L’AI Act (règlement (UE) 2024/1689) encadre les systèmes d’intelligence artificielle dans l’Union européenne. Il s’applique progressivement depuis son entrée en vigueur le 1er août 2024 ; les obligations varient selon le rôle de l’organisation, la finalité et le niveau de risque. Informations vérifiées le 13 juillet 2026, à confirmer sur EUR-Lex et le site de la Commission européenne.
| Niveau de risque | Exemples | Obligations principales |
|---|---|---|
| Inacceptable (interdit) | Scoring social, manipulation comportementale, reconnaissance biométrique temps réel public | Usage prohibé depuis février 2025 |
| Élevé | Certaines finalités RH, de crédit, d’éducation ou certains produits réglementés | Exigences variables selon le rôle : gestion du risque, documentation, supervision, enregistrement ou évaluation selon les cas |
| Limité | Chatbots, deepfakes, génération de contenu | Transparence : informer l’utilisateur qu’il interagit avec une IA |
| Minimal | Filtres anti-spam, IA dans les jeux vidéo, recommandation produit standard | Aucune obligation spécifique (RGPD reste applicable) |
Calendrier d’application
Le calendrier est progressif : pratiques interdites et maîtrise de l’IA depuis le 2 février 2025 ; gouvernance et obligations sur les modèles à usage général depuis le 2 août 2025 ; autres dispositions selon des étapes qui dépendent du type de système. Certaines dates et mesures d’exécution peuvent évoluer : vérifier la version consolidée sur EUR-Lex et le calendrier de la Commission.
Classification par risque
Le règlement distingue les pratiques interdites, les systèmes à haut risque définis notamment par l’article 6 et les annexes, des obligations de transparence ciblées et les usages sans obligation spécifique AI Act. La qualification se fait sur la finalité prévue, le rôle de l’entreprise et le contexte, pas seulement sur le secteur ou le nom de l’outil.
Obligations concrètes
Inventaire de vos systèmes IA. Évaluation des risques. Documentation technique. Supervision humaine pour les systèmes à haut risque. Information transparente des utilisateurs. Conformité RGPD appliquée à l’IA.
Calendrier d’entrée en vigueur (détaillé)
Le règlement est entré en vigueur le 1er août 2024. Les pratiques interdites et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025 ; les règles de gouvernance et une partie des obligations relatives aux modèles à usage général depuis le 2 août 2025. D’autres dispositions suivent des étapes différentes, notamment pour certains systèmes à haut risque liés à des produits réglementés. Le calendrier européen fait l’objet de textes d’exécution et d’évolutions : consulter EUR-Lex et la page officielle de la Commission avant de fixer une échéance projet.
Sanctions et amendes
Les plafonds de sanction dépendent de la violation, de la qualité de l’acteur et de sa taille ; ils ne s’appliquent ni automatiquement ni à chaque usage d’IA. Pour les entreprises, le mécanisme combine montants fixes et pourcentages de chiffre d’affaires, avec un calcul spécifique pouvant retenir le montant le plus faible pour une entreprise. L’autorité apprécie notamment la gravité, la durée et les mesures correctrices. Source : articles 99 à 101 du règlement (UE) 2024/1689 ; demander un avis juridique pour un cas réel.
Articulation avec le RGPD et autres textes
L’AI Act ne remplace pas le RGPD. Lorsqu’un système traite des données personnelles, les deux cadres peuvent s’appliquer en parallèle avec d’autres textes sectoriels. Leur articulation dépend du produit, du traitement et du rôle de l’entreprise ; elle doit être validée avec le DPO ou le conseil compétent.
Les pièges à éviter
Erreurs courantes en entreprise
Croire que "on n’est pas concerné parce qu’on est une PME"
La taille ne suffit pas à exclure une organisation du règlement. Le périmètre territorial, le rôle, la finalité et les effets du système doivent être vérifiés. Un chatbot ou un outil RH n’emporte pas les mêmes exigences, et aucun classement ne doit être déduit du seul nom de l’outil.
Oublier que vos fournisseurs SaaS comptent
Le fournisseur et l’entreprise utilisatrice peuvent avoir des obligations différentes. Avant d’intégrer un SaaS IA, documentez les rôles, la finalité, les données, les instructions d’usage, le DPA et les engagements contractuels ; la déclaration de conformité du fournisseur ne couvre pas automatiquement votre déploiement.
Penser que la conformité est un projet ponctuel
La conformité IA Act est un process continu : inventaire à jour, évaluations régulières, mise à jour de la documentation à chaque évolution du système. Le pire scénario : faire une mise en conformité initiale puis laisser dériver pendant 12 mois.
Quand ne PAS l’utiliser
Un outil SaaS générique n’est pas automatiquement minimal ou limité : sa finalité réelle peut changer la qualification. Pour des usages internes à faible impact, un inventaire, une charte et la formation peuvent suffire comme premier niveau de gouvernance, sous réserve du RGPD et des règles sectorielles applicables.
🇫🇷 Contexte français
En France, l’autorité de contrôle pour l’IA Act sera coordonnée entre la CNIL (volet données personnelles), la DGCCRF (protection des consommateurs) et les autorités sectorielles (ACPR pour la finance, HAS pour la santé, etc.). La CNIL a publié dès 2024 plusieurs guides sur l’usage de l’IA en respect du RGPD ; ces guides sont aujourd’hui le meilleur point d’entrée pour une PME française qui veut anticiper les obligations IA Act. Sources : cnil.fr/fr/intelligence-artificielle.
Questions fréquentes
Mon entreprise est-elle concernée par l’IA Act ?
Cela dépend du périmètre territorial, de votre rôle et du système concerné. Commencez par inventorier les usages, leur finalité et les personnes affectées, puis vérifiez le règlement et ses annexes. Les usages RH, de scoring ou biométriques ne sont pas tous haut risque par leur seul secteur, mais certaines finalités le sont.
Quelle amende risquons-nous ?
Impossible à déterminer sans analyser la violation, le rôle, la taille de l’entreprise et les circonstances. Le règlement prévoit plusieurs plafonds, mais le maximum le plus élevé n’est pas une conséquence automatique. Consultez les articles 99 à 101 du règlement (UE) 2024/1689 et un conseil juridique pour un cas concret.
Quand l’IA Act entre-t-il vraiment en vigueur ?
Il est entré en vigueur le 1er août 2024 et s’applique progressivement. Les pratiques interdites et la maîtrise de l’IA s’appliquent depuis février 2025, certaines règles sur les modèles à usage général depuis août 2025, et d’autres étapes dépendent du système. Vérifiez le calendrier officiel EUR-Lex et Commission, susceptible d’évoluer.
Comment se mettre en conformité IA Act ?
Quatre étapes : inventorier les systèmes et leurs finalités, qualifier le rôle de l’entreprise, analyser le risque au regard des articles et annexes, puis documenter les actions applicables. Le calendrier et l’effort dépendent des usages ; faites valider les cas sensibles par un DPO ou un conseil juridique.
Exemple concret
Un système destiné à sélectionner des candidats peut relever du haut risque au titre de l’Annexe III. Il faut vérifier sa finalité exacte, les exclusions éventuelles et le rôle de l’entreprise avant de déterminer les obligations applicables.
À retenir
Le point de départ utile est un inventaire factuel des systèmes, de leurs finalités, des données traitées et des rôles. Cette page fournit une information générale, pas un avis juridique.