L’intelligence artificielle passe du stade de l’expérimentation à celui d’outil du quotidien. Avec l’AI Act, l’Union européenne a créé un cadre juridique pour accompagner cette évolution. Le règlement est entré en vigueur en août 2024 et s’applique par étapes. Pour les organisations qui développent ou utilisent l’IA, la question n’est plus de savoir s’il s’applique, mais comment.

Une approche fondée sur les risques

L’AI Act ne réglemente pas l’IA en tant que technologie, mais certains de ses usages. Plus le risque pour la santé, la sécurité ou les droits fondamentaux des personnes est élevé, plus les règles sont strictes.

  • Risque inacceptable : des pratiques comme la notation sociale et certaines formes de manipulation sont interdites.
  • Haut risque : l’IA utilisée dans des domaines comme le recrutement, l’éducation, l’évaluation de la solvabilité, les infrastructures critiques et l’accès aux services publics doit respecter des exigences strictes en matière de gestion des risques, de qualité des données, de documentation, de transparence et de supervision humaine.
  • Risque limité : des systèmes comme les chatbots doivent indiquer clairement que l’on interagit avec une IA, et certains contenus générés par IA doivent être identifiables comme tels.
  • Risque minimal : la plupart des applications, comme les filtres anti-spam ou la recherche interne, peuvent être utilisées librement, même si les bonnes pratiques restent de mise.

Ce qui s’applique déjà

Les interdictions de pratiques inacceptables et l’obligation d’assurer une maîtrise suffisante de l’IA par le personnel s’appliquent depuis février 2025. Les règles relatives aux modèles d’IA à usage général ont suivi en août 2025. Le calendrier initial prévoyait août 2026 pour la plupart des autres obligations, dont de nombreux systèmes à haut risque, et 2027 pour certaines règles liées aux produits. L’UE a depuis proposé d’ajuster une partie de ce calendrier : vérifiez donc l’état actuel pour votre situation.

Fournisseur ou déployeur ?

Vos obligations dépendent de votre rôle. Les fournisseurs développent un système d’IA ou le mettent sur le marché ; les déployeurs utilisent un système d’IA sous leur propre autorité. La plupart des organisations sont des déployeurs : elles utilisent une IA conçue par d’autres. Les déployeurs de systèmes à haut risque doivent notamment utiliser le système conformément à sa notice, confier la supervision humaine à des personnes compétentes, surveiller son fonctionnement et, dans certains cas, réaliser une analyse d’impact sur les droits fondamentaux.

Cinq étapes concrètes

  • Recensez les systèmes d’IA que vous développez et utilisez, y compris les fonctions d’IA intégrées à vos logiciels existants.
  • Classez chaque cas d’usage selon son niveau de risque et déterminez si vous êtes fournisseur ou déployeur.
  • Investissez dans la maîtrise de l’IA, pour que vos équipes comprennent les possibilités et les limites des outils qu’elles utilisent.
  • Mettez en place une gouvernance : qui décide des nouveaux usages, qui les supervise et comment les incidents sont traités.
  • Articulez-vous avec vos obligations existantes, comme le RGPD, car de nombreuses applications d’IA traitent aussi des données personnelles.

La conformité comme gage de qualité

L’AI Act est parfois perçu comme un frein à l’innovation. D’après notre expérience, c’est souvent l’inverse. Les exigences de documentation, de tests et de supervision humaine relèvent tout simplement des bonnes pratiques d’ingénierie. Les organisations qui les intègrent dès le départ développent des solutions d’IA plus fiables, plus faciles à expliquer et mieux acceptées par leurs utilisateurs.

Vous voulez savoir ce que l’AI Act implique pour votre organisation ? Découvrez notre approche de l’IA & automatisation ou consultez notre centre de confiance.

Cet article fournit des informations générales et ne constitue pas un conseil juridique.