Le règlement européen sur l'IA entre en application : la liste de contrôle de conformité

L’AI Act prend effet

Le règlement européen sur l’intelligence artificielle (AI Act), premier cadre juridique complet au monde consacré à l’IA, est passé du texte législatif à l’application — par étapes. L’interdiction des pratiques d’IA prohibées et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025. Les obligations des fournisseurs de modèles d’IA à usage général ont suivi le 2 août 2025, et depuis le 2 août 2026 la Commission peut les faire respecter par des amendes ; les obligations de transparence pour les chatbots et les contenus générés par l’IA s’appliquent aussi depuis cette date. Les règles essentielles sur le haut risque ont en revanche été reportées : l’omnibus numérique sur l’IA, en vigueur depuis le 27 juillet 2026, a repoussé les obligations des systèmes autonomes à haut risque de l’annexe III (recrutement ou évaluation de la solvabilité, par exemple) du 2 août 2026 au 2 décembre 2027, et celles de l’IA intégrée dans des produits relevant de la législation européenne sur la sécurité au 2 août 2028.

Il ne s’agit pas d’une politique abstraite. Si votre entreprise utilise l’IA pour des décisions de recrutement, l’évaluation de la solvabilité, le diagnostic médical ou tout système qui affecte les droits et la sécurité des personnes, l’AI Act s’applique directement à vos activités.

Comprendre les niveaux de risque

L’AI Act classe les systèmes d’IA en quatre catégories de risque, chacune soumise à des exigences réglementaires différentes :

Risque inacceptable (interdit) : les systèmes d’IA de notation sociale par les pouvoirs publics, l’identification biométrique en temps réel dans les espaces publics (avec d’étroites exceptions pour les forces de l’ordre), la manipulation de groupes vulnérables et la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement. Ils sont purement et simplement interdits.

Risque élevé : l’IA utilisée dans les infrastructures critiques, l’éducation, l’emploi, les services essentiels, le maintien de l’ordre, la migration et la justice. Ces systèmes doivent faire l’objet d’évaluations de la conformité, disposer de systèmes de gestion des risques, garantir la qualité des données, assurer la transparence envers les utilisateurs et permettre un contrôle humain.

Risque limité : des systèmes comme les chatbots et les générateurs de deepfakes, soumis à des obligations de transparence — les utilisateurs doivent être informés qu’ils interagissent avec une IA ou qu’ils regardent un contenu généré par l’IA.

Risque minimal : la majorité des applications d’IA — filtres antispam, IA dans les jeux vidéo, gestion des stocks — ne sont soumises à aucune exigence réglementaire supplémentaire.

Votre liste de contrôle de conformité

Pour les entreprises qui fournissent ou déploient des systèmes d’IA à haut risque, voici ce qui doit être en place (pour les systèmes autonomes de l’annexe III, ces obligations s’appliquent à partir du 2 décembre 2027 — un délai pour se préparer, pas pour attendre) :

1. Inventaire des systèmes d’IA : documentez chaque système d’IA que votre organisation utilise ou déploie, classé par niveau de risque. Vous ne pouvez pas respecter des règles dont vous ignorez qu’elles vous concernent.

2. Système de gestion des risques : mettez en place un processus continu de gestion des risques qui identifie, analyse et atténue les risques tout au long du cycle de vie du système d’IA.

3. Gouvernance des données : veillez à ce que les jeux de données d’entraînement, de validation et de test soient pertinents, représentatifs et aussi exempts de biais que possible. Documentez la provenance des données et les méthodes de préparation.

4. Documentation technique : tenez des registres détaillés sur la conception du système, la méthodologie de développement, les procédures d’entraînement et les indicateurs de performance — avant la mise sur le marché du système.

5. Transparence et information des utilisateurs : fournissez des instructions claires aux déployeurs, notamment sur la finalité prévue du système, son niveau d’exactitude, ses limites connues et les mesures de contrôle humain.

6. Mécanismes de contrôle humain : concevez les systèmes de sorte que des humains puissent superviser efficacement leur fonctionnement, interpréter leurs résultats et intervenir ou arrêter le système si nécessaire.

7. Exactitude, robustesse et cybersécurité : démontrez que les systèmes fonctionnent de manière constante et qu’ils résistent aux erreurs, aux défaillances et aux attaques adverses.

8. Évaluation de la conformité : la plupart des systèmes à haut risque de l’annexe III — notamment infrastructures critiques, emploi, éducation et évaluation de la solvabilité — relèvent d’un contrôle interne (auto-évaluation) par le fournisseur. Une évaluation par un organisme notifié est requise pour les systèmes biométriques lorsque les normes harmonisées n’ont pas été (entièrement) appliquées, ainsi que pour l’IA intégrée dans des produits qui exigent déjà une évaluation par un tiers en vertu de la législation sectorielle, comme les dispositifs médicaux.

Sanctions en cas de non-conformité

Les moyens de contrainte de l’AI Act sont considérables. Les infractions liées à des pratiques d’IA interdites sont passibles d’amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Le non-respect des exigences applicables aux systèmes à haut risque peut entraîner des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires. La fourniture d’informations inexactes aux autorités est passible de sanctions allant jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires.

Pour les PME et les startups, les amendes sont plafonnées à des seuils proportionnellement plus bas, et des bacs à sable réglementaires permettent de tester des systèmes d’IA innovants dans des conditions supervisées avant leur pleine mise sur le marché.

La fracture transatlantique

Le contraste avec les États-Unis ne pourrait être plus marqué. En 2026, les États-Unis n’ont aucune législation fédérale sur l’IA. Des décrets présidentiels ont été pris puis abrogés d’une administration à l’autre, laissant un patchwork d’engagements volontaires et de propositions au niveau des États. Les entreprises américaines actives en Europe doivent néanmoins se conformer à l’AI Act, ce qui crée une norme mondiale de fait — comme le RGPD l’a fait pour la protection des données.

Pour les entreprises européennes, l’AI Act n’est pas qu’une contrainte de conformité. C’est un cadre concurrentiel qui renforce la confiance du public dans les systèmes d’IA, établit des conditions de concurrence équitables face à des concurrents peu régulés et fait de l’UE la référence mondiale en matière de gouvernance responsable de l’IA. Les entreprises qui se mettent en conformité tôt prendront une longueur d’avance lorsque d’autres juridictions suivront inévitablement l’exemple européen.