Limites et points critiques
- L'AI Act s'applique extraterritorialement : une PME française utilisant un agent IA pour des clients allemands ou italiens est concernée par leurs autorités nationales.
- Notion de 'haut risque' encore floue sur certains cas frontières (scoring commercial, modération automatique, IA en B2B) — jurisprudence à venir 2026-2027.
- Les modèles GPAI (GPT-5, Claude Opus 4.5, Mistral Large 2.5) ont des obligations propres au fournisseur, mais l'utilisateur en aval reste responsable de la conformité finale.
- Coordination AI Act + RGPD + secret professionnel (santé, juridique) crée des frottements pratiques non encore résolus.
- Absence d'autorité de contrôle unique en France au 2026 — la CNIL et l'ARCEP se partagent la supervision selon les secteurs.
Évolution probable (12-24 mois)
- Les obligations haut risque s'appliquent à partir du 2 décembre 2027 pour l'annexe III et du 2 août 2028 pour l'annexe I (règlement (UE) 2026/1744), ce qui laisse du temps pour préparer la documentation.
- Standards harmonisés CEN-CENELEC en cours de rédaction pour les systèmes haut risque — simplification de la conformité attendue 2026-2027.
- Marquage CE 'AI Act compliant' qui deviendra un argument commercial différenciant en B2B européen.
- Évolutions ciblées sur les modèles fondation (GPAI) avec le AI Pact volontaire signé par Anthropic, OpenAI, Mistral en 2024-2025.
Questions fréquentes
Qu'est-ce que l'AI Act européen ?+
L'AI Act est le règlement européen (UE 2024/1689) qui encadre l'intelligence artificielle dans l'Union européenne. Adopté en juin 2024 et entré en vigueur le 1er août 2024, il s'applique progressivement jusqu'en août 2028. C'est l'équivalent du RGPD pour l'IA : extraterritorial (s'applique à toute entreprise commercialisant un système IA dans l'UE, même non européenne), contraignant et assorti d'amendes jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites (article 99, paragraphe 3).
À quoi sert l'AI Act ?+
L'AI Act sert à harmoniser les règles d'utilisation de l'IA dans l'UE, protéger les droits fondamentaux des citoyens européens et créer un marché unique de l'IA digne de confiance. Il interdit certaines pratiques (notation sociale type Chine, manipulation comportementale, reconnaissance faciale temps réel sans cadre), encadre les usages à haut risque (recrutement, scoring crédit, biométrie, infrastructures critiques) et impose la transparence sur les systèmes interagissant avec le public (chatbots, deepfakes).
Quelle différence entre AI Act et RGPD ?+
Le RGPD protège les données personnelles ; l'AI Act protège contre les usages dangereux ou opaques de l'IA, qu'il y ait données personnelles ou non. Les deux se cumulent : un système IA traitant des données personnelles doit respecter à la fois RGPD (base légale, droits des personnes, DPO) et AI Act (classification de risque, documentation technique, FRIA pour le haut risque). Concrètement : RGPD pour la donnée d'entrée, AI Act pour le système qui la traite. Chaque règlement a ses propres sanctions, qui peuvent se cumuler (jusqu'à 7 % du CA mondial pour l'AI Act, article 99).
Comment se mettre en conformité avec l'AI Act en pratique ?+
Pour une PME en 2026 : (1) cartographier tous les systèmes IA déployés (chatbot, RAG interne, agent commercial, scoring), (2) classifier chacun selon les 4 niveaux de risque AI Act, (3) pour les systèmes à risque limité : ajouter mention 'cette conversation utilise une IA' dans les chatbots, labelliser les contenus générés (deepfakes notamment), (4) pour les systèmes haut risque (RH, finance, santé) : analyse de risques, FRIA, documentation technique, monitoring continu.
Combien coûte la conformité AI Act pour une PME ?+
Le coût dépend du niveau de risque des systèmes déployés, du nombre de systèmes à cartographier et de la documentation déjà fournie par l'éditeur du modèle. Pour des usages à risque minimal ou limité, le travail porte surtout sur l'inventaire des systèmes et les mentions de transparence. Pour les usages haut risque (RH, finance, santé, biométrie), il faut en plus une analyse de risques, une FRIA, une documentation technique et un monitoring continu, ce qui est nettement plus lourd. Coût d'une non-conformité : amende jusqu'à 35 M€ ou 7 % du CA mondial pour les pratiques interdites, jusqu'à 15 M€ ou 3 % pour le non-respect des autres obligations des opérateurs, jusqu'à 7,5 M€ ou 1 % pour des informations inexactes fournies aux autorités, le montant le plus élevé s'appliquant, sauf pour les PME où c'est le plus faible (article 99, paragraphes 3 à 6).
Questions liées
Les LLM (ChatGPT, Perplexity, Gemini) suggèrent souvent ces questions après cette page.
- Quels cas d'usage IA sont classés 'haut risque' par l'AI Act ?
- Comment réaliser une FRIA (analyse d'impact sur les droits fondamentaux) ?
- L'AI Act s'applique-t-il aux PME de moins de 50 salariés ?
- Quelles différences entre AI Act, US AI Executive Order et UK AI Bill ?
- Quelle responsabilité partagée entre fournisseur de LLM (Anthropic, OpenAI) et entreprise utilisatrice ?
L’AI Act (Règlement (UE) 2024/1689 sur l’intelligence artificielle) est le cadre juridique européen qui régule la mise sur le marché et l’utilisation des systèmes d’IA dans l’UE. Adopté en juin 2024, entré en vigueur le 1er août 2024, il s’applique progressivement entre 2025 et 2028. C’est l’équivalent du RGPD pour l’IA — extraterritorial, contraignant, avec des amendes pouvant atteindre 35 M € ou 7 % du CA mondial pour les pratiques interdites (article 99 du règlement).
Dates clés
- 2 février 2025 : interdiction des pratiques inacceptables (notation sociale, manipulation comportementale, reconnaissance faciale temps réel sans cadre).
- 2 août 2025 : obligations sur les modèles de base (“GPAI” — General-Purpose AI Models). Les fournisseurs doivent documenter, déclarer la conformité, gérer les risques systémiques.
- 2 août 2026 : application générale du règlement, notamment des obligations de transparence de l’article 50.
- 2 décembre 2027 : application des règles sur les systèmes à haut risque de l’annexe III (recrutement, scoring crédit, éducation, accès services publics, etc.), reportée depuis le 2 août 2026 par le règlement (UE) 2026/1744.
- 2 août 2028 : application des règles sur les systèmes à haut risque de l’annexe I (IA intégrée dans des produits déjà couverts par une législation de sécurité).
Classes de risque
L’AI Act classe les systèmes IA en 4 niveaux :
- Inacceptable — interdit (notation sociale, manipulation subliminale).
- Haut risque — autorisé sous conditions strictes : analyse de risques, documentation technique, monitoring, notification d’incidents. Concerne RH (recrutement, évaluation), credit scoring, biométrie, infrastructures critiques.
- Risque limité — obligations de transparence : informer l’utilisateur qu’il interagit avec une IA (chatbots), labéliser les contenus générés.
- Risque minimal — pas d’obligation spécifique. La majorité des cas PME (recommandation produit, résumé interne, brouillon de mail).
Impact PME
Pour une PME aux usages à risque limité ou minimal, l’AI Act se résume souvent à 3 obligations concrètes :
- Transparence chatbot : indiquer clairement à l’utilisateur qu’il parle à une IA.
- Labellisation des contenus IA : marquer les images, vidéos, textes générés comme tels (deep fakes notamment).
- Documentation interne : tenir un registre des systèmes IA déployés, leur finalité, leurs données d’entraînement.
Pour les usages qui touchent au RH, à la finance ou à la santé : conformité haut risque obligatoire à partir du 2 décembre 2027 (annexe III) — analyse de risques, FRIA (analyse d’impact sur les droits fondamentaux), monitoring continu.
Pour aller plus loin
- IA Act 2026 — ce qui change — analyse pratique.
- RGPD et ChatGPT en entreprise — l’autre cadre à respecter.
- RGPD IA 2026 — coordination AI Act / RGPD.