L’AI Act, le règlement européen sur l’intelligence artificielle, est la première réglementation complète de l’IA à l’échelle mondiale. Entré en vigueur en 2024, il s’applique progressivement, en plusieurs phases. Pour les entreprises qui développent ou utilisent des systèmes d’IA, connaître le texte avant l’arrivée des échéances fait la différence entre une adaptation planifiée et une adaptation dans l’urgence.
Cet article ne constitue pas un conseil juridique. C’est un guide pratique pour comprendre quelles catégories d’IA le règlement encadre, ce qu’il impose concrètement et quel est son calendrier réel d’application.
La logique du règlement : une réglementation proportionnée au risque
L’AI Act n’interdit pas l’IA et n’impose pas les mêmes obligations à tous les systèmes. Il classe les systèmes d’IA selon leur niveau de risque et applique une réglementation proportionnée : plus le risque potentiel pour les personnes est élevé, plus les obligations sont nombreuses.
IA interdite. Les systèmes que le règlement interdit totalement parce que leur risque est inacceptable. Ils comprennent la catégorisation biométrique visant à déduire des caractéristiques sensibles (origine ethnique, opinions politiques, orientation sexuelle), les systèmes de notation sociale des citoyens par les autorités publiques et certains usages de la reconnaissance faciale en temps réel dans l’espace public. Ces systèmes ne peuvent être utilisés en aucune circonstance.
IA à haut risque. Les systèmes soumis à une évaluation de la conformité, à une documentation technique, à un contrôle humain obligatoire et à un enregistrement dans une base de données européenne. Les secteurs et usages concernés sont les infrastructures critiques, l’éducation et la formation professionnelle, l’emploi (recrutement, évaluation des performances), les services essentiels (crédit, assurance, prestations sociales), les autorités répressives, la gestion des frontières et des migrations, l’administration de la justice et les systèmes d’IA intégrés à des produits réglementés (dispositifs médicaux, sécurité industrielle).
IA à risque limité. Les systèmes soumis à des obligations de transparence : l’utilisateur doit savoir qu’il interagit avec une IA. Les chatbots, les systèmes de génération d’images et les contenus de type deepfake entrent dans cette catégorie.
IA à risque minimal. La grande majorité des applications d’IA en entreprise : filtres antispam, systèmes de recommandation, outils de productivité. Aucune obligation supplémentaire au-delà des législations existantes.
À qui s’applique-t-il ?
Il s’applique à toute entreprise qui met sur le marché européen ou utilise dans l’Union européenne des systèmes d’IA, quel que soit le lieu de son siège. Les conséquences sont importantes : si une entreprise européenne utilise un système d’IA américain qui relève des catégories à haut risque, c’est elle, en tant que déployeur (l’utilisateur du système, dans la terminologie du règlement), qui doit respecter les obligations de conformité.
Le calendrier d’application
Le règlement s’applique par phases : d’abord les interdictions des pratiques d’IA à risque inacceptable, puis les modèles d’IA à usage général comme GPT ou Claude, ensuite les systèmes à haut risque (la partie la plus complexe du règlement) et enfin les systèmes d’IA intégrés à des produits réglementés, comme les machines ou les dispositifs médicaux. Le texte officiel du règlement, le Bureau européen de l’IA (AI Office) de la Commission européenne et les autorités nationales de surveillance du marché sont les sources de référence pour les échéances exactes en vigueur.
Ce qui concerne la plupart des entreprises : le risque limité
Pour les entreprises qui utilisent des chatbots, des assistants virtuels ou des outils d’IA générative au contact de leurs clients, la principale obligation est la transparence : l’utilisateur doit savoir qu’il interagit avec un système d’IA, et non avec une personne.
Cette obligation paraît évidente, mais elle a des conséquences sur la conception : les interfaces de chatbot doivent s’identifier clairement comme IA, les e-mails générés automatiquement ne doivent pas être présentés comme rédigés par une personne, et les assistants vocaux d’IA utilisés dans les appels au service client doivent s’identifier dès le début de la conversation.
Ce qui concerne les entreprises qui utilisent une IA à haut risque
Une entreprise qui utilise des systèmes d’IA pour le recrutement, l’évaluation des performances, la notation de crédit ou la gestion de l’accès aux services publics relève de la catégorie à haut risque, avec des obligations importantes :
- Documentation technique : décrire le système, ses capacités, ses limites et ses performances de façon suffisamment détaillée pour permettre d’évaluer sa conformité.
- Gestion des risques : un processus méthodique d’identification et d’atténuation des risques tout au long du cycle de vie du système.
- Gouvernance des données : les données d’entraînement doivent être pertinentes, représentatives et exemptes de biais inappropriés.
- Contrôle humain : les systèmes à haut risque doivent être conçus pour permettre un contrôle, une intervention et une correction humaines effectives.
- Enregistrement : inscription dans la base de données européenne des systèmes d’IA à haut risque.
Ce qui reste incertain
L’AI Act laisse une marge d’interprétation sur des points importants. Le classement des systèmes situés à la frontière entre deux catégories de risque (un système donné est-il à haut risque ou à risque limité ?) n’est pas toujours évident. Le Bureau européen de l’IA et les autorités nationales de surveillance du marché publieront progressivement des lignes directrices d’interprétation. Le réseau des organismes d’évaluation de la conformité est encore en construction.
Ce qui est clair, en revanche, c’est que les systèmes conçus dès le départ avec une documentation technique, des processus de gestion des risques et un contrôle humain intégré pourront bien plus facilement démontrer leur conformité lorsque les obligations relatives au haut risque s’appliqueront.
Questions fréquentes
Les PME bénéficient-elles d’exemptions ? Le règlement prévoit quelques dispositions spécifiques pour les PME et les start-up, notamment pour l’accès aux bacs à sable réglementaires de l’IA. Mais il n’existe pas d’exemption générale : si un système est à haut risque, les obligations s’appliquent quelle que soit la taille de l’entreprise.
Que se passe-t-il en cas de non-conformité ? Les sanctions maximales sont lourdes : elles sont proportionnelles au chiffre d’affaires mondial de l’entreprise, avec les plafonds les plus élevés pour l’utilisation d’une IA interdite. Il s’agit des amendes maximales, et non des cas courants, mais elles montrent le sérieux avec lequel le régulateur européen aborde la question.
Par où commencer pour évaluer sa conformité ? La première étape consiste à recenser les systèmes d’IA que l’entreprise utilise ou prévoit d’utiliser, puis à les classer par catégorie de risque. Les obligations concrètes découlent de ce classement. Les lignes directrices publiées par la Commission européenne et par les autorités nationales de surveillance constituent le point de départ de cet exercice.