Pas le temps de lire les 144 pages de l'AI Act ? Voici les 10 points que vous devez absolument connaître pour comprendre vos obligations et les enjeux du règlement.
1. L'AI Act est la première loi mondiale sur l'IA
Le Règlement (UE) 2024/1689, publié en juillet 2024, est la première réglementation horizontale et contraignante sur l'intelligence artificielle dans le monde. Il s'applique à toute entreprise qui développe ou utilise des systèmes d'IA affectant des personnes dans l'UE — quelle que soit la localisation de l'entreprise.
2. Quatre niveaux de risque, quatre régimes différents
Les 10 points clés de l'AI Act : 1) Première loi mondiale IA 2) 4 niveaux de risque 3) 8 pratiques interdites depuis fév. 2025 4) Systèmes à risque élevé : 10 obligations 5) Chatbots : s'identifier comme IA 6) Modèles GPAI : obligations depuis août 2025 7) Sanctions jusqu'à 7% CA mondial 8) Bureau européen de l'IA comme superviseur 9) Systèmes à risque élevé : obligations reportées à déc. 2027/août 2028 10) RGPD toujours applicable en parallèle
L'AI Act classe les systèmes d'IA en 4 niveaux : inacceptable (interdit), élevé (obligations strictes), limité (transparence), minimal (aucune obligation spécifique). La classification détermine tout : obligations, coûts de conformité, sanctions potentielles.
3. Ce qui est interdit depuis le 2 février 2025
8 pratiques d'IA sont prohibées : manipulation subliminale, exploitation des vulnérabilités, scoring social par les gouvernements, profilage prédictif policier, reconnaissance faciale en temps réel dans l'espace public (sauf exceptions), reconnaissance d'émotions au travail et en éducation, catégorisation biométrique sur données sensibles, constitution de bases de données faciales par scraping.
4. Les systèmes à risque élevé : 25 cas d'usage et 10 obligations
Les systèmes dans 8 domaines (biométrie, infrastructures, éducation, emploi, crédit, justice, frontières, forces de l'ordre) sont classés à risque élevé. Ils ont 10 obligations : gestion des risques, gouvernance des données, documentation technique, journaux, transparence envers les déployeurs, supervision humaine, robustesse, évaluation de conformité, enregistrement, monitoring post-déploiement.
5. Les chatbots doivent s'identifier comme des IA
Tout système conversationnel IA doit informer clairement les utilisateurs qu'ils interagissent avec une IA. Idem pour les contenus générés par IA (texte, images, vidéo, audio). Exception : si le contexte rend l'IA évidente.
6. Les grands modèles d'IA (GPAI) ont leurs propres obligations
Depuis août 2025, les fournisseurs de LLM et de modèles de fondation (OpenAI, Google, Anthropic, Mistral...) doivent respecter des obligations de documentation, de transparence et, pour les modèles les plus puissants, de gestion des risques systémiques.
7. Les sanctions peuvent atteindre 7% du CA mondial
Les violations les plus graves (pratiques interdites) sont passibles de 35M€ ou 7% du CA mondial annuel. Les violations des obligations de risque élevé : 15M€ ou 3%. Pour les PME, c'est le montant le plus bas (et non le plus élevé) entre le plafond fixe et le pourcentage du CA qui est retenu.
8. Le Bureau européen de l'IA supervise les modèles GPAI
Créé en 2024, le Bureau européen de l'IA (AI Office) supervise les fournisseurs de modèles GPAI, coordonne les autorités nationales, publie des lignes directrices et peut conduire des enquêtes. Les autorités nationales surveillent les autres systèmes (en France, plusieurs autorités se partagent la compétence selon le domaine, notamment la CNIL et la DGCCRF).
9. L'application des systèmes à haut risque : décembre 2027 et août 2028
Interdictions : en vigueur depuis fév. 2025. GPAI : en vigueur depuis août 2025. Systèmes à risque élevé (Annexe III) : le règlement (UE) 2026/1744 a reporté l'échéance au 2 décembre 2027. Produits sectoriels réglementés (Annexe I) : 2 août 2028. Si vous avez des systèmes à risque élevé, vous disposez donc de ce délai supplémentaire pour finaliser votre mise en conformité.
10. Le RGPD s'applique toujours en parallèle
L'AI Act ne remplace pas le RGPD. Si votre système d'IA traite des données personnelles (c'est presque toujours le cas), le RGPD s'applique en plus de l'AI Act. Les deux textes se cumulent, avec parfois des obligations redondantes et parfois des tensions à gérer.
Prochaines étapes selon votre profil
| Vous êtes | Action prioritaire |
|---|---|
| PME utilisant des outils IA SaaS | Inventaire des outils, vérification conformité fournisseurs |
| Développeur d'un système IA à risque élevé | Documentation technique + évaluation de conformité avant le 2 décembre 2027 (Annexe III) ou le 2 août 2028 (Annexe I) |
| Fournisseur de LLM ou modèle de fondation | Obligations GPAI déjà applicables — vérifier la conformité |
| DPO / Responsable juridique | Audit croisé RGPD + AI Act pour tous les systèmes IA |
| Responsable RH utilisant des outils IA | Vérifier la conformité des outils de recrutement IA (risque élevé) |
Conclusion
L'AI Act est complexe mais sa logique est simple : proportionner les obligations au niveau de risque. La majorité des entreprises n'est concernée que par des obligations légères. Ce sont les développeurs de systèmes d'IA dans des domaines sensibles qui ont les obligations les plus lourdes. Commencez par identifier dans quelle catégorie vous vous trouvez.
Questions fréquentes
Les 10 points clés de l'AI Act : première loi mondiale IA, 4 niveaux de risque, 8 pratiques interdites depuis février 2025, obligations strictes pour les systèmes à risque élevé, transparence obligatoire pour les chatbots, obligations GPAI depuis août 2025, sanctions jusqu'à 7% du CA mondial, Bureau européen de l'IA comme superviseur, obligations pour les systèmes à haut risque reportées à décembre 2027/août 2028 par le règlement (UE) 2026/1744, et cumul avec le RGPD.