Qu'est-ce que l'AI Act, concrètement ?
L'AI Act est un règlement — c'est-à-dire un texte directement applicable dans tous les États membres, sans transposition nationale, contrairement à une directive. Son objectif, énoncé à l'article 1ᵉʳ, est double : garantir un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux face aux risques de l'IA, tout en soutenant l'innovation et la libre circulation des systèmes d'IA dans le marché intérieur.
Sa logique centrale est l'approche par les risques : plutôt que de réguler la technologie en elle-même, le règlement encadre les usages en fonction du danger qu'ils représentent pour les personnes. Plus un usage est risqué, plus les obligations sont strictes.
Le texte définit aussi précisément ce qu'est un « système d'IA » (article 3, point 1) : un système automatisé qui, pour des objectifs explicites ou implicites, déduit à partir des entrées qu'il reçoit comment générer des sorties — prédictions, contenus, recommandations ou décisions — capables d'influencer des environnements physiques ou virtuels. Cette définition, alignée sur celle de l'OCDE, est volontairement large.
À qui l'AI Act s'applique-t-il ?
Le champ d'application (article 2) est très étendu. Le règlement vise principalement quatre catégories d'acteurs, définies à l'article 3 :
| Acteur | Définition | Exemple |
|---|---|---|
| Fournisseur | Développe un système d'IA et le met sur le marché sous son nom ou sa marque | Éditeur d'un logiciel de tri de CV |
| Déployeur | Utilise un système d'IA sous sa propre autorité, à titre professionnel | Entreprise qui utilise ce logiciel pour recruter |
| Importateur | Met sur le marché de l'UE un système d'un fournisseur établi hors UE | Distributeur européen d'une IA américaine |
| Distributeur | Met un système à disposition sans être fournisseur ni importateur | Revendeur d'une solution d'IA |
Le règlement a par ailleurs une portée extraterritoriale : il s'applique aux fournisseurs et déployeurs établis hors de l'Union dès lors que les résultats produits par leur système sont utilisés dans l'UE (article 2, paragraphe 1). Une entreprise non européenne ne peut donc pas présumer être hors champ.
Y a-t-il des exclusions ?
Oui. Sont notamment exclus les systèmes utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, la recherche et développement scientifique, les systèmes sous licence libre et open source (sauf s'ils sont à haut risque ou interdits), et l'usage strictement personnel non professionnel.
Comment l'AI Act classe-t-il les systèmes d'IA ?
Le règlement distingue quatre niveaux de risque, auxquels correspondent des régimes très différents.
| Niveau | Ce que cela recouvre | Régime | Référence |
|---|---|---|---|
| Risque inacceptable | 10 pratiques contraires aux valeurs de l'UE | Interdiction totale | Article 5 |
| Haut risque | Emploi, éducation, crédit, biométrie, infrastructures, justice… | Obligations strictes (art. 8-27) | Article 6, annexes I & III |
| Risque limité | Chatbots, contenus générés, hypertrucages | Obligations de transparence | Article 50 |
| Risque minimal | Filtres anti-spam, jeux vidéo, la plupart des usages | Aucune obligation contraignante | Article 95 |
L'essentiel des obligations pèse sur la catégorie haut risque, qui concentre les usages susceptibles d'affecter significativement la santé, la sécurité ou les droits fondamentaux des personnes.
Quelles sont les grandes obligations ?
- Pour tous : prendre des mesures soutenant la maîtrise de l'IA (littératie) du personnel (article 4).
- [Pratiques interdites](/ressources/pratiques-interdites-article-5) : ne pas recourir aux usages prohibés par l'article 5.
- Haut risque : gestion des risques, gouvernance des données, documentation technique, journalisation, contrôle humain, robustesse, puis évaluation de conformité et marquage CE (articles 8 à 49).
- Transparence : signaler l'interaction avec une IA, marquer les contenus synthétiques, déclarer les hypertrucages (article 50).
- Modèles à usage général (GPAI) : documentation, respect du droit d'auteur, résumé des données d'entraînement (article 53).
Quand l'AI Act entre-t-il en application ?
Le règlement est entré en vigueur le 1ᵉʳ août 2024, mais ses obligations s'appliquent par vagues (article 113) : pratiques interdites et littératie IA au 2 février 2025 ; modèles à usage général, gouvernance et sanctions au 2 août 2025 ; transparence (art. 50) et soutien à l'innovation au 2 août 2026 ; systèmes à haut risque de l'annexe III au 2 décembre 2027 ; systèmes intégrés à des produits réglementés au 2 août 2028.
Quelles sanctions en cas de non-conformité ?
Les sanctions (article 99) sont dissuasives et proportionnées : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour le recours aux pratiques interdites ; jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements ; jusqu'à 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes aux autorités. Des plafonds adaptés s'appliquent aux PME et jeunes pousses.
AI Act et RGPD : quelle différence ?
Les deux textes sont complémentaires mais distincts. Le RGPD protège les données à caractère personnel : il s'applique dès qu'un traitement de données personnelles a lieu. L'AI Act encadre la sécurité et les droits fondamentaux liés aux systèmes d'IA eux-mêmes, qu'ils traitent ou non des données personnelles. Un système d'IA peut relever des deux régimes simultanément, ou d'un seul.
Questions fréquentes
L'AI Act s'applique-t-il aux petites entreprises ?
Oui. Le règlement s'applique quelle que soit la taille de l'organisation, sans seuil d'effectif ou de chiffre d'affaires. Les PME et jeunes pousses bénéficient toutefois de mesures de soutien (accès prioritaire aux bacs à sable réglementaires) et de plafonds de sanctions adaptés.
Mon entreprise utilise seulement ChatGPT ou Copilot : suis-je concerné ?
Oui, en tant que déployeur. L'usage professionnel d'une IA générative entraîne au minimum l'obligation de littératie IA (article 4) et, selon les cas, des obligations de transparence (article 50). Si vous utilisez l'IA pour des décisions à fort impact (recrutement, crédit…), vous pouvez relever du régime haut risque.
L'AI Act est-il déjà applicable ?
En partie. Les pratiques interdites (article 5) et l'obligation de littératie IA (article 4) sont applicables depuis le 2 février 2025. Les obligations relatives aux modèles à usage général et le régime de sanctions le sont depuis le 2 août 2025. La transparence de l'article 50 s'applique au 2 août 2026, et le haut risque de l'annexe III au 2 décembre 2027.
Une entreprise hors de l'UE doit-elle respecter l'AI Act ?
Oui, si les résultats produits par son système d'IA sont utilisés dans l'Union européenne. La portée extraterritoriale du règlement (article 2) vise à éviter tout contournement par la localisation.
L'AI Act interdit-il l'intelligence artificielle ?
Non. Il n'interdit que dix pratiques précises jugées inacceptables (article 5) : huit depuis février 2025, deux ajoutées par l'omnibus et applicables le 2 décembre 2026. La très grande majorité des usages relève du risque minimal, sans obligation contraignante. L'objectif du règlement est d'encadrer les usages à risque, pas de freiner l'innovation.