L’intelligence artificielle n’est pas nouvelle : son concept remonte aux années 1950, avec les premiers travaux d’Alan Turing. Mais, si l’IA est longtemps restée confinée aux laboratoires de recherche, elle est aujourd’hui omniprésente (recommandations Netflix, navigation GPS, assistants vocaux, etc.)
Cette généralisation soulève de nouveaux défis : biais algorithmiques, risques de surveillance de masse, atteintes potentielles aux droits fondamentaux. C’est pour répondre à ces enjeux que l’Europe a décidé d’agir, en adoptant une réglementation ambitieuse et structurante : l’AI Act.
Son objectif ? Garantir que l’IA utilisée sur le territoire européen soit sûre, éthique et respectueuse des droits fondamentaux. Inspiré du RGPD, ce texte établit un cadre juridique harmonisé pour encadrer l’innovation tout en protégeant les citoyens.
Nos experts répondent à toutes les questions que vous vous posez sur l’AI Act.
Quelles sont les ambitions de l’AI Act ?
L’AI Act poursuit plusieurs grands objectifs :
- Protéger les droits fondamentaux des citoyens européens : non-discrimination, protection des données, respect de l’État de droit.
- Encourager une innovation responsable, notamment via des « bacs à sable » réglementaires où les entreprises pourront tester des projets d’IA en toute conformité.
- Renforcer la compétitivité des entreprises européennes grâce à un cadre unique, commun à tous les États membres.
En d’autres termes, l’Europe veut montrer qu’il est possible d’être à la fois innovant et responsable.
Quelle est la date d’entrée en vigueur de l’AI Act ?
Le règlement a été officiellement adopté en août 2024, mais son entrée en application se fait par étapes :
- Février 2025 : interdiction des systèmes d’IA présentant un risque jugé inacceptable (ex. notation sociale, manipulation des comportements, prédiction de crimes).
- Août 2025 : entrée en application des mesures spécifiques aux IA à usage général (GPAI) et désignation des autorités compétentes nationales.
- Août 2026 : application générale du règlement à l’ensemble des systèmes d’IA, avec un cadre complet pour les contrôles et sanctions.
En France, aucune loi de transposition n’est nécessaire : comme pour le RGPD, l’AI Act s’applique directement. Il faudra toutefois désigner une autorité nationale chargée du contrôle de conformité.
Quelle gouvernance pour l’AI Act ?
Deux entités piloteront la mise en œuvre du texte :
- Le Comité européen de l’IA, organe consultatif inspiré du CEPD (Comité Européen de la Protection des Données). Il sera composé de représentants des États membres et aura pour mission d’harmoniser l’application du règlement.
- Le Bureau européen de l’IA (AI Office), intégré à la Commission européenne. Fort d’environ 140 agents, ce centre d’expertise disposera de pouvoirs d’enquête et jouera un rôle central dans l’évaluation des systèmes à usage général.
Comment l’AI Act classe-t-il les risques liés aux systèmes d’intelligence artificielle ?
Le règlement repose sur une classification des systèmes d’IA selon leur niveau de risque, qui détermine les obligations associées. Cette gradation permet de concentrer les efforts de conformité sur les systèmes les plus sensibles : ceux à haut risque, qui représentent environ 10 % des cas d’usage.
Cette approche pyramidale distingue quatre catégories :
1. Risque minimal
Exemple : filtres anti-spam, moteurs de recommandation classiques.
Peu ou pas d’obligations, hormis le respect de codes de conduite.
2. Risque limité
Exemple : chatbots ou deepfakes.
Obligation de transparence : informer clairement les utilisateurs qu’ils interagissent avec une IA et signaler tout contenu généré artificiellement.
3. Risque élevé
Exemple : IA utilisée pour le recrutement, l’éducation, la santé ou l’accès à des services publics.
Ces systèmes font l’objet d’un encadrement renforcé, avec des exigences strictes :
- Gouvernance des données : jeux de données représentatifs et non biaisés.
- Documentation technique complète : description du système, de son fonctionnement et de ses interactions.
- Journalisation des événements : traçabilité obligatoire pour les audits.
- Supervision humaine : le système doit pouvoir être contrôlé par un humain à tout moment.
- Marquage CE et enregistrement dans une base européenne.
4. Risque inacceptable
Exemple : notation sociale ou exploitation de vulnérabilités psychologiques.
Ces pratiques sont strictement interdites.
Quelles entreprises sont concernées par l’AI Act ?
Le texte définit précisément les rôles et responsabilités de chaque acteur :
- Les fournisseurs : entreprises ou personnes qui développent ou commercialisent un système d’IA.
- Les déployeurs (utilisateurs finaux) : organisations qui exploitent l’IA dans leurs processus.
- Les importateurs et distributeurs : intermédiaires qui mettent sur le marché des systèmes conçus ailleurs.
Chaque statut implique des obligations différentes, notamment en matière de documentation, de transparence et de gestion des risques.
Quelles sont les obligations des GPAI ?
Les GPAI (General Purpose AI) comme les grands modèles de langage font l’objet d’une attention particulière.
Leur puissance et leur capacité d’adaptation les rendent difficiles à encadrer, mais leurs impacts peuvent être considérables.
Les fournisseurs de GPAI devront :
- Garantir la cybersécurité du système
- Respecter les droits d’auteur
- Assurer la transparence sur le fonctionnement et les limites du modèle
Quelles sanctions financières en cas de non-respect de l’AI Act ?
L’AI Act prévoit des sanctions financières lourdes :
- Jusqu’à 15 millions d’euros ou 7 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé, pour la mise sur le marché d’un système interdit.
- Des mesures complémentaires peuvent aussi être décidées : retrait du marché, rappel de produits ou suspension d’activité.
Ces niveaux de sanctions rappellent le RGPD et visent à garantir la crédibilité du dispositif européen.
Comment se mettre en conformité à l’AI Act ?
Les entreprises doivent dès maintenant préparer leur feuille de route. Voici les étapes clés identifiées par nos experts :
1. Cartographier les systèmes d’IA existants
- Identifier tous les systèmes utilisés ou développés dans l’organisation.
- Les classifier selon les quatre niveaux de risque.
- Cette étape est essentielle : la conformité dépend directement du niveau de risque.
2. Mettre en place une gouvernance
- Nommer une équipe ou un responsable IA chargé de piloter la démarche de conformité.
- Définir les processus de gestion des risques et les indicateurs de suivi.
3. Documenter et tracer
- Rédiger une documentation technique complète.
- Mettre en place des mécanismes de journalisation pour assurer la traçabilité et faciliter les audits.
4. Assurer la transparence et la supervision
- Informer les utilisateurs lorsqu’ils interagissent avec une IA.
- Garantir la possibilité d’un contrôle humain permanent.
5. Valider et maintenir la conformité
- Effectuer l’évaluation de conformité (autoévaluation ou organisme notifié).
- Obtenir le marquage CE avant la mise sur le marché.
- Maintenir un système de surveillance post-marché continu pour détecter toute dérive.
L’AI Act, un cadre exigeant mais porteur de confiance
Comme le RGPD en son temps, l’AI Act marque une nouvelle étape dans la construction d’un numérique européen fondé sur la confiance.
Loin de freiner l’innovation, il encourage une IA éthique et maîtrisée, garante d’un développement durable et compétitif du secteur.
L’année 2026 sera donc cruciale : les entreprises qui anticipent dès maintenant leur mise en conformité auront une longueur d’avance, tant sur le plan réglementaire que sur celui de la confiance client.
