L’AI Act, ou règlement européen sur l’intelligence artificielle (règlement (UE) 2024/1689), est la loi de l’Union qui encadre l’IA selon son niveau de risque. En vigueur depuis le 1er août 2024, il interdit certains usages, impose des exigences aux systèmes à haut risque et des obligations de transparence, et s’applique par étapes jusqu’en 2030, y compris aux entreprises hors UE.
Les points clés
- L’AI Act est un règlement : il s’applique directement en France, sans transposition, comme le RGPD.
- Il classe les usages de l’IA en quatre niveaux : interdit, haut risque, transparence, risque minimal.
- Il vise surtout deux rôles : le fournisseur, qui développe et met sur le marché, et le déployeur, qui utilise l’IA dans un cadre professionnel.
- L’omnibus numérique (règlement (UE) 2026/1744), en vigueur depuis le 27 juillet 2026, a repoussé le haut risque au 2 décembre 2027 et au 2 août 2028, sans toucher aux interdictions ni à l’article 50.
- En France, la DGCCRF doit coordonner le contrôle et la CNIL en assurer une large part ; la loi d’adaptation n’est pas définitivement adoptée en octobre 2026.
AI Act : c’est quoi exactement ?
Le règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle, dit « règlement sur l’intelligence artificielle », a été adopté le 13 juin 2024 et publié au Journal officiel le 12 juillet 2024. C’est le premier cadre juridique horizontal sur l’IA adopté par une grande puissance économique. Il fonctionne comme une réglementation de sécurité des produits : plus un usage de l’IA présente de risques pour la santé, la sécurité ou les droits fondamentaux, plus les exigences sont fortes.
Le texte définit un système d’IA comme un système automatisé conçu pour fonctionner avec différents niveaux d’autonomie, qui peut s’adapter après son déploiement et qui, à partir des entrées qu’il reçoit, déduit comment générer des sorties (prédictions, contenus, recommandations, décisions) pouvant influencer des environnements physiques ou virtuels. Un tableur avec des formules fixes n’en est pas un ; un outil de tri de CV, un assistant génératif ou un modèle de scoring en sont.
Ce guide est le point d’entrée de nos articles sur l’AI Act. Si vous voulez savoir directement ce qui s’applique à votre organisation, le diagnostic gratuit de gouvernance IA et de charte IA part de vos outils et de vos usages réels.
Besoin d'aide avec cloud ?
Réservez une réunion gratuite de 30 minutes avec l'un de nos spécialistes en cloud. Nous analysons vos besoins et fournissons des recommandations concrètes — sans engagement.
À qui s’applique le règlement IA ?
Le règlement identifie plusieurs opérateurs. Les deux principaux :
- le fournisseur : celui qui développe un système ou un modèle d’IA, ou le fait développer, et le met sur le marché ou en service sous son nom ou sa marque ;
- le déployeur : toute personne ou organisation qui utilise un système d’IA sous sa propre autorité dans un cadre professionnel. Dans le langage courant, on dit « utilisateur ».
S’y ajoutent l’importateur, le distributeur, le fabricant de produits et le mandataire, qui représente dans l’Union un fournisseur établi ailleurs. Une même entreprise peut cumuler les rôles : une banque qui achète un modèle de scoring est déployeur ; si elle commercialise un outil d’IA sous sa marque, elle en est fournisseur.
Le champ est extraterritorial. L’AI Act s’applique aux fournisseurs qui mettent un système sur le marché de l’Union, où qu’ils soient établis, et aux fournisseurs et déployeurs hors UE lorsque les résultats de l’IA sont utilisés dans l’Union. Un éditeur américain qui vend un logiciel de recrutement à des employeurs français est donc concerné. Sont exclus notamment les usages purement personnels, la défense et la sécurité nationale, et la recherche scientifique pure.
Les quatre niveaux de risque, en bref
| Niveau | Exemples | Conséquence |
|---|---|---|
| Risque inacceptable (pratiques interdites, article 5) | Notation sociale, manipulation préjudiciable, reconnaissance des émotions au travail et à l’école, moissonnage d’images faciales, certains usages de la biométrie ; à partir du 2 décembre 2026, images intimes non consenties et contenus pédocriminels | Interdit |
| Haut risque (article 6, annexes I et III) | Recrutement, crédit, éducation, accès aux services essentiels, biométrie, infrastructures critiques ; IA dans des dispositifs médicaux ou des machines | Exigences strictes, évaluation de la conformité, marquage CE, obligations des déployeurs |
| Transparence (article 50) | Chatbots, contenus générés, hypertrucages, reconnaissance des émotions | Information des personnes, marquage des contenus |
| Risque minimal | Filtres anti-spam, recommandations simples, la plupart des outils bureautiques | Pas d’obligation spécifique, hors maîtrise de l’IA |
Les modèles d’IA à usage général, comme les grands modèles de langage, ont un régime propre, qui pèse sur leurs fournisseurs.
Le calendrier après l’omnibus numérique
| Date | Ce qui s’applique |
|---|---|
| 1er août 2024 | Entrée en vigueur |
| 2 février 2025 | Pratiques interdites et maîtrise de l’IA |
| 2 août 2025 | Modèles d’IA à usage général, gouvernance, sanctions |
| 2 août 2026 | Transparence (article 50) et application générale |
| 2 décembre 2026 | Nouvelles interdictions ; fin du délai de marquage pour les systèmes génératifs existants |
| 2 décembre 2027 | Haut risque, annexe III |
| 2 août 2028 | Haut risque, annexe I |
| 2 août 2030 | Systèmes publics à haut risque déjà en service |
Contrairement à ce qu’indiquait la version précédente de cette page, le report du haut risque n’est plus un projet : le règlement (UE) 2026/1744 a été publié au Journal officiel le 24 juillet 2026 et il est entré en vigueur le 27 juillet 2026.
Les obligations principales
Pour tous
Ne recourir à aucune pratique interdite et prendre des mesures pour favoriser la maîtrise de l’IA du personnel (article 4, tel que réécrit par l’omnibus). Respecter l’article 50 dès qu’un système dialogue avec le public ou produit des contenus.
Pour les fournisseurs de systèmes à haut risque
Gestion des risques, gouvernance des données, documentation technique, journalisation, transparence envers les déployeurs, contrôle humain, exactitude, robustesse et cybersécurité, système de gestion de la qualité, évaluation de la conformité, déclaration UE de conformité, marquage CE, enregistrement dans la base de données de l’UE, surveillance après commercialisation et signalement des incidents graves.
Pour les déployeurs de systèmes à haut risque
Utiliser le système conformément à la notice, confier le contrôle humain à des personnes compétentes, veiller à la pertinence des données d’entrée, surveiller le fonctionnement, conserver les journaux au moins six mois, informer les salariés et leurs représentants avant un usage au travail, informer les personnes concernées et, pour certains déployeurs, réaliser une analyse d’impact sur les droits fondamentaux.
Sanctions
Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites ; jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres obligations ; jusqu’à 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes aux autorités. Le montant le plus élevé s’applique, sauf pour les PME et jeunes pousses, pour lesquelles c’est le plus faible.
L’AI Act en France
Le règlement s’applique déjà, mais la France doit encore désigner formellement ses autorités. Le schéma présenté par la DGE et la DGCCRF en septembre 2025 fait de la DGCCRF le coordinateur et le point de contact unique, confie à la CNIL le contrôle de la biométrie, de l’emploi, de l’éducation et d’autres domaines, et laisse l’ACPR, l’Arcom et les régulateurs sectoriels compétents dans leur périmètre. Ce schéma figure dans le projet de loi d’adaptation au droit de l’Union adopté par le Sénat le 18 février 2026, qui n’était pas définitivement voté en octobre 2026. La répartition complète et l’état du texte sont détaillés dans l’article AI Act en France : autorités de contrôle, CNIL et DGCCRF.
Nos guides sur l’AI Act
Comprendre le règlement
- Calendrier de l’AI Act et dates clés : toutes les échéances de 2024 à 2030, et ce qui s’applique déjà.
- Omnibus numérique et AI Act : ce que le règlement (UE) 2026/1744 a changé, et ce qu’il n’a pas changé.
- AI Act en France : autorités de contrôle : DGCCRF, CNIL, Arcom, ACPR et état de la loi.
- Article 50 : transparence, chatbots et deepfakes : les quatre obligations de transparence et qui doit les respecter.
- GPAI : modèles d’IA à usage général : obligations des fournisseurs de modèles et code de bonne pratique.
- Formation IA et maîtrise de l’IA (article 4) : ce qui est obligatoire et comment bâtir le programme.
- IA et RGPD : AI Act et recommandations de la CNIL : comment les deux textes s’articulent.
- Norme ISO 42001 : le système de management de l’IA et son lien avec l’AI Act.
Passer à l’action
- Checklist de conformité AI Act : les étapes dans l’ordre.
- Conformité AI Act : l’analyse d’écarts en 7 étapes : méthode et grille d’écarts type.
- Modèle de charte IA : contenu et clauses types, et procédure française.
- Évaluation des risques IA : modèle, grille de cotation et exemples.
- Shadow AI et cartographie IA : détecter l’IA fantôme et construire le registre.
Questions fréquentes sur l’AI Act
Qu’est-ce que l’AI Act ?
L’AI Act est le règlement (UE) 2024/1689 sur l’intelligence artificielle. Il encadre la mise sur le marché et l’utilisation des systèmes d’IA dans l’Union selon leur niveau de risque : interdiction de certains usages, exigences strictes pour le haut risque, transparence pour les chatbots et contenus générés, régime propre aux modèles d’IA à usage général.
L’AI Act est-il déjà en vigueur ?
Oui. Il est en vigueur depuis le 1er août 2024 et s’applique par étapes : interdictions et maîtrise de l’IA depuis le 2 février 2025, modèles d’IA à usage général depuis le 2 août 2025, transparence depuis le 2 août 2026. Le haut risque s’appliquera le 2 décembre 2027 (annexe III) et le 2 août 2028 (annexe I).
Mon entreprise est-elle concernée si elle utilise seulement ChatGPT ou Copilot ?
Oui, comme déployeur. Vous devez prendre des mesures de maîtrise de l’IA, ne pas recourir à des pratiques interdites et respecter l’article 50 si vous diffusez des contenus générés de type hypertrucage. Si un usage relève du haut risque, par exemple le tri de candidatures, les obligations du déployeur s’ajoutent.
Qui contrôle l’AI Act en France ?
Selon le schéma retenu par le gouvernement, la DGCCRF coordonne et sert de point de contact unique, la CNIL contrôle une large part des usages (biométrie, emploi, éducation…), et l’Arcom, l’ACPR et les régulateurs sectoriels interviennent dans leur domaine. La loi qui consacre ce schéma n’était pas définitivement adoptée en octobre 2026.
L’AI Act a-t-il été reporté ?
Seulement pour le haut risque. L’omnibus numérique, en vigueur depuis le 27 juillet 2026, a repoussé ces obligations au 2 décembre 2027 et au 2 août 2028. Les interdictions, la maîtrise de l’IA, les règles sur les modèles et la transparence de l’article 50 n’ont pas été décalées.
Voir où vous en êtes en 40 minutes
Le règlement ne devient concret qu’appliqué à vos outils. Avec le diagnostic Opsio de gouvernance IA, gratuit, vous répondez en français à quatorze étapes de questions, environ 40 minutes. Dès l’envoi, quatre documents sont rédigés à partir de vos réponses : cadre de gouvernance de l’IA, charte d’utilisation de l’IA, checklist d’évaluation des fournisseurs d’IA et modèle d’analyse des risques IA, plus un état des lieux sur dix domaines et cinq niveaux de maturité. Les documents sont livrés en anglais, en Word modifiable, et vous appartiennent. Gratuit et sans engagement. Pour un accompagnement, voyez aussi notre offre de conseil en gouvernance de l’IA.
Cet article est une information générale, pas un conseil juridique. Vérifiez le texte consolidé du règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. Les dates et la situation des autorités françaises sont indiquées en l’état d’octobre 2026.
Rédigé par
Country Manager, Inde
Praveena dirige les opérations d'Opsio en Inde, apportant plus de 17 ans d'expérience inter-sectorielle dans l'IA, la fabrication, le DevOps et les services managés.
Charte éditoriale : Cet article a été rédigé par des praticiens du cloud et relu par notre équipe d'ingénierie. Nous le révisons lorsque la technologie ou la réglementation qu'il traite évolue ; les dates de cette page indiquent la dernière mise à jour. Opsio est éditorialement indépendant.