L'EU AI Act — officiellement le Règlement (UE) 2024/1689 — est la première loi au monde à encadrer de façon globale l'intelligence artificielle. Adopté par le Parlement européen le 13 mars 2024, signé le 13 juin 2024 et publié au Journal officiel le 12 juillet 2024, il s'applique à toute entreprise qui développe, commercialise ou utilise des systèmes d'IA dans l'Union européenne, quelle que soit sa localisation géographique.
Vous avez 5 minutes ? Ce résumé vous donne l'essentiel : qui est concerné, ce qui est interdit, quelles obligations s'appliquent, et surtout quand vous devez agir.
Qu'est-ce que l'EU AI Act en une phrase ?
L'EU AI Act (Règlement UE 2024/1689) est la première loi mondiale sur l'IA. Il classe les systèmes d'IA en 4 niveaux de risque et impose des obligations proportionnelles : interdiction totale pour les risques inacceptables, exigences strictes pour les risques élevés, transparence pour les risques limités, et liberté quasi-totale pour les risques minimaux.
L'EU AI Act classe les systèmes d'intelligence artificielle selon leur niveau de risque et impose des obligations proportionnelles à chaque catégorie.
La logique tient en une phrase : plus votre système d'IA peut nuire aux personnes, plus vos obligations sont lourdes. Certains usages sont purement et simplement interdits — le scoring social, la manipulation subliminale, la surveillance biométrique de masse.
Qui est concerné par l'EU AI Act ?
Le règlement ratisse large — et c'est voulu.
Les fournisseurs : toute entreprise qui développe un système d'IA et le met sur le marché européen. Même basée à San Francisco ou Shenzhen — c'est le principe d'extraterritorialité, hérité du RGPD.
Les déployeurs : toute organisation qui utilise un système d'IA dans un cadre professionnel. Vous avez intégré un chatbot IA dans votre service client ? Vous êtes déployeur.
Les importateurs et distributeurs : ceux qui commercialisent des systèmes d'IA développés par des tiers.
Les particuliers qui utilisent l'IA chez eux — pour demander une recette à ChatGPT ou retoucher une photo — ne sont pas concernés.
| Acteur | Définition | Obligations principales |
|---|---|---|
| Fournisseur | Développe et met sur le marché un système d'IA | Conformité technique, documentation, marquage CE (risque élevé) |
| Déployeur | Utilise un système d'IA en contexte professionnel | Surveillance humaine, formation des équipes, signalement incidents |
| Importateur | Importe un système d'IA de pays tiers | Vérification conformité fournisseur, conservation documentation |
| Distributeur | Commercialise un système d'IA | Vérification marquage CE, instructions d'utilisation |
Les 4 niveaux de risque : le cœur de l'EU AI Act
La classification par risque est la pierre angulaire du règlement. Voici comment elle fonctionne en pratique.
Risque inacceptable (interdit) : scoring social gouvernemental, reconnaissance faciale en temps réel dans les espaces publics (sauf exceptions), manipulation subliminale, exploitation des vulnérabilités. Bannis depuis le 2 février 2025.
Risque élevé : IA dans la santé, la justice, l'emploi, l'éducation, les infrastructures critiques, le contrôle aux frontières. Obligations lourdes : documentation technique, tests de robustesse, supervision humaine, enregistrement dans la base de données européenne.
Risque limité : chatbots, IA générant du contenu synthétique, systèmes de recommandation. Obligation principale : informer les utilisateurs qu'ils interagissent avec une IA.
Risque minimal : filtres anti-spam, jeux vidéo, IA de gestion d'inventaire. Pas d'obligation spécifique.
- Risque inacceptable → Interdit depuis le 2 février 2025
- Risque élevé → Conformité obligatoire avant le 2 décembre 2027 (Annexe III) / 2 août 2028 (Annexe I), report par le règlement (UE) 2026/1744
- Risque limité → Transparence obligatoire
- Risque minimal → Aucune obligation réglementaire spécifique
Les grandes dates à retenir
L'application est progressive — ce qui vous laisse du temps pour vous préparer. Mais attention, certaines échéances sont déjà passées.
2 février 2025 : interdiction des pratiques à risque inacceptable. Si vous utilisez encore ces systèmes, vous êtes en infraction.
2 août 2025 : obligations pour les modèles d'IA à usage général (GPAI) — GPT, Gemini, Claude et les autres. Les fournisseurs doivent publier documentation technique et résumés des données d'entraînement.
2 décembre 2027 : application aux systèmes à risque élevé de l'Annexe III. C'est la date butoir principale, reportée par le règlement (UE) 2026/1744.
2 août 2028 : extension aux systèmes à risque élevé de l'Annexe I, intégrés dans des produits couverts par d'autres réglementations sectorielles (dispositifs médicaux, machines industrielles).
- Août 2024 — Entrée en vigueur officielle du règlement
- Février 2025 — Interdiction des pratiques IA inacceptables
- Août 2025 — Obligations pour les modèles GPAI
- Décembre 2027 — Application aux systèmes à risque élevé de l'Annexe III
- Août 2028 — Extension aux produits réglementés sectoriellement (Annexe I)
Les sanctions : des montants dissuasifs
Le législateur a frappé fort pour garantir l'application effective du texte :
- 35 millions d'euros ou 7 % du CA mondial pour les pratiques interdites — c'est plus sévère que le RGPD - 15 millions d'euros ou 3 % du CA mondial pour les autres violations - 7,5 millions d'euros ou 1 % du CA mondial pour les informations inexactes fournies aux autorités
Pour les PME et startups, les amendes sont plafonnées au montant le plus bas entre le pourcentage et le montant fixe. La Commission a aussi indiqué que les premières années seraient orientées vers l'accompagnement plutôt que la sanction. Mais mieux vaut ne pas tester cette promesse.
Pour les grandes entreprises, le montant retenu est le plus élevé entre le montant fixe et le pourcentage du CA mondial (l'inverse pour les PME). Pour les géants de la tech, les 7 % du CA peuvent représenter des milliards d'euros.
Ce que vous devez faire concrètement
Pour la plupart des PME qui utilisent des outils SaaS courants — CRM avec IA, chatbots, outils de recommandation — le niveau de risque sera limité ou minimal, et les obligations resteront légères.
1. Identifiez tous les systèmes d'IA utilisés dans votre entreprise 2. Classifiez chaque système selon le niveau de risque 3. Vérifiez que vos fournisseurs d'IA se conforment au règlement 4. Formez vos équipes — c'est obligatoire depuis février 2025 5. Documentez les processus de supervision humaine
Pour un plan d'action détaillé adapté aux petites structures, consultez notre guide dédié.
→ Guide complet de conformité pour les PME
FAQ : les questions les plus posées sur l'EU AI Act
Conclusion
L'EU AI Act n'est pas une menace pour l'innovation — c'est un cadre pour la rendre durable. La majorité des entreprises ne seront soumises qu'à des obligations légères de transparence. Ce sont les développeurs de systèmes à risque élevé qui devront fournir le plus d'efforts.
L'essentiel à retenir : ne pas attendre la dernière minute. Évaluez vos usages IA maintenant, avant les échéances de décembre 2027 et août 2028 pour les systèmes à risque élevé.
Questions fréquentes
Oui. Toute entreprise dont les systèmes d'IA sont utilisés dans l'UE est concernée, même basée aux États-Unis, en Chine ou ailleurs. C'est le principe d'extraterritorialité, identique au RGPD.
Oui. OpenAI est soumis aux obligations GPAI (modèles d'IA à usage général) depuis août 2025. Les entreprises qui déploient ChatGPT dans leurs produits ont également des obligations propres en tant que déployeurs.
Probablement à risque minimal ou limité. Les outils de comptabilité standard avec des fonctions IA automatisées (catégorisation de dépenses, détection d'anomalies) ne rentrent généralement pas dans la catégorie risque élevé.
Oui. La recherche scientifique et le développement bénéficient d'exemptions, notamment pour les phases de test et prototype qui ne sont pas encore déployées sur le marché.
L'EU AI Act (Règlement UE 2024/1689) est le premier règlement mondial sur l'intelligence artificielle. Il classe les systèmes d'IA par niveau de risque et impose des obligations proportionnelles aux entreprises qui les développent ou les utilisent dans l'Union européenne.
L'EU AI Act est entré en vigueur en août 2024. L'application est progressive : interdictions en février 2025, GPAI en août 2025, systèmes à risque élevé reportés à décembre 2027 (Annexe III) et août 2028 (Annexe I) par le règlement (UE) 2026/1744.