L’EU AI Act (Règlement UE 2024/1689) est le premier cadre juridique mondial sur l’IA. Entré en vigueur le 1er août 2024, son calendrier a été révisé au premier semestre 2026 pour les systèmes à haut risque. Ce guide fait le point sur les obligations réelles des entreprises et s’inscrit dans notre panorama plus large de la sécurité de l’IA en entreprise à destination des RSSI et DSI.
Quels sont les 4 niveaux de risque de l’EU AI Act ?
Le règlement classe chaque système d’IA selon son niveau de risque :
- Risque inacceptable (Interdit depuis le 2 février 2025) : Notation sociale publique, manipulation comportementale, reconnaissance biométrique en temps réel. Le Digital Omnibus y ajoute l’interdiction des deepfakes intimes non consentis dès le 2 décembre 2026.
- Haut risque : Systèmes de l’Annexe III ou intégrés à des produits réglementés (Annexe I). Ce niveau concentre les obligations les plus lourdes et voit son calendrier modifié par l’Omnibus.
- Risque limité (Chatbots, IA générative) : Soumis principalement à une obligation de transparence (informer l’utilisateur qu’il interagit avec une IA).
- Risque minimal (Filtres anti-spam, jeux vidéo) : Aucune obligation spécifique ; les codes de conduite volontaires sont encouragés.
Annexe III : Quels sont les 8 domaines considérés à haut risque ?
Un système d’IA est classé à haut risque s’il influence significativement des décisions affectant des personnes dans l’un de ces domaines :
- Biométrie : Identification à distance, catégorisation, reconnaissance des émotions.
- Infrastructures critiques : Gestion de l’énergie, de l’eau, du gaz et des transports.
- Éducation : Accès aux établissements, notation et détection de fraude.
- Emploi et RH : Tri de CV, évaluation des candidats, décisions d’affectation ou de licenciement.
- Services essentiels : Scoring de crédit, assurances, prestations sociales.
- Application de la loi : Usages répressifs encadrés par le droit national.
- Migration, asile et contrôle des frontières.
- Justice et processus démocratiques : Aide à la décision judiciaire, influence électorale.
Le mécanisme de filtrage de l’article 6(3) permet d’exclure certains systèmes s’ils ne présentent pas de risque significatif pour les droits fondamentaux, imposant une analyse au cas par cas.
Fournisseur ou déployeur d’IA : Quelles sont vos obligations légales ?
L’EU AI Act distingue précisément les rôles et les obligations associées :
Si vous êtes fournisseur (concepteur d’un système à haut risque)
- Mettre en place un système de gestion des risques continu (article 9).
- Assurer une gouvernance des données stricte et l’analyse des biais (article 10).
- Constituer une documentation technique complète (article 11).
- Garantir une supervision humaine effective (article 14) et la journalisation automatique.
- Obtenir le marquage CE et s’enregistrer dans la base de données de l’UE.
Si vous êtes déployeur (entreprise utilisant le système)
Le déployeur (ex : acheteur d’un SaaS RH ou de scoring) doit appliquer les instructions du fournisseur, assurer une supervision humaine réelle, surveiller les performances et conserver les journaux (article 26). Une analyse d’impact sur les droits fondamentaux est requise pour les organismes publics (article 27).
Vigilance : Modifier substantiellement un système ou y apposer sa propre marque transfère l’intégralité des obligations de fournisseur au déployeur.
Quel est le calendrier de mise en œuvre de l’EU AI Act ?
Le Digital Omnibus (adopté le 29 juin 2026) a révisé les échéances pour l’Annexe III.Concrètement, pour une entreprise :
- 2 août 2026 : Les obligations de transparence de l’article 50 s’appliquent pour les nouveaux systèmes (informer les utilisateurs qu’ils interagissent avec une IA, Identification des contenus synthétiques générés par l’IA, informer les utilisateurs de l’utilisation de l’IA de la collecte des données relatives à la reconnaissance des émotions et à la classification biométrique, Étiquetage des deepfakes et des textes d’intérêt public générés par l’IA )
- 2 décembre 2026 : Les obligations de transparence s’appliquent pour les systèmes déjà sur le marché. obligation de marquage numérique sur les contenus générés par l’IA.
- 2 décembre 2027 (et non plus 2 août 2026) : Les obligations complètes pour les systèmes à haut risque autonomes de l’Annexe III (recrutement, crédit, éducation, justice, biométrie, infrastructures critiques), système de gestion des risques documenté, gouvernance des données, documentation technique, supervision humaine, marquage CE.
- 2 août 2028 : Les systèmes à haut risque intégrés dans des produits déjà réglementés (dispositifs médicaux, machines, jouets) suivent un calendrier encore décalé.
Ce report de 16 mois permet aux entreprises d’anticiper la finalisation des normes techniques.
Sanctions et amendes : Que risquent les entreprises en cas de non-conformité ?
Le régime d’amendes reste particulièrement dissuasif :
- Jusqu’à 35 M€ ou 7 % du CA mondial pour violation des pratiques interdites.
- Jusqu’à 15 M€ ou 3 % du CA mondial pour non-respect des obligations (ex. fournisseurs, importateurs, transparence…)
- Jusqu’à 7,5 M€ ou 1 % du CA mondial pour manquement à la transparence.
Le montant des sanctions dépendent de la gravité, de la durée, de l’impact, de la taille de l’entreprise et de sa coopération.
Pour les PME et startups, les sanctions sont plafonnées au montant le plus bas pour rester proportionnés à leur capacité économique. Le Digital Omnibus étend ces protections et l’accès aux sandboxes (environnement d’expérimentation supervisé) réglementaires aux entreprises de moins de 750 salariés.
Synergies réglementaires : Comment articuler l’AI Act avec le RGPD, l’ISO 42001 et NIS2 ?
L’AI Act coexiste avec le RGPD dès que des données personnelles sont traitées (RH, scoring). La CNIL recommande de mutualiser l’analyse d’impact sur les droits fondamentaux avec l’AIPD (RGPD) pour réduire la charge documentaire. De plus, s’appuyer sur la norme ISO 42001 (management de l’IA) et la directive NIS2 (cybersécurité) permet de centraliser les preuves d’auditet d’éviter la duplication des processus de gouvernance.
Checklist : 5 actions prioritaires à mener dès maintenant
- Cartographier l’ensemble des systèmes d’IA, y compris le Shadow AI.
- Qualifier le rôle de l’entreprise (fournisseur, déployeur ou les deux).
- Classifier chaque système selon les critères de risque de l’Annexe III.
- Auditer les fournisseurs SaaS sur leurs documentations et engagements contractuels.
- Mettre à jour les mentions de transparence avant l’échéance d’août 2026.
FAQ sur la réglementation européenne de l’intelligence artificielle
Qu’est-ce que l’EU AI Act ?
L’EU AI Act (règlement européen sur l’intelligence artificielle) est le premier cadre juridique complet de l’UE qui encadre la mise sur le marché, le déploiement et l’utilisation des systèmes d’IA selon leur niveau de risque, afin de protéger les droits fondamentaux, la santé et la sécurité, tout en favorisant l’innovation.
Qui est soumis à l’IA act ?
Toute organisation qui fournit, distribue ou déploie des systèmes ou modèles d’IA au sein de l’Union européenne. Cela s’applique aux entreprises privées, organismes publics, sous-traitants et éditeurs SaaS, qu’ils soient basés dans l’UE ou à l’étranger dès lors que le système impacte des utilisateurs européens.
Quel est le champ d’application de l’IA Act ?
• Interdits : Pratiques à risque inacceptable (ex. notation sociale, biométrie en temps réel).
• Haut risque : Usages sensibles (RH, santé, infrastructures, justice) soumis à des exigences strictes de gouvernance et de transparence.
• Risque limité : Modèles génératifs et chatbots soumis à des obligations d’information.
• Risque minimal : Usages courants sans contrainte réglementaire spécifique.
Qui veille à l’application du règlement ?
-
Autorités nationales : chaque État membre désigne des autorités de surveillance du marché et d’autres autorités compétentes qui contrôlent la conformité des systèmes d’IA sur leur territoire.
-
Commission européenne / AI Office : supervise spécifiquement les modèles d’IA à usage général (GPAI), coordonne l’application au niveau européen et peut imposer des sanctions dans ce domaine.
-
European Artificial Intelligence Board : réunit les représentants des États membres pour assurer une application cohérente du règlement.
Préparez la mise en conformité de vos systèmes IA avant les échéances réglementaires.
Nos experts vous aident à cartographier vos usages, évaluer vos niveaux de risque et sécuriser vos déploiements.
Vous souhaitez échanger sur votre projet ou évaluer vos besoins ? Contactez nos experts.