EU AI Act — Toutes les exigences pour les entreprises en un coup d’œil

L’EU AI Act (officiellement : règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle) est la première loi complète au monde visant à réglementer l’intelligence artificielle. Il a été arrêté le 13 juin 2024 et est entré en vigueur le 1er août 2024.

Objectif de la loi : créer un cadre juridique uniforme pour une utilisation sûre et digne de confiance de l’IA dans l’UE — sans entraver l’innovation.

Qui est concerné ? Toute entreprise qui développe, distribue ou utilise des systèmes d’IA — au sein ou en dehors de l’UE, dès lors que l’IA est utilisée sur le marché de l’UE ou concerne des citoyens de l’UE. Cela inclut aussi l’utilisation de ChatGPT, Microsoft Copilot, Google Gemini et d’autres outils d’IA dans le quotidien professionnel.

L’AI Act s’applique directement dans les 27 États membres de l’UE et ne nécessite aucune transposition nationale. Les exigences sont introduites progressivement, avec des échéances différentes selon le domaine réglementé.

L’exigence la plus importante et d’application immédiate est l’article 4 — maîtrise de l’IA. Depuis le 27 juillet 2026, l’article 4, paragraphe 1, est libellé comme suit :

Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, […]. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu.

Du 2 février 2025 au 26 juillet 2026, l’article 4 exigeait de veiller au mieux à ce que le personnel dispose d’un niveau suffisant de maîtrise de l’IA.

Ce que cela signifie concrètement :

• Il convient de tenir compte des connaissances, de l’expérience et de la formation des collaborateurs ainsi que de l’usage de l’IA. Aucun niveau de compétence déterminé n’a à être garanti pour quiconque.

L’EU AI Act ne prescrit aucune forme de formation ni aucun organisme de certification particuliers. Les entreprises peuvent dispenser la formation en interne, recourir à des prestataires externes ou utiliser des certifications en ligne. Il est essentiel que les contenus couvrent les domaines de compétence pertinents et que la participation soit documentée.

L’EU AI Act répartit les systèmes d’IA en quatre classes de risque, qui entraînent des exigences différentes :

🔴 Pratiques d’IA interdites (en vigueur depuis février 2025) :

• Notation sociale
• Surveillance de masse biométrique en temps réel dans l’espace public
• Reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement
• Manipulation par des techniques subliminales

🟠 IA à haut risque (applicable à partir du 2 décembre 2027 et du 2 août 2028 respectivement) :

• IA dans les procédures de candidature et la sélection du personnel
• IA pour l’évaluation de la solvabilité
• IA dans l’éducation et la formation professionnelle
• IA dans les infrastructures critiques

🟡 IA à risque limité :

• Les chatbots doivent être signalés comme IA
• Les contenus générés par l’IA doivent être rendus transparents

🟢 IA à risque minimal :

• Filtres anti-spam, systèmes de recommandation, correction de texte
• La plupart des applications bureautiques (ChatGPT pour les textes, Copilot pour les e-mails)
• Aucune exigence particulière — uniquement l’obligation générale de maîtrise de l’IA prévue à l’article 4

L’EU AI Act est introduit progressivement. Les principales échéances :

• 1er août 2024 : entrée en vigueur de l’AI Act
• 2 février 2025 : les pratiques d’IA interdites s’appliquent. L’obligation de maîtrise de l’IA (art. 4) s’applique.
• 2 août 2025 : règles relatives aux modèles d’IA à usage général (GPT, Gemini, Claude). Les autorités de surveillance nationales doivent être désignées. Le régime de sanctions du règlement s’applique.
• 2 août 2026 : le règlement sur l’IA s’applique de manière générale — à l’exception des obligations reportées pour l’IA à haut risque.
• 2 décembre 2027 : obligations pour l’IA à haut risque au titre de l’annexe III.
• 2 août 2028 : obligations pour l’IA à haut risque au titre de l’annexe I.

Montants des amendes en cas d’infraction :

• Pratiques interdites : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial
• Infractions aux exigences relatives aux systèmes à haut risque : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires
• Informations inexactes fournies aux autorités : jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires
• Des taux réduits s’appliquent aux PME et aux startups

Indépendamment des amendes : si un dommage résulte d’une utilisation de l’IA sans formation — par exemple une violation du RGPD parce qu’un collaborateur a saisi des données clients dans ChatGPT Free —, l’entreprise en assume la responsabilité selon les règles générales de responsabilité.