Règlement IA : que contient le texte européen ?

Depuis fin 2022, l’IA n’est plus un sujet innovation. C’est devenu un outil de production : RH, service client, marketing, analyse de données, relation commerciale. L’IA générative n’a pas seulement accéléré la technologie : elle a accéléré les usages. Et mécaniquement… les risques.

L’Union européenne a donc dégainé un cadre inédit : le règlement (UE) 2024/1689, plus connu sous le nom d’AI Act. Le texte encadre le développement, la mise sur le marché et l’utilisation des systèmes d’IA, avec une logique proche du RGPD : créer de la confiance, harmoniser les règles dans le marché unique, et rendre les acteurs responsables, y compris hors UE lorsque leurs systèmes sont mis sur le marché européen ou que leurs résultats sont utilisés dans l’Union.

Pour les entreprises, la question n’est plus “pour ou contre”. Elle est très pragmatique : quels outils IA j’utilise (ou je vends), dans quelle catégorie de risque ils tombent, et quelles obligations je dois être capable de prouver. Décryptage.

Règlement IA : pourquoi l’Europe encadre l’intelligence artificielle ?

L’AI Act n’est pas sorti d’un chapeau bruxellois. Il est le résultat de trois années de négociations, accélérées par l’irruption de l’IA générative et l’explosion des usages. Derrière ce texte, une question très politique, et très économique : comment laisser l’IA se déployer sans transformer le marché en Far West réglementaire ?

Parce que l’IA influence déjà des décisions sensibles

Recrutement, crédit, assurance, orientation, triage médical, justice, surveillance… L’intelligence artificielle intervient désormais au cœur de décisions sensibles : elle classe, filtre, hiérarchise, parfois arbitre. À ce niveau-là, une erreur ou un biais ne reste pas un problème technique : c’est un enjeu juridique, social et économique.

Parce que les usages ont explosé avec l’IA générative

L’IA générative a fait sauter les barrières d’entrée. En quelques mois, des outils capables de produire du texte, des images ou du code se sont retrouvés au cœur des organisations, souvent sans gouvernance, sans documentation, et avec des zones grises (droits d’auteur, données personnelles, deepfakes).

Pour interdire certains usages… et encadrer le reste

Tous les systèmes d’IA n’exposent pas au même niveau de risque. L’Europe a donc choisi une approche graduée :

• certains usages sont purement et simplement interdits,
• d’autres restent possibles, mais sous conditions strictes, notamment lorsqu’ils relèvent du haut risque,
• la majorité des systèmes demeure autorisée, avec des exigences plus légères, centrées sur la transparence et l’information des utilisateurs.

Pour protéger les droits fondamentaux sans étouffer l’innovation

Le texte vise une IA dite digne de confiance : plus robuste, plus transparente, mieux supervisée. L’enjeu n’est pas d’empêcher l’innovation, mais d’éviter que l’IA se développe au prix de la discrimination, de la manipulation, ou d’une automatisation aveugle de décisions à fort impact.

Pour harmoniser le marché européen et imposer un standard

Cette stratégie n’est pas nouvelle. Le RGPD a déjà servi de modèle : un standard européen harmonisé, imposé à tous les acteurs du marché unique. Et il a été appliqué immédiatement : dès la première année, les autorités de protection des données de l’EEE avaient enregistré plus de 144 000 demandes et plaintes et plus de 89 000 notifications de violations de données.

Preuve qu’un règlement européen n’est pas qu'un cadre théorique : il déclenche du contrôle, des obligations et des preuves à produire, exactement la logique de l’AI Act.

Du fournisseur au déployeur : qui l’AI Act met réellement sous responsabilité ?

Une idée reçue circule encore : « l’AI Act vise surtout les géants de la tech ». En réalité, le règlement couvre toute la chaîne de valeur de l’IA, de la mise sur le marché à l’usage en entreprise. Il ne concerne pas seulement ceux qui développent l’IA, mais aussi ceux qui la commercialisent, la distribuent ou la déploient dans des processus sensibles.

Les 4 grandes familles d’acteurs visés

Le règlement distingue plusieurs catégories d’acteurs, regroupées sous le terme d’« opérateurs ». Dans la pratique, quatre familles sont particulièrement concernées :

• Les fournisseurs : ceux qui développent un système d’IA (ou le font développer) et le mettent sur le marché sous leur nom ou leur marque.
  
  
• Les déployeurs : les organisations qui utilisent un système d’IA dans leurs activités (entreprises, administrations, associations).
  
  
• Les importateurs : ceux qui introduisent sur le marché européen un système d’IA provenant d’un pays tiers.
  
  
• Les distributeurs : ceux qui mettent un système d’IA à disposition sur le marché, sans en être le fournisseur.

La définition juridique d’un système d’IA (article 3)

Cette définition est déterminante : c’est elle qui permet de trancher si votre outil entre (ou non) dans le champ du règlement.

Donc, un système d’IA, au sens du règlement, correspond à un outil capable de :

• fonctionner avec différents niveaux d’autonomie,
• éventuellement s’adapter après son déploiement,
• déduire, à partir des données reçues, la manière de produire un résultat, par exemple :
  • une prédiction,
  • un contenu,
  • une recommandation,
  • ou une décision.

En conséquence, dès lors qu’un logiciel analyse des données pour proposer ou trancher, et pas uniquement exécuter une règle prédéfinie, il peut relever de la définition d’un système d’IA.

AI Act : ce qui est considéré comme une IA

Voici quelques exemples d’outils généralement considérés (ou non) comme des systèmes d’IA au sens du règlement.

Catégorie	Exemples	À retenir
Généralement considéré comme un système d’IA	outil de tri et scoring de CV (recrutement) système d’évaluation de solvabilité / de risque (assurance, crédit) chatbot / assistant produisant des réponses contextualisées moteur de recommandation ou de priorisation (support client, vente) modèle génératif (texte, images, code)	Ces outils analysent des données pour produire des recommandations, contenus ou décisions.
Pas automatiquement une IA au sens du règlement	outils purement déterministes (règles fixes, calculs automatiques classiques) tableaux de bord / scoring à la main sans apprentissage ni inférence scripts ou automatisations simples (type si… alors…) calculatrice, macro Excel, moteur de recherche classique	Ces outils appliquent des règles prédéfinies sans inférence autonome.

L’approche par les risques : le cœur de l’AI Act

Tout l’AI Act repose sur un principe : toutes les IA ne présentent pas le même niveau de risque. Le règlement ne traite donc pas l’intelligence artificielle en bloc. Il classe les systèmes selon leur impact potentiel sur la santé, la sécurité et les droits fondamentaux, et adapte les règles en conséquence : interdiction, obligations strictes, obligations de transparence… ou simple incitation aux bonnes pratiques.

Les pratiques interdites : le risque inacceptable (article 5)

Le règlement trace une ligne rouge. Certains usages sont considérés comme incompatibles avec les valeurs européennes : ils sont interdits, car jugés trop dangereux ou trop attentatoires aux droits fondamentaux.

Pratique	Ce que le règlement interdit
Techniques manipulatrices et trompeuses	Techniques subliminales, manipulatrices ou trompeuses visant à altérer substantiellement le comportement d’une personne ou d’un groupe et susceptibles de provoquer un préjudice important.
Exploitation des vulnérabilités	Exploitation des vulnérabilités liées à l’âge, au handicap ou à une situation sociale ou économique particulière, avec un effet préjudiciable.
Notation sociale	Évaluation ou classification de personnes sur la base de leur comportement social ou de caractéristiques personnelles lorsqu’elle conduit à un traitement défavorable injustifié ou disproportionné.
Prédiction d’infractions sur profilage	Évaluation ou prédiction du risque qu’une personne commette une infraction pénale uniquement sur la base de son profilage, de ses traits de personnalité ou de ses caractéristiques.
Moissonnage d’images faciales	Constitution ou extension de bases de données de reconnaissance faciale par collecte non ciblée d’images provenant d’internet ou de la vidéosurveillance.
Reconnaissance des émotions	Utilisation de systèmes destinés à inférer les émotions sur le lieu de travail ou dans les établissements d’enseignement, sauf raisons médicales ou de sécurité.
Catégorisation biométrique sensible	Certaines catégorisations biométriques visant à déduire ou inférer des caractéristiques sensibles comme les opinions politiques, les convictions religieuses ou l’orientation sexuelle.
Biométrie à distance en temps réel	Identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives, sauf exceptions strictement encadrées.

Les systèmes à haut risque : autorisés, mais sous conditions strictes (article 6 + annexe III)

Deuxième étage de la fusée : le haut risque. Ici, le règlement n’interdit pas : il encadre lourdement.

Un système peut notamment être classé à haut risque lorsqu’il relève des cas d’usage prévus par l’article 6 et l’annexe III, dans des domaines où une erreur, un biais ou une défaillance peut avoir des conséquences graves : sécurité, accès à l’emploi, services essentiels, droits fondamentaux.

L’annexe III cite notamment des usages dans :

Domaine	Exemples de systèmes concernés
Emploi & travailleurs	Tri de CV, classement de candidatures, outils d’évaluation automatisée, suivi ou évaluation des performances.
Éducation & formation	Admission, accès à un établissement, évaluation des acquis, orientation ou détermination du niveau d’une personne.
Infrastructures critiques	Systèmes utilisés comme composants de sécurité pour certaines infrastructures critiques, notamment dans l’énergie, l’eau ou les transports.
Services essentiels	Évaluation de solvabilité et accès au crédit, ainsi que certaines évaluations de risque et tarifications en assurance vie et santé.
Biométrie	Certains systèmes d’identification biométrique à distance, de catégorisation biométrique ou de reconnaissance des émotions.
Migration & frontières	Évaluation de certains risques, traitement de demandes d’asile, de visas ou contrôle aux frontières.
Application de la loi & justice	Certains systèmes utilisés pour l’application de la loi ou pour assister une autorité judiciaire dans la recherche et l’interprétation des faits et du droit.

Pour les systèmes concernés, le règlement prévoit notamment : gestion des risques, gouvernance des données, documentation technique, traçabilité, supervision humaine, robustesse, cybersécurité… bref, une conformité par la preuve.

Risque limité : transparence obligatoire (chatbots, deepfakes, info publique)

Troisième niveau : les systèmes à risque limité. Ici, le cœur n’est pas la conformité technique, mais l’information. Les obligations de transparence prévues à l’article 50 s’appliquent depuis le 2 août 2026.

Le règlement impose notamment :

• d’informer clairement les personnes lorsqu’elles interagissent directement avec un système d’IA, sauf lorsque cela ressort déjà clairement du contexte,
• pour les fournisseurs de certains systèmes génératifs, de rendre détectables les contenus synthétiques ou manipulés par IA grâce à un marquage lisible par machine,
• d’indiquer lorsqu’un contenu constitue un deepfake, selon les conditions prévues par le règlement,
• pour certains textes générés ou manipulés par IA et publiés dans le but d’informer le public sur des questions d’intérêt public, de signaler leur origine lorsque les conditions de l’article 50 sont réunies,
• d’informer les personnes exposées à certains systèmes de reconnaissance des émotions ou de catégorisation biométrique.

L'enjeu étant de permettre à l’utilisateur de prendre une décision éclairée.

Risque minimal : pas d’obligation lourde liée au niveau de risque

La majorité des systèmes d’IA utilisés aujourd’hui relèvent de ce niveau : filtres antispam, IA de jeux vidéo, outils de recommandation basiques, usages sans impact sensible…

Pour ces systèmes, le règlement n’impose pas d’obligations lourdes du seul fait de leur niveau de risque. En revanche, certaines règles générales peuvent toujours s’appliquer et le texte encourage des démarches volontaires : codes de conduite, bonnes pratiques de transparence, documentation minimale, etc.

Calendrier AI Act : les échéances à retenir

L’AI Act est déjà entré en vigueur, mais il ne s’applique pas en une fois. Le règlement prévoit une mise en œuvre progressive, avec plusieurs échéances qui déclenchent des interdictions ou des obligations selon les cas d’usage. Le calendrier du haut risque a par ailleurs été repoussé par l’AI Omnibus en juillet 2026.

Quelles sanctions en cas de non-respect ?

L’AI Act prévoit des amendes administratives (article 99) avec trois plafonds principaux :

• Jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial (le montant le plus élevé étant retenu) en cas de non-respect des pratiques interdites (article 5).
  
  
• Jusqu’à 15 M€ ou 3 % du chiffre d’affaires mondial pour les autres manquements aux obligations du règlement (opérateurs, organismes notifiés, obligations de transparence, etc.).
  
  
• Jusqu’à 7,5 M€ ou 1 % du chiffre d’affaires mondial en cas de fourniture d’informations inexactes, incomplètes ou trompeuses aux autorités ou organismes compétents.

FAQ : comprendre l’application de l’AI Act