AI Act : définition du règlement européen sur l'IA
AI Act (règlement européen sur l'IA)
L'AI Act, ou règlement (UE) 2024/1689, est le règlement européen qui encadre l'intelligence artificielle selon le risque de ses usages. Il impose des obligations aux fournisseurs, qui développent les systèmes d'IA, et aux déployeurs, qui les utilisent. Une PME utilisatrice est surtout concernée par la littératie IA et, selon ses usages, par la transparence.
Le texte est souvent présenté comme une loi sur les géants de la technologie. C’est une lecture incomplète : il vise aussi les organisations qui utilisent l’intelligence artificielle (IA), y compris les plus petites. Et il a déjà été modifié, ce qui explique qu’on lise encore beaucoup d’informations dépassées à son sujet.
Que désigne l’AI Act ?
L’AI Act désigne le règlement (UE) 2024/1689, le texte de l’Union européenne qui encadre la mise sur le marché et l’utilisation des systèmes d’IA. En français, on parle du règlement européen sur l’intelligence artificielle.
Comme tout règlement européen, il s’applique directement dans chaque État membre, sans loi nationale pour le transposer. Les entreprises françaises y sont donc soumises au même titre que les autres entreprises européennes.
Son principe tient en une idée : l’encadrement dépend moins de la technologie que de l’usage qui en est fait. Le même outil peut être anodin dans un service et sensible dans un autre. Les autres notions de l’IA en entreprise sont définies dans le glossaire de l’IA.
Comment fonctionne l’approche par niveaux de risque ?
L’AI Act classe les usages de l’IA selon le risque qu’ils font peser sur les personnes : plus le risque est élevé, plus l’encadrement est strict.
| Niveau | Ce qu’il vise | Ce que prévoit le règlement |
|---|---|---|
| Pratiques interdites | Des usages jugés inacceptables | Leur interdiction |
| Haut risque | Des systèmes qui décident ou contribuent à décider de ce qui engage une personne (recrutement, accès à un service, évaluation), ou intégrés à des produits déjà réglementés (dispositifs médicaux, machines, jouets) | Des exigences renforcées |
| Obligations de transparence | Des systèmes qui s’adressent à des personnes ou produisent du contenu | Signaler, dans certains cas, qu’on s’adresse à une machine ou qu’un contenu est généré |
| Risque minimal | Les autres usages | L’encadrement le plus léger, la littératie IA restant due |
Le niveau dépend de l’usage, pas de la marque de l’outil. Un assistant qui aide à rédiger des courriels et un outil qui trie des candidatures ne relèvent pas du même régime, même s’ils reposent sur des technologies proches.
Qui est concerné : fournisseurs et déployeurs
Le règlement répartit ses obligations entre plusieurs acteurs, dont les deux principaux sont le fournisseur et le déployeur.
Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. C’est par exemple l’éditeur d’un assistant de rédaction ou d’un logiciel qui intègre de l’IA.
Le déployeur utilise un système d’IA sous sa propre autorité, dans le cadre d’une activité professionnelle. Une petite ou moyenne entreprise (PME) qui utilise un outil d’IA est en général dans ce rôle, qu’il s’agisse d’un assistant de rédaction, d’un outil de tri des courriels ou d’un logiciel de devis.
Une même entreprise peut cumuler les deux rôles. Une PME qui développe elle-même un outil d’IA et le propose à ses clients sous son nom devient fournisseur pour cet outil.
Ce qui concerne une PME qui utilise l’IA
Une PME qui utilise des outils d’IA sans exploiter de système à haut risque est concernée par deux sujets : la littératie IA (« maîtrise de l’IA » dans la version française du règlement) et, selon les usages, la transparence.
La littératie IA. L’article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures qui soutiennent le développement de la littératie IA. Depuis sa réécriture, c’est une obligation de moyens : le texte n’exige pas de garantir un niveau précis pour chaque personne, et il ne prévoit aucun seuil de taille. Ce qu’elle recouvre est détaillé dans la définition de la littératie IA.
La transparence. L’article 50 porte sur les obligations de transparence : signaler, dans certains cas, qu’un contenu a été généré artificiellement ou qu’une personne s’adresse à une machine. Il peut concerner une PME qui diffuse au public des contenus générés, selon leur nature.
Le haut risque. Ses exigences ne concernent une PME que si elle utilise l’IA pour des usages de cette catégorie, comme certains outils de recrutement. La plupart des entreprises qui se servent d’assistants pour rédiger, résumer ou préparer des documents n’exploitent pas de tels systèmes.
En pratique, cela se traduit par quatre gestes :
- Faire l’inventaire des outils et des usages, y compris ceux qui n’ont jamais été autorisés.
- Vérifier qu’aucun usage ne relève du haut risque, et s’y préparer si c’est le cas.
- Prendre des mesures proportionnées pour la littératie IA, et en garder la trace.
- Repérer les contenus générés diffusés au public, qui peuvent relever de la transparence.
Pour la plupart des PME, rien de cela ne demande un service juridique dédié. Cela demande surtout de savoir ce qui se passe réellement dans l’entreprise.
Le calendrier à connaître
Le calendrier de l’AI Act s’étale sur plusieurs années, et le Digital Omnibus, règlement (UE) 2026/1744, l’a modifié en partie.
| Échéance | Ce qui se passe |
|---|---|
| 2 février 2025 | L’article 4 sur la littératie IA s’applique, dans sa première rédaction |
| 24 juillet 2026 | Le Digital Omnibus est publié au Journal officiel de l’Union européenne |
| 27 juillet 2026 | Le Digital Omnibus entre en vigueur et réécrit l’article 4 |
| 2 août 2026 | Les autorités disposent de leurs pouvoirs de contrôle |
| Au plus tard en décembre 2027 | Les obligations reportées des systèmes à haut risque de l’annexe III (ressources humaines, éducation, services essentiels) s’appliquent |
| Au plus tard en août 2028 | Les obligations reportées des systèmes à haut risque de l’annexe I (IA intégrée à des produits déjà réglementés) s’appliquent |
En France, la désignation des autorités de surveillance n’est pas finalisée : la Commission nationale de l’informatique et des libertés (CNIL) et la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) sont pressenties. Ce délai ne suspend pas les obligations. Le détail échéance par échéance figure dans l’article sur le Digital Omnibus.
Deux idées reçues à corriger
Deux idées reçues sur l’AI Act reviennent souvent, et elles mènent toutes les deux à ne rien faire.
« L’AI Act ne concerne que ceux qui fabriquent de l’IA »
C’est inexact. Le règlement vise aussi les déployeurs, c’est-à-dire les organisations qui utilisent des systèmes d’IA dans leur activité. L’obligation de littératie IA vise toute organisation qui utilise un tel système, sans seuil de taille, y compris une entreprise de quelques personnes.
L’erreur inverse existe aussi : croire que le texte oblige à certifier chaque salarié. Pourquoi ce raccourci est trompeur est expliqué dans l’article sur l’obligation de former vos salariés.
« L’AI Act a été reporté »
C’est à moitié vrai. Le Digital Omnibus a reporté les obligations des systèmes à haut risque, que la plupart des entreprises utilisatrices d’assistants n’exploitent pas. Il n’a pas décalé l’article 4 sur la littératie IA, qu’il a en revanche réécrit. Pour une PME qui n’exploite pas de système à haut risque, ce report ne change donc rien à ce qu’elle doit faire.
À retenir
- L’AI Act est le règlement (UE) 2024/1689, qui encadre l’intelligence artificielle dans l’Union européenne selon le risque des usages.
- Il distingue les pratiques interdites, le haut risque, les obligations de transparence et le risque minimal.
- Une PME qui utilise un outil d’IA dans son activité est en général déployeur, et elle est concernée quelle que soit sa taille.
- L’article 4 demande de soutenir le développement de la littératie IA, ce qui constitue une obligation de moyens, sans certificat ni niveau garanti.
- Le Digital Omnibus a reporté les obligations du haut risque, qui s’appliquent au plus tard en décembre 2027 ou au plus tard en août 2028 selon les cas, mais pas l’article 4.
- En France, la désignation des autorités de surveillance n’est pas finalisée, ce qui ne suspend aucune obligation.
Cet article décrit l’état du droit à sa date de publication et ne constitue pas un conseil juridique.
Questions fréquentes
L'AI Act s'applique-t-il aux PME ?
Oui. Le règlement ne réserve pas ses obligations aux grandes entreprises ni aux éditeurs d'IA. Une PME qui utilise un outil d'IA dans son activité est en général déployeur. Elle doit notamment prendre des mesures qui soutiennent le développement de la littératie IA, sans seuil de taille, et ses autres obligations dépendent de ses usages.
Quand l'AI Act entre-t-il en application ?
Par étapes. L'article 4 sur la littératie IA s'applique depuis le 2 février 2025 et a été réécrit par le Digital Omnibus, en vigueur depuis le 27 juillet 2026. Les autorités disposent de leurs pouvoirs de contrôle depuis le 2 août 2026. Les obligations reportées des systèmes à haut risque s'appliquent au plus tard en décembre 2027 ou au plus tard en août 2028, selon les cas.
L'AI Act prévoit-il des amendes ?
Oui. L'article 99 prévoit des amendes, dont un plafond rattaché aux manquements à l'article 50 sur la transparence. L'article 4 sur la littératie IA n'est rattaché à aucun plafond d'amende. Il reste une obligation que les autorités peuvent contrôler, mais les montants qui circulent à son sujet ne le concernent pas.
Qui contrôle l'application de l'AI Act en France ?
La désignation des autorités de surveillance n'est pas finalisée en France. La Commission nationale de l'informatique et des libertés (CNIL) et la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) sont pressenties. Ce délai ne suspend pas les obligations : elles s'appliquent même tant que l'autorité compétente n'est pas désignée.