L'EU AI Act, officiellement le Règlement (UE) 2024/1689 du Parlement européen et du Conseil, est le premier cadre juridique complet au monde dédié à l'intelligence artificielle. Signé le 13 juin 2024 et publié au Journal officiel de l'Union européenne le 12 juillet 2024, il est entré en vigueur le 1er août 2024. Il a été modifié par le Règlement (UE) 2026/1744 (« Digital Omnibus »), publié le 24 juillet 2026.
Son objectif est double : protéger les droits fondamentaux des citoyens européens face aux risques potentiels de l'IA, tout en permettant le développement d'une IA digne de confiance dans l'Union Européenne. Le règlement adopte une approche basée sur le risque : plus le risque potentiel d'un système d'IA est élevé, plus les obligations qui lui sont imposées sont strictes.
L'EU AI Act n'est pas une loi sur la protection des données. Il complète le RGPD sans le remplacer. Si vous utilisez de l'IA et traitez des données personnelles, les deux textes s'appliquent simultanément.
Le règlement s'applique à toute organisation qui place des systèmes d'IA sur le marché européen ou les met en service dans l'Union Européenne, quelle que soit sa localisation géographique. Une entreprise américaine, canadienne ou japonaise qui déploie un système d'IA utilisé en Europe est donc concernée.
Un fournisseur (provider) est toute personne ou organisation qui développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. Une entreprise qui développe un outil d'IA et le met en service pour son propre usage est donc aussi fournisseur de cet outil.
Un déployeur (deployer) est toute personne ou organisation qui utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. Si vous achetez et utilisez un logiciel de recrutement basé sur l'IA pour analyser des candidatures, vous êtes déployeur. Les déployeurs ont des obligations propres, distinctes de celles des fournisseurs.
Le règlement classe les systèmes d'IA en quatre catégories selon leur niveau de risque potentiel :
Pratiques interdites depuis le 2 février 2025 (article 5). Exemples : notation sociale, manipulation préjudiciable, reconnaissance des émotions au travail ou à l'école, identification biométrique à distance en temps réel dans l'espace public à des fins répressives (sauf exceptions strictes).
Usages listés à l'annexe III (emploi, éducation, crédit, biométrie, services essentiels, justice…) ou composants de sécurité de produits réglementés (annexe I). Obligations : gestion des risques, documentation, contrôle humain, journalisation, enregistrement dans la base de données de l'UE. Applicables au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).
Chatbots, contenus générés, hypertrucages (article 50). Informer les personnes qu'elles interagissent avec une IA, marquer les contenus générés. Applicable depuis le 2 août 2026.
Filtres anti-spam, recommandations de produits, IA dans les jeux vidéo. Pas d'obligation spécifique, au-delà des mesures de maîtrise de l'IA du personnel (article 4).
Les systèmes classifiés à haut risque sont soumis à un ensemble d'obligations détaillées avant leur mise sur le marché et pendant toute leur durée d'exploitation :
Les fournisseurs doivent maintenir une documentation technique complète décrivant le système : objectif, données d'entraînement, architecture, performances, limitations, tests de biais. Cette documentation doit être disponible sur demande des autorités de contrôle.
Les systèmes à haut risque doivent permettre une supervision humaine effective. Cela signifie que des personnes qualifiées doivent être en mesure de comprendre les capacités et les limites du système, de surveiller son fonctionnement, d'intervenir ou de l'arrêter, et de ne pas se fier aveuglément à ses décisions.
Un système de gestion des risques doit être établi, maintenu et documenté tout au long du cycle de vie du système d'IA. Ce système doit identifier les risques raisonnablement prévisibles, les évaluer et mettre en oeuvre des mesures de gestion appropriées.
Les systèmes à haut risque doivent enregistrer automatiquement les événements pertinents (logs) pendant leur fonctionnement, afin de permettre la traçabilité des décisions et d'éventuelles enquêtes post-déploiement.
Les fournisseurs doivent concevoir leurs systèmes de façon à permettre aux déployeurs de comprendre leur fonctionnement. Des instructions d'utilisation claires et des informations sur les performances, les limitations et les risques résiduels doivent être fournies.
Le Règlement (UE) 2026/1744 (« Digital Omnibus »), publié au Journal officiel le 24 juillet 2026, a reporté les obligations des systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). Voir notre page dédiée.
Les violations de l'EU AI Act peuvent entraîner des sanctions financières significatives, calculées en pourcentage du chiffre d'affaires mondial annuel :
Pour les PME et start-up, c'est le montant le plus bas des deux qui s'applique (article 99, paragraphe 6). Les autorités de surveillance du marché de chaque État membre enquêtent et sanctionnent ; la Commission européenne est compétente pour les fournisseurs de modèles d'IA à usage général.
Les modèles d'IA à usage général (GPAI) - comme GPT, Claude, Gemini ou Llama - sont soumis à un régime spécifique depuis août 2025 (Articles 51-56). Ces modèles sont entraînés sur de grandes quantités de données et peuvent réaliser une large gamme de tâches distinctes.
Les obligations propres aux modèles pèsent sur leurs fournisseurs. Si votre entreprise construit un produit sur un tel modèle via une API, elle est en principe fournisseur de son propre système d'IA : ses obligations dépendent de ce que fait ce système (transparence, éventuellement haut risque). Voir notre guide GPAI.
Votre produit dialogue avec des personnes grâce à un modèle comme ChatGPT, Claude, Gemini ou Mistral ? Depuis le 2 août 2026, elles doivent savoir qu'elles interagissent avec une IA (article 50).
17 questions pour une première estimation indicative. Gratuit.
Lancer le pré-diagnosticOutil d'auto-évaluation, pas un avis juridique.