L'AI Act, c'est quoi ? Le règlement européen expliqué simplement

L'AI Act, c'est quoi ? C'est le règlement européen sur l'intelligence artificielle, référencé règlement (UE) 2024/1689. Il encadre la mise sur le marché et l'utilisation des systèmes d'IA dans l'Union européenne, selon quatre niveaux de risque. Il concerne les entreprises qui conçoivent ces systèmes comme celles qui les utilisent au travail.

Vingt questions, vingt réponses autonomes.

L'AI Act, c'est quoi ? Les quatre questions de base

Qu'est-ce que l'AI Act, et quel est son nom officiel ?

L'AI Act est le règlement européen sur l'intelligence artificielle. Son nom officiel est règlement (UE) 2024/1689. Il fixe des règles harmonisées pour la mise sur le marché, la mise en service et l'utilisation des systèmes d'IA dans l'Union européenne. « AI Act » est le nom d'usage, y compris en français.

Qui a adopté le règlement, et quand ?

Il a été adopté en 2024 par le Parlement européen et le Conseil de l'Union européenne. Ses obligations n'entrent pas toutes en application au même moment : elles s'échelonnent, comme le montre le calendrier des dates de l'AI Act.

À qui l'AI Act s'applique-t-il ?

Il s'applique aux acteurs qui mettent sur le marché ou utilisent des systèmes d'IA dans l'Union européenne, quelle que soit leur taille. Une entreprise établie hors de l'Union est concernée dès lors que le résultat produit par son système est utilisé dans l'Union. Les usages strictement personnels, hors activité professionnelle, ne sont pas visés.

En quoi l'AI Act est-il différent du RGPD ?

Le RGPD protège les données personnelles. L'AI Act encadre les systèmes d'IA, y compris lorsqu'ils ne traitent aucune donnée personnelle. Les deux textes s'appliquent en parallèle : respecter l'un ne dispense pas de l'autre.

De qui et de quoi le règlement parle-t-il ?

Qu'est-ce qu'un système d'IA au sens du règlement ?

Le règlement définit un système d'IA comme un système automatisé doté d'un degré d'autonomie variable. À partir des données qu'il reçoit, il déduit comment produire des résultats : prédictions, contenus, recommandations ou décisions. La définition est large. Un logiciel qui applique uniquement des règles fixes écrites par un humain n'y entre pas.

Qu'est-ce qu'un fournisseur ?

Un fournisseur est l'acteur qui développe un système d'IA, ou le fait développer, et le met sur le marché sous son propre nom ou sa propre marque. C'est le rôle des éditeurs de modèles et de logiciels d'IA. Ce sont eux qui portent les obligations les plus lourdes du règlement.

Qu'est-ce qu'un déployeur ?

Un déployeur est l'acteur qui utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. Une entreprise dont les équipes travaillent avec ChatGPT, Copilot ou Gemini est déployeuse, pas fournisseuse. Le déployeur a des obligations propres, plus légères que celles du fournisseur, mais réelles.

Quels sont les quatre niveaux de risque ?

On lit habituellement le règlement selon quatre niveaux de risque : risque inacceptable, haut risque, risque limité et risque minimal. Chaque niveau déclenche des obligations différentes. Le niveau qualifie le système et l'usage qui en est fait, jamais l'entreprise elle-même. Le détail figure dans les quatre niveaux de risque de l'AI Act.

Que faut-il faire, selon le niveau de risque ?

Qu'est-ce qui est interdit ?

L'article 5 interdit certaines pratiques, applicables depuis le 2 février 2025. Y figurent notamment la notation sociale de personnes et l'exploitation de vulnérabilités liées à l'âge ou au handicap. S'y ajoute la reconnaissance des émotions sur le lieu de travail, hors motif médical ou de sécurité. Ces interdictions valent pour tous, sans seuil de taille.

Qu'est-ce qu'un système à haut risque ?

Un système est à haut risque lorsqu'il sert de composant de sécurité d'un produit déjà régulé, cas de l'Annexe I. Il l'est aussi lorsqu'il relève d'un usage sensible listé à l'Annexe III : tri de candidatures, évaluation de salariés, évaluation de solvabilité d'une personne physique, accès à des services essentiels. Ces usages ne sont pas interdits, ils sont encadrés.

Qu'est-ce que la transparence exigée par l'article 50 ?

Le risque limité correspond aux obligations de transparence de l'article 50, applicables depuis le 2 août 2026. Une personne qui interagit avec un système d'IA doit en être informée, sauf lorsque c'est évident. Les contenus générés ou manipulés par une IA, dont les hypertrucages, doivent être signalés comme tels.

Qu'est-ce que la littératie IA ?

L'article 4 demande aux fournisseurs comme aux déployeurs de prendre des mesures soutenant le développement de la littératie IA des personnes qui utilisent leurs systèmes. C'est une obligation de moyens : un programme de formation et de sensibilisation documenté, pas la validation individuelle de la compétence de chaque salarié. Les autorités nationales en supervisent l'application depuis le 2 août 2026.

Qu'est-ce qui s'applique aujourd'hui ?

Qu'a changé le paquet Digital Omnibus ?

Le paquet Digital Omnibus sur l'IA a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il reporte les obligations relatives aux systèmes à haut risque et étend le régime allégé aux PME et aux entreprises de taille intermédiaire. Il reformule aussi l'article 4 en obligation de moyens.

Qu'est-ce qui s'applique déjà ?

Les pratiques interdites de l'article 5 et l'obligation de littératie IA de l'article 4 s'appliquent depuis le 2 février 2025. Les règles relatives aux modèles d'IA à usage général sont effectives depuis août 2025. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026.

Qu'est-ce qui est reporté ?

Les obligations relatives au haut risque sont reportées : 2 décembre 2027 pour l'Annexe III, 2 août 2028 pour l'Annexe I. Ce report ne touche pas ce qui est déjà applicable. Deux échéances subsistent au 2 décembre 2026 : de nouvelles pratiques interdites, et la fin du délai de grâce de marquage. Ce délai vise les contenus générés par des systèmes déjà sur le marché avant le 2 août 2026.

Qui contrôle l'application du règlement ?

Au niveau européen, le Bureau européen de l'IA, rattaché à la Commission européenne, coordonne l'application du texte. Au niveau national, chaque État membre désigne des autorités de surveillance du marché. Depuis le 2 août 2026, ces autorités supervisent l'application de l'article 4, et les obligations de transparence de l'article 50 sont applicables à la même date.

Que risque-t-on, et par où commencer ?

Quelles sanctions le règlement prévoit-il ?

L'article 99 fixe des plafonds, détaillés dans les sanctions et amendes prévues par l'AI Act. Jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites. Jusqu'à 15 M€ ou 3 % pour la plupart des autres manquements, et 7,5 M€ ou 1 % pour des informations inexactes. Pour les PME et les start-ups, c'est le plus faible des deux montants qui est retenu.

Les PME ont-elles un régime particulier ?

Oui, partiellement : le règlement prévoit des allègements pour les PME et les entreprises de taille intermédiaire (small mid-caps). Documentation simplifiée, accès aux bacs à sable réglementaires, sanction calculée sur le montant le plus faible. Le détail figure dans le régime allégé de l'AI Act pour les PME. Ces allègements portent sur le formalisme, pas sur la substance des obligations.

Une certification AI Act existe-t-elle ?

Non. Il n'existe aucune certification AI Act pour l'usage courant de l'IA en entreprise, et aucun organisme ne peut en délivrer une. Le règlement prévoit une évaluation de la conformité et un marquage CE pour les systèmes à haut risque, à la charge de leur fournisseur : c'est autre chose. Une entreprise utilisatrice montre sa situation par ses documents internes, comme l'explique le point sur la certification AI Act.

Par où commencer quand on est une entreprise utilisatrice ?

Trois actions couvrent l'essentiel. Recenser les outils d'IA réellement utilisés par les équipes, y compris ceux que personne n'a validés. Écrire une charte d'usage courte, former les équipes, et conserver la trace écrite de ces actions. Le détail des obligations réellement applicables figure dans ce que le règlement IA européen impose à une PME en 2026.

Questions fréquentes

L'AI Act interdit-il d'utiliser ChatGPT au travail ?

Non. Le règlement n'interdit aucun outil du marché en tant que tel : il interdit des pratiques, listées à l'article 5, et encadre certains usages sensibles. Un usage bureautique de l'IA générative relève du risque minimal ou du risque limité. L'enjeu pour l'employeur est d'encadrer cet usage, pas de le supprimer.

Faut-il un juriste pour appliquer l'AI Act dans une PME ?

Pas pour l'essentiel. Le recensement des outils, la charte d'usage et la formation des équipes relèvent de l'organisation interne, pas du conseil juridique. Un avis spécialisé devient utile si l'entreprise développe son propre système, ou si un usage semble relever de l'Annexe III.

Que peut demander un client au sujet de l'AI Act ?

Un questionnaire fournisseur peut comporter une rubrique IA. Les questions portent en général sur les outils utilisés, l'existence d'une charte interne, la formation des équipes et le traitement des données transmises. Une entreprise capable de répondre par des documents datés traite ces demandes en quelques minutes.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue en 3 minutes vos usages, votre exposition et vos priorités. Gratuit, sans création de compte.

Lancer l'audit de maturité IA