AI Act : ce que c’est, qui est concerné, et à quelles dates

L’AI Act est le règlement européen qui encadre l’intelligence artificielle. Il ne dit pas la même chose à celui qui fabrique un outil d’IA et à celui qui s’en sert. Pour une entreprise française qui utilise ChatGPT, un CRM doté d’IA ou un outil de tri de CV, la plupart des obligations ne sont pas encore applicables — mais trois d’entre elles le sont déjà.

À jour au 22 septembre 2026 — texte consolidé du règlement (UE) 2024/1689

Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →

En une phrase

Le règlement (UE) 2024/1689, appelé « AI Act » ou « règlement sur l’intelligence artificielle », est entré en vigueur le 1^er août 2024. Il classe les usages de l’IA selon le risque qu’ils font peser sur les personnes, interdit certains d’entre eux, encadre strictement ceux qui sont jugés à haut risque, et impose de la transparence pour le reste. Il a été modifié en profondeur par le règlement (UE) 2026/1744 du 8 juillet 2026, dit « Digital Omnibus » sur l’IA, entré en vigueur le 27 juillet 2026.

Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.

Essayer le modèle — remplir et voir le document →

ou recevoir le modèle complet, gratuitement

Gratuit. Une adresse email suffit pour le recevoir.

Ce que le texte appelle un « système d’IA »

La définition compte, parce qu’elle détermine ce qui entre dans le champ du règlement. L’article 3, point 1, définit un système d’IA comme :

« un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels ».

Le mot important est déduit. Un tableur qui applique une formule ne déduit rien : il exécute. Un outil qui apprend d’exemples et produit un résultat que personne n’a écrit à l’avance, si.

Fournisseur ou déployeur : la question qui change tout

Le règlement distingue plusieurs rôles. Deux concernent la quasi-totalité des entreprises.

Le fournisseur (article 3, point 3) est celui qui « développe ou fait développer un système d’IA […] et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit ».
Le déployeur (article 3, point 4) est celui qui utilise un système d’IA sous sa propre autorité.

Si votre entreprise achète un outil du commerce et s’en sert, elle est déployeur, pas fournisseur. C’est la situation de l’immense majorité des PME — et elle allège considérablement la liste des obligations. C’est aussi pourquoi il n’existe pas d’attestation de conformité AI Act à fournir à un client : la déclaration UE de conformité (article 47) et le marquage CE (article 48) pèsent sur le fournisseur d’un système à haut risque, pas sur l’utilisateur.

Attention toutefois : on peut devenir fournisseur sans le vouloir, par exemple en mettant son nom sur un outil d’IA proposé à ses propres clients.

À qui le règlement s’applique

L’article 2 vise les fournisseurs qui mettent un système sur le marché de l’Union, les déployeurs établis dans l’Union, mais aussi les fournisseurs et déployeurs situés hors de l’Union « lorsque les sorties produites par le système d’IA sont utilisées dans l’Union ». Autrement dit, le lieu du serveur ne suffit pas à sortir du champ.

Le calendrier réel, article par article

C’est le point le plus mal compris. Le règlement n’est pas entré en application d’un seul bloc. L’article 113, tel que modifié par le Digital Omnibus, fixe les dates suivantes :

2 février 2025 — chapitres I et II : les définitions, le champ d’application, la maîtrise de l’IA (article 4) et les pratiques interdites (article 5).
2 août 2025 — chapitre V (modèles d’IA à usage général), chapitre VII (gouvernance), chapitre XII et article 78.
27 juillet 2026 — articles 102 à 110.
2 août 2026 — date d’application générale, dont l’article 50 sur la transparence.
2 décembre 2026 — les deux nouvelles interdictions ajoutées à l’article 5 par le Digital Omnibus (voir plus bas).
2 décembre 2027 — obligations « haut risque » pour les systèmes de l’annexe III (article 6, paragraphe 2). C’est la catégorie qui concerne le plus les PME : recrutement, gestion du personnel, accès aux services essentiels.
2 août 2028 — obligations « haut risque » pour les systèmes de l’annexe I (article 6, paragraphe 1), c’est-à-dire l’IA intégrée dans des produits déjà soumis à une législation d’harmonisation.

Ces deux dates ont été repoussées. Dans le texte d’origine, l’annexe III relevait de la date d’application générale, le 2 août 2026, et l’annexe I du 2 août 2027 (article 113, point c, version initiale). Le report vient du Digital Omnibus, motivé par les retards dans la publication des normes et dans la mise en place des autorités nationales. Le détail est dans notre calendrier de l’AI Act pour les PME.

Les niveaux de risque

La lecture habituelle du règlement distingue quatre niveaux.

Risque inacceptable : les pratiques interdites de l’article 5. Elles s’appliquent déjà.
Haut risque : les systèmes des annexes I et III. Obligations lourdes — gestion des risques, documentation, journalisation, surveillance humaine — mais applicables seulement en 2027 et 2028.
Risque limité : obligations de transparence de l’article 50, applicables depuis le 2 août 2026.
Risque minimal : tout le reste, sans obligation spécifique.

Ce qui s’applique déjà à une entreprise qui utilise l’IA

1. La maîtrise de l’IA (article 4)

Depuis le 2 février 2025, fournisseurs et déployeurs doivent « prendre des mesures pour favoriser le développement de la maîtrise de l’IA » par leur personnel et par les personnes qui utilisent ces outils pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation, ainsi que du contexte d’utilisation.

Le même article précise que cette obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». Ni certificat, ni quota d’heures, ni test de niveau : une trace écrite et datée suffit. Voir Former ses salariés à l’IA : ce qu’exige l’article 4.

2. Les pratiques interdites (article 5)

Elles visent surtout des usages extrêmes — notation sociale, moissonnage d’images faciales, police prédictive. Deux intéressent directement les employeurs :

l’interdiction d’utiliser un système d’IA pour inférer les émotions d’une personne sur le lieu de travail et dans les établissements d’enseignement, sauf raisons médicales ou de sécurité (article 5, paragraphe 1, point f) ;
l’interdiction de la catégorisation biométrique destinée à déduire la race, les opinions politiques, l’appartenance syndicale, les convictions religieuses, la vie ou l’orientation sexuelle (point g).

3. La transparence (article 50)

Depuis le 2 août 2026 : les personnes qui dialoguent avec un agent conversationnel doivent savoir qu’elles s’adressent à une machine, et les contenus générés ou manipulés par IA doivent être identifiables comme tels. Voir les obligations d’un chatbot sur votre site et Image générée par IA : la mention est-elle obligatoire ?.

Les deux interdictions qui arrivent le 2 décembre 2026

Le Digital Omnibus a inséré deux nouveaux points dans l’article 5. Ils visent les systèmes d’IA qui génèrent ou manipulent :

des images, vidéos ou contenus audio réalistes représentant les parties intimes d’une personne identifiable, ou cette personne se livrant à des activités sexuellement explicites, sans son consentement libre, spécifique, éclairé, univoque et explicite (point b bis) ;
des matériels ou spectacles relevant de la directive 2011/93/UE sur les abus sexuels concernant des enfants (point b ter).

Le nouveau paragraphe 1 bis limite nettement la portée pour les entreprises utilisatrices : côté déployeur, l’utilisation « n’est interdite que lorsque le déployeur utilise le système dans le but de générer ou de manipuler ce matériel ». Une PME qui se sert d’un générateur d’images pour son catalogue n’est donc pas concernée par ricochet.

Les sanctions

L’article 99 prévoit jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour le non-respect des pratiques interdites de l’article 5, et jusqu’à 15 millions d’euros ou 3 % pour les autres manquements, le montant le plus élevé étant retenu — sauf pour les PME et les jeunes pousses. L’article 99, paragraphe 6, retient pour elles le montant le plus faible des deux. C’est une différence considérable : pour une entreprise de dix personnes, le plafond n’est pas 35 millions d’euros, mais 7 % de son chiffre d’affaires.

Le Digital Omnibus a ajouté une précision utile : lorsqu’ils imposent des sanctions, les États membres « tiennent compte des intérêts des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation, ainsi que de leur viabilité économique ». Cela ne supprime aucune obligation, mais cela situe le risque réel. Voir Sanctions de l’AI Act : ce que risque vraiment une PME.

En France, l’autorité chargée de la surveillance du marché n’est pas encore désignée de façon définitive.

Et le RGPD dans tout ça ?

L’AI Act ne remplace pas le RGPD : les deux textes se cumulent. Dès qu’un outil d’IA traite des données personnelles — un CV, un courriel, un dossier client — le RGPD s’applique intégralement, avec son registre des traitements (article 30), ses contrats de sous-traitance (article 28) et, le cas échéant, son analyse d’impact. C’est souvent par là que le travail commence réellement.

Par où commencer, concrètement

Recenser les outils d’IA réellement utilisés dans l’entreprise, y compris ceux arrivés par une mise à jour de votre logiciel habituel. Voir le modèle de registre des systèmes d’IA.
Écrire une règle d’usage : ce qui est autorisé, pour quoi, ce qui est interdit, qui valide. Voir le modèle de politique d’usage.
Informer les équipes et en garder la trace, au titre de l’article 4.
Vérifier les contrats avec les éditeurs, et la base juridique des transferts hors Union. Voir les clauses à prévoir avec vos prestataires.
Afficher ce qui doit l’être : chatbots, contenus générés.

Pour aller plus loin. Le kit de conformité AI Act réunit quatre documents à compléter : politique d’usage de l’IA, registre des systèmes d’IA, journal des usages sensibles et note d’information au personnel.

Rechercher dans ce blog

IA en Règle