L'AI Act européen (Règlement UE 2024/1689) est entré en vigueur le 2 août 2024. En 2026, la plupart des obligations pour les systèmes d'IA à haut risque s'appliquent. Voici ce que cela signifie concrètement pour les entreprises qui développent ou déploient de l'IA dans l'UE.
Le calendrier d'application de l'AI Act
- Août 2024 — Entrée en vigueur du règlement
- Février 2025 — Interdiction des pratiques IA inacceptables (manipulation, notation sociale, certains systèmes biométriques)
- Août 2025 — Obligations GPAI (IA à usage général) : transparence, droits d'auteur, documentation
- Août 2026 — Obligations systèmes IA à haut risque (Annexe III) : conformité, documentation, registre UE
- Août 2027 — Extension aux systèmes IA dans produits réglementés (machines, dispositifs médicaux)
Classification des risques : 4 niveaux
| Niveau de risque | Exemples de systèmes | Obligations |
|---|---|---|
| Risque inacceptable (INTERDIT) | Notation sociale généralisée, manipulation subliminale | Interdiction totale depuis février 2025 |
| Haut risque (Annexe III) | CV screening, scoring crédit, systèmes médicaux diagnostics | Conformité complète, enregistrement, audit tiers |
| Risque limité | Chatbots, deep fakes | Obligations de transparence (mention "IA" obligatoire) |
| Risque minimal | Filtres spam, jeux IA | Aucune obligation (bonnes pratiques recommandées) |
Obligations concrètes pour les systèmes IA à haut risque (applicables août 2026)
- Système de gestion des risques — Processus continu d'identification, d'évaluation et d'atténuation des risques
- Données d'entraînement — Qualité des données, absence de biais, documentation des jeux de données
- Documentation technique — Description complète du système, performances, limites, mesures de sécurité
- Journalisation automatique (logs) — Conservation des traces permettant l'audit post-incident
- Transparence et information des utilisateurs — Documentation d'utilisation, mentions obligatoires
- Contrôle humain — Mécanismes permettant la supervision et l'intervention humaine
- Exactitude et robustesse — Niveaux de performance documentés, tests de robustesse
- Cybersécurité — Résilience face aux tentatives de manipulation des données et modèles
Sanctions prévues par l'AI Act
- Pratiques interdites : jusqu'à 35 M€ ou 7 % du CA mondial
- Obligations systèmes haut risque : jusqu'à 15 M€ ou 3 % du CA mondial
- Informations incorrectes aux autorités : jusqu'à 7,5 M€ ou 1,5 % du CA mondial
Pour approfondir : tableau complet de classification des risques IA, FAQ AI Act pour les PME et guide complet AI Act.
FAQ — AI Act obligations entreprises 2026
L'AI Act s'applique-t-il aux entreprises hors UE ?
Oui. Toute entreprise qui met sur le marché ou met en service un système d'IA dans l'UE est soumise à l'AI Act, qu'elle soit établie dans l'UE ou non (principe d'effet extraterritorial).
ChatGPT est-il un système IA à haut risque ?
ChatGPT est un modèle d'IA à usage général (GPAI). Il est soumis aux obligations GPAI (transparence, documentation, droits d'auteur) mais pas aux obligations des systèmes à haut risque, sauf s'il est intégré dans un système à haut risque par un développeur tiers.
Quand les obligations pour les systèmes IA à haut risque s'appliquent-elles ?
Les obligations principales pour les systèmes IA à haut risque listés à l'Annexe III (CV screening, scoring crédit, diagnostics médicaux, etc.) s'appliquent depuis août 2026.
Une PME doit-elle se conformer à l'AI Act ?
Oui, si elle développe ou déploie des systèmes IA soumis à des obligations. Cependant, un régime proportionnel allège certaines exigences pour les PME et startups, notamment en matière de frais d'enregistrement et de documentation technique.