AI Act : le guide complet du règlement européen sur l'IA
Beaucoup de dirigeants pensent que l'AI Act ne vise que les géants de la tech. C'est faux — et potentiellement coûteux. Ce guide vous donne une lecture claire du règlement, pour comprendre ce qui vous concerne vraiment et par où commencer.
Au sommaire
1. L'AI Act, c'est quoi en clair ?
L'AI Act est un règlement européen adopté le 13 juin 2024 et entré en vigueur le 1er août 2024. Son but n'est pas d'interdire l'IA, mais de la rendre sûre et digne de confiance : protéger les personnes, leurs droits fondamentaux et leurs données, tout en laissant l'innovation avancer.
Point important : il est complémentaire du RGPD. Le RGPD encadre les données personnelles ; l'AI Act comble un vide en encadrant les systèmes d'IA eux-mêmes. Les deux peuvent s'appliquer simultanément lorsqu'une IA traite des données personnelles.
2. Fournisseur ou déployeur ? La distinction clé
Le règlement distingue plusieurs rôles. Deux vous concernent directement :
Le fournisseur
- Développe ou fait développer un système d'IA et le met sur le marché sous son nom
- Porte les obligations les plus lourdes (conformité technique, transparence, documentation)
- Exemple : Microsoft pour Copilot
Le déployeur (probablement vous)
- Utilise un système d'IA dans le cadre de son activité professionnelle
- Doit l'utiliser conformément aux instructions, surveiller son fonctionnement et informer les personnes concernées
- Exemple : toute entreprise qui active Copilot dans son tenant
3. Les 4 niveaux de risque
C'est le cœur du règlement : comprendre la classification, c'est comprendre 80 % de l'AI Act. Un correcteur d'orthographe et un logiciel qui trie des candidatures ne sont pas traités de la même manière.
🚫 Risque inacceptable — INTERDIT
Notation sociale généralisée, manipulation subliminale, reconnaissance biométrique en temps réel dans l'espace public (sauf exceptions), inférence d'émotions au travail. Interdits depuis février 2025.
⚠️ Haut risque (Annexe III)
Tri de CV, scoring crédit, systèmes médicaux, évaluation des employés. Obligations lourdes : conformité, documentation, supervision humaine, enregistrement. Applicables en décembre 2027 (report Digital Omnibus).
💬 Risque limité
Chatbots, contenus générés par IA, deepfakes. Obligation de transparence : informer que l'on interagit avec une IA, marquer les contenus générés.
✅ Risque minimal
Filtres anti-spam, outils de recommandation, IA de productivité bureautique courante. Aucune obligation spécifique (bonnes pratiques recommandées).
Bonne nouvelle pour la plupart des PME : utiliser Copilot pour rédiger des e-mails ou résumer des réunions relève généralement du risque minimal. Attention toutefois : un même outil peut basculer en haut risque selon l'usage (ex. : si vous l'employez pour trier des CV ou évaluer des collaborateurs).
4. Le calendrier & les sanctions
L'AI Act s'applique par paliers. Voici les dates clés (mises à jour avec le paquet Digital Omnibus) :
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Interdiction des pratiques inacceptables + obligation de littératie IA (art. 4) |
| 2 août 2025 | Obligations pour les modèles d'IA à usage général (GPAI) : transparence, documentation |
| 2 août 2026 | Régime général de contrôle des déployeurs + obligations de transparence (marquage des contenus IA) |
| 2 décembre 2027 | Obligations « haut risque » (Annexe III) — reportées depuis août 2026 par le Digital Omnibus |
| 2 août 2028 | Extension aux systèmes IA intégrés dans des produits réglementés (Annexe I) |
Sources : Règlement UE 2024/1689 ; mises à jour « Digital Omnibus » (accord de juin 2026). Calendrier indicatif, susceptible d'évoluer.
5. Que faire concrètement dès maintenant ?
Pas de panique : pour la majorité des entreprises, la mise en conformité est une démarche de bon sens. Voici les priorités :
- Recenser vos usages d'IA — quels outils, pour quelles tâches, avec quelles données ?
- Vérifier le niveau de risque de chaque usage (la plupart seront « minimal » ou « limité »).
- Assurer la littératie IA (art. 4) — vos équipes doivent avoir une maîtrise suffisante de l'IA. C'est en vigueur depuis février 2025.
- Documenter — une charte d'usage IA, un registre des usages, la supervision humaine des résultats sensibles.
- Informer — signaler quand un contenu est généré par IA ou quand on interagit avec un système d'IA.
Où en êtes-vous face à l'AI Act ?
On recense vos usages d'IA, on évalue leur niveau de risque et on met en place les bonnes pratiques — formation, charte, documentation.
Faire le point avec Cabinet M →Questions fréquentes
Qu'est-ce que l'AI Act ?
Le Règlement UE 2024/1689, premier cadre juridique complet au monde dédié à l'IA. Entré en vigueur le 1er août 2024, il classe les usages selon 4 niveaux de risque et impose des obligations proportionnées. Il est complémentaire du RGPD.
Mon entreprise est-elle concernée ?
Très probablement. Toute organisation qui utilise un système d'IA (chatbot, Copilot, tri de CV…) est « déployeur ». La portée est extraterritoriale : une entreprise hors UE est concernée dès que ses résultats sont exploités dans l'Union.
Quelles sont les sanctions ?
Jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les infractions les plus graves (pratiques interdites), avec des plafonds proportionnés selon la nature du manquement.
Quand l'AI Act s'applique-t-il ?
Par paliers : interdictions et littératie IA depuis février 2025, obligations GPAI depuis août 2025, régime général de contrôle des déployeurs au 2 août 2026. Les obligations « haut risque » (Annexe III) sont reportées à décembre 2027 (Digital Omnibus).
Activateur France Num référencé · Microsoft for Startups · Accompagnement IA & conformité (littératie AI Act, charte d'usage), à Lyon et partout en France.