L’AI Act est le premier règlement européen qui encadre la mise sur le marché et l’utilisation des systèmes d’intelligence artificielle. Entré en vigueur en août 2024, il classe chaque système d’IA selon son niveau de risque et impose des obligations proportionnées, de la simple information de l’utilisateur jusqu’à l’interdiction pure et simple. Pour une entreprise qui déploie de l’IA, cette classification façonne sa stratégie technologique des prochaines années.
L’AI Act, la première loi au monde sur l’intelligence artificielle
Le règlement (UE) 2024/1689, surnommé AI Act, est adopté par le Parlement européen le 13 mars 2024 et publié au Journal officiel de l’Union européenne le 12 juillet 2024. Il s’agit d’une réglementation produit : elle ne vise pas une technologie en particulier mais les usages concrets des systèmes d’intelligence artificielle commercialisés sur le marché européen. Un système conforme obtient le marquage CE, la même certification que pour un jouet ou un appareil électrique. Cette approche par les risques distingue le texte d’une loi qui interdirait des technologies entières : ce qui compte, c’est l’usage prévu du système, pas la technique sous-jacente. Cette architecture inédite, à mi-chemin entre droit de la consommation et régulation numérique, illustre plus largement les défis juridiques posés par l’intelligence artificielle.
Quatre niveaux de risque pour classer les systèmes d’IA
La classification distingue quatre catégories, du système totalement banni à celui qui ne demande aucune formalité particulière.
- Risque inacceptable : notation sociale, manipulation subliminale, exploitation des vulnérabilités liées à l’âge ou au handicap. Ces usages sont interdits depuis le 2 février 2025.
- Haut risque : recrutement, crédit bancaire, éducation, justice, dispositifs médicaux (un secteur où les enjeux éthiques de la santé connectée sont particulièrement sensibles). Ces systèmes exigent une documentation technique, une gestion des risques et une supervision humaine.
- Risque limité : chatbots, hypertrucages, générateurs de contenu. L’obligation principale reste la transparence : l’utilisateur est informé qu’il interagit avec une IA.
- Risque minimal : filtres anti-spam, jeux vidéo dotés d’IA. Aucune obligation spécifique ne s’applique.
Les modèles à usage général, comme les grands modèles de langage, suivent un régime à part : documentation technique et respect du droit d’auteur depuis août 2025, renforcés par des tests de sécurité et une analyse de la consommation d’énergie pour les modèles les plus puissants.
Ce que la loi interdit sans discussion
Certains usages de l’intelligence artificielle sont bannis du marché européen depuis le 2 février 2025, quel que soit le secteur ou la taille de l’entreprise qui les déploie.
- La notation sociale des individus à partir de leur comportement ou de leurs caractéristiques personnelles.
- Les techniques subliminales qui altèrent le comportement d’une personne à son insu.
- L’exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation économique.
- La reconnaissance faciale de masse à partir d’images collectées sans ciblage sur internet ou en vidéosurveillance.
- La reconnaissance des émotions au travail ou à l’école, hors raisons médicales ou de sécurité.
Le non-respect de ces interdictions expose à une amende allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel de l’entreprise.
Quelles sanctions en cas de non-conformité ?
L’AI Act s’applique à tout fournisseur, importateur ou utilisateur professionnel qui met un système d’IA sur le marché européen, qu’il soit basé à Paris, à San Francisco ou à Shenzhen. En France, la DGCCRF, la CNIL, l’Arcom et le Défenseur des droits se partagent le contrôle selon le type de risque concerné. Le montant des sanctions varie selon la gravité du manquement : de 1 % à 7 % du chiffre d’affaires mondial ou un montant fixe entre 7,5 et 35 millions d’euros pour les usages interdits.
Le calendrier a bougé depuis l’adoption du texte. Un accord provisoire trouvé le 7 mai 2026 entre le Parlement européen et le Conseil reporte l’application des obligations liées aux systèmes à haut risque au 2 décembre 2027 et jusqu’au 2 août 2028 pour les composants de sécurité couverts par une législation sectorielle. Le marquage numérique obligatoire des contenus générés par IA glisse lui aussi au 2 décembre 2026, plus tard que prévu au départ. Pour une entreprise, ce report ouvre une fenêtre supplémentaire pour auditer ses systèmes avant l’échéance, sans alléger les obligations déjà en vigueur sur les pratiques interdites et les modèles à usage général.
