Tout ce qu'il faut savoir sur la réglementation phare de l'Europe en matière d'IA. De la classification des risques aux exigences techniques, ce guide détaille ce que votre organisation doit savoir avant l'échéance d'application d'août 2026.
L'EU Artificial Intelligence Act (Regulation (EU) 2024/1689) est le premier cadre juridique complet au monde pour l'intelligence artificielle. Adopté en juin 2024, il établit des règles harmonisées pour le développement, la mise sur le marché et l'utilisation des systèmes d'IA au sein de l'Union européenne.
La réglementation adopte une approche fondée sur le risque, classant les systèmes d'IA en quatre niveaux de risque avec des exigences proportionnées. Cela signifie que des obligations plus strictes s'appliquent aux systèmes d'IA qui présentent des risques plus élevés pour la santé, la sécurité ou les droits fondamentaux.
L'AI Act s'applique à :
La portée extraterritoriale signifie que les organisations situées hors de l'UE doivent se conformer si leurs systèmes d'IA affectent des personnes au sein des États membres de l'UE — à l'image de la manière dont le GDPR s'applique au traitement des données.
L'EU AI Act suit une approche de mise en œuvre échelonnée, différentes dispositions devenant applicables à des moments différents pour permettre aux organisations de se préparer.
L'EU AI Act est officiellement entré en vigueur
L'interdiction des systèmes d'IA à risque inacceptable prend effet
Les règles relatives aux modèles d'IA à usage général deviennent applicables
Toutes les dispositions deviennent applicables, y compris les exigences pour l'IA high-risk
Les systèmes d'IA high-risk existants doivent être mis en conformité
Le 2 août 2026 marque le début de l'application intégrale pour les systèmes d'IA high-risk. Les organisations devraient engager leurs efforts de conformité dès maintenant pour respecter cette échéance. La plupart des programmes de conformité nécessitent 6 à 12 mois pour une mise en œuvre correcte.
L'EU AI Act établit une pyramide de niveaux de risque, avec des exigences proportionnées au préjudice potentiel qu'un système d'IA pourrait causer. Comprendre la classification de votre système est la première étape vers la conformité.
Systèmes d'IA qui constituent une menace claire pour la sécurité, les moyens de subsistance ou les droits
Systèmes d'IA utilisés dans des domaines critiques susceptibles d'avoir un impact significatif sur les personnes
Systèmes d'IA soumis à des obligations spécifiques de transparence
Systèmes d'IA sans exigence réglementaire spécifique
L'AI Act interdit absolument certaines pratiques d'IA considérées comme présentant un risque inacceptable pour les droits fondamentaux. Ces interdictions sont entrées en vigueur le 2 février 2025.
Remarque : Certaines interdictions comportent des exceptions limitées pour les forces de l'ordre avec autorisation judiciaire préalable et pour des scénarios spécifiques de crimes graves. Les organisations devraient consulter un conseiller juridique pour les cas limites.
Les systèmes d'IA high-risk sont soumis aux exigences les plus complètes de l'AI Act. Ils sont définis aux Annexes I et III de la réglementation.
Identification biométrique à distance, catégorisation
Énergie, transport, eau, infrastructures numériques
Évaluation des étudiants, décisions d'accès, détection de fraude
Recrutement, décisions RH, suivi des performances
Notation de crédit, services d'urgence, éligibilité aux prestations
Évaluation des risques, évaluation des preuves, analyse criminelle
Vérification des documents de voyage, traitement des visas
Aide à la recherche juridique, appui judiciaire
Les systèmes d'IA utilisés comme composants de sécurité dans des produits couverts par la législation d'harmonisation de l'UE (Annex I) sont automatiquement classés high-risk. Cela inclut l'IA dans les machines, les jouets, les dispositifs médicaux, les véhicules, l'aviation, les équipements marins, et plus encore.
L'AI Act attribue des obligations différentes selon votre rôle dans la chaîne de valeur de l'IA. La plupart des organisations sont soit fournisseurs (qui développent l'IA), soit déployeurs (qui utilisent l'IA).
Organisations qui développent ou mettent des systèmes d'IA sur le marché
Organisations utilisant des systèmes d'IA à titre professionnel
Organisations introduisant sur le marché des systèmes d'IA hors UE
Organisations de la chaîne d'approvisionnement (ni fournisseur ni importateur)
Les systèmes d'IA high-risk doivent satisfaire à des exigences techniques spécifiques tout au long de leur cycle de vie. Ces exigences constituent le cœur de ce que les fournisseurs doivent mettre en œuvre.
Processus continu et itératif tout au long du cycle de vie du système d'IA
Garantir que les jeux de données d'entraînement, de validation et de test répondent à des critères de qualité
Documentation complète démontrant la conformité
Journalisation automatique des événements en cours d'exploitation
Permettre aux déployeurs d'interpréter et d'utiliser les sorties de manière appropriée
Permettre une intervention humaine efficace en cours d'exploitation
Atteindre des niveaux de performance appropriés
L'EU AI Act prévoit des amendes administratives importantes en cas de non-conformité, selon une structure à plusieurs niveaux similaire au GDPR.
Jusqu'à 35 millions € ou 7 % du chiffre d'affaires annuel mondial
Pour les violations impliquant des pratiques d'IA interdites (le montant le plus élevé étant retenu)
Jusqu'à 15 millions € ou 3 % du chiffre d'affaires annuel mondial
Pour les violations des exigences relatives à l'IA high-risk ou des obligations GPAI (le montant le plus élevé étant retenu)
Jusqu'à 7,5 millions € ou 1,5 % du chiffre d'affaires annuel mondial
Pour la fourniture d'informations incorrectes ou trompeuses aux autorités (le montant le plus élevé étant retenu)
La réglementation comprend des dispositions pour les petites et moyennes entreprises. Pour les PME et les startups, les amendes sont calculées sur la base du montant le plus bas entre le pourcentage et le montant fixe. Les États membres sont également tenus de prévoir des bacs à sable réglementaires et des mécanismes de soutien.
Une approche systématique de la conformité à l'EU AI Act suit généralement ces phases. Les organisations devraient commencer dès maintenant pour être prêtes d'ici août 2026.
Inventorier tous les systèmes d'IA dans toutes les unités opérationnelles
Évaluer les niveaux de risque selon les catégories de l'Annex III
Identifier les écarts de conformité par rapport aux exigences
Mettre en œuvre des mesures techniques et de gouvernance
La plupart des organisations ont besoin de 6 à 12 mois pour atteindre une conformité prête pour l'audit des systèmes d'IA high-risk. Cela comprend :