO) est indispensable pour piloter la démarche.

Par la cartographie de vos usages d'IA et la désignation d'un référent. Sans savoir ce que vous utilisez ni qui pilote, aucune autre étape n'est possible. Un diagnostic de positionnement offre un excellent point de départ.

Oui, sauf si cela ressort clairement du contexte (article 50 § 1). Une mention explicite est la manière la plus sûre de se conformer.

Oui, elle est classée à haut risque (annexe III, point 4). L'employeur doit assurer un contrôle humain, informer les travailleurs et leurs représentants, et respecter le droit du travail et le RGPD.

Elles sont pleinement soumises au règlement, mais bénéficient d'allègements : sanctions adaptées, documentation simplifiée, accès prioritaire aux bacs à sable réglementaires (articles 62-63, 99 § 6).

Partiellement : des exemptions existent (article 2 § 12), mais elles ne s'appliquent pas aux systèmes à haut risque, interdits ou soumis à transparence. Les modèles à usage général open source gardent des obligations (droit d'auteur, résumé des données).