L'AI Act, c'est quoi ?

L'AI Act, ou règlement européen sur l'intelligence artificielle (RIA), est le texte qui encadre le développement et l'utilisation de l'IA dans toute l'Union européenne. Publié au Journal officiel de l'Union européenne le 12 juillet 2024, il est entré en vigueur le 1er août 2024 et s'applique depuis par étapes.

Son objectif : permettre l'innovation tout en protégeant la santé, la sécurité et les droits fondamentaux des citoyens. Il s'applique à toutes les entreprises qui proposent ou utilisent des systèmes d'IA dans l'Union, y compris celles basées hors d'Europe.

Une approche fondée sur les risques

L'AI Act ne traite pas toutes les IA de la même façon. Plus un usage présente de risques pour les personnes, plus les règles sont strictes. Le texte distingue quatre niveaux.

• Le risque inacceptable : certaines pratiques sont purement interdites, comme la notation sociale des citoyens, la manipulation qui exploite les vulnérabilités des personnes, ou la prédiction de récidive fondée uniquement sur le profilage.

• Le haut risque : les IA utilisées dans des domaines sensibles, comme le recrutement, l'éducation, le crédit, la biométrie ou les services publics essentiels, devront respecter des exigences fortes de qualité des données, de documentation, de contrôle humain et de sécurité.

• Le risque limité : les chatbots et les contenus générés par IA sont soumis à des obligations de transparence. L'utilisateur doit savoir qu'il échange avec une machine ou qu'un contenu a été créé artificiellement.

• Le risque minime : la grande majorité des usages, comme les filtres anti-spam ou les jeux vidéo, n'est soumise à aucune obligation particulière.

À côté de ces niveaux, le texte prévoit un régime spécifique pour les modèles d'IA à usage général, comme ceux qui font fonctionner les grands assistants conversationnels.

Le calendrier de l'AI Act, mis à jour en 2026

Le calendrier a été modifié cet été par l'omnibus numérique sur l'IA, publié au Journal officiel de l'Union européenne le 24 juillet 2026. Beaucoup d'articles rédigés avant cette date sont donc dépassés. Voici les échéances à retenir.

• 1er août 2024 : entrée en vigueur du règlement.

• Février 2025 : application des interdictions des pratiques à risque inacceptable.

• 2 août 2025 : entrée en application des règles pour les modèles d'IA à usage général et du régime des sanctions.

• 2 août 2026 : date d'application générale du règlement, avec notamment les obligations de transparence sur les chatbots, les contenus générés et les deepfakes.

• 2 décembre 2026 : date limite pour les fournisseurs d'IA générative déjà sur le marché avant août 2026, qui bénéficient d'une période transitoire pour se mettre en conformité, notamment sur le marquage des contenus.

• 2 décembre 2027 : obligations pour les systèmes à haut risque autonomes (recrutement, crédit, éducation, biométrie), initialement prévues pour août 2026.

• 2 août 2028 : obligations pour les systèmes à haut risque intégrés à des produits déjà réglementés, comme les dispositifs médicaux ou les jouets connectés.

À retenir : le report ne concerne que le haut risque. Les interdictions, les règles sur les modèles d'IA à usage général et les obligations de transparence s'appliquent bien, elles, selon le calendrier prévu.

Ce que l'AI Act change pour vous, citoyen

Pour le grand public, l'AI Act se traduit surtout par plus de transparence et de protection face aux usages les plus risqués.

• Savoir quand on parle à une IA : un chatbot doit indiquer clairement qu'il s'agit d'une machine.

• Repérer les contenus artificiels : les images, vidéos et sons générés ou modifiés par IA, notamment les deepfakes, doivent être signalés comme tels.

• Être protégé des dérives : les pratiques jugées inacceptables, comme la notation sociale, sont interdites dans toute l'Union.

• Plus de garanties à terme : quand une IA interviendra dans une décision importante, comme une candidature ou une demande de crédit, elle devra respecter des exigences de qualité et de contrôle humain.

Ce que l'AI Act change pour les entreprises

Les entreprises sont concernées qu'elles développent des IA ou qu'elles se contentent de les utiliser. Leurs obligations dépendent du niveau de risque des usages.

• Faire l'inventaire des outils d'IA utilisés et des usages associés.

• Identifier les usages à haut risque, par exemple un logiciel qui trie les candidatures : l'entreprise qui l'utilise a elle aussi des obligations en tant que « déployeur ».

• Respecter la transparence : informer les clients quand ils échangent avec un chatbot, signaler les contenus générés par IA.

• Former les équipes aux usages et aux risques de l'IA.

• Anticiper décembre 2027 pour les usages à haut risque, plutôt que d'attendre la dernière minute.

Quelles sanctions ?

Le règlement prévoit des amendes administratives élevées, calculées en montant fixe ou en pourcentage du chiffre d'affaires mondial. Les pratiques interdites sont les plus lourdement sanctionnées, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Les manquements aux autres obligations peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires.

AI Act et RGPD : quelle différence ?

Les deux textes se complètent sans se remplacer. Le RGPD protège les données personnelles, quelle que soit la technologie utilisée. L'AI Act encadre les systèmes d'IA eux-mêmes, selon leurs risques. Une IA qui traite des données personnelles doit donc respecter les deux. En France, la CNIL accompagne les acteurs pour articuler ces règles.

FAQ : les questions sur l'AI Act

Voici les réponses aux questions les plus fréquentes sur la réglementation européenne de l'intelligence artificielle.

L'AI Act est-il en vigueur ?

Oui, depuis le 1er août 2024, mais il s'applique par étapes. Les interdictions, les règles sur les modèles d'IA à usage général et les obligations de transparence s'appliquent déjà. Les règles sur le haut risque arriveront en décembre 2027 et en août 2028.

Pourquoi le calendrier a-t-il été modifié ?

La Commission européenne a proposé, en novembre 2025, un paquet de simplification pour laisser plus de temps aux entreprises, notamment en attendant les normes techniques. Le texte, adopté en 2026, a reporté les obligations sur le haut risque.

ChatGPT et les autres assistants sont-ils concernés ?

Oui. Les modèles d'IA à usage général sont soumis à des obligations de transparence et de documentation depuis août 2025, et les contenus qu'ils génèrent doivent pouvoir être identifiés comme artificiels.

Les petites entreprises sont-elles concernées ?

Oui, dès qu'elles utilisent l'IA. Pour la plupart des usages courants, comme la rédaction ou un chatbot, les obligations se limitent surtout à la transparence. Les usages à haut risque demandent davantage de travail.

Sources

Cet article s'appuie sur les publications officielles des autorités européennes et françaises.

• CNIL : entrée en vigueur du règlement européen sur l'IA, les questions-réponses : présentation du règlement et articulation avec le RGPD.

• Commission européenne : entrée en vigueur du règlement sur l'IA : objectifs et approche fondée sur les risques.

• Commission européenne : communiqué de presse sur l'entrée en vigueur : cadre général et gouvernance.