AI Act : définition et entreprises concernées

En bref

L’AI Act est le règlement (UE) 2024/1689, ou règlement sur l’intelligence artificielle. Entré en vigueur le 1er août 2024, il s’applique par étapes jusqu’en août 2028.
Il vise ceux qui développent des systèmes d’IA et les mettent sur le marché (le fournisseur) et ceux qui les utilisent dans leur activité professionnelle (le déployeur). Une PME qui se sert d’un chatbot, d’un assistant de rédaction ou d’un logiciel de tri des CV appartient à la seconde catégorie.
Depuis le 2 février 2025, certaines pratiques d’IA sont interdites et toute entreprise qui utilise l’IA doit prendre des mesures pour que son personnel sache s’en servir. Depuis le 2 août 2026, les règles de transparence s’appliquent, par exemple signaler qu’un texte ou une vidéo a été généré par IA.
Les règles sur les systèmes à haut risque (recrutement, crédit, éducation, entre autres) ont été reportées par le règlement omnibus numérique sur l’IA : elles s’appliquent à partir du 2 décembre 2027, ou du 2 août 2028 pour l’IA intégrée à des produits.
L’AI Act ne remplace pas le RGPD. Si le système d’IA traite des données personnelles, les deux textes s’appliquent.

Qu’est-ce que l’AI Act ?

L’AI Act est un règlement européen qui dresse la liste des usages de l’intelligence artificielle interdits et de ceux qui sont à haut risque, et qui fixe les obligations de ceux qui conçoivent ces systèmes comme de ceux qui les utilisent. Comme le RGPD, c’est un règlement : il s’applique directement dans tous les pays de l’UE, sans transposition en droit national.

Son nom officiel en français est « règlement sur l’intelligence artificielle ». Publié au Journal officiel le 12 juillet 2024, il est entré en vigueur le 1er août de la même année. Le règlement (UE) 2026/1744, dit règlement omnibus numérique sur l’IA, le modifie depuis le 27 juillet 2026 : il a déplacé plusieurs dates et ajouté une interdiction.

La notion de « système d’IA » est large : un système automatisé, doté d’un certain degré d’autonomie, qui génère à partir des données qu’il reçoit des prédictions, des contenus, des recommandations ou des décisions. Art. 3, point 1 Un modèle de langage qui rédige des réponses aux clients en fait partie. Un tableur aux formules figées, non.

Pourquoi a-t-il été adopté ?

Le règlement annonce lui-même son objectif : améliorer le fonctionnement du marché intérieur grâce à un cadre juridique uniforme pour l’IA, qui favorise une IA axée sur l’humain et digne de confiance tout en protégeant la santé, la sécurité et les droits fondamentaux des personnes.

Concrètement, il répond à deux problèmes. Le premier est la fragmentation : sans règles communes, chaque pays aurait pu adopter les siennes, et une entreprise qui vend un produit doté d’IA aurait dû se conformer à 27 législations différentes. Le second est le risque pour les personnes. Un système qui décide qui sera convoqué à un entretien, qui obtiendra un crédit ou qui sera identifié par une caméra peut discriminer ou se tromper sans que personne ne comprenne pourquoi.

Le règlement traite donc l’IA selon le risque qu’elle présente. La plupart des outils utilisés au quotidien dans les entreprises (filtres antispam, traducteurs, assistants de rédaction) échappent aux règles les plus lourdes. Les obligations s’alourdissent à mesure que l’usage est susceptible de peser sur la vie des personnes, et certains usages sont tout simplement interdits.

Les quatre niveaux de risque

Pratiques interdites

Depuis le 2 février 2025, il est interdit de mettre sur le marché ou d’utiliser des systèmes d’IA qui : Art. 5, paragraphe 1

manipulent les personnes par des techniques subliminales ou trompeuses qui leur causent un préjudice important ;
exploitent les vulnérabilités liées à l’âge, à un handicap ou à la situation sociale ou économique ;
pratiquent une notation sociale qui conduit à un traitement préjudiciable ou disproportionné ;
prédisent qu’une personne va commettre une infraction sur la seule base de son profilage ou de ses traits de personnalité ;
moissonnent de manière non ciblée des images faciales sur internet ou issues de la vidéosurveillance pour constituer des bases de données de reconnaissance faciale ;
reconnaissent les émotions sur le lieu de travail ou dans les établissements d’enseignement, sauf pour des raisons médicales ou de sécurité ;
déduisent l’origine raciale, les opinions politiques, l’appartenance syndicale, la religion ou l’orientation sexuelle à partir de données biométriques ;
procèdent à une identification biométrique à distance en temps réel dans l’espace public à des fins répressives, sauf exceptions très limitées.

Le règlement omnibus sur l’IA, seule partie du Digital Omnibus déjà adoptée, a ajouté une interdiction applicable à partir du 2 décembre 2026 : les systèmes qui génèrent des images, des vidéos ou des sons intimes ou sexuellement explicites d’une personne identifiable sans son consentement, et ceux qui génèrent des contenus pédopornographiques.

Pour une PME, le cas qui revient le plus souvent est la reconnaissance des émotions. Un logiciel qui analyse la voix des téléconseillers d’un centre d’appels pour mesurer leur état émotionnel, ou des caméras qui « lisent » l’humeur des salariés, tombe sous le coup de l’interdiction.

Haut risque

Sont à haut risque les systèmes d’IA qui servent de composant de sécurité à des produits déjà réglementés (machines, jouets, dispositifs médicaux, entre autres) et ceux utilisés dans les huit domaines de l’annexe III : Art. 6 et annexe III

biométrie ;
infrastructures critiques ;
éducation et formation professionnelle ;
emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant ;
accès aux services privés essentiels et aux services et prestations publics essentiels, comme le crédit et l’assurance vie et maladie ;
répression ;
migration, asile et contrôle aux frontières ;
administration de la justice et processus démocratiques.

Il existe toutefois une dérogation : un système de l’annexe III n’est pas à haut risque s’il se borne à une tâche procédurale étroite, améliore le résultat d’une activité humaine déjà terminée, détecte des schémas sans remplacer l’évaluation humaine ou prépare une évaluation. En revanche, un système qui effectue un profilage de personnes est toujours à haut risque. Art. 6, paragraphe 3

Pour une entreprise qui ne développe pas d’IA, l’exemple le plus courant est le recrutement. Un logiciel qui classe les candidatures ou évalue les candidats relève du domaine 4.

Transparence

Sans être à haut risque, certains systèmes obligent à informer les personnes. Ces règles s’appliquent depuis le 2 août 2026 : Art. 50

le fournisseur d’un chatbot doit le concevoir de sorte que les personnes sachent qu’elles s’adressent à une machine, sauf si c’est évident ;
le fournisseur d’une IA qui génère du texte, des images, du son ou de la vidéo doit marquer ces contenus dans un format lisible par machine. Les systèmes déjà sur le marché avant le 2 août 2026 bénéficient d’une période de transition de quatre mois, jusqu’au 2 décembre 2026 ;
celui qui utilise un système de reconnaissance des émotions ou de catégorisation biométrique (là où ce n’est pas interdit) doit en informer les personnes qui y sont exposées ;
celui qui publie un hypertrucage (deepfake) doit indiquer que le contenu a été généré ou manipulé par IA. Il en va de même pour un texte généré par IA publié pour informer le public sur des questions d’intérêt public, sauf s’il a fait l’objet d’une relecture humaine et que quelqu’un en assume la responsabilité éditoriale.

Risque minimal

Tous les autres systèmes relèvent de cette catégorie. Ils ne sont soumis à aucune obligation particulière, en dehors de la maîtrise de l’IA, qui vaut pour tous (voir plus bas).

Et les modèles comme GPT ou Gemini ?

Les modèles d’IA à usage général, ces grands modèles sur lesquels reposent des outils comme ChatGPT, ont leurs propres règles depuis le 2 août 2025. Elles visent ceux qui développent les modèles, pas l’entreprise qui utilise l’outil.

Quelles entreprises doivent appliquer l’AI Act ?

L’AI Act couvre toute la chaîne, et c’est le rôle de votre entreprise qui détermine ce qu’elle doit faire. Art. 2, paragraphe 1

Fournisseur : celui qui développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son nom ou sa marque, à titre onéreux ou gratuit. Art. 3, point 3 C’est sur lui que pèse l’essentiel des obligations liées aux systèmes à haut risque.
Déployeur : celui qui utilise un système d’IA sous sa propre autorité, sauf dans le cadre d’une activité personnelle à caractère non professionnel. Art. 3, point 4 C’est la situation de la plupart des entreprises : elles achètent l’outil ou s’y abonnent, et s’en servent au travail.
Importateurs, distributeurs et mandataires de systèmes d’IA venus de l’extérieur de l’UE.

La taille de l’entreprise n’y change rien : il n’existe pas d’exemption pour les PME, et une entreprise de dix personnes qui utilise un assistant IA est déployeur. Ce qui change pour une PME, c’est le plafond des amendes, ainsi que quelques allègements en matière de documentation.

Le règlement s’applique aussi aux entreprises établies hors de l’UE dès lors que les résultats produits par le système d’IA sont utilisés dans l’Union. Un fournisseur américain qui vend un logiciel de recrutement à des entreprises françaises doit s’y conformer.

Sont exclus l’IA utilisée exclusivement à des fins militaires, de défense ou de sécurité nationale, l’IA développée uniquement pour la recherche scientifique, l’usage personnel non professionnel et les systèmes publiés sous licence libre et ouverte, sauf s’ils sont à haut risque, interdits ou soumis aux règles de transparence. Art. 2, paragraphes 3, 6, 10 et 12

Ce que vous devez faire aujourd’hui si vous utilisez seulement l’IA

Maîtrise de l’IA, depuis le 2 février 2025

Prenez des mesures pour que les salariés et les autres personnes qui utilisent l’IA pour le compte de l’entreprise s’en servent en connaissance de cause, compte tenu de leurs connaissances, du contexte et des personnes concernées. Art. 4 Le règlement omnibus sur l’IA a assoupli la formulation : l’entreprise doit favoriser le développement de cette maîtrise, sans être tenue de garantir un niveau précis chez chaque personne. La Commission et les États membres doivent désormais apporter leur aide, en particulier aux PME.

En pratique : recensez les outils d’IA utilisés dans l’entreprise, rédigez des règles d’usage simples (quelles données ne jamais coller dans un chatbot, qui valide ce qui en sort) et organisez une courte formation pour ceux qui s’en servent. Conservez-en la preuve.

Transparence, depuis le 2 août 2026

Si l’entreprise publie des images, des vidéos ou des sons générés par IA qui paraissent réels, ou des textes générés par IA sur des questions d’intérêt public sans relecture éditoriale, elle doit le signaler. Si vous avez un chatbot sur votre site, vérifiez auprès du fournisseur que le système prévient les personnes qu’elles échangent avec une IA.

Haut risque, à partir du 2 décembre 2027

Si vous utilisez l’IA dans l’un des domaines de l’annexe III, comme le recrutement ou l’évaluation des salariés, il vous reste un an pour vous préparer. À partir de cette date, en tant que déployeur, vous devrez : Art. 26

utiliser le système conformément à la notice d’utilisation du fournisseur ;
confier son contrôle humain à des personnes qui ont la compétence et l’autorité nécessaires ;
veiller à ce que les données d’entrée soient pertinentes et représentatives, lorsque vous les maîtrisez ;
surveiller le fonctionnement du système et en suspendre l’usage en cas de risque, en prévenant le fournisseur et l’autorité ;
conserver les journaux générés par le système pendant au moins six mois ;
informer les représentants du personnel et les salariés concernés avant de mettre le système en service sur le lieu de travail ;
informer les personnes à l’égard desquelles le système prend des décisions ou aide à en prendre.

Les organismes publics, les entreprises privées qui fournissent des services publics et ceux qui utilisent l’IA pour évaluer la solvabilité ou fixer les prix de l’assurance vie et maladie doivent en outre réaliser une analyse d’impact sur les droits fondamentaux avant la première utilisation. Art. 27

L’AI Act et le RGPD

L’AI Act ne modifie pas le RGPD. Art. 2, paragraphe 7 Si un système d’IA traite des données personnelles, les deux s’appliquent : il vous faut une base légale, une information des personnes, un contrat avec le fournisseur et souvent une analyse d’impact relative à la protection des données (AIPD). L’AI Act demande d’ailleurs au déployeur d’utiliser les informations transmises par le fournisseur pour réaliser son AIPD. Art. 26, paragraphe 9

Pour le volet RGPD, quand l’IA travaille sur des données de clients ou de salariés, l’article Agents IA et RGPD détaille les vérifications à faire avant d’ouvrir l’accès aux données. Elles valent aussi pour les outils d’IA qui ne sont pas des agents.

Le règlement omnibus sur l’IA a créé une règle qui touche au RGPD : il autorise, à titre exceptionnel et lorsque c’est strictement nécessaire, le traitement de catégories particulières de données pour détecter et corriger les biais des systèmes d’IA. Les conditions sont strictes : ces données ne doivent pas pouvoir être remplacées par des données synthétiques ou anonymisées, elles ne peuvent pas être transmises à des tiers et doivent être effacées dès que le biais est corrigé. Art. 4 bis

Les modifications du RGPD lui-même proposées dans le Digital Omnibus forment un texte distinct, toujours en négociation. L’article sur le Digital Omnibus fait le point.

Amendes

Les plafonds sont les suivants, le montant le plus élevé étant retenu : Art. 99, paragraphes 3 à 5

pratiques interdites : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial ;
autres obligations, y compris celles du déployeur et les règles de transparence : jusqu’à 15 millions d’euros ou 3 % ;
informations inexactes, incomplètes ou trompeuses fournies aux autorités : jusqu’à 7,5 millions d’euros ou 1 %.

Pour les PME et les jeunes pousses, c’est le montant le plus faible des deux qui s’applique. Art. 99, paragraphe 6

Qui contrôle en France ?

Chaque État membre doit désigner ses autorités de surveillance du marché. En France, la loi qui doit les désigner n’est pas encore adoptée. Le 9 septembre 2025, la DGE et la DGCCRF ont publié un projet de schéma de gouvernance : la DGCCRF y coordonnait les autorités de surveillance et servait de point de contact unique, la CNIL contrôlait la plupart des pratiques interdites et les systèmes à haut risque liés à la biométrie, à l’emploi, à la répression et à la migration, aux côtés de l’Arcom, de l’ACPR et d’autorités sectorielles. Ce schéma devait encore être validé par le Parlement.

Le texte retenu est le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (DDADUE), déposé au Sénat le 10 novembre 2025 en procédure accélérée. En février 2026, le Gouvernement y a ajouté par amendement le volet IA, qui donne à la CNIL le rôle central :

la CNIL deviendrait autorité de surveillance du marché et organisme notifié pour les pratiques interdites de l’article 5 (points c à h), pour les systèmes à haut risque de l’annexe III dans les domaines de la biométrie, de l’emploi, de la répression, des frontières et de la migration, et pour les obligations de transparence de l’article 50, avec le pouvoir d’infliger les amendes prévues par le règlement ;
la notation sociale serait partagée entre la CNIL et la DGCCRF, la formation professionnelle reviendrait à la DGCCRF, le crédit et la tarification de l’assurance à l’ACPR ;
l’Arcom pourrait être consultée pour avis, notamment sur les questions liées aux plateformes, au pluralisme et aux élections ;
pour l’IA utilisée dans les infrastructures critiques, l’autorité compétente serait désignée par décret en Conseil d’État.

Le Sénat a adopté le projet de loi le 18 février 2026 et l’a transmis à l’Assemblée nationale le 20 février 2026. Au 2 novembre 2026, le dossier législatif de l’Assemblée n’indique ni examen en séance, ni adoption définitive : la répartition décrite ci-dessus peut encore changer. Nous mettrons cet article à jour lorsque la loi sera publiée au Journal officiel.

Pour le volet données personnelles, rien ne change : la CNIL (Commission nationale de l’informatique et des libertés) contrôle, au titre du RGPD et de la loi Informatique et Libertés, tout système d’IA qui traite des données personnelles.

Questions fréquentes

Mon entreprise utilise seulement ChatGPT. L’AI Act s’applique-t-il ?

Oui, en tant que déployeur. Aujourd’hui, cela recouvre surtout la maîtrise de l’IA : des règles d’usage et une formation pour ceux qui utilisent l’outil. Si vous publiez des contenus générés par l’outil dans les cas visés par les règles de transparence, vous devez aussi les signaler. Les obligations liées au modèle lui-même incombent à l’entreprise qui le développe.

L’AI Act a-t-il été reporté ?

En partie seulement. Le règlement omnibus sur l’IA a reporté les règles sur le haut risque au 2 décembre 2027 (domaines de l’annexe III) et au 2 août 2028 (IA intégrée à des produits réglementés). Les interdictions et la maîtrise de l’IA s’appliquent depuis février 2025, les règles sur les modèles d’IA à usage général depuis août 2025 et celles sur la transparence depuis août 2026.

J’utilise l’IA pour trier des CV. Que dois-je faire dès maintenant ?

Cet usage est à haut risque, avec des règles applicables à partir du 2 décembre 2027. D’ici là, le RGPD vous impose déjà d’informer les candidats, de disposer d’une base légale et de veiller à ce qu’aucune décision produisant des effets importants ne soit prise par la seule machine, sans intervention humaine réelle. Art. 22 du RGPD Demandez dès maintenant au fournisseur la notice d’utilisation et les informations dont vous aurez besoin pour l’AIPD.

Sources

Mis à jour : 2 novembre 2026. Cet article est une information générale et ne remplace pas un conseil juridique sur un cas précis.

Qu’est-ce que l’AI Act et quelles entreprises doivent l’appliquer ?