Règlement Européen sur l'Intelligence Artificielle : guide opérationnel 2026
En bref : Le règlement (UE) 2024/1689 — dit « AI Act » — entre en application par étapes à partir du 2 février 2025, avec une première vague contraignante au 2 août 2026 (interdictions et obligations GPAI) et la couverture complète du haut risque au 2 août 2027. Sanction maximale : 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Ce guide opérationnel vous donne, en 8 chapitres, la méthode pour cartographier votre exposition, qualifier vos cas d'usage, et constituer votre dossier de conformité avant l'échéance.
Si vous déployez, achetez ou revendez un système d'IA dans l'Union européenne — y compris un simple chatbot, un modèle de scoring ou un outil RH augmenté — vous êtes concerné. La question n'est plus « l'AI Act s'applique-t-il à moi ? » mais « à quelle date, pour quel risque, et avec quel dossier de conformité ? »
L'AI Act en 5 minutes
L'AI Act est le premier texte au monde à réguler l'IA de manière horizontale. Il ne remplace pas le RGPD : il s'y superpose. Là où le RGPD encadre les données personnelles, l'AI Act encadre les systèmes qui les traitent et les modèles qui les produisent.
Trois principes structurent le texte :
- Une classification par niveaux de risque — inacceptable, élevé, limité, minimal — avec des obligations croissantes.
- Une responsabilité partagée entre fournisseur, déployeur, importateur et distributeur.
- Une approche par les usages, pas par les technologies : c'est l'usage final qui détermine le niveau de risque, pas l'algorithme sous-jacent.
Chapitre 01 — Champ d'application
L'AI Act vise :
- Les fournisseurs qui développent ou font développer un système d'IA et le mettent sur le marché de l'UE.
- Les déployeurs qui utilisent un système d'IA sous leur propre responsabilité (entreprise cliente, administration, association).
- Les importateurs et distributeurs qui introduisent un système tiers sur le marché européen.
Sortent du champ : les systèmes purement militaires, les systèmes de R&D avant mise sur le marché, et les modèles d'IA utilisés pour des activités de recherche scientifique avant toute exploitation commerciale.
Une entreprise française qui déploie ChatGPT Enterprise pour rédiger ses comptes-rendus est déployeur au sens de l'AI Act. Une PME qui intègre une API de scoring de CV dans son ATS est à la fois fournisseur (de l'intégration finale, si elle revend un produit) et déployeur (de l'usage qu'elle en fait en interne).
Chapitre 02 — Classification des risques
L'AI Act organise les usages en quatre niveaux (en réalité six, en incluant les sous-catégories GPAI avec/sans risque systémique) :
| Niveau | Exemples | Obligations principales | |--------|----------|--------------------------| | Inacceptable | Notation sociale, identification biométrique en temps réel dans l'espace public (sauf exceptions strictes) | Interdit | | Élevé | Recrutement, scoring de crédit, accès à l'éducation, justice, santé | Documentation technique, gestion des risques, surveillance humaine, transparence | | Limité | Chatbots, génération de contenu, deepfakes | Information de l'utilisateur | | Minimal | Filtres anti-spam, jeux vidéo, IA de complétion de code | Aucune obligation spécifique |
Le piège classique : un même système peut basculer d'un niveau à l'autre selon son contexte d'usage. Un même algorithme de recommandation sera « minimal » sur un site e-commerce B2C, mais « élevé » s'il est utilisé pour orienter l'accès à un service public.
Chapitre 03 — Risque inacceptable : la liste noire
Sont interdits depuis le 2 février 2025 (entrée en vigueur) et pleinement applicables au 2 août 2026 :
- L'exploitation de vulnérabilités (âge, handicap, situation socio-économique) pour pousser à un comportement nuisible.
- La notation sociale (social scoring) généralisée.
- L'identification biométrique en temps réel dans les espaces publics accessibles au public, sauf pour des finalités très encadrées (recherche de victimes, menace terroriste imminente, etc.).
- La reconnaissance des émotions dans le cadre du travail et de l'éducation (avec exceptions).
- La catégorisation biométrique inférant la race, les opinions politiques, l'orientation sexuelle, les convictions religieuses.
Chapitre 04 — Risque élevé : le gros du travail
Les systèmes à haut risque représentent l'essentiel de la charge de conformité. On en distingue deux sous-ensembles :
- Systèmes intégrés à des produits soumis à des évaluations de conformité (annexe I, ex. : dispositifs médicaux, jouets, véhicules).
- Systèmes listés à l'annexe III : recrutement, gestion des travailleurs, scoring de crédit, assurance, services publics essentiels, éducation, justice, maintien de l'ordre, migration, démocratie.
- Une description fonctionnelle détaillée.
- Une analyse de gestion des risques documentée et itérée.
- Une gouvernance des données : traçabilité, biais, représentativité.
- Une journalisation (logging) automatique des événements.
- Une documentation technique à jour.
- Une notice d'utilisation pour le déployeur.
- Une surveillance humaine effective (pas seulement formelle).
- Un niveau de précision, robustesse et cybersécurité documenté.
Chapitre 05 — IA à usage général (GPAI)
Les modèles de fondation — GPT, Claude, Gemini, Mistral, Llama — tombent sous un régime spécifique. Les modèles « à usage général » (GPAI) sont soumis à :
- Une documentation technique du modèle (architecture, données d'entraînement, capacité).
- Une transparence vis-à-vis des fournisseurs en aval (downstream) : le fournisseur de GPAI doit fournir la documentation et les informations nécessaires à l'intégration conforme.
- Une politique de respect du droit d'auteur (opt-out respected).
À partir du 2 août 2026, ces obligations s'appliquent. Concrètement : si vous utilisez GPT-5, Claude 4 ou un modèle open-source européen pour servir vos clients, vous devez être en mesure de démontrer que vous avez reçu et archivé la documentation du fournisseur amont, et que vous avez informé vos propres utilisateurs de manière conforme.
Chapitre 06 — Obligations de transparence
Pour les usages à risque limité (chatbots, génération de contenu, deepfakes), l'AI Act impose une transparence minimale :
- Les utilisateurs doivent savoir qu'ils interagissent avec une IA (sauf exception médicale ou d'urgence).
- Les contenus synthétiques (texte, audio, image, vidéo) doivent être marquables comme tels.
- Les deepfakes doivent être signalés.
- Les systèmes de catégorisation biométrique ou d'analyse des émotions doivent informer les personnes concernées.
Chapitre 07 — Sanctions et gouvernance
Les sanctions sont calibrées selon la nature de l'infraction :
- Pratiques interdites (risque inacceptable) : jusqu'à 35 M€ ou 7 % du CA mondial, le montant le plus élevé étant retenu.
- Non-conformité des systèmes à haut risque : jusqu'à 15 M€ ou 3 % du CA.
- Information trompeuse : jusqu'à 7,5 M€ ou 1 % du CA.
La gouvernance est partagée entre :
- L'AI Office au niveau européen (Commission, en lien avec les États).
- Les autorités nationales désignées par chaque État membre (en France : la CNIL et la DGCCRF partagent la compétence).
- Les organismes notifiés pour les évaluations de conformité des systèmes à haut risque.
- Le Comité européen de l'IA (États membres + Commission) pour les avis et orientations.
Chapitre 08 — Plan d'action 90 jours
Voici une feuille de route opérationnelle pour une organisation de 50 à 500 personnes qui utilise ou déploie de l'IA.
Jours 1 à 15 — Cartographie
- Lister tous les systèmes d'IA utilisés ou déployés (fournisseurs internes, APIs, intégrations).
- Identifier les modèles GPAI consommés (API, auto-hébergé).
- Pour chaque système, qualifier le niveau de risque (inacceptable / élevé / limité / minimal).
Jours 16 à 45 — Documentation
- Constituer le registre des systèmes IA (modèle dans le guide complet).
- Pour les usages à haut risque, démarrer l'analyse de gestion des risques.
- Documenter la gouvernance humaine effective.
- Vérifier la conformité RGPD (DPIA, base légale, AIPD).
Jours 46 à 75 — Mise en conformité
- Pour les usages à risque limité, mettre en place l'information utilisateur (mention « vous interagissez avec une IA »).
- Pour les usages à haut risque, rédiger la notice d'utilisation et la documentation technique.
- Pour les GPAI, vérifier la documentation reçue du fournisseur amont.
Jours 76 à 90 — Audit et amélioration continue
- Test de robustesse, biais et cybersécurité sur les systèmes à haut risque.
- Mise en place du monitoring continu (logging, alertes).
- Formation des équipes métiers et IT.
- Procédure d'escalation en cas d'incident.
Points forts du guide complet
- Cadre légal complet : du règlement (UE) 2024/1689 aux actes d'exécution, chaque article est décrypté avec ses implications opérationnelles.
- Pyramide des 4 risques : inacceptable, élevé, limité, minimal — pour chaque niveau, vos obligations concrètes et la liste des cas d'usage interdits.
- 12 cas d'usage concrets : recrutement IA, scoring bancaire, santé, éducation, GPAI — commentés par des praticiens du droit.
- Checklist de conformité 38 points : gouvernance, données, transparence, surveillance humaine, documentation technique.
- Calendrier 2026-2027 : les 6 dates clés à anticiper, du 2 février 2025 au 2 août 2027.
- Modèles de documents : fiche d'évaluation du risque, registre des systèmes IA, clause de sous-traitance, politique d'usage IA — prêts à l'emploi.
Statistiques clés
- Sanction maximale : 35 M€ ou 7 % du CA mondial.
- Première date d'application : 2 août 2026.
- Pleine application : 2 août 2027.
- Niveaux de risque : 4 (inacceptable, élevé, limité, minimal) + 2 sous-catégories GPAI.
Vous voulez aller plus loin ?
Si vous utilisez l'IA dans votre organisation — chatbot, scoring, génération de contenu, automatisation, intégration de modèles — Mindzy peut vous aider à :
- Cartographier vos usages et qualifier vos risques.
- Constituer votre dossier de conformité AI Act + RGPD.
- Mettre en place un registre des systèmes IA et une gouvernance opérationnelle.
- Former vos équipes juridiques, IT et métiers.
