Règlement IA (EU AI Act) : ce que c'est et comment ça marche

Le règlement IA (EU AI Act), ou règlement (UE) 2024/1689, est le premier cadre juridique complet au monde régissant l'intelligence artificielle. Entré en vigueur le 1^er août 2024, il classe les systèmes d'IA selon quatre niveaux de risque et s'applique de façon progressive jusqu'en 2028. Il vise tout fournisseur ou déployeur dont l'IA est utilisée dans l'Union européenne, y compris les acteurs établis hors de l'UE.

Cet article fournit une information générale et ne constitue pas un conseil juridique.

Qu'est-ce que le règlement IA (EU AI Act) ?

L'EU AI Act est un règlement européen qui harmonise les règles applicables à la conception, à la mise sur le marché et à l'utilisation des systèmes d'IA dans les 27 États membres. En tant que règlement, il est directement applicable, sans transposition nationale, ce qui le distingue d'une directive.

Son objectif est double : protéger la santé, la sécurité et les droits fondamentaux des personnes, tout en favorisant une IA digne de confiance et l'innovation. L'approche est fondée sur le risque : plus un usage de l'IA présente de risques, plus les obligations sont strictes. Les systèmes considérés comme inoffensifs restent largement libres.

Les 4 niveaux de risque de l'AI Act

Le règlement IA répartit les systèmes d'IA en quatre catégories, du plus dangereux au plus anodin.

Risque inacceptable : les pratiques interdites

Certaines pratiques sont jugées contraires aux valeurs de l'UE et sont purement interdites depuis le 2 février 2025. Cela inclut la notation sociale par les autorités publiques, la manipulation comportementale subliminale, l'exploitation des vulnérabilités d'une personne, le moissonnage non ciblé d'images faciales pour créer des bases de reconnaissance, ou encore certains usages de l'identification biométrique en temps réel dans l'espace public.

Haut risque : les obligations les plus lourdes

Les systèmes à haut risque sont autorisés mais soumis à des exigences strictes. Ils relèvent de deux familles : les systèmes intégrés à des produits déjà réglementés (Annexe I : dispositifs médicaux, machines, jouets, ascenseurs, équipements radio) et les systèmes autonomes listés à l'Annexe III (recrutement, accès au crédit, éducation, services publics essentiels, infrastructures critiques, application de la loi). Ces systèmes doivent respecter des exigences de gestion des risques, de gouvernance des données, de documentation technique, de journalisation, de transparence, de surveillance humaine, de robustesse et de cybersécurité.

Risque limité : obligations de transparence

Les systèmes à risque limité doivent surtout respecter des obligations de transparence. Un agent conversationnel doit informer l'utilisateur qu'il dialogue avec une machine. Les contenus générés ou manipulés par l'IA, comme les deepfakes, doivent être étiquetés comme artificiels et lisibles par machine.

Risque minimal : usage libre

La grande majorité des systèmes d'IA (filtres anti-spam, IA de jeux vidéo, moteurs de recommandation courants) présentent un risque minimal et ne sont soumis à aucune obligation contraignante au titre du règlement. L'adhésion à des codes de conduite volontaires est encouragée.

À qui s'applique le règlement IA ?

Le règlement vise plusieurs acteurs : les fournisseurs (qui développent et mettent un système d'IA sur le marché), les déployeurs (qui utilisent un système d'IA dans un cadre professionnel), mais aussi les importateurs, distributeurs et fabricants de produits.

La portée extraterritoriale : pourquoi les entreprises hors UE sont concernées

L'EU AI Act a une portée extraterritoriale. Il s'applique aux fournisseurs établis hors de l'UE dès lors qu'ils mettent un système d'IA sur le marché de l'Union, ainsi qu'aux fournisseurs et déployeurs situés hors de l'UE lorsque les résultats produits par leur IA sont utilisés dans l'Union. Concrètement, une entreprise nordique, américaine ou asiatique qui propose un service d'IA à des clients européens entre dans le champ du règlement, même sans implantation physique sur le territoire. Un fournisseur hors UE doit en outre désigner un mandataire établi dans l'Union.

Le calendrier progressif d'application

Le règlement s'applique par étapes successives. Vous devez vérifier le calendrier en vigueur, car il a évolué en 2026.

En mai 2026, dans le cadre du paquet de simplification dit « Digital Omnibus », les institutions européennes sont parvenues à un accord politique provisoire reportant les échéances pour l'IA à haut risque : les systèmes de l'Annexe III seraient repoussés du 2 août 2026 à décembre 2027, et ceux de l'Annexe I à août 2028. Ces nouvelles dates ne deviennent juridiquement contraignantes qu'après adoption formelle et publication au Journal officiel de l'UE. Confirmez toujours l'état du droit à jour avant de planifier votre conformité.

Obligations spécifiques pour l'IA à usage général (GPAI)

Les modèles d'IA à usage général (GPAI), comme les grands modèles de langage, font l'objet d'un régime dédié applicable depuis le 2 août 2025. Tout fournisseur de modèle GPAI doit fournir une documentation technique, publier un résumé suffisamment détaillé des données d'entraînement, mettre en place une politique de respect du droit d'auteur de l'UE et coopérer avec les autorités.

Les modèles présentant un risque systémique (au-delà d'un seuil de puissance de calcul) supportent des obligations renforcées : évaluation des modèles, tests contradictoires (red teaming), suivi des incidents graves et mesures de cybersécurité. Un Code de bonnes pratiques volontaire aide les fournisseurs à démontrer leur conformité.

Les sanctions prévues par l'EU AI Act

Le règlement IA prévoit des amendes administratives parmi les plus élevées du droit européen. Le recours à des pratiques interdites peut être sanctionné jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le non-respect des autres obligations (haut risque, transparence) peut atteindre 15 millions d'euros ou 3 % du chiffre d'affaires. La fourniture d'informations inexactes aux autorités est passible de 7,5 millions d'euros ou 1 %. Des plafonds proportionnés s'appliquent aux PME et aux jeunes pousses.

Quel est le lien entre l'AI Act et le RGPD ?

L'EU AI Act et le RGPD sont complémentaires, pas redondants. Le RGPD régit le traitement des données à caractère personnel ; le règlement IA régit la mise sur le marché et l'usage des systèmes d'IA, quel que soit le type de données. Lorsqu'un système d'IA traite des données personnelles, les deux textes s'appliquent simultanément.

Concrètement, une analyse d'impact relative à la protection des données (AIPD) au titre du RGPD peut alimenter l'évaluation des risques exigée par l'AI Act, et inversement. Les bases légales, la minimisation des données et les droits des personnes demeurent régis par le RGPD. Une approche de conformité intégrée évite les doublons et réduit les coûts.

Questions fréquentes sur le règlement IA

Quand le règlement IA s'applique-t-il ?

Le règlement est entré en vigueur le 1^er août 2024 et s'applique par étapes. Les interdictions sont effectives depuis février 2025, les règles GPAI depuis août 2025, et les obligations pour le haut risque suivent un calendrier reporté en 2026 (décembre 2027 et août 2028 selon les catégories, sous réserve de l'adoption finale du paquet Digital Omnibus).

Le règlement s'applique-t-il à mon entreprise, même hors UE ?

Oui, potentiellement. Grâce à sa portée extraterritoriale, l'EU AI Act s'applique à toute entreprise, où qu'elle soit établie, dès lors qu'elle met un système d'IA sur le marché de l'UE ou que les résultats de son IA sont utilisés dans l'Union. Une analyse du périmètre s'impose.

Quelle différence entre l'EU AI Act et le RGPD ?

Le RGPD protège les données personnelles ; l'AI Act encadre les systèmes d'IA selon leur niveau de risque. Ils s'appliquent ensemble lorsqu'une IA traite des données personnelles, mais poursuivent des objectifs distincts et coexistent.

Quelles sont les sanctions en cas de non-conformité ?

Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour le non-respect des obligations applicables au haut risque.

Passez de la théorie à la conformité

Comprendre le règlement IA n'est que la première étape. Pour passer à l'action, consultez notre checklist de conformité à l'EU AI Act, découvrez notre offre de support IA managé, ou échangez avec un consultant IA Opsio pour cartographier vos systèmes et bâtir une feuille de route conforme.