Règlement sur l'IA (AI Act) : ce qui vous concerne et quand

Les 4 niveaux de risque

L'AI Act classe les systèmes par niveau de risque. Savoir où vous vous situez est la première étape.

1. Niveau 1 · Interdit

   Pratiques interdites (Art. 5)

   Systèmes d'IA interdits car incompatibles avec les droits fondamentaux. Ne peuvent être commercialisés ni utilisés dans l'UE sous aucune circonstance.

   Exemples: Reconnaissance faciale massive dans les espaces publics, notation sociale, inférence d'émotions au travail, manipulation subliminale.

2. Niveau 2 · Haut risque

   Systèmes à haut risque (Annexe III)

   Systèmes qui affectent significativement les droits fondamentaux ou la sécurité. Permis mais avec obligations strictes : gestion des risques, documentation technique, supervision humaine, marquage CE.

   Exemples: IA pour la sélection de personnel, scoring de crédit, diagnostic médical, évaluation d'étudiants, gestion d'infrastructures critiques.

3. Niveau 3 · Risque limité

   Obligations de transparence

   Systèmes à faible risque mais nécessitant que l'utilisateur sache qu'il interagit avec une IA ou voit du contenu généré artificiellement.

   Exemples: Chatbots de service client, générateurs d'images, deepfakes (étiquetés), assistants conversationnels.

4. Niveau 4 · Risque minimal

   Pas d'obligations spécifiques

   La majorité des usages quotidiens d'IA. Pas d'obligations contraignantes, mais de bonnes pratiques volontaires sont recommandées.

   Exemples: Filtres anti-spam, recommandations de produits, moteurs de recherche, traduction automatique, correction grammaticale.

Calendrier d'application 2024-2028

Le règlement sur l'IA ne s'applique pas d'un coup : il est entré en vigueur en 2024 et ses obligations s'appliquent par étapes, avec un calendrier modifié en juillet 2026 et quelques régimes transitoires. Voici les dates principales telles que publiées au JOUE.

1. 1er août 2024

   Entrée en vigueur

   Le règlement (UE) 2024/1689 entre en vigueur vingt jours après sa publication au Journal officiel (12 juillet 2024). La période transitoire commence : la plupart des obligations ne s'appliquent pas encore.

2. 2 février 2025

   Pratiques interdites et maîtrise de l'IA

   Les chapitres I et II s'appliquent : les interdictions de l'article 5 et la maîtrise de l'IA de l'article 4. Depuis la réforme de juillet 2026, l'article 4 demande des mesures adaptées qui soutiennent la maîtrise de l'IA du personnel et des personnes utilisant les systèmes pour le compte de l'organisation, sans fixer de niveau individuel précis.

3. 2 août 2025

   Modèles d'IA à usage général, gouvernance et amendes

   Les obligations du chapitre V s'appliquent aux fournisseurs de modèles d'IA à usage général (documentation, information de ceux qui les intègrent, politique de droit d'auteur), avec des obligations supplémentaires pour les modèles présentant un risque systémique. Les modèles déjà sur le marché ont jusqu'au 2 août 2027 pour se conformer. La gouvernance (Bureau de l'IA, autorités nationales) et le régime de sanctions de l'article 99 s'appliquent aussi ; les amendes de l'article 101 aux fournisseurs de modèles à usage général, à partir d'août 2026.

4. 27 juillet 2026

   Entrée en vigueur du règlement (UE) 2026/1744 (omnibus numérique sur l'IA)

   Publié au Journal officiel le 24 juillet 2026, il reporte les obligations à haut risque, ajoute deux pratiques interdites, accorde une période transitoire pour le marquage des contenus générés par IA et applique dès ce jour les articles 102 à 110 (adaptation d'autres normes de l'UE).

5. 2 août 2026

   Application générale du règlement

   Date générale d'application, y compris l'article 50 et les amendes de l'article 101. La transparence répartit les obligations : les fournisseurs doivent signaler que l'on parle à une IA et marquer le contenu synthétique ; les déployeurs doivent notamment signaler les hypertrucages. Les systèmes génératifs déjà sur le marché disposent d'un délai spécial pour le marquage. Les obligations de haut risque ont des dates ultérieures.

6. 2 décembre 2026

   Nouvelles interdictions et fin du délai de marquage

   Deux pratiques interdites ajoutées à l'article 5 s'appliquent, avec leurs conditions : les systèmes qui génèrent ou manipulent des représentations réalistes intimes ou sexuellement explicites d'une personne identifiable sans son consentement, et les contenus pédopornographiques. Le délai spécial pour le marquage de l'article 50.2 prend aussi fin pour les systèmes génératifs mis sur le marché avant le 2 août 2026.

7. 2 décembre 2027

   Haut risque de l'annexe III

   Les obligations de haut risque s'appliquent aux systèmes de l'annexe III : certains usages dans le recrutement, l'éducation, la solvabilité des personnes physiques, les services essentiels et d'autres domaines, avec des exceptions. Les fournisseurs respectent des exigences comme la gestion des risques et la documentation technique ; les déployeurs, les obligations de l'article 26 (contrôle humain, surveillance, journaux).

8. 2 août 2028

   Haut risque de l'annexe I

   Les obligations de haut risque s'appliquent aux systèmes de l'article 6.1 liés aux produits réglementés de l'annexe I, comme les jouets, les ascenseurs ou les dispositifs médicaux. Après la réforme, les machines relèvent d'un régime sectoriel propre (annexe I, section B).

Dates principales, qui est concerné et calendrier à télécharger

Ce qui s'applique à votre secteur

Cinq cas typiques de PME et comment l'AI Act les affecte.

• Cabinet de conseil RH

  Haut risque (Annexe III, point 4)

  Si vous utilisez l'IA pour filtrer des CV, évaluer des candidats, décider de promotions ou licenciements, votre système est à haut risque. Vous devez garantir l'absence de biais discriminatoires, la transparence des décisions automatisées, et une supervision humaine effective. Exigible à partir du 2 décembre 2027.

• Centre médical privé

  Haut risque (Annexe III, point 9)

  Si vous utilisez l'IA pour le diagnostic, l'aide à la décision clinique ou le triage, haut risque. En plus de l'AI Act, le Règlement des Dispositifs Médicaux (MDR) s'applique. Certification CE spécifique et enregistrement du système requis.

• Cabinet fiscal ou conseiller financier

  Haut risque (Annexe III, point 5)

  Si vous faites du scoring de crédit ou des évaluations de solvabilité automatisées, haut risque. Les décisions doivent inclure une explication intelligible au client (droit de ne pas faire l'objet d'une décision purement automatisée, également RGPD).

• Académie ou centre de formation

  Haut risque (Annexe III, point 3)

  Si vous utilisez l'IA pour évaluer des étudiants, décider d'admissions ou détecter de la triche, haut risque. Vous devez garantir que l'IA n'introduit pas de biais contre des groupes vulnérables et permet une révision humaine.

• Agence de marketing

  Risque limité ou minimal

  Les usages typiques (ChatGPT pour le copy, générateur d'images, analyse prédictive de campagnes) sont à risque limité ou minimal. Requis : étiqueter les deepfakes/contenu généré, se conformer au RGPD pour les données clients, former l'équipe à la littératie IA.

Feuille de route pour se conformer

Cinq étapes pratiques pour commencer aujourd'hui.

1. 01

   1. Inventorier

   Identifiez tous les systèmes d'IA que votre entreprise utilise ou offre, y compris ceux intégrés dans des outils tiers.

2. 02

   2. Classer

   Déterminez le niveau de risque de chaque système selon l'Annexe III et l'Art. 5. Documentez la classification.

3. 03

   3. Documenter

   Pour les systèmes à haut risque, préparez la documentation technique, les logs automatiques et les procédures de gestion des risques.

4. 04

   4. Former

   Garantissez la littératie IA du personnel (obligatoire depuis fév 2025). Cours formels ou sessions internes, les deux fonctionnent.

5. 05

   5. Gouverner

   Désignez un responsable conformité IA, établissez des révisions périodiques et coopérez avec les autorités si nécessaire.