AI Act : le guide complet du règlement européen sur l'IA
Genèse, calendrier, niveaux de risque, obligations entreprises, sanctions, articulation avec le RGPD. Tout sur l'AI Act, expliqué clairement en français.
- L AI ActLe règlement européen de 2024 qui encadre le développement et l'usage de l'IA selon des niveaux de risque. est le règlement européen qui encadre l'intelligence artificielle, entré en vigueur en 2024.
- 4 niveaux de risque : inacceptable (interdit), haut, limité (transparence), minimal (libre).
- Application progressive : interdictions depuis février 2025, sanctions activées en août 2027.
- Amendes max : 35 millions € ou 7% du CA mondial. Calquées sur le RGPDRèglement Général sur la Protection des Données, le cadre européen sur la vie privée numérique., en plus salé.
Adopté en 2024, entré en application progressive depuis 2025, l AI Act est devenu le texte de référence mondial pour encadrer l'intelligence artificielle. Aucune entreprise européenne ou voulant vendre en Europe ne peut désormais l'ignorer. Voici un décryptage clair, sans jargon juridique.
Règlement européen 2024/1689 sur l'intelligence artificielle, premier cadre juridique transversal au monde. Proposé par la Commission européenne en avril 2021, négocié pendant 3 ans, adopté définitivement en mai 2024. Application progressive sur 2 ans.
Le calendrier d'application
L'Europe est la première grande zone économique à se doter d'un cadre transversal. Comme le RGPD avant lui, l'AI Act fait office de standard mondial de facto.
Les 4 niveaux de risque
Notation sociale, identification biométrique en temps réel dans l'espace public (sauf exceptions police), manipulation subliminale, exploitation de vulnérabilités. Tout simplement interdit en Europe.
Tri de CV, scoring de crédit, diagnostic médical, conduite autonome, contrôle d'accès aux services publics, justice prédictive. Obligations lourdes : analyse d'impact, supervision humaine, registre.
Chatbots, deepfakes, contenu généré par IA. Obligation principale : informer l'utilisateur qu'il interagit avec une IA.
Filtres anti-spam, recommandations e-commerce simples, jeux vidéo IA. Aucune obligation spécifique.
90% des usages IA tombent dans la catégorie risque limité ou minimal. Les obligations lourdes ne concernent qu'une fraction des systèmes.
Obligations pour les fournisseurs de modèles
Les éditeurs (OpenAI, Anthropic, Google, Mistral, Meta) doivent depuis août 2025 :
Unité de mesure de la puissance de calcul utilisée pour entraîner un modèle. Au-delà de 10^25 FLOP, un modèle est jugé "à risque systémique" et soumis à des obligations renforcées. Concerne GPT-5, Claude Opus, Gemini Ultra, Mistral Large.
Obligations pour les déployeurs en entreprise
Si vous déployez un système IA, vos obligations dépendent de la catégorie. Pour le haut risque :
Pour les chatbots et contenus générés, l'obligation se résume à un étiquetage clair ("ce contenu a été généré par IA").
Les amendes prévues
- 35 millions € ou 7% CA mondial pour les pratiques interdites
- 15 millions € ou 3% pour les manquements aux obligations modèles
- 7,5 millions € ou 1% pour fourniture d'informations inexactes
Les autorités nationales (CNIL en France) sont chargées du contrôle, sous coordination de l'Office européen de l'IA basé à Bruxelles.
Impact pour ChatGPT, Claude, Mistral
Les 4 grands éditeurs ont publié leur système card AI Act en 2025. Mistral, en tant que champion européen, applique le texte sans surcoût notable. Anthropic a obtenu une approbation pour Claude Opus 4.7 en mars 2026. OpenAI a renforcé son équipe de conformité européenne et propose un mode "EU Mode" qui restreint certaines fonctionnalités. Google a déployé Gemini en région européenne dédiée.
Aucun grand modèle n'a été interdit en Europe à ce jour.
Articulation avec le RGPD
L'AI Act ne remplace pas le RGPD, il s'y ajoute :
- Le RGPD régit le traitement des données personnelles
- L AI Act régit le système IA lui-même
Une entreprise utilisant un chatbot doit respecter les deux. La CNIL a publié en 2025 un guide pratique consolidé.
Checklist pour les PME françaises
Pour une PME de 50 à 200 salariés : entre 15 000 et 80 000 euros selon les usages. Largement moins coûteux que la première amende.
Sanctions et précédents 2026
La Commission européenne a lancé 6 enquêtes depuis février 2025. Aucune amende finale prononcée à ce jour, mais plusieurs procédures sont en cours :
- OpenAI : transparence datasetL'ensemble des données d'entraînement d'un modèle. Sa qualité et sa diversité sont déterminantes pour la performance. insuffisante (en cours)
- xAI : usage de données scrapées sans consentement (en cours)
- Meta AI : reporting incidents tardif (en cours)
- DeepSeek : évaluations biais incomplètes (en cours)
- 2 acteurs non communiqués
Obligations sectorielles spécifiques
Recrutement / RH
Tri de CV automatisé = haut risque. Obligations :
- Analyse d'impact discrimination (genre, origine, âge, handicap)
- Documentation algorithme accessible aux candidats
- Possibilité de demander une révision humaine
- Audit annuel par tiers indépendant
Santé / Diagnostic
IA d'aide au diagnostic = haut risque. Obligations :
- Validation clinique préalable (HAS pour la France)
- Supervision médicale obligatoire
- Traçabilité des recommandations
- Conformité dispositif médical CE
Éducation / Évaluation
Systèmes évaluant les étudiants = haut risque. Obligations :
- Transparence sur les critères d'évaluation
- Recours possibles
- Pas de décision purement automatisée pour examens majeurs
Finance / Scoring
Scoring crédit / fraude détection = haut risque. Obligations :
- Explicabilité des refus
- Pas de discrimination indirecte
- Audit ACPR/AMF
AI Act vs régulations équivalentes
| Régulation | Zone | Approche | Sanctions max |
|---|---|---|---|
| AI Act | UE | Cadre transversal | 35M€ ou 7% CA |
| Executive Order on AI | US | Décrets fédéraux | variable |
| Interim Generative AI | Chine | Licence préalable | suspension service |
| AI Safety Bill | UK | En préparation | TBD |
| LGPD-IA | Brésil | En cours | TBD |
L'Europe reste la zone la plus stricte et la plus claire en 2026.
Cas concrets d'application
Cas #1 : SAV chatbot e-commerce
Risque limité (chatbot). Obligation : étiquetage clair "vous parlez à une IA".
Cas #2 : Tri CV cabinet de recrutement
Haut risque. Obligations complètes : analyse d'impact, supervision humaine, recours, audit.
Cas #3 : Génération images marketing
Risque limité (Midjourney). Obligation : étiqueter les contenus générés.
Cas #4 : Notation sociale en B2C
INTERDIT depuis février 2025.
Préparer son entreprise
Outils de mise en conformité
- Giskard (startup FR) : audit modèles, détection biais
- Holistic AI : compliance scoring
- Credo AI : governance plateforme
- TrustArc AI Compliance : pour grands groupes
Pour aller plus loin
- Notre actu AI Act amendes mai 2026
- Notre portrait Mistral AI
- Explore les investisseurs IA qui soutiennent la conformité
À lire aussi : AI Act : ce qui s'applique vraiment le 2 août 2026, notre décryptage de l'échéance clé pour les entreprises.
Questions fréquentes
- Qu'est-ce que l'AI Act ?
- L'AI Act est le règlement européen sur l'intelligence artificielle, adopté en mai 2024, qui classe les systèmes IA en quatre niveaux de risque (inacceptable, haut, limité, minimal) et impose des obligations proportionnées.
- Quand l'AI Act entre-t-il en vigueur ?
- Application progressive : interdictions depuis février 2025, obligations modèles depuis août 2025, obligations haut risque dès août 2026, application complète et sanctions en août 2027.
- Quelles sont les sanctions de l'AI Act ?
- Jusqu'à 35 millions d'euros ou 7 pourcent du chiffre d'affaires mondial pour les pratiques interdites. Jusqu'à 15 millions ou 3 pourcent pour les obligations modèles. Calquées sur le RGPD.
- Mon entreprise PME doit-elle se mettre en conformité ?
- Oui si vous utilisez de l'IA dans des cas haut risque (RH, santé, crédit, justice). Pour les usages standards (chatbot client, ChatGPT en interne), seules quelques règles de transparence s'appliquent. Coût moyen 15 000 à 80 000 euros.
- AI Act ou RGPD : lequel s'applique ?
- Les deux. Le RGPD régit les données personnelles, l'AI Act régit le système IA lui-même. Une entreprise doit se conformer aux deux textes en parallèle.
