Conformité réglementaire de l'IA
AI Act
La première réglementation d'ensemble sur l'IA au monde est déjà en vigueur. Nous aidons les entreprises à comprendre leurs obligations et à s'y conformer sans interrompre leurs activités fondées sur l'IA.
Se conformer n'est pas gouverner. Cette page traite des obligations légales : AI Act et RGPD. Le modèle de gouvernance (quels systèmes sont en service, qui en répond et quand les arrêter) est présenté dans Gouvernance de l'IA ; c'est lui qui produit une bonne partie des preuves exigées par la réglementation.
Calendrier des obligations de l'AI Act
Les dates à partir desquelles chaque obligation s'applique
Le règlement entre en vigueur et la période de transition commence.
Les systèmes d'IA présentant un risque inacceptable sont interdits : notation sociale, manipulation subliminale, exploitation des vulnérabilités, reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement.
Les fournisseurs de grands modèles de langage (LLM) et de systèmes d'IA à usage général doivent respecter des exigences de transparence, de documentation technique et de droit d'auteur.
Obligation d'informer les personnes qu'elles interagissent avec un système d'IA et de signaler les contenus générés ou manipulés (y compris les hypertrucages). Pour les contenus déjà mis sur le marché, le marquage peut être achevé jusqu'en décembre 2026.
L'omnibus numérique ajoute au règlement l'interdiction des systèmes qui génèrent des images intimes ou sexuelles non consenties de personnes réelles, ainsi que des contenus pédopornographiques (CSAM) générés par l'IA.
Obligations complètes pour les systèmes d'IA à haut risque autonomes : ressources humaines et recrutement, évaluation de la solvabilité, éducation, infrastructures critiques, services essentiels, migration et justice. L'omnibus numérique a reporté cette échéance, initialement fixée à août 2026.
Obligations pour l'IA intégrée dans des produits soumis à la législation sectorielle de l'UE (dispositifs médicaux, machines, jouets, etc.). Échéance reportée d'août 2027.
L'omnibus numérique (2026) a modifié le calendrier
La première réforme de l'AI Act a reporté l'application des règles relatives aux systèmes à haut risque, sans les supprimer ; elle n'a touché ni les interdictions déjà en vigueur ni les obligations applicables aux modèles d'IA à usage général (GPAI). La préparation de la mise en conformité demande de 6 à 18 mois : décembre 2027 est plus proche qu'il n'y paraît.
Quels effets l'AI Act a-t-il sur une entreprise ?
L'impact dépend du rôle que joue l'entreprise dans la chaîne de valeur de l'IA et du type de systèmes qu'elle utilise ou développe. Beaucoup d'entreprises estiment ne pas être concernées, et se trompent presque toujours.
Systèmes de notation sociale, manipulation subliminale, reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement (sauf exceptions) et, depuis la réforme de 2026, les « nudifiers » et les contenus pédopornographiques générés par l'IA. Interdits depuis février 2025 ; ces deux derniers, à partir de décembre 2026.
IA dans les ressources humaines, le crédit, l'éducation, les infrastructures critiques, la santé et l'assurance. Exige : évaluation de la conformité, documentation technique, enregistrement dans la base de données de l'UE et contrôle humain.
Chatbots et systèmes générant des contenus. Obligation d'informer les personnes qu'elles interagissent avec un système d'IA et de signaler les hypertrucages (deepfakes).
Filtres anti-spam, jeux vidéo utilisant l'IA, recommandation de contenus sur les plateformes. Aucune obligation réglementaire spécifique (le RGPD reste applicable).
Notre accompagnement à la conformité
Nous recensons tous les systèmes d'IA que l'entreprise utilise ou développe, y compris ceux qui ne sont pas identifiés comme « IA » (scoring, automatisations, modèles prédictifs).
Nous classons chaque système selon les critères de l'AI Act et identifions ceux qui relèvent des catégories à haut risque et ceux qui se situent dans une zone grise.
Nous comparons la situation actuelle aux exigences applicables et fixons les priorités selon l'urgence (échéances) et l'impact (coût de la non-conformité).
Nous rédigeons la documentation exigée : fiche technique du système, évaluation des risques, registre des données d'entraînement, procédures de contrôle.
Nous formons les responsables des systèmes d'IA aux obligations applicables et à la manière de maintenir la conformité dans la durée.
Questions fréquentes
Qu'est-ce que l'AI Act ?
L'AI Act est la première réglementation d'ensemble sur l'intelligence artificielle au monde. Adopté en 2024, il classe les systèmes d'IA par niveau de risque et fixe des obligations en fonction de cette classification. Son objectif est de garantir que l'IA dans l'UE soit sûre, transparente et respectueuse des droits fondamentaux.
L'omnibus numérique reporte-t-il l'AI Act ? Peut-on différer la préparation ?
Pas entièrement. L'omnibus numérique (adopté en 2026, première réforme du règlement) a reporté la pleine application des obligations relatives aux systèmes à haut risque : au 2 décembre 2027 pour les systèmes autonomes (annexe III) et au 2 août 2028 pour l'IA intégrée dans des produits réglementés (annexe I). Il n'a cependant rien supprimé : les pratiques d'IA interdites le sont depuis février 2025, les modèles d'IA à usage général doivent être conformes depuis août 2025 et les obligations de transparence s'appliquent depuis août 2026. La préparation de la mise en conformité demandant de 6 à 18 mois, la marge réelle est plus étroite qu'il n'y paraît.
Une entreprise doit-elle se conformer à l'AI Act ?
Oui, si elle exerce ses activités dans l'UE ou si ses produits ou services sont utilisés dans l'UE. Le règlement s'applique aussi bien aux fournisseurs de systèmes d'IA (ceux qui les développent) qu'aux entreprises qui les utilisent en tant que déployeurs dans un cadre professionnel. La plupart des entreprises disposent d'au moins un système relevant de la catégorie à risque limité (chatbots, générateurs de contenus).
Quelles sont les sanctions en cas de manquement ?
Les amendes, fixées par l'article 99 du règlement, peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu (pratiques d'IA interdites) ; 15 millions d'euros ou 3 % (obligations des fournisseurs, des déployeurs et des autres opérateurs, y compris les obligations de transparence) ; et 7,5 millions d'euros ou 1 % (informations inexactes, incomplètes ou trompeuses fournies aux autorités ou aux organismes notifiés). Pour les PME, y compris les jeunes pousses, le moins élevé des deux montants s'applique. Les sanctions sont proportionnées à la taille de l'entreprise et à la gravité de l'infraction.
Le règlement concerne-t-il les entreprises qui utilisent uniquement l'IA de tiers ?
Oui. Une entreprise qui utilise des systèmes d'IA à haut risque dans ses activités (par exemple un logiciel RH qui attribue un score aux candidats) a des obligations en tant que déployeur, même si elle n'a pas développé le système. Elle doit vérifier que le fournisseur est en conformité, configurer correctement le système et assurer un contrôle humain.