Le texte
L’AI Act est le règlement (UE) 2024/1689, premier cadre juridique complet au monde consacré à l’intelligence artificielle. Adopté par le Parlement européen le 13 mars 2024, entré en vigueur le 1er août 2024, il s’applique par étapes depuis février 2025 et est pleinement opposable depuis le 2 août 2026.
Une précision utile dès le départ : l’AI Act ne réglemente pas la technologie, il réglemente les usages. Le même modèle de langage sera libre d’emploi pour rédiger un compte rendu de réunion, et soumis à des obligations lourdes s’il sert à trier des candidatures. C’est un règlement produit, dans la lignée du marquage CE : ce qui compte, c’est ce que le système fait et pour qui.
Deuxième précision : le texte distingue deux rôles, et vous êtes probablement dans le second. Le fournisseur conçoit ou met sur le marché un système d’IA. Le déployeur l’utilise sous sa propre autorité, dans le cadre de son activité. Une PME qui fait rédiger ses annonces par ChatGPT est déployeur, pas fournisseur. Ses obligations sont réelles, mais sans commune mesure avec celles d’un éditeur de logiciel.
La mécanique
Tout l’AI Act tient dans cette échelle. Plus l’usage peut porter atteinte à la sécurité ou aux droits fondamentaux, plus les obligations sont lourdes. La grande majorité des systèmes utilisés aujourd’hui en entreprise se situe tout en bas de l’échelle.
01 · Risque inacceptable
Interdit, sans exception commerciale
Neuf pratiques sont bannies : manipulation trompeuse, exploitation de la vulnérabilité d’une personne, notation sociale, moisson d’images faciales pour constituer une base, reconnaissance des émotions au travail et à l’école, catégorisation biométrique sensible, identification biométrique à distance en temps réel à des fins répressives. La reconnaissance des émotions au bureau concerne plus d’entreprises qu’on ne le croit.
02 · Haut risque
Autorisé, mais sous conditions strictes
Recrutement et gestion des carrières, accès au crédit et à l’assurance, éducation et examens, biométrie, infrastructures critiques, justice, migration. Ces systèmes exigent une gestion des risques documentée, des données d’entraînement de qualité, une journalisation, une supervision humaine effective et une évaluation de conformité avant mise sur le marché.
03 · Risque de transparence
Autorisé, à condition de le dire
Un agent conversationnel doit annoncer qu’il est une machine, sauf si c’est évident. Un contenu généré ou modifié par IA doit être identifiable, par marquage technique ou par une mention visible. Les hypertrucages sont explicitement visés. C’est le niveau qui touche le plus grand nombre d’entreprises, et il s’applique depuis le 2 août 2026.
04 · Risque minimal
Aucune obligation nouvelle
Filtres antispam, moteurs de recommandation, IA intégrée aux jeux vidéo, assistants de rédaction bureautique. La Commission européenne estime que l’immense majorité des systèmes actuellement en service dans l’Union relève de cette catégorie. Le règlement ne leur impose rien de plus que le droit existant.
À côté de cette échelle, un régime propre aux modèles d’IA à usage général, ceux qui font tourner ChatGPT, Claude ou Gemini. Leurs fournisseurs doivent documenter le modèle, publier un résumé des données d’entraînement et respecter le droit d’auteur. Au-delà d’un seuil de puissance de calcul, le modèle est présumé présenter un risque systémique et se voit imposer des évaluations et un signalement des incidents graves. Ces obligations pèsent sur les éditeurs, pas sur leurs clients.
Le calendrier
L’AI Act n’est pas entré en application d’un bloc. Il se déploie par vagues, et deux d’entre elles sont déjà derrière nous.
Ces échéances ont été ajustées en cours de route pour les systèmes à haut risque. Si votre projet en relève, vérifiez la date applicable à votre cas plutôt que de vous fier à un calendrier publié en 2024.
En pratique
Une entreprise qui se sert d’outils d’IA du commerce, sans en développer, a quatre chantiers devant elle. Aucun n’exige de budget informatique : ce sont des chantiers d’organisation.
Recenser
Savoir ce qui tourne chez vous
La première tâche est un inventaire : quels outils d’IA sont utilisés, par qui, sur quelles données, pour quelle décision. L’exercice réserve presque toujours des surprises, parce qu’une part des usages s’est installée sans passer par la direction informatique.
Qualifier
Classer chaque usage sur l’échelle
Pour chaque outil recensé, une question : à quel niveau de risque appartient cet usage précis ? Un même outil peut occuper deux cases selon le service qui l’emploie. C’est l’usage qui décide, jamais le nom du logiciel.
Afficher
Dire quand c’est une machine
Si vous publiez des contenus produits par IA, si vous faites répondre un agent conversationnel à vos clients, l’obligation de transparence vous concerne depuis le 2 août 2026. Elle se règle par une mention et un paramétrage, pas par un projet.
Former
Une obligation, pas une bonne pratique
L’article 4 impose aux fournisseurs comme aux déployeurs de garantir un niveau suffisant de maîtrise de l’IA chez les personnes qui s’en servent. C’est la seule obligation du règlement qui concerne absolument toutes les entreprises utilisatrices, quel que soit leur niveau de risque.
Les sanctions
Le règlement retient, comme le RGPD, le montant le plus élevé entre une somme fixe et un pourcentage du chiffre d’affaires annuel mondial.
Pour les PME et les jeunes entreprises, c’est le montant le plus faible des deux qui s’applique. Le texte prévoit expressément que la taille de l’entreprise soit prise en compte dans la fixation de l’amende.
Qui contrôle
Contrairement au RGPD, où la CNIL est l’interlocuteur unique, l’AI Act s’appuie sur les régulateurs sectoriels déjà en place. La DGCCRF assure la coordination opérationnelle de la surveillance du marché et traite les pratiques interdites. La CNIL intervient sur la biométrie et les usages touchant aux données personnelles, l’Arcom sur les contenus et la transparence des générateurs, l’ACPR sur les systèmes financiers à haut risque, l’ANSM et la HAS sur les dispositifs médicaux. L’ANSSI apporte l’expertise en cybersécurité.
Au niveau européen, le Bureau de l’IA, rattaché à la Commission, supervise directement les modèles à usage général et coordonne les autorités nationales.
Questions fréquentes
Oui, dès lors qu’elle en utilise. Le statut de déployeur suffit à déclencher l’obligation de maîtrise de l’IA, et les obligations de transparence si vous publiez des contenus générés ou faites dialoguer une machine avec vos clients. En revanche, la charge reste sans commune mesure avec celle d’un fournisseur.
Non, pas en soi. Rédiger, résumer ou traduire relève du risque minimal. Le même outil bascule en haut risque s’il sert à présélectionner des candidatures, évaluer des salariés ou décider d’un accès à un service essentiel. C’est la décision prise à partir de la sortie du modèle qui qualifie l’usage.
L’obligation vise les contenus générés ou substantiellement modifiés par une IA et diffusés au public, en particulier sur des sujets d’intérêt général, ainsi que les hypertrucages. Un courriel interne relu par un assistant n’entre pas dans ce périmètre. Un article publié sur votre site et entièrement produit par la machine, si.
Non, les deux textes se cumulent. Le RGPD encadre le traitement des données personnelles, l’AI Act encadre la mise sur le marché et l’usage des systèmes. Un même projet peut relever des deux, et c’est fréquent dès qu’un modèle voit passer des données de clients ou de salariés.
Le règlement n’impose ni durée, ni programme, ni certification. Il demande un niveau de maîtrise suffisant au regard du contexte et des usages, et il vous appartient d’en garder la trace. Une session courte, documentée, adaptée aux outils réellement employés dans l’entreprise répond à l’exigence.
Se mettre en conformité
L’inventaire des usages et la qualification des risques se font en une journée de travail encadrée, à condition d’avoir les bonnes grilles. C’est exactement l’objet de notre formation dédiée.
Formation AI Act, 1 jour : rôles, niveaux de risque, pratiques interdites, inventaire et plan de conformité. À compléter par la formation IA et RGPD si vos outils traitent des données personnelles, et par la formation IA pour dirigeants pour arbitrer au niveau de la direction.
Le catalogue complet · Demander un devis · Poser une question
Sources
Règlement (UE) 2024/1689 · Commission européenne, cadre réglementaire sur l’IA · info.gouv.fr · service-public.gouv.fr · vie-publique.fr · artificialintelligenceact.eu