AI Act européen : comprendre la nouvelle réglementation de l’intelligence artificielle et l’étendue de son application

L’Union européenne a franchi une étape majeure dans la réglementation de l’intelligence artificielle. Avec le règlement européen sur l’intelligence artificielle, plus communément appelé AI Act, l’Europe a choisi de créer un cadre juridique destiné à encadrer les usages de l’IA en fonction des risques qu’ils représentent.

Mais contrairement à ce que l’on pourrait penser, l’AI Act ne concerne pas uniquement les entreprises européennes. Son champ d’application peut également atteindre des entreprises établies en dehors de l’Union européenne, notamment lorsque leurs systèmes d’intelligence artificielle sont proposés sur le marché européen ou lorsque les résultats produits par ces systèmes sont utilisés dans l’Union.

À l’heure où l’intelligence artificielle générative, les assistants conversationnels, les systèmes de recrutement automatisé, la reconnaissance biométrique et les outils d’aide à la décision se généralisent, comprendre l’AI Act devient donc essentiel.

Qu’est-ce que l’AI Act ?

L’AI Act est le règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle.

Il s'agit d'un règlement européen : contrairement à une directive, il est directement applicable dans les États membres, sous réserve des différentes dates d’application prévues par le texte.

Le texte poursuit plusieurs objectifs :

protéger la santé et la sécurité des personnes ;
protéger les droits fondamentaux ;
encadrer les systèmes d’intelligence artificielle présentant des risques importants ;
interdire certaines pratiques considérées comme inacceptables ;
imposer davantage de transparence pour certains systèmes ;
favoriser une intelligence artificielle sûre et digne de confiance ;
harmoniser les règles applicables au sein de l’Union européenne.

Lire le texte officiel de l’AI Act sur EUR-Lex

Une réglementation fondée sur le niveau de risque

L’une des grandes particularités de l’AI Act est son approche fondée sur les risques.

L’Europe ne considère pas que toutes les intelligences artificielles présentent le même danger. Un générateur d’images utilisé pour créer une illustration humoristique n’a évidemment pas le même impact potentiel qu’un système utilisé pour sélectionner automatiquement des candidats à un emploi ou évaluer la solvabilité d’une personne.

Le règlement distingue donc plusieurs catégories.

1. Les systèmes présentant un risque minimal ou nul

La majorité des applications d’IA appartiennent à cette catégorie.

Il peut s’agir, par exemple, de systèmes utilisés pour améliorer des recommandations, des filtres anti-spam ou certaines fonctions d’assistance.

Ces systèmes ne font généralement pas l’objet des obligations les plus lourdes de l’AI Act.

2. Les systèmes présentant un risque limité

Certaines applications doivent respecter des obligations de transparence.

Un exemple très simple est celui d’un utilisateur qui échange avec un système d’intelligence artificielle : dans certaines circonstances, il doit être informé qu’il interagit avec une IA.

Le règlement prévoit également des obligations concernant certains contenus générés ou manipulés par l’intelligence artificielle.

3. Les systèmes à haut risque

C’est l’une des catégories les plus importantes de l’AI Act.

Elle concerne notamment certaines applications utilisées dans des domaines sensibles tels que :

le recrutement et la gestion des travailleurs ;
l’éducation ;
les infrastructures critiques ;
l’accès à certains services essentiels ;
la solvabilité et certains services financiers ;
la police et certaines activités liées à l’application de la loi ;
la migration et le contrôle aux frontières ;
la justice ;
certains systèmes biométriques.

Pour ces systèmes, les exigences peuvent être considérables : gestion des risques, qualité des données, documentation technique, traçabilité, transparence, surveillance humaine, robustesse et cybersécurité notamment.

Il faut toutefois éviter une simplification fréquente : une application utilisant de l’IA n’est pas automatiquement « à haut risque ». Sa classification dépend notamment de sa fonction, de son contexte et des catégories définies par le règlement.

Les pratiques d’IA interdites

L’AI Act va encore plus loin pour certaines pratiques considérées comme incompatibles avec les valeurs et les droits fondamentaux de l’Union européenne.

Certaines pratiques sont donc interdites, notamment certaines formes de manipulation ou d’exploitation des vulnérabilités des personnes ainsi que certaines pratiques de notation sociale.

Le règlement encadre également très fortement certaines utilisations des systèmes biométriques.

Il serait cependant incorrect de résumer cela en affirmant que « la reconnaissance faciale est interdite en Europe ». La réalité est beaucoup plus nuancée : certaines utilisations sont interdites, tandis que d’autres sont soumises à des conditions et garanties strictes.

Les premières dispositions relatives aux pratiques interdites sont entrées en application le 2 février 2025.

L’IA générative est-elle concernée ?

Oui.

L’AI Act ne s’intéresse pas uniquement aux systèmes d’IA spécialisés. Il comporte également des règles concernant les modèles d’IA à usage général, souvent désignés par l’acronyme GPAI (General-Purpose AI).

Cette catégorie concerne notamment les modèles capables d'effectuer un grand nombre de tâches différentes : rédaction, traduction, programmation, analyse, génération de contenu, raisonnement, etc.

Les fournisseurs de ces modèles sont soumis à certaines obligations en matière de documentation, de transparence et de respect du droit d’auteur.

Les modèles présentant des risques systémiques font quant à eux l’objet d’exigences supplémentaires.

Les règles concernant les modèles d’IA à usage général sont entrées dans leur phase d’application le 2 août 2025.

Voir le Code de bonnes pratiques européen pour les modèles d’IA à usage général

L’AI Act s’applique-t-il aux entreprises américaines, chinoises ou japonaises ?

Oui, potentiellement.

C’est probablement l’un des aspects les plus importants et les moins bien compris de l’AI Act.

Le règlement possède une portée qui dépasse les frontières géographiques de l’Union européenne.

Il peut notamment concerner :

les fournisseurs établis dans l’Union européenne ;
les fournisseurs situés dans un pays tiers lorsqu’ils mettent des systèmes ou modèles d’IA sur le marché européen ;
certains déployeurs situés dans un pays tiers lorsque les résultats produits par leur système d’IA sont utilisés dans l’Union européenne ;
les importateurs et distributeurs de certains systèmes d’IA.

Cette portée extraterritoriale rappelle, sur certains aspects, le fonctionnement du RGPD.

Le siège social d’une entreprise situé aux États-Unis, au Japon, en Chine, au Royaume-Uni ou ailleurs ne suffit donc pas nécessairement à la soustraire à l’AI Act.

Consulter l’article 2 de l’AI Act et son champ d’application

Un exemple concret de portée extraterritoriale

Imaginons une entreprise située hors de l’Union européenne qui développe un système d’intelligence artificielle capable d’analyser des candidatures.

Si ce système est commercialisé sur le marché européen, l’entreprise peut entrer dans le champ de l’AI Act, même si son siège et ses serveurs se trouvent en dehors de l’Union.

Autre situation : une entreprise située dans un pays tiers utilise un système d’IA et les résultats produits par celui-ci sont utilisés dans l’Union européenne.

Le règlement prévoit également ce type de situation.

Cette disposition est importante car elle limite la possibilité de contourner la réglementation européenne simplement en déplaçant le développement ou l'exploitation technique d'un système hors du territoire de l'Union.

Les entreprises qui utilisent simplement l’IA sont-elles concernées ?

Oui, et c’est un point essentiel pour les PME.

Il serait faux de penser que seules les entreprises qui développent des modèles d’IA doivent se préoccuper de l’AI Act.

Le règlement distingue notamment les fournisseurs et les déployeurs.

Une entreprise qui utilise un système d’IA dans le cadre de son activité peut donc avoir certaines obligations sans avoir développé elle-même le système.

Par exemple, une entreprise française qui utilise une solution d’IA pour assister ses collaborateurs peut devoir prendre certaines mesures en fonction du système utilisé et de son contexte d'utilisation.

Et pour un particulier qui utilise ChatGPT ?

Il faut distinguer l'utilisation personnelle de l'utilisation professionnelle.

Une personne qui utilise une IA chez elle pour rédiger un texte, préparer un voyage ou obtenir des idées personnelles n'est pas dans la même situation qu'une entreprise qui utilise une IA pour sélectionner des candidats ou prendre des décisions concernant ses salariés.

L’AI Act prévoit notamment une exclusion pour l'utilisation d'un système d'IA dans le cadre d'une activité personnelle et non professionnelle.

Le simple fait d'utiliser un outil d'IA ne signifie donc pas que l'utilisateur particulier devient automatiquement soumis à toutes les obligations prévues par le règlement.

AI Act et RGPD : deux réglementations différentes

Une autre confusion fréquente consiste à penser que l’AI Act remplace le RGPD.

Ce n’est absolument pas le cas.

Les deux réglementations peuvent s’appliquer simultanément.

On peut schématiquement résumer leur logique de cette manière :

Réglementation	Question principale
RGPD	Comment les données personnelles sont-elles collectées, utilisées, conservées et protégées ?
AI Act	Quel est le système d’IA utilisé, quels risques présente-t-il et quelles obligations doivent être respectées ?

Une entreprise utilisant une IA pour traiter des données personnelles peut donc être soumise simultanément au RGPD et à l’AI Act.

Lire le RGPD sur EUR-Lex

Le calendrier de l’AI Act

L’AI Act n’est pas entré en application intégralement en une seule fois.

Le règlement est entré en vigueur le 1er août 2024 et son application s’effectue progressivement.

Date	Principale étape
1er août 2024	Entrée en vigueur du règlement.
2 février 2025	Application notamment des interdictions et des dispositions relatives à la culture de l’IA.
2 août 2025	Application des règles de gouvernance et des obligations concernant les modèles d’IA à usage général.
2 août 2026	Application générale de la majorité des dispositions de l’AI Act.
2027-2028	Certaines obligations concernant les systèmes d’IA à haut risque bénéficient de périodes transitoires spécifiques.

Attention : le calendrier a évolué en 2026 avec l’adoption du paquet européen de simplification numérique, appelé Digital Omnibus. Certaines dispositions relatives aux systèmes à haut risque disposent désormais de périodes de transition plus longues.

Il est donc important de consulter les informations européennes les plus récentes plutôt que de se fier à un calendrier publié en 2024 ou 2025.

Consulter le calendrier officiel actualisé de l’AI Act

L’obligation de former les collaborateurs à l’IA

Un aspect particulièrement intéressant pour les entreprises est l’article 4 de l’AI Act relatif à la culture de l’intelligence artificielle (« AI literacy »).

Les fournisseurs et les déployeurs de systèmes d’IA doivent prendre des mesures pour favoriser un niveau approprié de connaissances et de compréhension de l’IA chez les personnes qui utilisent ou manipulent ces systèmes pour leur compte.

Il ne s'agit pas nécessairement de faire passer un examen à chaque salarié.

L'entreprise doit plutôt s'interroger sur plusieurs éléments :

Quels systèmes d'IA sont utilisés dans l'organisation ?
Quels sont leurs risques ?
Quels collaborateurs les utilisent ?
Quels sont les risques d'erreur ou de mauvaise utilisation ?
Quelle formation ou information est nécessaire ?

C'est un sujet particulièrement important pour les entreprises qui ont adopté massivement les outils d'IA générative sans nécessairement mettre en place de politique interne.

Consulter les questions-réponses officielles de la Commission sur l’AI literacy

Qui contrôle l’application de l’AI Act ?

L’Union européenne a également mis en place une structure dédiée : l’European AI Office, ou Bureau européen de l’IA.

Il joue notamment un rôle important dans la mise en œuvre et l'application des règles concernant les modèles d’IA à usage général.

Les États membres disposent également d'autorités compétentes chargées de participer à l'application du règlement sur leur territoire.

Le système de gouvernance est donc à plusieurs niveaux : européen et national.

Découvrir le Bureau européen de l’intelligence artificielle

Pourquoi l’AI Act pourrait avoir une influence mondiale

L’importance de l’AI Act dépasse finalement la seule réglementation européenne.

Une entreprise internationale qui souhaite commercialiser ses produits dans l’Union européenne doit tenir compte des exigences européennes.

Or, avec un marché de plusieurs centaines de millions de consommateurs, il peut être économiquement plus simple pour certains acteurs internationaux d'adopter des standards élevés pour l'ensemble de leurs produits plutôt que de créer une version totalement différente réservée au marché européen.

C'est l'une des raisons pour lesquelles certains observateurs rapprochent l'AI Act du phénomène du « Brussels Effect » : une réglementation européenne peut parfois influencer indirectement les pratiques d'entreprises situées partout dans le monde.

Que doit retenir une PME française ?

Pour une PME, l’AI Act ne signifie pas nécessairement qu'il faut devenir expert en intelligence artificielle ou en droit européen.

La première étape consiste surtout à cartographier les usages de l’IA dans l’entreprise.

Quelques questions simples permettent déjà de commencer :

Quels outils d'IA sont utilisés dans l'entreprise ?
Quels salariés les utilisent ?
Pour quelles tâches ?
Des données personnelles sont-elles introduites dans ces outils ?
L'IA intervient-elle dans une décision concernant une personne ?
L'entreprise développe-t-elle elle-même un système d'IA ?
L'IA intervient-elle dans le recrutement, l'évaluation des salariés, le crédit, la santé ou un autre domaine sensible ?
Les collaborateurs ont-ils reçu une information ou une formation adaptée ?

Cette cartographie permet ensuite de déterminer quelles obligations peuvent réellement s'appliquer.

Quelques exemples très concrets

Usage	Situation générale
Utiliser une IA pour améliorer un texte	Risque généralement faible
Créer des images avec une IA	Risque généralement faible, sous réserve du contexte
Utiliser un chatbot pour répondre aux clients	Des obligations de transparence peuvent s'appliquer
Utiliser l'IA pour sélectionner des candidats	Potentiellement système à haut risque
Utiliser l'IA pour évaluer des salariés	Potentiellement système à haut risque
Utiliser l'IA dans le domaine médical	Réglementation potentiellement très importante
Développer un modèle d'IA généraliste	Obligations spécifiques selon le modèle

Attention : ce tableau est volontairement simplifié. La classification juridique exacte dépend du système, de sa finalité, de son contexte d'utilisation et des dispositions précises de l'AI Act.

Conclusion : l’AI Act ne réglemente pas « l’IA », il réglemente ses usages et ses risques

C'est probablement la meilleure manière de comprendre le règlement européen.

L'Europe n'a pas choisi d'interdire l'intelligence artificielle. Elle a choisi de construire un système dans lequel plus une utilisation de l'IA présente un risque important pour les personnes, plus les exigences réglementaires sont fortes.

Cette approche concerne les développeurs de systèmes d'IA, les grands fournisseurs de modèles, les éditeurs de logiciels, les entreprises qui intègrent de l'IA dans leurs produits, mais aussi les organisations qui utilisent simplement des solutions existantes.

Et surtout, le règlement ne s'arrête pas nécessairement aux frontières de l'Union européenne.

Une entreprise située aux États-Unis, en Chine, au Japon, au Royaume-Uni ou dans tout autre pays peut être concernée dès lors que les conditions prévues par le règlement sont réunies.

L'AI Act doit donc être considéré moins comme une simple « loi européenne sur ChatGPT » que comme une nouvelle architecture réglementaire destinée à encadrer l'ensemble de l'écosystème de l'intelligence artificielle.

Documentation officielle

Article informatif. Il ne constitue pas un avis juridique. L'AI Act étant un règlement complexe et ayant fait l'objet d'évolutions et de mesures d'application, il convient de consulter le texte officiel et les informations actualisées de la Commission européenne pour toute décision juridique ou professionnelle.

L'URL actuelle est :

lecteur yt

dimanche 13 septembre 2026