L'EU AI Act en bref

De quoi s'agit-il ?

L'EU AI Act est entré en vigueur le 1er août 2024 et s'applique, en tant que règlement européen, directement dans tous les États membres, sans qu'une loi nationale de transposition soit nécessaire. Son objectif : un usage de l'IA digne de confiance, sûr et respectueux des droits fondamentaux dans le marché unique européen. Le règlement suit une approche fondée sur le risque : plus le risque d'une application d'IA pour les personnes et la société est élevé, plus les exigences sont strictes.

Point important : l'EU AI Act a une portée extraterritoriale. Même les fournisseurs établis hors de l'UE sont concernés dès lors que leurs systèmes d'IA sont mis sur le marché de l'UE ou que leurs résultats y sont exploités. Les obligations ne s'appliquent pas toutes en même temps, mais par étapes, un calendrier complet est disponible sur notre page des échéances.

L'approche fondée sur le risque : les quatre classes

Le cœur de l'EU AI Act est la classification des systèmes d'IA en quatre classes de risque. C'est la classe qui détermine les obligations concrètes :

La plupart des entreprises utilisent l'IA dans la catégorie du risque minimal ou limité. Même dans ce cas, une obligation fondamentale s'applique indépendamment de la classe de risque, la maîtrise de l'IA des collaborateurs.

GPAI : les modèles à usage général

Les modèles GPAI (General Purpose AI, IA à usage général) jouent un rôle particulier, ce sont de grands modèles d'IA polyvalents, tels que ceux qui alimentent les chatbots modernes et les générateurs de texte ou d'images. Des obligations spécifiques leur sont applicables depuis le 2 août 2025, notamment en matière de documentation technique, de transparence vis-à-vis des fournisseurs en aval et de respect du droit d'auteur. Pour les modèles particulièrement puissants présentant des risques systémiques, des exigences supplémentaires s'ajoutent.

Qui est concerné ? Fournisseurs, déployeurs & co.

L'EU AI Act distingue plusieurs rôles — avec des obligations de portée variable :

• Fournisseurs (providers) : développent des systèmes d'IA ou les mettent sur le marché sous leur propre nom. Ils supportent les obligations les plus étendues.
• Déployeurs (deployers) : utilisent l'IA dans le cadre de leur activité professionnelle, ce qui est le cas de la majorité des entreprises.
• Importateurs & distributeurs : importent ou distribuent des systèmes d'IA sur le marché de l'UE et doivent vérifier leur conformité.

Point crucial : même celui qui « se contente » d'utiliser l'IA, en agissant donc comme déployeur, est soumis à des obligations, notamment en matière de maîtrise de l'IA des collaborateurs. L'idée reçue « nous ne développons pas l'IA, donc cela ne nous concerne pas » est l'une des erreurs les plus fréquentes.

Quelles obligations s'appliquent et à partir de quand ?

L'EU AI Act entre en application par étapes. Les dates clés en un coup d'œil :

• 1er août 2024 : Le règlement entre en vigueur.
• 2 février 2025 : Les pratiques interdites (art. 5) et l'obligation de maîtrise de l'IA (art. 4) s'appliquent.
• 2 août 2025 : Les obligations pour les modèles GPAI, la structure de gouvernance et les dispositions relatives aux sanctions deviennent applicables.
• 2 août 2026 : La majorité des dispositions concernant les systèmes d'IA à haut risque entre en vigueur.
• 2 août 2027 : Les dernières périodes de transition pour certains systèmes à haut risque prennent fin.

Tous les détails et exceptions sont expliqués sur la page des échéances.

EU AI Act et RGPD : pas l'un ou l'autre

L'EU AI Act ne remplace pas le Règlement général sur la protection des données, les deux s'appliquent en parallèle. Tandis que le RGPD régit le traitement des données à caractère personnel, l'EU AI Act s'intéresse au système d'IA en tant que tel et à ses risques. Lorsqu'une application d'IA traite des données personnelles, les entreprises doivent respecter les deux réglementations simultanément. Une solide maîtrise de l'IA aide les collaborateurs à repérer précisément ces intersections dans leur quotidien.

Sanctions en cas d'infraction

Les infractions à l'EU AI Act peuvent entraîner des amendes substantielles. Le règlement les échelonne selon la gravité :

• Jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel mondial, uniquement pour les pratiques interdites au titre de l'article 5.
• Jusqu'à 15 M€ ou 3 %, pour les violations d'autres obligations, notamment celles des déployeurs (y compris l'obligation de maîtrise de l'IA selon l'art. 4).
• Jusqu'à 7,5 M€ ou 1,5 %, pour des informations fausses ou trompeuses communiquées aux autorités.

Pour les petites et moyennes entreprises ainsi que les start-ups, c'est le plus bas des deux montants qui constitue le plafond. Plus de détails sur la page Amendes.

Que faire concrètement pour votre entreprise ?

• Faites le point sur les endroits où l'IA est utilisée dans votre entreprise.
• Assurez-vous que vos collaborateurs disposent d'une maîtrise de l'IA suffisante selon l'article 4.
• Faites suivre une formation EU AI Act et documentez les formations de façon vérifiable, comme preuve vis-à-vis des autorités.
• Respectez les échéances de l'EU AI Act, notamment le 2 août 2026, date à laquelle les règles pour de nombreux systèmes d'IA à haut risque s'appliquent.

Questions fréquentes sur l'EU AI Act

L'EU AI Act s'applique-t-il aussi aux petites entreprises ?

Oui. L'obligation de maîtrise de l'IA selon l'article 4 s'applique à tous ceux qui utilisent l'IA à titre professionnel, indépendamment de la taille de l'entreprise. En revanche, les PME bénéficient de plafonds d'amendes moins élevés.

Dois-je enregistrer mes systèmes d'IA quelque part ?

L'obligation d'enregistrement concerne principalement certains systèmes à haut risque. Si vous utilisez l'IA uniquement dans la catégorie du risque minimal ou limité, la maîtrise de l'IA de vos collaborateurs est au premier plan. D'autres réponses sont rassemblées sur notre page FAQ.

Former votre équipe Voir les amendes

Remarque : cet aperçu est fourni à titre d'information et ne constitue pas un conseil juridique.