# Qu'est-ce que l'AI Act ? Définition et enjeux pour l'entreprise

> L'AI Act est le règlement européen 2024/1689, premier cadre juridique mondial à classifier les systèmes d'IA par niveau de risque et à imposer des obligations différenciées : interdiction pour les usages inacceptables, exigences strictes pour les systèmes à haut risque, transparence pour les autres.

## Définition
L'AI Act (règlement UE 2024/1689) est entré en vigueur le 1er août 2024, avec une application progressive jusqu'en 2028. Le règlement « Omnibus numérique sur l'IA » (UE 2026/1744, en vigueur depuis le 27 juillet 2026) a décalé une partie du calendrier et ajouté deux interdictions. Le texte classe les systèmes d'IA en quatre niveaux de risque. Le risque inacceptable (interdit depuis février 2025) : notation sociale, manipulation comportementale, identification biométrique en temps réel dans les lieux publics et, à partir du 2 décembre 2026 (ajout de l'Omnibus), systèmes conçus pour générer des images intimes non consenties ou des contenus pédopornographiques. Le risque élevé : systèmes d'IA dans le recrutement, l'éducation, la justice, le crédit, l'assurance, les services publics (annexe III, applicable au 2 décembre 2027) et IA intégrée à des produits déjà réglementés (annexe I, applicable au 2 août 2028). Ces systèmes exigent une documentation détaillée, des tests, un enregistrement européen, une supervision humaine. Le risque limité : obligations de transparence (article 50, applicable depuis le 2 août 2026) : informer l'utilisateur qu'il interagit avec une IA, signaler les contenus générés. Le risque minimal : aucune obligation spécifique. Les fournisseurs de modèles de fondation (GPAI) ont des obligations propres depuis août 2025 : documentation des sources d'entraînement, politique de respect du droit d'auteur, évaluation des risques systémiques pour les modèles les plus puissants. Enfin, l'article 4 demande à toute organisation qui fournit ou déploie de l'IA de prendre des mesures pour développer la maîtrise de l'IA de ses équipes.

## Exemple
Une ETI française de 800 salariés utilise un outil IA pour filtrer les CV candidats à l'embauche. Selon l'AI Act, ce système entre dans la catégorie « haut risque » (annexe III, point 4 du règlement). À compter du 2 décembre 2027 (échéance repoussée par l'Omnibus numérique, initialement fixée au 2 août 2026), l'entreprise (ou son fournisseur, selon le partage des responsabilités) devra disposer d'une documentation technique détaillée du système, d'une évaluation de conformité, d'un dispositif de supervision humaine effective, et d'une déclaration d'enregistrement dans la base européenne. Le non-respect expose à des sanctions pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial, selon le plus élevé des deux.

Deuxième cas, plus fréquent qu'on ne le croit : un chatbot de service client. Une compagnie d'assurance française déploie en 2025 un chatbot alimenté par un modèle GPT pour répondre aux questions récurrentes des assurés (déclaration de sinistre, tarifs, produits). Le chatbot n'est pas classé « haut risque », mais il tombe dans la catégorie « risque limité » de l'AI Act (article 50, applicable depuis le 2 août 2026) : obligation de transparence, l'utilisateur doit être clairement informé qu'il interagit avec une IA. Un bandeau « Assistant virtuel : vous conversez avec une IA » en préambule suffit à respecter l'article 50, tant que le chatbot ne participe pas à une décision classée à haut risque (octroi de crédit, tarification d'une assurance vie ou santé, recrutement). Proposer un opérateur humain à la demande reste une bonne pratique, pas une obligation. Coût : quelques heures de développement + une phrase de politique de communication. C'est le cas de figure le plus courant en 2026, et le plus souvent négligé.

## Pour un dirigeant
L'AI Act n'est pas un texte sectoriel, c'est un cadre horizontal qui touche tout déploiement IA en Europe. Trois implications pour le dirigeant. Premièrement, la classification de risque de votre déploiement est la première décision à prendre, avant tout choix technique. Recrutement, scoring crédit, accès à des services publics, sécurité au travail : tous sont haut risque par défaut. Deuxièmement, l'AI Act s'applique aux entreprises non-européennes dès lors que les résultats du système sont utilisés en Europe. Choisir un fournisseur américain ou chinois ne vous exonère pas. Les obligations se répartissent selon le rôle : le fournisseur répond de la conception du système, le déployeur de son usage (transparence, supervision humaine, information des personnes). Troisièmement, les sanctions sont calibrées pour être dissuasives : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial selon le plus élevé. C'est supérieur au plafond RGPD (4 %). L'Omnibus numérique a repoussé le haut risque à décembre 2027 : ce délai sert à cartographier ses usages et à documenter ses systèmes. Les interdictions, la transparence et la maîtrise de l'IA s'appliquent déjà.

*Les 4 catégories de risque de l'AI Act et leurs obligations*

| Catégorie | Exemples typiques | Obligations principales | Entrée en vigueur / sanction max |
| --- | --- | --- | --- |
| Risque inacceptable | Scoring social, manipulation subliminale, reconnaissance émotionnelle au travail ou à l'école, biométrie temps réel dans l'espace public (avec exceptions étroites), systèmes générant des images intimes non consenties | Interdiction totale de mise sur le marché ou d'usage dans l'UE | Depuis le 2 février 2025 (nouvelle interdiction de l'Omnibus : 2 décembre 2026) ; jusqu'à 35 M€ ou 7 % du CA mondial |
| Haut risque | Filtrage de CV, scoring de crédit, contrôle biométrique, dispositifs médicaux, infrastructures critiques, éducation, justice | Système de gestion des risques, données de qualité, documentation technique, supervision humaine, robustesse, transparence, enregistrement dans la base UE | 2 décembre 2027 (annexe III) ou 2 août 2028 (produits déjà régulés), dates fixées par l'Omnibus numérique ; jusqu'à 15 M€ ou 3 % du CA mondial |
| Risque limité (transparence) | Chatbots, deepfakes, contenu généré par IA ; information des personnes exposées à un système autorisé de reconnaissance des émotions ou de catégorisation biométrique (celle qui déduit des données sensibles est interdite) | Informer clairement l'utilisateur qu'il interagit avec une IA ou que le contenu est généré par IA (article 50) | Depuis le 2 août 2026 (marquage des contenus : 2 décembre 2026 pour les systèmes déjà sur le marché) ; jusqu'à 15 M€ ou 3 % du CA mondial |
| Risque minimal | Filtres anti-spam, IA dans jeux vidéo, moteurs de recommandation basiques (la grande majorité des systèmes) | Aucune obligation spécifique ; codes de conduite volontaires encouragés | Pas d'obligation d'entrée en vigueur ; pas de sanction spécifique |

## Questions fréquentes

**Quand l'AI Act entre-t-il en vigueur ?**
Entrée en vigueur juridique le 1er août 2024, application progressive, calendrier ajusté par l'Omnibus numérique (règlement 2026/1744, en vigueur le 27 juillet 2026). Les interdictions (risque inacceptable) et l'obligation de maîtrise de l'IA (article 4) s'appliquent depuis le 2 février 2025. Les obligations des modèles de fondation (GPAI) depuis le 2 août 2025. Les obligations de transparence (article 50) depuis le 2 août 2026, avec un marquage des contenus générés exigible au 2 décembre 2026 pour les systèmes déjà sur le marché. Les systèmes haut risque de l'annexe III (recrutement, éducation, crédit…) au 2 décembre 2027. Les systèmes haut risque intégrés dans des produits déjà régulés (dispositifs médicaux, jouets…) au 2 août 2028.

**Quelles sont les amendes prévues par l'AI Act ?**
Trois niveaux, chacun exprimé comme le montant le plus élevé entre une somme fixe et un pourcentage du chiffre d'affaires mondial : 35 M€ ou 7 % pour l'usage de systèmes interdits, 15 M€ ou 3 % pour les violations d'obligations sur les systèmes haut risque ou les GPAI, 7,5 M€ ou 1 % pour la fourniture d'informations inexactes aux autorités. Pour les PME et start-ups, c'est le montant le plus bas des deux qui s'applique. L'Omnibus numérique de 2026 étend cette règle aux petites entreprises de taille intermédiaire (*small mid-caps*), sauf pour les pratiques interdites, ainsi que la documentation technique simplifiée.

**Suis-je concerné par l'AI Act si mon prestataire d'IA est américain ou chinois ?**
Oui. L'AI Act s'applique dès qu'un système d'IA est mis sur le marché ou utilisé dans l'UE, quel que soit le pays du fournisseur. En tant qu'entreprise européenne « déployeur », vous êtes responsable des obligations qui vous incombent (transparence, supervision humaine, information des personnes) même si l'IA vient d'OpenAI, Google ou Alibaba. Vos contrats doivent d'ailleurs prévoir les garanties nécessaires.

**Quelle est la différence entre l'AI Act et le RGPD ?**
Le RGPD encadre le traitement des données personnelles (finalité, base légale, information des personnes). L'AI Act encadre les systèmes d'IA eux-mêmes (classification par risque, obligations de conception, transparence sur l'IA). Les deux textes s'appliquent en parallèle : un système d'IA qui traite des données personnelles doit respecter les deux. En pratique, ils se complètent : le RGPD n'a jamais suffi à répondre aux risques spécifiques de l'IA générative.

**Comment savoir si mon usage de l'IA est « haut risque » ?**
L'annexe III de l'AI Act liste les usages haut risque : biométrie, infrastructures critiques, éducation, emploi et RH (dont filtrage de CV, notation salariés), accès aux services essentiels (crédit, assurance, aides sociales), forces de l'ordre, migration et asile, justice, processus démocratique. Si votre cas d'usage tombe dans une de ces catégories, ou si votre système d'IA est un composant de sécurité d'un produit déjà régulé, vous êtes en haut risque.

**L'AI Act interdit-il totalement certains usages de l'IA ?**
Oui, huit pratiques sont interdites par l'article 5 du texte initial, et l'Omnibus numérique en a ajouté deux : scoring social par les autorités publiques, manipulation subliminale, exploitation de vulnérabilités des personnes, reconnaissance émotionnelle sur le lieu de travail ou en établissement scolaire, catégorisation biométrique par traits sensibles (origine, orientation), extraction non ciblée de visages depuis internet ou vidéosurveillance, prédiction d'infractions basée uniquement sur le profilage, biométrie temps réel dans l'espace public (avec exceptions étroites pour les forces de l'ordre) et, à partir du 2 décembre 2026, les systèmes conçus pour générer des images sexuelles ou intimes non consenties ou des contenus pédopornographiques.

## À lire aussi

- [Shadow AI](https://wyp.agency/glossaire/shadow-ai/)
- [RGPD et IA](https://wyp.agency/glossaire/rgpd-ia/)
- [Garde-fous](https://wyp.agency/glossaire/garde-fous/)
- [Biais algorithmique](https://wyp.agency/glossaire/biais-algorithmique/)
- [Données d'entraînement](https://wyp.agency/glossaire/donnees-entrainement/)
- [Souveraineté numérique](https://wyp.agency/glossaire/souverainete-numerique/)
- [Human in the loop (humain dans la boucle)](https://wyp.agency/glossaire/human-in-the-loop/)
- [Omnibus numérique (Digital Omnibus)](https://wyp.agency/glossaire/omnibus-numerique/)
- [Littératie IA (maîtrise de l'IA, article 4)](https://wyp.agency/glossaire/litteratie-ia/)
- [Marquage des contenus générés par IA (article 50)](https://wyp.agency/glossaire/marquage-contenus-ia/)
- [IA explicable (XAI)](https://wyp.agency/glossaire/ia-explicable/)
- [Intelligence artificielle (IA)](https://wyp.agency/glossaire/intelligence-artificielle/)

## Sources

- Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 (AI Act) (https://eur-lex.europa.eu/eli/reg/2024/1689/oj)
- Règlement (UE) 2026/1744 « Omnibus numérique sur l'IA », modifiant le règlement 2024/1689 (https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX%3A32026R1744)
- AI Act, Commission européenne, page de présentation officielle (https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)
- Règlement (UE) 2026/1744 du 8 juillet 2026 (Omnibus numérique sur l'IA), EUR-Lex (https://eur-lex.europa.eu/eli/reg/2026/1744/oj)

---
Fiche du glossaire IA de WYP.agency · https://wyp.agency/glossaire/ai-act/ · Dernière mise à jour : 2026-10-14