L'EU AI Act, officiellement le Règlement (UE) 2024/1689 du Parlement européen et du Conseil, est le premier cadre juridique complet au monde dédié à l'intelligence artificielle. Adopté le 13 juin 2024 et publié au Journal Officiel de l'Union Européenne le 12 juillet 2024, il est entré en vigueur le 1er août 2024.
Son objectif est double : protéger les droits fondamentaux des citoyens européens face aux risques potentiels de l'IA, tout en permettant le développement d'une IA digne de confiance dans l'Union Européenne. Le règlement adopte une approche basée sur le risque : plus le risque potentiel d'un système d'IA est élevé, plus les obligations qui lui sont imposées sont strictes.
L'EU AI Act n'est pas une loi sur la protection des données. Il complète le RGPD sans le remplacer. Si vous utilisez de l'IA et traitez des données personnelles, les deux textes s'appliquent simultanément.
Le règlement s'applique à toute organisation qui place des systèmes d'IA sur le marché européen ou les met en service dans l'Union Européenne, quelle que soit sa localisation géographique. Une entreprise américaine, canadienne ou japonaise qui déploie un système d'IA utilisé en Europe est donc concernée.
Un fournisseur (provider) est toute personne ou organisation qui développe un système d'IA ou le fait développer, dans le but de le mettre sur le marché sous son propre nom. Si vous avez développé un outil d'IA en interne pour votre propre usage, vous pouvez également être considéré comme fournisseur si cet outil est à haut risque.
Un déployeur (deployer) est toute organisation qui utilise un système d'IA dans un contexte professionnel. Si vous achetez et utilisez un logiciel de recrutement basé sur l'IA pour analyser des candidatures, vous êtes déployeur. Les déployeurs ont des obligations propres, distinctes de celles des fournisseurs.
Le règlement classe les systèmes d'IA en quatre catégories selon leur niveau de risque potentiel :
Systèmes interdits depuis le 2 février 2025. Exemples : notation sociale par les pouvoirs publics, manipulation subliminale, reconnaissance biométrique en temps réel dans les espaces publics (avec exceptions).
Systèmes dans des secteurs sensibles (RH, santé, éducation, finance, justice). Obligations de documentation, supervision humaine, gestion des risques, enregistrement auprès de l'EU AI Office.
Chatbots, générateurs de contenu, deepfakes. Obligation principale : informer les utilisateurs qu'ils interagissent avec une IA. En vigueur depuis août 2026.
Filtres anti-spam, recommandations de contenu, IA dans les jeux vidéo. Aucune obligation réglementaire spécifique imposée par l'EU AI Act.
Les systèmes classifiés à haut risque sont soumis à un ensemble d'obligations détaillées avant leur mise sur le marché et pendant toute leur durée d'exploitation :
Les fournisseurs doivent maintenir une documentation technique complète décrivant le système : objectif, données d'entraînement, architecture, performances, limitations, tests de biais. Cette documentation doit être disponible sur demande des autorités de contrôle.
Les systèmes à haut risque doivent permettre une supervision humaine effective. Cela signifie que des personnes qualifiées doivent être en mesure de comprendre les capacités et les limites du système, de surveiller son fonctionnement, d'intervenir ou de l'arrêter, et de ne pas se fier aveuglément à ses décisions.
Un système de gestion des risques doit être établi, maintenu et documenté tout au long du cycle de vie du système d'IA. Ce système doit identifier les risques raisonnablement prévisibles, les évaluer et mettre en oeuvre des mesures de gestion appropriées.
Les systèmes à haut risque doivent enregistrer automatiquement les événements pertinents (logs) pendant leur fonctionnement, afin de permettre la traçabilité des décisions et d'éventuelles enquêtes post-déploiement.
Les fournisseurs doivent concevoir leurs systèmes de façon à permettre aux déployeurs de comprendre leur fonctionnement. Des instructions d'utilisation claires et des informations sur les performances, les limitations et les risques résiduels doivent être fournies.
Le Digital Omnibus, adopté par le Conseil de l'UE le 29 juin 2026, a repoussé certaines échéances. Les obligations pour les systèmes à haut risque de l'Annexe III sont maintenant prévues pour décembre 2027, sous réserve de la disponibilité des normes harmonisées.
Les violations de l'EU AI Act peuvent entraîner des sanctions financières significatives, calculées en pourcentage du chiffre d'affaires mondial annuel :
Pour les PMEs et les startups, des plafonds plus bas s'appliquent si le montant proportionnel est inférieur au montant absolu. L'autorité de surveillance nationale est compétente pour enquêter et sanctionner, sauf pour les systèmes GPAI qui relèvent de la Commission européenne.
Les modèles d'IA à usage général (GPAI) - comme GPT, Claude, Gemini ou Llama - sont soumis à un régime spécifique depuis août 2025 (Articles 51-56). Ces modèles sont entraînés sur de grandes quantités de données et peuvent réaliser une large gamme de tâches distinctes.
Si votre entreprise utilise un modèle GPAI via une API pour construire un produit ou service, vous êtes considéré comme déployeur du modèle. Les obligations varient selon que le modèle est open-source ou propriétaire, et selon son niveau de puissance de calcul utilisé pour l'entraînement.
Vous utilisez ChatGPT, Claude ou Gemini dans votre produit ? Vous avez des obligations de transparence envers vos utilisateurs depuis août 2026 (Article 50). Ils doivent savoir qu'ils interagissent avec une IA.
Répondez à 17 questions et obtenez une analyse de votre situation. Simulateur pédagogique gratuit.
Démarrer le simulateur gratuitPas un avis juridique. Simulateur pédagogique uniquement.