AI Act : ce que le règlement européen sur l’IA impose à votre entreprise

L’AI Act, ou règlement européen sur l’IA (règlement (UE) 2024/1689), encadre l’intelligence artificielle selon le niveau de risque de chaque usage : il interdit quelques pratiques, impose des exigences lourdes aux usages « à haut risque » comme le recrutement, et oblige à signaler les chatbots et les contenus générés. Pour une PME qui utilise ChatGPT ou Copilot, ou qui déploie un chatbot, les obligations immédiates restent légères : développer la maîtrise de l’IA de ses équipes, informer quand un client échange avec une IA, étiqueter les hypertrucages. Depuis l’Omnibus numérique sur l’IA de juillet 2026, l’essentiel des obligations du haut risque s’applique à partir du 2 décembre 2027.

À jour en septembre 2026. Ce guide suit le règlement tel que modifié par l’Omnibus : niveaux de risque, rôles, calendrier, cinq situations typiques de PME, modèles d’IA à usage général, sanctions, autorités françaises, puis une check-list.

Qu’est-ce que l’AI Act ?

Le règlement (UE) 2024/1689 du 13 juin 2024 fixe des règles harmonisées pour l’IA dans toute l’Union. Publié au Journal officiel de l’UE le 12 juillet 2024, il est entré en vigueur le 1er août 2024 et s’applique par étapes. C’est un règlement : il s’impose directement dans chaque État membre, sans loi de transposition. Le texte consolidé, à jour de l’Omnibus, est disponible sur EUR-Lex.

Il vise les « systèmes d’IA » : des systèmes automatisés qui, à partir des entrées qu’ils reçoivent, déduisent comment générer des sorties (prédictions, contenus, recommandations, décisions) avec un certain niveau d’autonomie (article 3). Un assistant conversationnel, un outil de tri de CV ou un agent qui traite des factures en font partie ; un programme qui applique des règles écrites entièrement par des humains, non.

Le texte s’applique aux entreprises établies dans l’Union qui utilisent l’IA, mais aussi aux fournisseurs étrangers dont les systèmes sont mis sur le marché européen ou dont les sorties sont utilisées dans l’Union (article 2). Il exclut l’usage strictement personnel, la recherche scientifique et les usages militaires. Il ne remplace pas le RGPD : les deux s’appliquent en parallèle dès que des données personnelles sont en jeu (voir notre guide IA et RGPD).

Quels sont les quatre niveaux de risque de l’AI Act ?

Le règlement régule des usages, pas une technologie : plus un usage menace la santé, la sécurité ou les droits fondamentaux, plus les obligations sont lourdes.

Sont aussi interdits l’exploitation des vulnérabilités, la prédiction d’infractions fondée sur le seul profilage, le moissonnage non ciblé d’images faciales et la catégorisation biométrique sensible ; au travail et à l’école, l’inférence des émotions n’est admise que pour raison médicale ou de sécurité. Le 2 décembre 2026 s’y ajoutent les systèmes qui génèrent des images intimes d’une personne identifiable sans son consentement ou des contenus pédocriminels.

Un système est à haut risque dans deux cas. Soit il sert de composant de sécurité à un produit réglementé de l’annexe I (jouets, ascenseurs, équipements radio, dispositifs médicaux…) soumis à une évaluation par un tiers. Soit il relève d’un domaine de l’annexe III : biométrie, infrastructures critiques, éducation, emploi, accès aux services essentiels (prestations sociales, crédit, assurance vie et santé, appels d’urgence), répression, migrations, justice et processus démocratiques.

Un système de l’annexe III échappe au haut risque s’il ne présente pas de risque important, par exemple parce qu’il accomplit une tâche procédurale étroite ou préparatoire sans influencer significativement la décision (article 6). Le fournisseur doit alors documenter son analyse, et l’exception ne joue jamais en cas de profilage de personnes. La Commission a publié en mai 2026 un projet de lignes directrices avec des exemples ; la version définitive n’est pas adoptée à la date où nous écrivons.

Fournisseur, déployeur, importateur, distributeur : quel est votre rôle ?

Vos obligations dépendent de votre rôle vis-à-vis de chaque système, pas de la taille de votre entreprise. Une même entreprise peut être déployeur d’un outil et fournisseur d’un autre.

Pour chaque outil, trois questions suffisent le plus souvent à trancher.

1. Qui décide de l’utiliser, et comment ? Si c’est vous, pour votre activité, vous êtes déployeur.
2. Sous quel nom fonctionne-t-il ? Si vous l’avez développé ou fait développer, même sur un modèle d’OpenAI ou de Mistral, et qu’il est mis en service sous votre nom, vous en êtes le fournisseur. La mise en service couvre l’usage propre : les lignes directrices de la Commission du 20 juillet 2026 sur la transparence citent l’entreprise qui développe un chatbot en interne pour son propre usage.
3. Avez-vous changé le nom ou la finalité d’un système ? L’article 25 rend fournisseur d’un système à haut risque celui qui y appose son nom, le modifie substantiellement ou change sa destination au point d’en faire un système à haut risque. Il vise expressément les systèmes d’IA à usage général : transformer un assistant généraliste en outil de présélection de candidats peut suffire.

Quel est le calendrier de l’AI Act depuis l’Omnibus IA ?

L’Omnibus numérique sur l’IA, règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet et en vigueur depuis le 27 juillet 2026, a revu le calendrier, faute de normes techniques et d’autorités nationales prêtes à temps pour le haut risque.

L’Omnibus a aussi modifié le fond :

• Maîtrise de l’IA. L’article 4 impose désormais aux fournisseurs et aux déployeurs de prendre « des mesures pour favoriser le développement de la maîtrise de l’IA » de leur personnel, sans garantir un niveau donné pour chaque individu. L’obligation demeure, mais porte sur les moyens.
• Petites entreprises à moyenne capitalisation. Moins de 750 personnes, chiffre d’affaires jusqu’à 150 millions d’euros ou bilan jusqu’à 129 millions : elles profitent d’une partie des allègements des PME (documentation simplifiée, plafonds d’amende réduits).

Ce que l’AI Act change pour une PME : cinq situations types

1. Vos équipes utilisent ChatGPT, Claude, Mistral ou Copilot

Vous êtes déployeur d’un système d’IA à usage général, pour des usages le plus souvent à risque minimal : rédiger, résumer, traduire. Votre obligation principale est de développer la maîtrise de l’IA de vos équipes, par une formation adaptée et des règles écrites, idéalement une charte IA. Si vous publiez des images, sons ou vidéos générés qui ressemblent à des personnes, lieux ou événements réels, indiquez qu’ils sont artificiels (article 50) ; de même pour un texte généré publié pour informer le public sur des questions d’intérêt public, sauf relecture humaine sous responsabilité éditoriale. Le point le plus sensible relève du RGPD : ce que vos équipes collent dans les prompts.

2. Vous installez un chatbot sur votre site ou votre service client

S’il fonctionne sous votre nom, vous êtes fournisseur au sens de l’article 50, même s’il repose sur le modèle d’un éditeur tiers. Il doit informer l’utilisateur qu’il échange avec une IA, au plus tard lors de la première interaction, sauf si c’est évident. S’il génère des contenus, ceux-ci doivent être marqués dans un format lisible par machine : vérifiez avec votre prestataire comment les solutions de l’éditeur du modèle y contribuent. Un conseiller humain qui s’aide d’une IA pour rédiger ses réponses ne déclenche pas, lui, cette obligation (lignes directrices de juillet 2026).

3. Vous faites développer un agent IA interne

Un agent qui trie les e-mails, prépare des relances ou rapproche des factures est en général à risque minimal. S’il tourne sous votre nom, vous êtes à la fois fournisseur et déployeur : maîtrise de l’IA, et transparence s’il échange directement avec des personnes extérieures, par exemple en répondant lui-même à vos clients. Le risque dépend de ce que fait l’agent, pas de la technologie : un agent qui présélectionne des candidats ou évalue des salariés devient un système à haut risque.

4. Vous utilisez l’IA en RH et en recrutement : haut risque

L’annexe III vise les systèmes de recrutement (diffusion ciblée d’offres, filtrage des candidatures, évaluation des candidats) et ceux qui servent à décider des promotions ou des licenciements, à attribuer des tâches ou à évaluer les salariés. À partir du 2 décembre 2027, l’employeur déployeur devra notamment :

• suivre la notice du fournisseur et confier le contrôle humain à des personnes formées, dotées de l’autorité nécessaire ;
• surveiller le fonctionnement, signaler les incidents graves et suspendre l’usage en cas de risque ;
• conserver au moins six mois les journaux générés automatiquement ;
• informer les représentants du personnel et les salariés concernés avant la mise en service, et informer les candidats qu’un système à haut risque est utilisé à leur égard (article 26).

Deux règles s’appliquent déjà. Depuis le 2 février 2025, analyser les émotions d’un salarié ou d’un candidat, par exemple lors d’un entretien vidéo, est interdit : les lignes directrices de la Commission étendent la notion de lieu de travail au processus de recrutement. Et le Code du travail impose d’informer les candidats des méthodes d’aide au recrutement utilisées, qui doivent être pertinentes (article L. 1221-8), et, dans les entreprises d’au moins 50 salariés, d’en informer le CSE au préalable (article L. 2312-38). La CNIL range en outre les traitements qui facilitent le recrutement grâce à un algorithme de sélection parmi ceux qui exigent une analyse d’impact RGPD.

5. Vous évaluez la solvabilité ou tarifez des assurances

L’évaluation de la solvabilité des particuliers (hors détection de fraude) et la tarification en assurance vie et santé sont à haut risque. Leurs déployeurs doivent en plus mener, avant le premier usage, une analyse d’impact sur les droits fondamentaux (article 27), qui peut renvoyer à l’analyse d’impact RGPD.

Et les modèles d’IA à usage général (ChatGPT, Claude, Mistral, Gemini) ?

Les grands modèles de langage sont des « modèles d’IA à usage général ». Depuis le 2 août 2025, leurs fournisseurs doivent tenir une documentation technique, informer les entreprises qui intègrent le modèle, appliquer une politique de respect du droit d’auteur et publier un résumé des contenus d’entraînement (article 53). Pour les modèles présumés à risque systémique, entraînés avec plus de 10²⁵ opérations de calcul, leurs fournisseurs doivent en outre évaluer ces risques, mener des tests contradictoires et signaler les incidents graves (article 55).

La Commission a publié le 10 juillet 2025 un code de bonnes pratiques volontaire : OpenAI, Anthropic, Google, Microsoft et Mistral AI figurent parmi ses signataires, selon la liste de la Commission mise à jour en juillet 2026. Depuis le 2 août 2026, elle peut infliger à ces fournisseurs des amendes jusqu’à 3 % de leur chiffre d’affaires annuel mondial ou 15 millions d’euros (article 101).

Ces obligations pèsent sur l’éditeur du modèle, pas sur l’utilisateur. Deux conséquences pratiques. Si vous construisez un produit sur un modèle, demandez la documentation destinée aux intégrateurs. Et ajuster un modèle sur vos données (fine-tuning) ne fait de vous un fournisseur de modèle que dans des cas exceptionnels : selon les lignes directrices de la Commission de juillet 2025, quand la modification mobilise plus d’un tiers de la puissance de calcul de l’entraînement initial.

Quelles sanctions prévoit l’AI Act ?

Pour les PME, jeunes pousses comprises, le plafond retenu est le plus faible des deux montants (article 99) ; l’Omnibus étend cette règle aux petites entreprises à moyenne capitalisation pour les amendes de 15 et de 7,5 millions d’euros. Le montant dépend notamment de la gravité du manquement, du nombre de personnes touchées et de la taille de l’entreprise. Un même outil peut aussi exposer aux amendes du RGPD (jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial).

Qui contrôle l’application de l’AI Act en France ?

Au niveau européen, le Bureau de l’IA de la Commission supervise les modèles d’IA à usage général, ainsi que la plupart des systèmes construits sur ces modèles par le même fournisseur. Chaque État désigne ses autorités de surveillance du marché.

En France, cette désignation n’est pas encore faite par la loi à la date où nous écrivons. Le projet de loi d’adaptation au droit de l’Union (DDADUE) qui doit l’organiser a été adopté par le Sénat le 18 février 2026 et attend son examen à l’Assemblée nationale, selon le dossier législatif du Sénat. Le schéma proposé par le Gouvernement prévoit que :

• la DGCCRF coordonne les autorités et sert de point de contact unique ;
• la CNIL contrôle la plupart des pratiques interdites et des usages à haut risque de l’annexe III, dont l’emploi ;
• la DGCCRF et l’Arcom contrôlent la transparence (chatbots, contenus générés, hypertrucages) ;
• l’ACPR contrôle le crédit et l’assurance pratiqués par les établissements financiers.

Ce retard ne suspend rien : le règlement est directement applicable, et la CNIL reste pleinement compétente pour tout ce qui relève du RGPD.

Check-list : mettre votre entreprise en conformité en 8 étapes

1. Inventoriez vos usages d’IA : outils achetés, fonctions d’IA intégrées à vos logiciels (CRM, SIRH), usages individuels non déclarés, développements internes ou sous-traités.
2. Classez chaque usage par niveau de risque. Interdit, annexe III, article 50 ou risque minimal, en documentant le raisonnement, surtout si vous écartez le haut risque.
3. Identifiez votre rôle pour chaque système, en vérifiant les cas de bascule de l’article 25.
4. Arrêtez toute pratique interdite, comme l’analyse des émotions en entretien.
5. Organisez la maîtrise de l’IA : formation adaptée à chaque rôle, charte d’usage, référent identifié.
6. Traitez la transparence : message d’information sur vos chatbots, étiquetage des hypertrucages, marquage des contenus vérifié avec vos prestataires.
7. Préparez le haut risque pour décembre 2027 : engagements de conformité des fournisseurs, contrôle humain, conservation des journaux, information du CSE et des candidats, analyse d’impact RGPD.
8. Contractualisez et tenez à jour : clauses AI Act et RGPD dans vos contrats, registre des systèmes d’IA, veille sur les lignes directrices de la Commission et sur la loi française.

Les trois premières étapes relèvent d’un audit IA : dans nos audits, la cartographie des flux de données sert à la fois à repérer les gains et à qualifier les risques. Pour les menaces techniques, voir notre guide de la sécurité de l’IA générative ; pour être accompagné, notre démarche d’audit IA.