Comment se mettre en conformité avec le règlement IA de l’Union européenne ?

L’intelligence artificielle est déjà présente dans de nombreux outils et processus professionnels. Avec l’entrée en application progressive du règlement européen sur l’IA, la question de la conformité au règlement IA de l’UE se pose désormais de façon très concrète pour les organisations qui développent, fournissent, intègrent ou utilisent des systèmes d’intelligence artificielle.

Le texte ne prévoit pas les mêmes règles pour tous les usages. Certaines pratiques sont interdites, certains systèmes sont classés à haut risque, d’autres sont soumis à des obligations de transparence. Des règles spécifiques concernent également les modèles d’IA à usage général.

Pour avancer, il faut donc partir des usages réels : quels outils sont utilisés ? Dans quel contexte ? Quel rôle l’entreprise occupe-t-elle ? Quelles obligations sont déjà applicables et lesquelles entreront en application plus tard ?

À qui s’applique le règlement IA de l’Union européenne ?

Le règlement (UE) 2024/1689 sur l’intelligence artificielle, dit AI Act, encadre la mise sur le marché, la mise en service et l’utilisation de systèmes d’IA dans l’Union européenne.

Son champ d’application dépasse les seules entreprises européennes. Il peut également concerner des fournisseurs ou des déployeurs établis dans un pays tiers lorsque les sorties produites par leur système d’IA sont utilisées dans l’Union européenne.

Identifier le rôle de l’entreprise

Les obligations dépendent en grande partie du rôle occupé dans la chaîne de valeur. Une organisation peut notamment intervenir comme :

Rôle	Situation
Fournisseur	Développe un système d’IA ou le fait développer et le met sur le marché ou en service sous son nom ou sa marque.
Déployeur	Utilise un système d’IA sous sa propre autorité dans le cadre d’une activité professionnelle.
Importateur	Met sur le marché européen un système d’IA provenant d’un fournisseur établi dans un pays tiers.
Distributeur	Met un système d’IA à disposition sur le marché de l’Union sans être lui-même fournisseur ou importateur.

Une entreprise peut occuper plusieurs rôles pour différents outils ou projets. Certaines modifications d’un système existant peuvent également faire évoluer sa qualification et les responsabilités associées.

Identifier les usages d’IA dans l’organisation

Avant de déterminer les obligations applicables, il faut savoir quels systèmes d’IA sont réellement utilisés. La cartographie des usages permet de passer du texte réglementaire à une analyse concrète des pratiques de l’entreprise.

Cette cartographie n’est pas, en elle-même, un registre universel imposé à toutes les entreprises par l’AI Act. Elle constitue en revanche un point de départ utile pour identifier les rôles, les risques et les règles applicables.

Quelles informations recenser ?

Pour chaque système ou fonctionnalité d’IA, l’inventaire interne peut préciser :

• l’outil ou le système utilisé ;
• la finalité de l’usage ;
• les équipes ou métiers utilisateurs ;
• le fournisseur de la solution ;
• les données traitées, notamment lorsqu’elles comprennent des données personnelles ;
• le rôle de l’entreprise au regard de l’AI Act ;
• les personnes susceptibles d’être affectées par l’utilisation du système ;
• les mécanismes de contrôle ou de supervision humaine prévus.

L’enjeu est surtout de ne pas limiter l’inventaire aux outils officiellement déployés par la DSI. Des fonctionnalités d’IA peuvent également être intégrées dans des logiciels de recrutement, de bureautique, de relation client, de création de contenu ou d’analyse de données.

Pour approfondir cette étape, consultez également notre guide sur l’utilisation de l’IA en entreprise.

Comprendre les niveaux de risque du règlement IA

L’AI Act suit une approche fondée sur les risques. On distingue couramment les pratiques interdites, les systèmes d’IA à haut risque, les systèmes soumis à des obligations de transparence et les usages qui ne relèvent pas de ces régimes renforcés.

Cette présentation facilite la lecture du texte, mais la qualification juridique dépend toujours du système, de sa finalité, de son contexte d’utilisation et du rôle de l’organisation.

Risque inacceptable : les pratiques interdites

Certaines pratiques sont interdites par l’article 5. Une grande partie de ces interdictions est applicable depuis le 2 février 2025.

Le règlement vise notamment :

• certaines techniques manipulatrices ou trompeuses susceptibles de causer un préjudice important ;
• l’exploitation de certaines vulnérabilités liées, par exemple, à l’âge ou au handicap ;
• certains systèmes de notation sociale ;
• certaines formes de catégorisation biométrique fondées sur des caractéristiques sensibles ;
• la reconnaissance des émotions sur le lieu de travail ou dans les établissements d’enseignement, hors exceptions prévues par le texte ;
• la constitution ou l’extension de bases de données de reconnaissance faciale par collecte non ciblée d’images faciales sur internet ou via la vidéosurveillance ;
• certains usages de l’identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives.

Systèmes d’IA à haut risque

Les systèmes d’IA à haut risque ne sont pas interdits. Ils sont soumis à un régime renforcé, dont l’application a été repoussée par l’AI Omnibus.

Deux grandes voies de classification existent.

La première concerne certains usages mentionnés à l’annexe III, par exemple dans :

• le recrutement et la gestion des travailleurs ;
• l’éducation et la formation professionnelle ;
• l’accès à certains services essentiels ;
• l’évaluation de la solvabilité ;
• certains usages biométriques ;
• certaines activités des autorités répressives, de migration, de justice ou liées aux processus démocratiques.

Tous les systèmes utilisés dans ces domaines ne deviennent toutefois pas automatiquement des systèmes à haut risque. L’article 6 prévoit plusieurs situations dans lesquelles un système relevant de l’annexe III peut ne pas présenter de risque significatif pour la santé, la sécurité ou les droits fondamentaux.

La seconde voie concerne certains systèmes d’IA intégrés à des produits couverts par la législation européenne mentionnée à l’annexe I. Pour relever de l’article 6, paragraphe 1, le système doit notamment être utilisé comme composant de sécurité du produit, ou constituer lui-même ce produit, et le produit doit être soumis à une évaluation de conformité par un tiers.

Obligations de transparence : article 50

Certaines utilisations de l’IA sont soumises à des obligations spécifiques de transparence depuis le 2 août 2026. Ces obligations varient selon le système et selon que l’organisation intervient comme fournisseur ou comme déployeur.

Situation	Principe de transparence
Interaction directe avec une IA	Le système doit être conçu pour que la personne soit informée qu’elle interagit avec une IA, sauf lorsque cela ressort clairement du contexte ou dans les exceptions prévues par le texte.
Contenus synthétiques	Les fournisseurs de certains systèmes générant ou manipulant du texte, de l’audio, des images ou des vidéos doivent permettre la détection de l’origine artificielle du contenu au moyen d’un marquage lisible par machine.
Reconnaissance des émotions ou catégorisation biométrique	Les personnes exposées doivent être informées de l’utilisation du système lorsque celui-ci entre dans le champ de l’article 50.
Deepfakes	Le déployeur doit signaler que le contenu a été généré ou manipulé artificiellement, selon les modalités prévues par le règlement.
Textes d’intérêt public	Une information est prévue pour certains textes générés ou manipulés par IA et publiés afin d’informer le public sur une question d’intérêt public, notamment lorsqu’ils n’ont pas fait l’objet d’un contrôle humain ou éditorial.

Une période transitoire limitée existe pour certains systèmes génératifs mis sur le marché avant le 2 août 2026. Pour l’obligation de marquage prévue à l’article 50, paragraphe 2, ces systèmes doivent être mis en conformité au plus tard le 2 décembre 2026.

Usages sans régime de risque renforcé

De nombreux usages professionnels de l’IA ne sont ni interdits ni classés à haut risque et ne relèvent pas nécessairement des obligations particulières de l’article 50.

Cela ne signifie pas pour autant qu’aucune règle ne s’applique. Selon le contexte, l’entreprise doit toujours tenir compte des autres dispositions pertinentes de l’AI Act, comme la maîtrise de l’IA, ainsi que du RGPD, du droit du travail, du droit de la consommation, de la propriété intellectuelle ou des règles relatives à la non-discrimination.

Les obligations applicables aux nouveaux modèles GPAI sont entrées en application le 2 août 2025. Depuis le 2 août 2026, la Commission dispose de ses pouvoirs de contrôle et de sanction dans ce domaine. Les fournisseurs de modèles qui étaient déjà sur le marché avant le 2 août 2025 disposent, quant à eux, d’une transition jusqu’au 2 août 2027.

Quelles obligations pour les systèmes d’IA à haut risque ?

Le chapitre III de l’AI Act prévoit un ensemble d’exigences destinées à encadrer les systèmes d’IA à haut risque tout au long de leur cycle de vie.

Depuis l’AI Omnibus, il faut cependant distinguer ce que le règlement prévoit et la date à laquelle ces exigences deviennent effectivement applicables :

• 2 décembre 2027 pour les systèmes classés à haut risque au titre de l’article 6, paragraphe 2, et de l’annexe III ;
• 2 août 2028 pour les systèmes à haut risque relevant de l’article 6, paragraphe 1, et de l’annexe I.

Les principales exigences prévues

Pour les systèmes concernés, le règlement prévoit notamment :

• un système de gestion des risques suivi pendant tout le cycle de vie ;
• des exigences relatives à la gouvernance et à la qualité des données ;
• une documentation technique adaptée ;
• des mécanismes permettant l’enregistrement automatique des événements ;
• des informations et instructions suffisamment claires pour les déployeurs ;
• des mesures de supervision humaine ;
• un niveau approprié d’exactitude, de robustesse et de cybersécurité.

Les responsabilités varient entre fournisseurs, déployeurs, importateurs et distributeurs. Une entreprise qui achète une solution à un fournisseur externe n’assume donc pas nécessairement les mêmes obligations que l’entreprise qui conçoit et met le système sur le marché.

FRIA : quand réaliser une analyse d’impact sur les droits fondamentaux ?

L’article 27 de l’AI Act prévoit, dans certaines situations, une analyse d’impact sur les droits fondamentaux, appelée FRIA pour Fundamental Rights Impact Assessment.

La FRIA ne concerne pas tous les systèmes d’IA ni toutes les entreprises. Elle vise certains déployeurs de systèmes d’IA à haut risque relevant de l’annexe III.

Qui est concerné par la FRIA ?

L’obligation concerne notamment :

• les organismes de droit public utilisant certains systèmes d’IA à haut risque ;
• les entités privées fournissant des services publics ;
• les déployeurs de certains systèmes utilisés pour évaluer la solvabilité ou établir une note de crédit ;
• les déployeurs de certains systèmes utilisés pour l’évaluation des risques et la tarification en assurance vie et santé.

Le texte prévoit une exception pour les systèmes à haut risque relevant du domaine des infrastructures critiques mentionné à l’annexe III, point 2.

Que doit analyser la FRIA ?

L’analyse est réalisée avant le déploiement du système concerné. Elle porte notamment sur :

• les processus dans lesquels le système sera utilisé ;
• la durée et la fréquence prévues de son utilisation ;
• les catégories de personnes susceptibles d’être affectées ;
• les risques spécifiques pour les droits fondamentaux ;
• les mesures de supervision humaine ;
• les mesures permettant de prévenir ou d’atténuer ces risques.

Comme les autres obligations du chapitre III relatives aux systèmes de l’annexe III, la FRIA s’inscrit désormais dans le calendrier décalé au 2 décembre 2027.

Encadrer les relations avec les fournisseurs et partenaires

Une grande partie des entreprises utilise des solutions d’IA développées par des tiers. La conformité dépend alors de la qualité des informations disponibles sur le système, mais aussi de la répartition des responsabilités entre les différents acteurs.

Vérifier les informations disponibles

Selon le système utilisé et le rôle de chaque partie, il peut être utile de vérifier :

• la finalité prévue du système ;
• ses principales fonctionnalités et limites ;
• les données nécessaires à son fonctionnement ;
• les informations relatives aux risques identifiés ;
• les instructions d’utilisation et de supervision ;
• les conditions dans lesquelles le système peut être modifié ou intégré à d’autres outils ;
• les responsabilités prévues entre fournisseur, intégrateur et entreprise utilisatrice.

Pour les systèmes à haut risque, l’article 25 organise également la coopération entre certains acteurs de la chaîne de valeur afin que le fournisseur responsable puisse disposer des informations, accès et moyens nécessaires pour remplir ses obligations.

AI literacy et supervision humaine des systèmes d’IA

Le facteur humain occupe une place importante dans l’AI Act. Deux sujets doivent toutefois être distingués : la maîtrise de l’IA, prévue à l’article 4, et les exigences spécifiques de supervision humaine applicables aux systèmes à haut risque.

Développer la maîtrise de l’IA dans l’entreprise

L’article 4 est applicable depuis le 2 février 2025. Sa rédaction a été modifiée en juillet 2026 par l’AI Omnibus.

Les fournisseurs et les déployeurs doivent désormais prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel et des autres personnes qui utilisent ou font fonctionner les systèmes d’IA pour leur compte.

Pour définir ces mesures, l’organisation doit tenir compte :

• des connaissances techniques des personnes ;
• de leur expérience ;
• de leur éducation et de leur formation ;
• du contexte dans lequel les systèmes d’IA sont utilisés ;
• des personnes ou groupes susceptibles d’être affectés par leur utilisation.

Pour aller plus loin, consultez notre guide : l’AI Act oblige-t-il les entreprises à former leurs salariés à l’IA ?

Supervision humaine des systèmes à haut risque

Pour les systèmes d’IA à haut risque, le règlement prévoit des exigences supplémentaires. Les personnes chargées de la supervision doivent disposer des compétences, de la formation, de l’autorité et des moyens nécessaires pour exercer ce rôle.

Elles doivent notamment pouvoir comprendre les capacités et limites du système, détecter certains dysfonctionnements ou comportements inattendus et intervenir lorsque la situation l’exige.

Ces obligations suivent le calendrier applicable au chapitre III : 2 décembre 2027 pour les systèmes de l’annexe III et 2 août 2028 pour ceux relevant de l’annexe I.

Quelle documentation conserver pour démontrer la conformité ?

Il n’existe pas un dossier documentaire unique et identique pour toutes les entreprises utilisant de l’IA. Les obligations de documentation dépendent du système, de son niveau de risque et du rôle occupé par l’organisation.

Pour les systèmes d’IA à haut risque

Le règlement prévoit notamment une documentation technique du côté des fournisseurs et différentes obligations de traçabilité, d’enregistrement et de conservation des journaux selon les acteurs concernés.

Cette documentation doit permettre aux autorités compétentes de vérifier que les exigences applicables ont été respectées.

Pour les modèles d’IA à usage général

Les fournisseurs de modèles GPAI sont également soumis à des obligations propres de documentation et de transmission d’informations aux acteurs qui utilisent leurs modèles en aval.

Pour les autres usages

Même lorsqu’une obligation réglementaire précise de documentation ne s’applique pas, conserver une trace des principaux choix peut faciliter la gouvernance :

• systèmes utilisés et finalités ;
• fournisseurs et versions des outils ;
• rôles et responsabilités internes ;
• analyse du niveau de risque ;
• mesures de maîtrise de l’IA mises en place ;
• procédures internes de contrôle ;
• évolutions importantes du système ou de son usage.

Calendrier de l’AI Act : les dates à retenir

L’AI Act entre en application progressivement. Certaines obligations concernent déjà les entreprises, tandis que d’autres échéances ont été repoussées par l’AI Omnibus adopté en 2026.

Quelles sanctions en cas de non-conformité à l’AI Act ?

L’AI Act fixe des plafonds européens d’amendes administratives. Le montant réellement appliqué dépend de la nature du manquement, de sa gravité, de sa durée et des circonstances de chaque situation.

Manquement	Plafond prévu
Pratiques d’IA interdites	Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total de l’exercice précédent pour une entreprise.
Manquement à certaines autres obligations	Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial total.
Informations inexactes, incomplètes ou trompeuses	Jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial total.

Sanctions spécifiques pour les fournisseurs de modèles GPAI

La Commission peut également sanctionner un fournisseur de modèle d’IA à usage général qui enfreint ses obligations, ne fournit pas les informations demandées ou ne coopère pas avec les mesures de contrôle prévues.

Le plafond peut atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.

Dans tous les cas, les sanctions doivent rester effectives, proportionnées et dissuasives. Les autorités tiennent compte de différents facteurs, comme la gravité du manquement, sa durée, ses conséquences et le degré de coopération de l’organisation.

Se former à la conformité au règlement IA avec oùFormer

La conformité à l’AI Act demande de relier le texte aux usages réels de l’entreprise : qualification des systèmes, cartographie des risques, responsabilités des différents acteurs, transparence, gouvernance et préparation des prochaines échéances.