AI Act : qui est concerné par la réglementation européenne ?
Entré en vigueur le 1er août 2024, l’AI Act, ou règlement européen sur l’intelligence artificielle, encadre la conception, la commercialisation et l’utilisation des systèmes d’IA. Il vise à protéger les droits fondamentaux et la sécurité, tout en permettant une innovation maîtrisée.
Le texte peut concerner une entreprise établie hors de l’Union européenne si ses systèmes sont proposés sur le marché européen ou produisent des effets sur des personnes qui s’y trouvent. Une PME qui utilise un outil de recrutement automatisé n’a donc pas nécessairement les mêmes responsabilités que son fournisseur, mais elle n’est pas pour autant hors du champ de la réglementation.
Fournisseurs, distributeurs et utilisateurs : des rôles distincts
Pour déterminer les obligations applicables, une organisation doit d’abord préciser sa place dans la chaîne de valeur. Le fournisseur développe un système ou le commercialise sous son nom, tandis que le déployeur l’utilise dans un cadre professionnel.
Un distributeur met un système à disposition, et un importateur introduit dans l’Union un produit provenant d’un pays tiers. Dans une PME, une même équipe peut cumuler plusieurs fonctions : acheter un outil, l’adapter puis l’intégrer à un service proposé aux clients.
Selon le règlement (UE) 2024/1689, les responsabilités dépendent notamment du rôle exercé et du niveau de risque du système. Cette distinction aide à répartir les contrôles, la documentation et les échanges avec les partenaires.
Rôles à clarifier dans l’entreprise :
- Fournisseur : conception ou commercialisation du système sous son nom
- Déployeur : utilisation du système dans un contexte professionnel
- Importateur : mise sur le marché européen d’un système venant d’un pays tiers
- Distributeur : mise à disposition du système auprès d’autres acteurs
Les niveaux de risque prévus par l’AI Act
Une fois les rôles identifiés, l’analyse porte sur l’usage réel du système : le règlement classe les applications selon les risques qu’elles peuvent faire peser sur les personnes. Une même technologie peut ainsi relever de catégories différentes selon le contexte et la finalité de son utilisation.
Selon la Commission européenne, l’approche graduée distingue les pratiques interdites, les systèmes à haut risque et des usages soumis surtout à des règles de transparence. Les systèmes présentant un risque minimal restent soumis aux autres règles applicables, notamment en matière de protection des données.
Interdictions et systèmes d’IA à haut risque
Les pratiques considérées comme présentant un risque inacceptable sont interdites depuis le 2 février 2025, sous réserve des exceptions prévues par le texte. Certaines formes de manipulation préjudiciable, d’exploitation des vulnérabilités ou de notation sociale sont visées, tout comme des usages biométriques strictement définis.
Les systèmes d’IA à haut risque peuvent intervenir dans l’emploi, l’éducation, l’accès à certains services essentiels ou la sécurité de produits réglementés. Un outil qui classe automatiquement des candidatures mérite donc une analyse attentive : ses résultats peuvent influer directement sur les possibilités offertes aux personnes.
Transparence pour les usages moins risqués
Pour certains outils, l’enjeu principal consiste à informer clairement l’utilisateur. Une personne qui échange avec un robot conversationnel doit, sauf situation évidente, savoir qu’elle interagit avec une intelligence artificielle.
Des obligations de transparence concernent également certains contenus générés ou manipulés. Une entreprise qui diffuse une image artificielle réaliste doit vérifier si les règles de signalement s’appliquent à son usage, en plus de contrôler les droits et les données mobilisés.
Repères pour classer les usages :
- Risque inacceptable : pratiques interdites par le règlement
- Haut risque : exigences renforcées liées à des usages sensibles
- Risque limité : information et obligations de transparence ciblées
- Risque minimal : obligations proportionnées et autres lois applicables
Calendrier de l’AI Act : les échéances à suivre
Les obligations ne sont pas entrées en application toutes au même moment. Pour organiser sa conformité réglementaire, une entreprise doit distinguer les règles déjà applicables des exigences qui dépendent de son activité et de la catégorie du système concerné.
Selon le calendrier établi par le règlement, les premières interdictions et les dispositions relatives à la maîtrise de l’IA ont commencé à s’appliquer en février 2025. Les règles concernant les modèles d’IA à usage général ont suivi en août 2025, avec des modalités particulières pour certains modèles déjà commercialisés.
Dates principales prévues par le règlement
La majorité des dispositions s’applique à partir du 2 août 2026. Les systèmes à haut risque relevant de certaines législations européennes sur les produits suivent un calendrier distinct, prévu au 2 août 2027.
Ces échéances doivent être lues avec attention : les obligations varient selon le type de système et les dispositions applicables. Une entreprise qui prépare un produit réglementé ne doit donc pas supposer que toutes les exigences suivent la même date.
| Date | Échéance prévue | Point de vigilance |
|---|---|---|
| 1er août 2024 | Entrée en vigueur du règlement | Début du calendrier d’application progressif |
| 2 février 2025 | Interdictions et dispositions de maîtrise de l’IA | Vérifier les usages concernés |
| 2 août 2025 | Règles de gouvernance et modèles d’IA à usage général | Évaluer le rôle du fournisseur |
| 2 août 2026 | Application de la majorité des dispositions | Préparer les contrôles et la documentation |
| 2 août 2027 | Échéance pour certains produits réglementés intégrant une IA à haut risque | Coordonner conformité produit et IA |
Un calendrier interne permet de transformer ces dates en tâches : recenser les outils, attribuer un responsable, puis programmer les contrôles nécessaires. Cette organisation devient particulièrement utile lorsque plusieurs fournisseurs interviennent sur un même service.
Obligations des entreprises utilisant une IA à haut risque
Lorsque le classement révèle un système à haut risque, le travail passe de l’inventaire à la maîtrise opérationnelle. Les exigences ne reposent pas sur un document isolé : elles associent gestion des risques, qualité, traçabilité et supervision humaine.
Pour un outil utilisé dans le recrutement, par exemple, l’entreprise doit comprendre son fonctionnement, suivre les consignes du fournisseur et prévoir une intervention humaine adaptée. Il faut aussi surveiller les résultats et pouvoir réagir si le système présente un risque ou un incident grave.
Documentation, contrôle humain et protection des données
Les fournisseurs sont notamment tenus de constituer une documentation technique et de mettre en place un système de gestion des risques. Selon la catégorie concernée, des exigences portent aussi sur la qualité des données, la robustesse, l’exactitude et la cybersécurité.
Les déployeurs doivent conserver certains journaux, surveiller le fonctionnement et veiller à ce que les personnes chargées du contrôle disposent des compétences et de l’autorité nécessaires. La protection des données reste également essentielle : l’AI Act ne remplace pas les obligations issues du RGPD.
Une préparation concrète pour les équipes
Une PME fictive, Atelier Nova, pourrait commencer par inventorier ses outils de recrutement, de relation client et d’analyse documentaire. Pour chacun, elle noterait la finalité, le fournisseur, les données utilisées et les personnes qui valident les résultats.
Cette première cartographie révèle souvent des usages oubliés, comme une fonction d’IA ajoutée à un logiciel déjà en place. Elle permet ensuite de solliciter le fournisseur, de vérifier les contrats et d’organiser la formation des salariés.
Actions de conformité à engager :
- Inventorier les systèmes et leurs finalités professionnelles
- Qualifier le rôle de l’entreprise pour chaque outil
- Documenter les risques et les contrôles humains prévus
- Vérifier les données, les journaux et les clauses fournisseurs
Sanctions de l’AI Act et pilotage de la conformité
Une préparation solide réduit les angles morts, mais elle doit s’accompagner d’un suivi régulier. Les outils évoluent, les usages changent et une modification du système peut entraîner une nouvelle analyse des risques.
Le règlement prévoit des sanctions administratives dont le plafond dépend de la nature du manquement. Pour les pratiques interdites, le maximum peut atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, selon les règles de calcul applicables.
Des sanctions proportionnées aux manquements
Pour d’autres violations, les plafonds prévus atteignent 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. La fourniture d’informations inexactes ou trompeuses peut relever d’un plafond de 7,5 millions d’euros ou 1 %.
Les montants applicables aux PME et aux autres entreprises sont encadrés par des règles spécifiques, et les autorités tiennent compte des circonstances. Au-delà d’une amende, une non-conformité peut imposer une suspension, des corrections techniques ou une réorganisation coûteuse.
Installer un suivi durable dans l’organisation
Pour rendre les contrôles praticables, l’entreprise peut intégrer la conformité dans ses procédures d’achat, de sécurité et de gestion des incidents. Les équipes métier doivent pouvoir signaler un changement d’usage, tandis que les responsables techniques documentent les mises à jour.
Les bacs à sable réglementaires prévus par le texte offrent, sous la supervision des autorités compétentes, un cadre contrôlé pour expérimenter certains systèmes innovants. Ils ne dispensent pas des garanties requises, mais peuvent aider les organisations à tester une solution tout en examinant ses risques.
Points de contrôle pour le suivi interne :
- Responsables identifiés pour chaque système d’IA
- Procédure d’escalade en cas d’incident ou de risque nouveau
- Documentation actualisée après les changements importants
- Révision périodique des contrats et consignes d’utilisation
Source : Parlement européen et Conseil, « Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle », Journal officiel de l’Union européenne, 2024.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
