AI Act : l’Europe entre dans le dur, les entreprises cherchent encore le mode d’emploi

Deux ans après son entrée en vigueur, l’AI Act commence à produire des effets concrets. Depuis le 2 août 2026, la Commission européenne et les autorités nationales disposent de nouveaux pouvoirs pour faire appliquer plusieurs pans du règlement européen sur l’intelligence artificielle.

Les obligations de transparence sont également entrées en application. Un chatbot doit, dans certains cas, indiquer à son interlocuteur qu’il échange avec une machine. Les deepfakes doivent être signalés. Les contenus générés ou manipulés par IA doivent pouvoir être identifiés selon les modalités prévues par le texte.

L’échéance était attendue depuis l’adoption du règlement en 2024. Elle arrive pourtant dans un calendrier devenu plus complexe. Le 27 juillet, un règlement de simplification surnommé AI Omnibus est entré en vigueur afin de repousser plusieurs échéances concernant les systèmes les plus sensibles.

L’AI Act est donc applicable, mais pas encore dans son intégralité. Pour les entreprises, l’urgence n’est pas seulement de se mettre en conformité. Elle est d’abord de savoir quelles obligations leur correspondent vraiment.

Un règlement construit sur le risque

Le règlement 2024/1689, adopté le 13 juin 2024, ne traite pas toutes les intelligences artificielles de la même manière. Il repose sur une idée simple : plus un usage peut affecter la sécurité, les droits fondamentaux ou la situation d’une personne, plus les contraintes augmentent.

Certaines pratiques sont interdites. D’autres relèvent du haut risque. Certains systèmes doivent seulement respecter des obligations de transparence. Une grande partie des outils à faible risque reste en dehors des régimes les plus lourds.

Cette logique rend le texte moins lisible pour les entreprises. Dire qu’une société « utilise de l’IA » ne suffit pas. Il faut identifier l’outil, son usage, les données mobilisées, les personnes concernées et le rôle exact joué par l’entreprise dans la chaîne.

Le même outil peut changer de régime selon son usage

Une entreprise peut utiliser un système automatisé pour classer ses courriers indésirables. Une autre peut intégrer une technologie proche dans un outil chargé de présélectionner des candidatures. Techniquement, les deux dispositifs peuvent se ressembler. Juridiquement, ils n’occupent pas la même place.

L’AI Act vise notamment certains usages dans le recrutement, l’éducation, la biométrie, les infrastructures critiques, l’accès à des services essentiels, la migration ou l’administration de la justice. Le règlement regarde moins la technologie en elle-même que la fonction qui lui est confiée.

L’article 5, consacré aux pratiques interdites, illustre cette approche. Certaines formes de notation sociale, l’exploitation de vulnérabilités pour manipuler le comportement d’une personne, plusieurs usages de reconnaissance biométrique ou certains systèmes destinés à déduire les émotions au travail ou dans l’enseignement ont été placés hors du jeu.

Une partie de ces interdictions s’applique depuis le 2 février 2025. Le non-respect peut exposer une entreprise à une amende allant jusqu’à 35 millions d’euros ou 7 % de son chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu dans les conditions prévues par le règlement.

Avant de chercher à rendre un système conforme, une direction juridique doit donc répondre à une question plus directe : l’entreprise a-t-elle le droit de l’utiliser pour cet usage ?

Les obligations les plus lourdes sont repoussées

Les systèmes dits à haut risque restent la partie la plus exigeante du texte. Le règlement prévoit pour eux une gestion des risques, des exigences sur les données, une documentation, une traçabilité des opérations, une information du déployeur, une supervision humaine, ainsi que des obligations de robustesse, de précision et de cybersécurité.

Ces règles devaient occuper une place centrale dans l’entrée en application du règlement en 2026. Elles attendront finalement. Le Digital Omnibus on AI, adopté le 8 juillet et entré en vigueur le 27 juillet 2026, a déplacé le calendrier.

Les règles visant les usages à haut risque recensés à l’annexe III, où figurent notamment certaines IA utilisées dans le recrutement, l’éducation ou la biométrie, commenceront à s’appliquer le 2 décembre 2027. Pour les systèmes à haut risque intégrés à certains produits réglementés, comme des machines, des jouets ou des ascenseurs, l’échéance est fixée au 2 août 2028.

Ce report ne met pas les entreprises à l’abri jusque-là. D’autres obligations sont déjà en vigueur et peuvent concerner des usages beaucoup plus ordinaires.

Les chatbots et les contenus synthétiques sont déjà visés

La transparence est désormais l’un des effets les plus visibles de l’AI Act. Lorsqu’une personne échange avec certains systèmes d’IA, elle doit pouvoir savoir qu’elle ne parle pas à un être humain.

Un client qui discute avec le chatbot d’une banque, d’un opérateur ou d’un service en ligne doit donc, lorsque les conditions de l’article 50 sont réunies, être informé de la nature artificielle de son interlocuteur.

Les fournisseurs de systèmes générant du texte, de l’image, de l’audio ou de la vidéo doivent aussi permettre l’identification technique des contenus produits ou manipulés artificiellement. Les deepfakes doivent faire l’objet d’une information visible, sous réserve des exceptions prévues par le règlement.

Une entreprise n’a donc pas besoin de développer une IA médicale ou un système de reconnaissance faciale pour être concernée. Une fonction générative intégrée à un produit, un chatbot destiné aux clients ou certains contenus synthétiques peuvent suffire à faire entrer l’article 50 dans la discussion.

Les grands modèles ont leur propre régime

Le règlement consacre aussi un régime spécifique aux modèles d’intelligence artificielle à usage général, ou GPAI. Ces modèles peuvent accomplir un grand nombre de tâches et servir de fondation à de multiples services. Les grands modèles de langage en sont l’exemple le plus visible.

Les obligations visant leurs fournisseurs ont commencé à s’appliquer le 2 août 2025. Elles portent notamment sur la documentation, les informations à fournir aux acteurs qui intègrent ces modèles dans leurs propres systèmes, le respect du droit d’auteur et, pour les modèles présentant des risques systémiques, des exigences supplémentaires d’évaluation et de réduction des risques.

Cette partie du texte concerne aussi les entreprises qui ne développent pas elles-mêmes de modèles. Une startup peut bâtir son produit sur le modèle d’un autre acteur. Un éditeur peut ajouter une fonction générative grâce à une API. Une entreprise peut acheter une solution qui repose déjà sur plusieurs briques fournies par différents prestataires.

À chaque étage, il faut savoir qui fournit le système, qui l’intègre, qui l’utilise et quelles informations circulent entre les acteurs.

Acheter une IA ne transfère pas tout le risque

Acheter son logiciel à un prestataire ne dispense pas l’entreprise de toute obligation. L’AI Act distingue notamment le fournisseur, qui développe ou commercialise le système sous son nom, du déployeur, qui l’utilise dans son activité professionnelle.

Le texte prévoit aussi le cas des importateurs, distributeurs, mandataires et fournisseurs de modèles d’IA à usage général. Les obligations changent selon la place occupée dans cette chaîne.

Une entreprise qui achète un logiciel de recrutement à un éditeur ne devient pas automatiquement responsable de tout ce qui concerne la conception du système. Mais elle ne peut pas non plus considérer que la signature du contrat transfère l’intégralité du risque juridique.

Pour les systèmes à haut risque, les déployeurs auront notamment leurs propres obligations de supervision, d’utilisation conformément aux instructions et de conservation de certains journaux lorsque ceux-ci sont placés sous leur contrôle.

Une modification substantielle d’un système ou sa commercialisation sous sa propre marque peut également changer la qualification juridique de l’entreprise qui l’exploite.

Les contrats SaaS vont devoir suivre

Cette répartition des rôles devrait rapidement entrer dans les contrats. Lorsqu’une entreprise achète aujourd’hui un outil d’intelligence artificielle, les échanges portent souvent sur le prix, la sécurité, la confidentialité, les données ou le niveau de service.

L’AI Act ajoute d’autres questions. Quelle qualification le fournisseur donne-t-il à son système ? Quelles informations transmet-il à son client ? Qui surveille les évolutions réglementaires ? Que se passe-t-il lorsqu’une fonctionnalité nouvelle modifie l’usage du produit ? Le client dispose-t-il des éléments nécessaires pour organiser une supervision humaine ?

Ces sujets devraient progressivement entrer dans les contrats SaaS, les licences technologiques, les audits fournisseurs et les opérations de due diligence. L’achat d’un outil d’IA n’est plus seulement un choix informatique. Il devient aussi un choix réglementaire.

Le premier chantier reste l’inventaire

Avant d’analyser les contrats ou de classer les systèmes par niveau de risque, les entreprises doivent retrouver les outils qu’elles utilisent déjà. Dans les directions informatiques, le sujet est souvent résumé par une expression : le shadow AI.

Un salarié utilise ChatGPT pour préparer un compte rendu. Un autre emploie un logiciel de transcription automatique. Des développeurs testent un assistant de code. Le marketing génère des visuels. Les ressources humaines achètent une solution qui promet de prioriser les candidatures.

Pris isolément, certains usages paraissent banals. Pris ensemble, ils compliquent la tâche des directions juridiques, qui ne peuvent pas appliquer l’AI Act à des systèmes dont elles ignorent l’existence.

L’inventaire devient donc le point de départ : quels outils sont utilisés, par quelles équipes, pour quelles fonctions, avec quelles données, et dans quelle mesure le système intervient-il dans une décision concernant une personne ?

La Commission rappelle que la grande majorité des systèmes d’IA utilisés dans l’Union relèvent d’un risque minimal ou nul et ne sont pas soumis aux régimes les plus contraignants. Encore faut-il avoir examiné le système pour pouvoir l’affirmer.

Un réflexe proche du RGPD

En 2018, le RGPD avait obligé des milliers d’entreprises à se demander où étaient leurs données personnelles, pourquoi elles les conservaient, avec qui elles les partageaient et sur quelle base elles les utilisaient.

L’AI Act pourrait produire un mouvement comparable, avec un objet différent. La question n’est plus seulement de savoir quelles données sont traitées. Elle devient : quels systèmes sont utilisés, et que leur permet-on de faire ?

Le parallèle a ses limites. L’AI Act et le RGPD n’ont pas la même logique, le même champ d’application ni les mêmes obligations. Mais pour les directions juridiques, le résultat organisationnel pourrait se ressembler : cartographies, procédures internes, contrats revus, répartition des responsabilités et dialogue plus étroit avec les équipes techniques.

Le 2 août 2026 n’a donc pas marqué un basculement uniforme. Les obligations les plus lourdes ont en partie été repoussées. D’autres sont déjà applicables. Le calendrier continuera de se dérouler jusqu’en 2028.

Pour les entreprises, le travail commence par trois questions : quelle IA utilisons-nous, pour faire quoi, et quel rôle le règlement nous attribue-t-il ? C’est seulement après y avoir répondu que l’AI Act devient lisible.

Repères

1er août 2024 : entrée en vigueur de l’AI Act. 2 février 2025 : premières pratiques interdites applicables. 2 août 2025 : application des règles relatives aux modèles d’IA à usage général. 2 août 2026 : application générale du règlement et des obligations de transparence de l’article 50. 2 décembre 2027 : principales règles visant les systèmes à haut risque de l’annexe III. 2 août 2028 : règles visant certains systèmes à haut risque intégrés dans des produits réglementés.

Textes et sources

Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 sur l’intelligence artificielle. Règlement (UE) 2026/1744 du 8 juillet 2026 relatif à la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle. Commission européenne, lignes directrices relatives aux obligations de transparence de l’article 50, 20 juillet 2026.