À qui s'applique l'AI Act
L'AI Act s'applique aux organisations qui développent, fournissent ou utilisent des systèmes d'IA dans l'UE, y compris aux entreprises établies hors de l'UE dont les systèmes d'IA sont mis sur le marché de l'UE ou dont les résultats sont utilisés dans l'UE. Ce que vous devez faire dépend de votre rôle pour chaque système :
- Fournisseur : développe un système d'IA ou un modèle d'IA à usage général, ou le fait développer, et le met sur le marché ou en service sous son propre nom.
- Déployeur : utilise un système d'IA sous sa propre autorité dans le cadre d'une activité professionnelle, comme une entreprise qui utilise l'outil de recrutement d'un éditeur.
- Importateur et distributeur : introduisent sur le marché de l'UE un système venu de l'extérieur de l'UE, ou l'y mettent à disposition.
La plupart des entreprises sont des déployeurs. Un déployeur devient fournisseur s'il appose son nom ou sa marque sur un système à haut risque, lui apporte une modification substantielle ou change la finalité d'un système de sorte qu'il devienne à haut risque.
Les échéances
Les dates suivent l'AI Act tel que modifié par le règlement (UE) 2026/1744, l'omnibus numérique, en vigueur depuis le 27 juillet 2026.
- L'AI Act entre en vigueur.
- Les pratiques interdites sont bannies, et l'obligation de maîtrise de l'IA s'applique.
- Les règles sur les modèles d'IA à usage général, la gouvernance et les sanctions s'appliquent.
- Les obligations de transparence de l'article 50 s'appliquent. Le Bureau de l'IA peut faire respecter les règles sur les modèles d'IA à usage général, et les autorités nationales contrôlent la maîtrise de l'IA.
- Deux nouvelles interdictions s'appliquent : l'IA qui crée des images intimes ou sexuelles non consenties et le matériel pédopornographique. Les systèmes génératifs déjà sur le marché avant le 2 août 2026 doivent marquer leurs résultats à cette date.
- Les modèles d'IA à usage général mis sur le marché avant le 2 août 2025 doivent être conformes.
- Les obligations relatives aux usages à haut risque listés à l'annexe III s'appliquent.
- Les obligations relatives à l'IA à haut risque dans les produits couverts par l'annexe I s'appliquent.
- Les systèmes à haut risque utilisés par les autorités publiques et déjà sur le marché doivent être conformes.
Étape 1 : recenser chaque système d'IA
Étape 2 : classer le risque
Chaque usage relève de l'un des quatre niveaux. Classez chaque usage, pas chaque produit : le même assistant peut être à risque minimal pour rédiger des e-mails et à haut risque s'il sert à trier des candidatures.
| Niveau | Ce qu'il couvre | Ce que cela implique pour vous |
|---|---|---|
| Interdit | Les pratiques interdites par l'article 5, comme la notation sociale ou la reconnaissance des émotions au travail, et à partir du 2 décembre 2026 l'IA qui crée des images intimes non consenties | Cesser de l'utiliser |
| Haut risque | Les usages listés à l'annexe III, comme le recrutement, la notation de crédit et l'accès aux services essentiels, et l'IA dans les produits couverts par l'annexe I | Obligations complètes à partir du 2 décembre 2027 ou du 2 août 2028 |
| Transparence | Les systèmes qui interagissent avec des personnes, génèrent du contenu ou créent des deepfakes | Informer les personnes et marquer les contenus, au titre de l'article 50, depuis le 2 août 2026 |
| Minimal | La plupart des autres usages, comme la rédaction, la synthèse et l'analyse | Aucune obligation spécifique au-delà de la maîtrise de l'IA |
La Commission a publié des lignes directrices sur la définition d'un système d'IA et sur les pratiques interdites en février 2025, et un projet de lignes directrices sur la classification à haut risque en mai 2026. Les systèmes à haut risque déjà sur le marché avant leur date d'application ne sont concernés que s'ils sont ensuite modifiés de façon significative ; ceux utilisés par les autorités publiques doivent être conformes au plus tard le 2 août 2030.
Étape 3 : identifier les obligations de votre rôle
Tout fournisseur et tout déployeur
Prendre des mesures pour développer la maîtrise de l'IA du personnel et des autres personnes qui exploitent ou utilisent des systèmes d'IA pour votre compte, au titre de l'article 4.
Déployeurs de systèmes à haut risque, au titre de l'article 26
Fournisseurs de systèmes à haut risque
Gestion des risques, gouvernance des données, documentation technique, journalisation, notice d'utilisation pour les déployeurs, contrôle humain, exactitude, robustesse et cybersécurité, système de gestion de la qualité, évaluation de la conformité, marquage CE, enregistrement dans la base de données de l'UE et surveillance après commercialisation.
Transparence, au titre de l'article 50
Les fournisseurs conçoivent les systèmes qui interagissent avec des personnes de sorte que celles-ci sachent qu'elles ont affaire à une IA, sauf si c'est évident, et marquent les contenus générés par IA dans un format lisible par machine. Les déployeurs signalent les deepfakes, ainsi que les textes générés par IA publiés pour informer le public sur des questions d'intérêt général, sauf si une personne les a relus et en assume la responsabilité éditoriale. La Commission a publié des lignes directrices sur ces obligations le 20 juillet 2026.
Fournisseurs de modèles d'IA à usage général
Documentation technique, informations pour les entreprises qui s'appuient sur le modèle, politique de droit d'auteur et résumé public des contenus d'entraînement, avec des obligations supplémentaires pour les modèles présentant un risque systémique. Le code de bonnes pratiques pour l'IA à usage général de juillet 2025 est un moyen reconnu de démontrer la conformité.
Étape 4 : développer la maîtrise de l'IA
L'article 4 s'applique depuis le 2 février 2025. Tel que modifié en juillet 2026, il impose aux fournisseurs et aux déployeurs de prendre des mesures pour développer la maîtrise de l'IA de leur personnel et des autres personnes qui utilisent l'IA pour leur compte, sans avoir à garantir un niveau précis. Les autorités nationales en assurent le contrôle depuis le 2 août 2026, et aucun certificat n'est exigé.
Voir la formation à la maîtrise de l'IA au titre de l'article 4.
Étape 5 : mettre en place la gouvernance
Une norme de système de management comme l'ISO/IEC 42001 donne à cette gouvernance une structure que les auditeurs reconnaissent.
Amendes
| Manquement | Amende maximale |
|---|---|
| Pratiques interdites | 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial |
| Obligations des opérateurs, y compris des déployeurs, et transparence | 15 millions d'euros ou 3 % |
| Informations inexactes, incomplètes ou trompeuses fournies aux autorités | 7,5 millions d'euros ou 1 % |
C'est le plus élevé des deux montants qui s'applique. Pour les PME et les start-up, c'est le plus faible, à chaque palier, et les petites entreprises à moyenne capitalisation bénéficient du montant le plus faible aux deux paliers inférieurs.
Sources
- Règlement (UE) 2026/1744, omnibus numérique sur l'IA, Journal officiel
- AI Act Service Desk : article 4, maîtrise de l'IA
- AI Act Service Desk : article 26, obligations des déployeurs de systèmes d'IA à haut risque
- AI Act Service Desk : article 50, obligations de transparence
- AI Act Service Desk : article 99, sanctions
- AI Act Service Desk : article 113, entrée en vigueur et application
- Commission européenne : questions et réponses sur la maîtrise de l'IA
- Commission européenne : lignes directrices sur la définition d'un système d'IA
- Commission européenne : lignes directrices sur les pratiques d'IA interdites
- Commission européenne : projet de lignes directrices sur la classification à haut risque
- Commission européenne : lignes directrices sur les obligations de transparence