L'essentiel en bref
- L'AI Act, le règlement (UE) 2024/1689 sur l'intelligence artificielle, est entré en vigueur le 1er août 2024. En tant que règlement, il s'applique directement dans tous les États membres, sans loi nationale de transposition.
- Il s'applique par étapes : interdictions et obligation de maîtrise de l'IA depuis le 2 février 2025, règles sur les modèles d'IA à usage général depuis le 2 août 2025, obligations de transparence depuis le 2 août 2026. Le règlement (UE) 2026/1744 a reporté les obligations relatives aux systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).
- Il ne vise pas que les développeurs : les déployeurs qui utilisent l'IA à titre professionnel, les importateurs, les distributeurs et les fournisseurs de pays tiers sont concernés dès qu'un système d'IA est mis sur le marché de l'UE ou que ses résultats sont utilisés dans l'UE.
- Les amendes maximales atteignent 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites, 15 millions d'euros ou 3 % pour la plupart des autres obligations et 7,5 millions d'euros ou 1 % pour des informations inexactes. Pour les PME, le montant le plus bas s'applique.
- En Allemagne, l'Agence fédérale des réseaux (Bundesnetzagentur) est depuis le 29 juillet 2026 l'autorité centrale de surveillance du marché, le point de contact unique et l'organe de réclamation. La BaFin et les autorités sectorielles conservent leurs compétences.
Qu'est-ce que l'AI Act ?
L'AI Act est le premier texte juridique complet au monde sur l'intelligence artificielle. Son intitulé officiel est règlement (UE) 2024/1689. Le Parlement européen l'a adopté le 13 mars 2024 par 523 voix contre 46 et 49 abstentions, le Conseil l'a approuvé le 21 mai 2024, et il est entré en vigueur le 1er août 2024. En France, on parle aussi de règlement européen sur l'IA ou de règlement IA.
Une idée reçue concerne la forme juridique : l'AI Act n'est ni une directive ni une loi nationale. Contrairement à NIS2, aucun État membre n'a besoin de le transposer. Comme le RGPD, il s'applique directement. L'Allemagne devait seulement désigner les autorités chargées de le faire respecter (voir la section sur le contrôle plus bas). Pour savoir comment préparer concrètement votre entreprise, consultez notre guide de conformité à l'AI Act.
L'AI Act en un coup d'œil
| Caractéristique | Détail |
|---|---|
| Intitulé officiel | Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle (CELEX 32024R1689) |
| En vigueur depuis | 1er août 2024 |
| Forme juridique | Règlement européen, directement applicable |
| Application | Par étapes, du 2 février 2025 au 2 août 2028 |
| Rôles concernés | Fournisseurs, déployeurs, importateurs, distributeurs, fabricants de produits et mandataires |
| Niveaux de risque | Quatre : inacceptable, élevé, limité, minimal |
| Amende maximale | 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel |
| Contrôle | Bureau de l'IA de la Commission (modèles GPAI) et autorités nationales de surveillance du marché, en Allemagne la Bundesnetzagentur |
L'AI Act ne remplace pas le RGPD. Lorsqu'un système d'IA traite des données personnelles, les deux textes s'appliquent en parallèle. Les bases de la protection des données sont résumées dans notre guide du RGPD pour les entreprises.
Qui est concerné par l'AI Act ?
L'AI Act s'applique aux fournisseurs, aux déployeurs, aux importateurs, aux distributeurs, aux fabricants de produits et aux mandataires (art. 2, par. 1). Ce qui compte n'est pas le siège de l'entreprise, mais le fait qu'un système d'IA soit mis sur le marché de l'UE ou que ses résultats y soient utilisés. Un fournisseur établi dans un pays tiers est donc concerné au même titre qu'un fournisseur allemand ou français.
| Rôle | Ce que recouvre le rôle | Exemple |
|---|---|---|
| Fournisseur | Développe un système ou un modèle d'IA, ou le fait développer, et le met sur le marché sous son propre nom | Éditeur de logiciels avec une fonction d'IA dans son produit |
| Déployeur | Utilise un système d'IA sous sa propre autorité dans un cadre professionnel | Entreprise qui utilise un outil de présélection de candidatures assisté par IA |
| Importateur | Met pour la première fois sur le marché de l'UE le système d'IA d'un fournisseur de pays tiers | Filiale commerciale européenne d'un produit d'IA américain |
| Distributeur | Met un système d'IA à disposition sur le marché sans être fournisseur ni importateur | Revendeur d'un produit d'IA fini |
| Fabricant de produits | Met un système d'IA sur le marché avec son produit, sous son propre nom | Fabricant d'un dispositif médical avec IA intégrée |
Beaucoup de textes parlent d'« utilisateurs », mais le règlement emploie le terme de déployeur. La distinction compte, car les obligations diffèrent fortement. Si vous utilisez le système d'IA d'un tiers dans votre activité, vous êtes déployeur. Si vous commercialisez un système à haut risque sous votre propre nom ou si vous le modifiez substantiellement, vous devenez fournisseur au titre de l'art. 25.
Sont exclus les systèmes d'IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, les systèmes développés uniquement pour la recherche scientifique et l'usage purement privé et non professionnel par des personnes physiques (art. 2, par. 3, 6 et 10). Le texte complet est disponible dans le texte juridique officiel.
Quelles pratiques d'IA sont interdites depuis le 2 février 2025 ?
L'article 5 interdit huit groupes de pratiques d'IA, et ces interdictions s'appliquent depuis le 2 février 2025. Les infractions peuvent être sanctionnées d'une amende pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel. Sont interdits :
- les techniques subliminales ou manipulatrices qui altèrent sensiblement le comportement et causent un préjudice important
- l'exploitation de vulnérabilités liées à l'âge, au handicap ou à la situation sociale ou économique
- la notation sociale qui conduit à un traitement défavorable injustifié ou disproportionné
- la prédiction d'infractions pénales fondée uniquement sur le profilage ou sur des traits de personnalité
- la collecte non ciblée d'images faciales sur internet ou via la vidéosurveillance pour constituer des bases de données de reconnaissance faciale
- la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf pour des raisons médicales ou de sécurité
- la catégorisation biométrique qui déduit des caractéristiques sensibles comme les opinions politiques, la religion ou l'orientation sexuelle
- l'identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives, avec des exceptions strictement encadrées
Toute identification biométrique n'est donc pas interdite. L'interdiction vise l'identification à distance en temps réel à des fins répressives, et même dans ce cas, des exceptions limitées existent avec l'autorisation préalable d'une autorité judiciaire ou indépendante. Deux interdictions supplémentaires s'appliquent à partir du 2 décembre 2026 : les systèmes d'IA qui génèrent des contenus d'abus sexuels sur mineurs ou des images intimes non consenties.
Quels niveaux de risque l'AI Act distingue-t-il ?
L'AI Act répartit les systèmes d'IA en quatre niveaux de risque : inacceptable, élevé, limité et minimal. Plus le risque est élevé, plus les règles sont strictes. De nombreuses applications du quotidien, comme les filtres anti-spam, relèvent du niveau le plus bas et ne sont soumises à aucune obligation particulière.
| Niveau de risque | Règle | Exemples | S'applique à partir du |
|---|---|---|---|
| Inacceptable | Interdit (art. 5) | Notation sociale, collecte non ciblée d'images faciales | 2 février 2025 |
| Élevé | Exigences en matière de gestion des risques, de gouvernance des données, de documentation, de contrôle humain et d'évaluation de la conformité (art. 8 à 15) | IA de sélection de candidats, d'évaluation de la solvabilité | 2 décembre 2027 (annexe III), 2 août 2028 (annexe I) |
| Limité | Obligations de transparence (art. 50) | Chatbots, hypertrucages, contenus générés par IA | 2 août 2026 |
| Minimal | Aucune obligation particulière, codes de conduite volontaires | Filtres anti-spam, IA dans les jeux vidéo | sans objet |
Les obligations de transparence de l'art. 50 exigent notamment que les personnes sachent qu'elles échangent avec une IA et que les hypertrucages soient signalés. Pour le marquage lisible par machine des contenus synthétiques (art. 50, par. 2), les systèmes déjà sur le marché bénéficient d'un délai de grâce jusqu'au 2 décembre 2026.
Haut risque : les huit domaines de l'annexe III
L'annexe III énumère huit domaines dans lesquels les systèmes d'IA sont considérés à haut risque, sauf si l'exception de l'art. 6, par. 3 s'applique : la biométrie, les infrastructures critiques, l'éducation et la formation professionnelle, l'emploi et la gestion des travailleurs, l'accès aux services essentiels, privés et publics (par exemple l'évaluation de la solvabilité), la répression, la migration, l'asile et le contrôle aux frontières, ainsi que l'administration de la justice et les processus démocratiques. L'IA qui sert de composant de sécurité dans des produits relevant de l'annexe I, comme les dispositifs médicaux ou les jouets, est également à haut risque. Quels systèmes sont concernés dans un cas donné, et quand l'exception s'applique, c'est ce qu'explique notre article sur les systèmes d'IA à haut risque selon l'AI Act.
Un mythe répandu veut que les obligations pour les systèmes à haut risque ne concernent que les fournisseurs. Les déployeurs ont leurs propres obligations : ils doivent utiliser le système conformément à sa notice d'utilisation, confier le contrôle humain à des personnes compétentes, conserver les journaux générés automatiquement pendant au moins six mois et informer les représentants des travailleurs et les salariés concernés avant d'utiliser le système sur le lieu de travail (art. 26). Une entreprise qui déploie le système de gestion des candidatures d'un tiers n'est donc pas quitte parce que l'éditeur réalise l'évaluation de la conformité.
Maîtrise de l'IA selon l'article 4 : une obligation pour tous
L'article 4 s'applique à tous les fournisseurs et déployeurs, quel que soit le niveau de risque, et ce depuis le 2 février 2025. L'Omnibus a reformulé l'obligation : fournisseurs et déployeurs doivent prendre des mesures pour favoriser la maîtrise de l'IA. La Commission et les États membres doivent les y aider, en particulier les PME.
Cette obligation est souvent lue de façon plus stricte qu'elle ne l'est. Le règlement n'exige ni certificat ni niveau de compétence garanti pour chaque personne. Il demande des mesures appropriées, qui tiennent compte des connaissances, de l'expérience, de la formation et du contexte d'utilisation. Une entreprise qui utilise des chatbots en vente a donc besoin d'autres mesures qu'une entreprise qui recourt à l'IA pour sélectionner des candidats.
Que prévoit l'AI Act pour les modèles d'IA à usage général ?
Les obligations des fournisseurs de modèles d'IA à usage général (GPAI), par exemple les grands modèles de langage, s'appliquent depuis le 2 août 2025. Les modèles entraînés avec plus de 10^25 opérations en virgule flottante sont présumés présenter un risque systémique et sont soumis à des obligations supplémentaires (art. 51, par. 2 et art. 55). Les modèles mis sur le marché avant le 2 août 2025 doivent s'y conformer d'ici le 2 août 2027.
Depuis le 2 août 2026, la Commission peut infliger aux fournisseurs de modèles GPAI des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel (art. 101). Si vous vous contentez de connecter le modèle d'un tiers via une API, vous êtes en général déployeur du système d'IA et non fournisseur du modèle. Les obligations liées au modèle incombent alors à son fournisseur.
Qui fait respecter l'AI Act ?
Au niveau de l'UE, le Bureau de l'IA de la Commission supervise les modèles d'IA à usage général. Les autorités nationales de surveillance du marché contrôlent tout le reste. L'Allemagne a réparti les compétences dans sa loi sur la surveillance du marché de l'IA et la promotion de l'innovation (KI-MIG), signée le 22 juillet 2026 et en vigueur depuis le 29 juillet 2026.
| Autorité | Compétence selon la KI-MIG |
|---|---|
| Agence fédérale des réseaux (Bundesnetzagentur) | Autorité de surveillance du marché par défaut (§ 2, al. 1), centre de coordination et de compétence (§ 5), point de contact unique (§ 6), organe central de réclamation (§ 8) |
| Chambre de surveillance du marché de l'IA au sein de la Bundesnetzagentur | Certains systèmes de l'annexe III, notamment répression, gestion des frontières, justice et processus démocratiques (§ 4 et § 2, al. 5) |
| BaFin | Systèmes d'IA des établissements financiers qu'elle supervise (§ 2, al. 3) |
| Autorités sectorielles de la législation sur les produits | IA dans les produits relevant de l'annexe I, section A (§ 2, al. 2) |
| Autorités des Länder | Organismes publics des Länder et certains fournisseurs de médias (§ 2, al. 6 et 8) |
Pour les entreprises actives en Allemagne, la Bundesnetzagentur est le premier interlocuteur. Elle exploite un service d'assistance sur l'IA destiné surtout aux PME et aux start-ups, avec notamment un outil en ligne pour une première classification du risque, et met en place un bac à sable réglementaire pour l'IA (§ 13). La KI-MIG prévoit elle-même des amendes pouvant atteindre 50 000 euros (§ 15, al. 3), par exemple en cas de manquement à certaines obligations de coopération et de documentation, et les autorités fédérales et des Länder en sont exemptées (§ 17, al. 2). Les plafonds bien plus élevés de l'AI Act s'appliquent en plus.
Quel est le montant des amendes prévues par l'AI Act ?
L'AI Act prévoit trois paliers d'amendes, et c'est à chaque fois le plus élevé des deux montants qui s'applique. Pour les PME, y compris les start-ups, c'est au contraire le montant le plus bas (art. 99, par. 6).
| Infraction | Plafond | Disposition |
|---|---|---|
| Pratiques d'IA interdites | 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel | Art. 99, par. 3 |
| Obligations des fournisseurs, déployeurs, importateurs, distributeurs et organismes notifiés, dont les obligations de transparence de l'art. 50 | 15 millions d'euros ou 3 % | Art. 99, par. 4 |
| Informations inexactes, incomplètes ou trompeuses fournies aux autorités | 7,5 millions d'euros ou 1 % | Art. 99, par. 5 |
| Infractions des fournisseurs de modèles d'IA à usage général (amende infligée par la Commission) | 15 millions d'euros ou 3 % | Art. 101 |
Un scénario à titre d'illustration : une entreprise réalisant 400 millions d'euros de chiffre d'affaires annuel manque à une obligation de déployeur. Trois pour cent du chiffre d'affaires représentent 12 millions d'euros, mais comme le montant le plus élevé s'applique, le plafond est de 15 millions d'euros. Avec 1 milliard d'euros de chiffre d'affaires, il serait en revanche de 30 millions d'euros.
Quel calendrier après l'Omnibus ?
L'AI Act s'applique en principe depuis le 2 août 2026, mais les obligations relatives aux systèmes à haut risque ne démarrent qu'en décembre 2027. Le règlement (UE) 2026/1744, l'Omnibus numérique sur l'IA, est entré en vigueur le 27 juillet 2026 et a ajusté les échéances.
| Date | Ce qui s'applique |
|---|---|
| 1er août 2024 | Entrée en vigueur de l'AI Act |
| 2 février 2025 | Interdictions de l'art. 5 et obligation de maîtrise de l'IA de l'art. 4 |
| 2 août 2025 | Obligations pour les modèles d'IA à usage général, structures de gouvernance et règles de sanction |
| 27 juillet 2026 | Entrée en vigueur du règlement (UE) 2026/1744 (Omnibus) |
| 29 juillet 2026 | Entrée en vigueur de la KI-MIG allemande, la Bundesnetzagentur prend ses fonctions |
| 2 août 2026 | Application générale, obligations de transparence de l'art. 50, pouvoir de sanction de la Commission à l'égard des fournisseurs GPAI |
| 2 décembre 2026 | Deux nouvelles interdictions (contenus d'abus), fin du délai de grâce de l'art. 50, par. 2 pour les systèmes déjà sur le marché |
| 2 août 2027 | Échéance pour les modèles GPAI mis sur le marché avant le 2 août 2025 et pour au moins un bac à sable réglementaire par État membre |
| 2 décembre 2027 | Obligations relatives aux systèmes à haut risque de l'annexe III |
| 2 août 2028 | Obligations relatives aux systèmes à haut risque de l'annexe I (IA intégrée dans des produits) |
Un mythe répandu veut que l'AI Act ne s'applique qu'à partir de 2027. En réalité, les interdictions, la maîtrise de l'IA, les règles GPAI et les obligations de transparence s'appliquent déjà. Si vous retenez encore le 2 août 2026 comme début des obligations pour les systèmes à haut risque, cette information est dépassée : la date a été reportée.
Ce que l'Omnibus a changé au-delà des échéances
L'Omnibus ne s'est pas contenté de décaler des dates. Quatre changements concernent directement les entreprises :
- Les petites et moyennes entreprises ainsi que les petites entreprises de taille intermédiaire (small mid-caps) bénéficient d'une documentation technique simplifiée, d'un système de gestion de la qualité proportionné, de sanctions atténuées et d'un accès prioritaire aux bacs à sable réglementaires.
- Les machines relevant du règlement (UE) 2023/1230 sortent de l'annexe I. Les dispositifs médicaux et les jouets restent entièrement couverts.
- Les organismes notifiés passent par une procédure de désignation unique, et ceux déjà désignés au titre de la législation sectorielle bénéficient d'un régime transitoire.
- Le Bureau de l'IA supervise désormais aussi les systèmes d'IA fondés sur un modèle du même fournisseur, ainsi que l'IA dans les très grandes plateformes en ligne et les très grands moteurs de recherche au sens du règlement sur les services numériques.
Quel lien entre l'AI Act, le RGPD, l'ISO 42001 et NIS2 ?
L'AI Act complète ces référentiels et n'en remplace aucun. Trois points de contact comptent particulièrement pour les entreprises.
Côté protection des données, certains déployeurs doivent réaliser une analyse d'impact sur les droits fondamentaux avant de mettre en service un système à haut risque (art. 27). Cela concerne les organismes publics, les entités privées qui fournissent des services publics et les déployeurs de systèmes d'évaluation de la solvabilité ou d'évaluation des risques en assurance vie et santé. Si une analyse d'impact relative à la protection des données (AIPD) existe déjà au titre de l'art. 35 du RGPD, l'analyse d'impact sur les droits fondamentaux la complète. Notre guide du RGPD explique en détail le volet protection des données.
Côté système de management, l'ISO 42001 donne à un système de management de l'IA sa structure de responsabilités, d'évaluation des risques et de documentation. La norme n'est toutefois pas harmonisée : un certificat ne prouve donc pas automatiquement la conformité à l'AI Act. Son principal intérêt est de vous aider à satisfaire les exigences en continu plutôt qu'une seule fois.
Côté sécurité, l'art. 15 exige des systèmes à haut risque un niveau approprié d'exactitude, de robustesse et de cybersécurité. Si vous exploitez déjà un SMSI selon l'ISO 27001 ou si vous mettez en œuvre les obligations de la directive NIS2, vous disposez d'une base pour cela. Notre article sur l'ISO 27090 explique ce que la nouvelle norme de sécurité de l'IA signifie pour un SMSI ISO 27001.
Par où commencer et comment Kertos vous accompagne
Commencez par trois étapes : recensez tous les systèmes d'IA de votre organisation, y compris les outils que personne n'a validés officiellement. Déterminez votre rôle et le niveau de risque de chaque système. Puis désignez une personne qui suit les systèmes et les échéances. Notre guide de conformité à l'AI Act vous accompagne pas à pas dans la checklist complète.
La plupart des obligations supposent que vous sachiez quels systèmes d'IA votre organisation exploite. Avec l'AI Risk Assessment de Kertos, vous recensez et évaluez vos systèmes d'IA, et l'AIMS traduit un système de management de l'IA selon l'ISO 42001. Pour une vue d'ensemble des référentiels, consultez notre page sur l'AI Act. Des experts certifiés de Kertos vous accompagnent. Si vous souhaitez voir comment classer vos systèmes d'IA, réservez une démo.
Questions fréquentes
L'AI Act est-il la même chose que le règlement européen sur l'IA ?
Oui. Le règlement européen sur l'IA, ou règlement IA, est la désignation française du règlement (UE) 2024/1689, et AI Act est son nom anglais. Sur le plan juridique, il s'agit d'un règlement et non d'une loi nationale, même si on parle souvent de loi européenne sur l'IA.
L'AI Act est-il déjà en vigueur ?
Oui, il est en vigueur depuis le 1er août 2024 et s'applique par étapes. Les interdictions et la maîtrise de l'IA s'appliquent depuis le 2 février 2025, les règles GPAI depuis le 2 août 2025 et les obligations de transparence depuis le 2 août 2026. Les obligations pour les systèmes à haut risque s'appliquent à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I).
Qui fait respecter l'AI Act en Allemagne ?
Par défaut, la Bundesnetzagentur, qui exerce depuis le 29 juillet 2026 les fonctions d'autorité de surveillance du marché, de point de contact unique et d'organe de réclamation. La BaFin est compétente pour les établissements financiers, et l'autorité sectorielle concernée pour l'IA dans les produits de l'annexe I, section A.
L'AI Act s'applique-t-il aux entreprises hors de l'UE ?
Oui. Les fournisseurs et déployeurs établis dans un pays tiers sont concernés lorsque les résultats de leur système d'IA sont utilisés dans l'UE (art. 2, par. 1, point c). Les fournisseurs de pays tiers doivent en outre, dans de nombreux cas, désigner un mandataire dans l'UE.
Quel est le montant des amendes prévues par l'AI Act ?
Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites, jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres obligations et jusqu'à 7,5 millions d'euros ou 1 % pour des informations inexactes. Le montant le plus élevé s'applique et, pour les PME, le plus bas.
