L’EU AI Act (Règlement UE 2024/1689) est le premier cadre juridique mondial sur l’IA. Entré en vigueur le 1er août 2024, son calendrier a été révisé au premier semestre 2026 pour les systèmes à haut risque. Ce guide fait le point sur les obligations réelles des entreprises, en écartant les informations obsolètes.
Les quatre niveaux de risque de l’EU AI Act
Le règlement classe chaque système d’IA selon son niveau de risque :
- Risque inacceptable (Interdit depuis le 2 février 2025) : Notation sociale publique, manipulation comportementale, reconnaissance biométrique en temps réel. Le Digital Omnibus y ajoute l’interdiction des deepfakes intimes non consentis dès le 2 décembre 2026.
- Haut risque : Systèmes de l’Annexe III ou intégrés à des produits réglementés (Annexe I). Ce niveau concentre les obligations les plus lourdes et voit son calendrier modifié par l’Omnibus.
- Risque limité (Chatbots, IA générative) : Soumis principalement à une obligation de transparence (informer l’utilisateur qu’il interagit avec une IA).
- Risque minimal (Filtres anti-spam, jeux vidéo) : Aucune obligation spécifique ; les codes de conduite volontaires sont encouragés.
Les 8 domaines à haut risque de l’Annexe III
Un système d’IA est classé à haut risque s’il influence significativement des décisions affectant des personnes dans l’un de ces domaines :
- Biométrie : Identification à distance, catégorisation, reconnaissance des émotions.
- Infrastructures critiques : Gestion de l’énergie, de l’eau, du gaz et des transports.
- Éducation : Accès aux établissements, notation et détection de fraude.
- Emploi et RH : Tri de CV, évaluation des candidats, décisions d’affectation ou de licenciement.
- Services essentiels : Scoring de crédit, assurances, prestations sociales.
- Application de la loi : Usages répressifs encadrés par le droit national.
- Migration, asile et contrôle des frontières.
- Justice et processus démocratiques : Aide à la décision judiciaire, influence électorale.
Le mécanisme de filtrage de l’article 6(3) permet d’exclure certains systèmes s’ils ne présentent pas de risque significatif pour les droits fondamentaux, imposant une analyse au cas par cas.
Obligations : fournisseur et déployeur
L’EU AI Act distingue précisément les rôles et les obligations associées :
Si vous êtes fournisseur (concepteur d’un système à haut risque)
- Mettre en place un système de gestion des risques continu (article 9).
- Assurer une gouvernance des données stricte et l’analyse des biais (article 10).
- Constituer une documentation technique complète (article 11).
- Garantir une supervision humaine effective (article 14) et la journalisation automatique.
- Obtenir le marquage CE et s’enregistrer dans la base de données de l’UE.
Si vous êtes déployeur (entreprise utilisant le système)
Le déployeur (ex : acheteur d’un SaaS RH ou de scoring) doit appliquer les instructions du fournisseur, assurer une supervision humaine réelle, surveiller les performances et conserver les journaux (article 26). Une analyse d’impact sur les droits fondamentaux est requise pour les organismes publics (article 27).
Vigilance : Modifier substantiellement un système ou y apposer sa propre marque transfère l’intégralité des obligations de fournisseur au déployeur.
Calendrier 2025-2028 révisé par le Digital Omnibus
Le Digital Omnibus (adopté le 29 juin 2026) a révisé les échéances pour l’Annexe III.Concrètement, pour une entreprise :
- 2 août 2026 : Les obligations de transparence de l’article 50 s’appliquent pour les nouveaux systèmes (informer les utilisateurs qu’ils interagissent avec une IA, Identification des contenus synthétiques générés par l’IA, informer les utilisateurs de l’utilisation de l’IA de la collecte des données relatives à la reconnaissance des émotions et à la classification biométrique, Étiquetage des deepfakes et des textes d’intérêt public générés par l’IA )
- 2 décembre 2026 : Les obligations de transparence s’appliquent pour les systèmes déjà sur le marché. obligation de marquage numérique sur les contenus générés par l’IA.
- 2 décembre 2027 (et non plus 2 août 2026) : Les obligations complètes pour les systèmes à haut risque autonomes de l’Annexe III (recrutement, crédit, éducation, justice, biométrie, infrastructures critiques), système de gestion des risques documenté, gouvernance des données, documentation technique, supervision humaine, marquage CE.
- 2 août 2028 : Les systèmes à haut risque intégrés dans des produits déjà réglementés (dispositifs médicaux, machines, jouets) suivent un calendrier encore décalé.
Ce report de 16 mois permet aux entreprises d’anticiper la finalisation des normes techniques.
Sanctions et mesures
Le régime d’amendes reste particulièrement dissuasif :
- Jusqu’à 35 M€ ou 7 % du CA mondial pour violation des pratiques interdites.
- Jusqu’à 15 M€ ou 3 % du CA mondial pour non-respect des obligations (ex. fournisseurs, importateurs, transparence…)
- Jusqu’à 7,5 M€ ou 1 % du CA mondial pour manquement à la transparence.
Le montant des sanctions dépendent de la gravité, de la durée, de l’impact, de la taille de l’entreprise et de sa coopération.
Pour les PME et startups, les sanctions sont plafonnées au montant le plus bas pour rester proportionnés à leur capacité économique. Le Digital Omnibus étend ces protections et l’accès aux sandboxes (environnement d’expérimentation supervisé) réglementaires aux entreprises de moins de 750 salariés.
Articulation avec le RGPD, ISO 42001 et NIS2
L’AI Act coexiste avec le RGPD dès que des données personnelles sont traitées (RH, scoring). La CNIL recommande de mutualiser l’analyse d’impact sur les droits fondamentaux avec l’AIPD (RGPD) pour réduire la charge documentaire. De plus, s’appuyer sur la norme ISO 42001 (management de l’IA) et la directive NIS2 (cybersécurité) permet de centraliser les preuves d’audit.
Checklist : les 5 premières actions à mener
- Cartographier l’ensemble des systèmes d’IA, y compris le Shadow AI.
- Qualifier le rôle de l’entreprise (fournisseur, déployeur ou les deux).
- Classifier chaque système selon les critères de risque de l’Annexe III.
- Auditer les fournisseurs SaaS sur leurs documentations et engagements contractuels.
- Mettre à jour les mentions de transparence avant l’échéance d’août 2026.
Questions fréquentes
Qui est soumis à l’IA act ?
Toute organisation qui fournit, distribue ou déploie des systèmes ou modèles d’IA dans l’UE, y compris les entreprises
Quel est le champ d’application de l’IA Act ?
Tous les systèmes d’IA, avec une approche par niveau de risque : interdits, haut risque, risque limité, risque minimal.
Quel est le délai pour se conformer à l’AI Act ?
Application progressive : 2 février 2025, 2 août 2025, 2 août 2026 pour la pleine applicabilité générale, et 2 août 2027 pour certains produits intégrant de l’IA à haut risque.