AI Act : définition, niveaux de risque et calendrier d’application

Que recouvre l’AI Act ?

L’AI Act classe les systèmes d’IA selon le risque de leur usage, et non selon la technologie employée. En français, on l’appelle aussi « IA Act » ou « règlement IA ». La Commission européenne présente quatre niveaux de risque :

• Risque inacceptable. L’article 5 interdit certaines pratiques, comme la notation sociale ou la reconnaissance des émotions sur le lieu de travail, hors raisons médicales ou de sécurité.

• Risque élevé. L’annexe I vise des produits déjà réglementés par l’Union. L’annexe III vise des usages comme le recrutement, la notation de crédit ou l’accès à l’éducation.

• Risque de transparence. L’article 50 impose notamment d’informer une personne qu’elle échange avec une IA et de signaler les hypertrucages.

• Risque minimal ou nul. Un filtre anti-spam, par exemple, ne reçoit aucune obligation propre.

Le règlement encadre aussi les modèles d’IA à usage général, dont les grands modèles d’IA générative sont « un exemple typique » (considérant 99). Il vise tout fournisseur qui met un système sur le marché de l’Union, même depuis un pays tiers (article 2). Les fournisseurs de ces modèles doivent notamment se doter d’une politique de respect du droit d’auteur (article 53). Ceux dont les modèles présentent un risque systémique réalisent et documentent des essais contradictoires (article 55).

Quelles sont les dates d’application de l’AI Act ?

L’AI Act s’applique par étapes, et le règlement (UE) 2026/1744 a reporté les obligations des systèmes à haut risque. Ce « Digital Omnibus » du 8 juillet 2026 est entré en vigueur le 27 juillet 2026. Voici le calendrier de l’article 113 modifié :

• 1er août 2024 : entrée en vigueur du règlement.

• 2 février 2025 : premières interdictions de l’article 5 et maîtrise de l’IA (article 4).

• 2 août 2025 : règles des modèles d’IA à usage général et régime des sanctions (amendes propres à ces modèles : 2 août 2026).

• 2 août 2026 : application générale, dont les obligations de transparence.

• 2 décembre 2026 : interdictions ajoutées par l’Omnibus (contenus intimes générés sans consentement, contenus d’abus sexuels sur enfants) ; marquage des contenus générés par les systèmes mis sur le marché avant le 2 août 2026 (article 111).

• 2 décembre 2027 : systèmes à haut risque de l’annexe III.

• 2 août 2028 : systèmes à haut risque de l’annexe I.

Fournisseur ou déployeur : quel rôle l’AI Act vous attribue-t-il ?

Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son nom ou sa marque. Le déployeur l’utilise sous sa propre autorité, dans un cadre professionnel (article 3). Une ETI qui achète un outil d’IA agit en général comme déployeur. Le guide AI Act : le parcours de conformité du déployeur détaille ses étapes.

Pour un système à haut risque, l’article 26 impose au déployeur de suivre la notice du fournisseur. Il confie le contrôle humain à des personnes qui ont la compétence, la formation et l’autorité nécessaires. Il conserve au moins six mois les journaux qu’il contrôle et informe les travailleurs concernés et leurs représentants.

Le rôle peut changer. Selon l’article 25, un déployeur devient fournisseur s’il appose son nom ou sa marque sur un système à haut risque, ou s’il le modifie substantiellement et qu’il reste à haut risque. Il le devient aussi s’il change la destination d’un système et le rend ainsi à haut risque.

AI Act ou RGPD : quelle différence ?

L’AI Act encadre les systèmes et les modèles d’IA ; le RGPD protège les personnes lors du traitement de leurs données personnelles. Les deux textes s’additionnent : l’article 2, paragraphe 7, de l’AI Act précise qu’il n’a pas d’incidence sur le RGPD. Un outil de tri de candidatures relève donc des deux.

Que change l’AI Act pour votre décision ?

• Le report ne vaut pas dispense. L’Omnibus décale les obligations des systèmes à haut risque. Les premières interdictions s’appliquent depuis février 2025, les règles de transparence depuis août 2026.

• Chaque usage se qualifie séparément. Un même modèle peut résumer des comptes rendus ou, au sein d’un agent IA, trier des candidatures. Le second usage relève de l’annexe III. Inventoriez d’abord les usages réels, shadow AI compris.

• Les amendes suivent le chiffre d’affaires mondial. Pour une pratique interdite, l’article 99 prévoit jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Un fournisseur ou un déployeur qui manque aux obligations listées au paragraphe 4 s’expose à 15 millions d’euros ou 3 %, selon la même règle. Pour une PME, le plafond correspond au plus faible des deux montants. L’Omnibus étend cette règle aux petites entreprises à moyenne capitalisation, hors pratiques interdites. Ces entreprises, qui ne sont pas des PME, emploient moins de 750 personnes et réalisent au plus 150 millions d’euros de chiffre d’affaires ou 129 millions d’euros de total de bilan (recommandation (UE) 2025/1099).

• La compétence des équipes fait partie du texte. L’article 4 demande de prendre des mesures pour favoriser la maîtrise de l’IA du personnel. La qualification de chaque usage relève, elle, de votre gouvernance de l’IA.