AI Act : le guide complet du règlement européen sur l intelligence artificielle

Règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744 dit « Digital Omnibus ». Calendrier, niveaux de risque, obligations et sanctions — à jour au 24 août 2026.

L essentiel en 30 secondes

• C est quoi ? Le premier cadre juridique complet au monde sur l intelligence artificielle. Un règlement européen d application directe, qui régule des usages et non la technologie elle-même.
• Où en est-on ? Le règlement est généralement applicable depuis le 2 août 2026. Les obligations de transparence sont en vigueur.
• Ce qui a changé cet été. Le Digital Omnibus, en vigueur depuis le 27 juillet 2026, a reporté de seize mois les obligations sur les systèmes à haut risque : au 2 décembre 2027 pour l annexe III, au 2 août 2028 pour l annexe I.
• Qui est concerné ? Fournisseurs et déployeurs, y compris hors UE dès lors que le système est utilisé dans l Union. La grande majorité des organisations sont déployeurs, avec des obligations nettement plus légères.
• Combien ça coûte ? Jusqu à 35 M€ ou 7 % du chiffre d affaires mondial pour une pratique interdite. Pour une PME, c est le montant le plus bas des deux qui s applique.

Qu est-ce que l AI Act ?

Le règlement (UE) 2024/1689, communément appelé AI Act, est le premier cadre juridique complet au monde consacré à l intelligence artificielle. Publié au Journal officiel de l Union européenne le 12 juillet 2024, il est entré en vigueur le 1er août 2024 et s applique par vagues successives jusqu en 2030.

Sa logique n est pas de réguler la technologie, mais les usages qui en sont faits. Le même modèle de langage peut être hors périmètre dans un cas et soumis au régime le plus lourd dans un autre : tout dépend de la finalité poursuivie et du contexte de déploiement.

Un règlement, pas une directive

La distinction a des conséquences pratiques. Un règlement européen est d application directe : il ne nécessite pas de transposition en droit national et s impose tel quel dans les vingt-sept États membres. Les législateurs nationaux n interviennent que sur des points limités, notamment la désignation des autorités de surveillance du marché et le régime de sanctions applicable aux administrations.

Une portée extraterritoriale

Le règlement s applique aux fournisseurs qui mettent un système d IA sur le marché de l Union, quel que soit leur lieu d établissement, ainsi qu aux fournisseurs et déployeurs établis hors UE lorsque les résultats produits par le système sont utilisés dans l Union. Un éditeur américain dont l outil est utilisé par une entreprise française est concerné.

Ce que le règlement ne couvre pas

• Les systèmes développés et utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale.
• La recherche et le développement scientifique avant mise sur le marché.
• Les systèmes publiés sous licence libre et open source, sauf s ils sont à haut risque, interdits, ou relèvent des obligations de transparence.
• L usage strictement personnel et non professionnel.

Le calendrier d application, révisé par le Digital Omnibus

C est le point sur lequel la plupart des contenus disponibles en ligne sont aujourd hui périmés. Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, a modifié le calendrier initial. Les obligations sur les systèmes à haut risque ont été repoussées de seize mois.

Ce que le Digital Omnibus a modifié, précisément

⚠️ Une nuance qui compte. La proposition initiale de la Commission conditionnait les échéances haut risque à la disponibilité des normes harmonisées européennes. Ce déclencheur conditionnel a été supprimé du texte adopté. Le 2 décembre 2027 est une date calendaire ferme : elle ne bougera pas si les travaux du CEN-CENELEC prennent du retard.

Les quatre niveaux de risque

L architecture du règlement repose sur une pyramide de risques. Plus l usage est susceptible d affecter la santé, la sécurité ou les droits fondamentaux, plus les obligations sont lourdes.

💡 À retenir : la très grande majorité des systèmes d IA en production dans les organisations relèvent du risque minimal ou limité. Le régime haut risque, souvent présenté comme la norme, reste l exception.

Annexe III : les huit domaines à haut risque

Un système n est à haut risque au titre de l annexe III que s il est utilisé dans l un de ces huit domaines et pour l une des finalités qui y sont limitativement listées.

Le point 4 est celui qui concerne le plus d organisations

Pour une entreprise ordinaire, qu elle soit industrielle, tertiaire ou de services, l exposition réelle au régime haut risque passe presque toujours par le point 4. Trois usages basculent :

• le tri, le filtrage ou le classement automatisé de candidatures ;
• l aide à la décision sur une promotion, une affectation ou une rupture de contrat ;
• l évaluation de la performance ou du comportement des salariés.

L exception de l article 6(3)

Un système relevant d'un domaine de l'annexe III peut échapper au régime haut risque s'il ne remplit qu'une tâche procédurale étroite, s'il améliore le résultat d'une activité humaine déjà accomplie, s'il détecte des écarts de constance sans se substituer à l'évaluation humaine, ou s'il effectue une tâche purement préparatoire.

Deux limites strictes : cette dérogation ne joue jamais lorsqu il y a profilage de personnes physiques, et elle doit être documentée avant la mise en service. Ce n est pas une porte de sortie automatique.

Fournisseur ou déployeur : qui porte quoi

Avant de se demander si un système est à haut risque, il faut savoir quel rôle on tient. Le règlement fait peser l essentiel des obligations sur le fournisseur. Le déployeur a une liste nettement plus courte.

Faire développer un outil ne rend pas fournisseur

C est le malentendu le plus répandu. Si une entreprise fait construire une automatisation qui reste à usage interne, elle est déployeur. Le critère du règlement n est pas de savoir qui a financé le développement, mais sous quel nom le système est mis sur le marché ou en service.

Les trois façons de basculer fournisseur sans le vouloir

L article 25 prévoit trois situations dans lesquelles un déployeur, un distributeur ou un importateur est réputé fournisseur d un système à haut risque, le fournisseur initial étant alors déchargé :

1. Apposer son nom ou sa marque sur un système à haut risque déjà mis sur le marché par un tiers.
2. Apporter une modification substantielle à un système à haut risque déjà sur le marché.
3. Modifier la destination d un système, y compris un système à usage général, de telle sorte qu il devienne à haut risque. Exemple typique : brancher un modèle de langage généraliste sur un vivier de candidatures pour les préclasser.

Ce que doit faire un déployeur aujourd hui

• Littératie IA (article 4) — prendre des mesures pour soutenir le développement des compétences des personnes qui utilisent l IA pour son compte. Depuis le Digital Omnibus, il s agit d une obligation de moyens : un plan de formation documenté par rôle suffit, aucune certification individuelle n est exigée.
• Ne pas recourir à une pratique interdite (article 5) — le piège le plus fréquent en entreprise est l analyse des émotions ou de l attention appliquée aux salariés.
• Transparence (article 50) — informer les personnes qui interagissent avec un système d IA, signaler les contenus manipulés.

Transparence : l article 50, applicable maintenant

C est le seul volet du règlement qui impose une action immédiate à une organisation ordinaire. Il n a pas été reporté par le Digital Omnibus. Quatre obligations, deux à la charge du fournisseur du système, deux à celle du déployeur.

Les quatre points à vérifier dans une organisation

1. Agent conversationnel sur un site ou une application — une mention visible dès le premier message. Un simple nom d avatar ne suffit pas.
2. Visuels générés par IA dans les supports commerciaux ou éditoriaux — si le rendu peut être pris pour une photographie réelle, il doit être signalé. Une illustration manifestement stylisée ne pose pas la même difficulté.
3. Voix de synthèse sur un standard téléphonique ou un serveur vocal interactif — l appelant doit savoir qu il ne parle pas à une personne.
4. Contenus rédigés par IA et publiés — l obligation vise les textes destinés à informer le public sur des questions d intérêt général. Une fiche produit ou un courriel commercial n entre pas dans ce périmètre.

⚠️ Le report du 2 décembre 2026 est étroit. Il ne bénéficie qu aux fournisseurs dont le système génératif était déjà sur le marché avant le 2 août 2026. Tout système mis sur le marché à compter de cette date devait se conformer immédiatement. Un déployeur n est pas concerné par ce transitoire : ce n est pas son obligation.

Le régime haut risque, à préparer pour 2027

Reporté ne veut pas dire annulé. Les obligations du chapitre III restent les plus lourdes du règlement, et leur mise en œuvre se compte en mois, pas en semaines.

Ce que doit faire le fournisseur d un système à haut risque

• Système de gestion des risques (article 9) — continu, sur tout le cycle de vie.
• Gouvernance des données (article 10) — jeux d entraînement, de validation et de test pertinents, représentatifs et, dans la mesure du possible, exempts d erreurs.
• Documentation technique (article 11 et annexe IV) — établie avant la mise sur le marché et tenue à jour.
• Journalisation automatique (article 12) — traçabilité du fonctionnement.
• Transparence et notice d utilisation (article 13) à destination du déployeur.
• Supervision humaine (article 14) — conception permettant une intervention effective.
• Exactitude, robustesse et cybersécurité (article 15).
• Système de management de la qualité (article 17), évaluation de conformité, marquage CE et enregistrement dans la base de données européenne.

Ce que doit faire le déployeur d un système à haut risque

• Utiliser le système conformément à la notice du fournisseur.
• Confier la supervision humaine à des personnes compétentes, formées et dotées de l autorité nécessaire pour passer outre le système.
• S assurer que les données d entrée sont pertinentes et représentatives au regard de la destination du système.
• Surveiller le fonctionnement et signaler au fournisseur et à l autorité tout risque ou incident grave.
• Conserver les journaux générés automatiquement, au moins six mois.
• Informer les travailleurs et leurs représentants avant la mise en service d un système à haut risque sur le lieu de travail.
• Informer les personnes soumises à une décision assistée par le système et leur permettre d obtenir une explication.
• Réaliser une analyse d impact sur les droits fondamentaux lorsque le déployeur est un organisme public ou fournit des services essentiels.

💡 Le bon moment pour agir. Concevoir d emblée un système avec traçabilité, supervision humaine et documentation coûte une fraction de ce que coûte sa mise en conformité après coup. Le report de seize mois est un délai de préparation, pas une dispense.

Sanctions : le barème de l article 99

Les 35 millions d euros circulent partout. Ils correspondent à un seul cas de figure, et le règlement prévoit un régime distinct pour les PME.

La nuance systématiquement omise

Pour une entreprise ordinaire, le montant retenu est le plus élevé des deux termes, forfait en euros ou pourcentage du chiffre d affaires. Pour une PME, start-up incluse, l article 99(6) inverse la règle : c est le montant le plus bas qui s applique.

Concrètement, une PME réalisant 8 M€ de chiffre d affaires s expose, pour un manquement à l article 50, à un plafond de 240 000 € et non de 15 M€.

Ce sont par ailleurs des plafonds, pas des montants forfaitaires. L autorité doit tenir compte de la nature, de la gravité et de la durée de l infraction, du caractère intentionnel ou négligent, des mesures correctives prises et du degré de coopération.

Ce qui est réellement sanctionnable aujourd hui

AI Act, ISO 42001 et NIS2 : comment ça s articule

Trois textes, trois natures différentes. Les confondre conduit soit à des doublons coûteux, soit à des angles morts.

ISO 42001 comme socle de conformité

L AI Act prévoit que les fournisseurs de systèmes à haut risque puissent démontrer leur conformité par l application de normes harmonisées publiées au Journal officiel de l Union. Ces normes sont élaborées par le CEN-CENELEC, au sein du comité technique JTC 21, et leur base de travail est très largement issue d ISO/IEC 42001 et des normes connexes.

Une organisation déjà certifiée ISO 42001 sera donc structurellement bien placée pour démontrer sa conformité, sans que la certification ne dispense pour autant du respect du règlement.

Consulter le guide complet ISO 42001 · Consulter le guide complet NIS2

Et le RGPD ?

Il continue de s appliquer intégralement et en parallèle. Dès qu un système d IA traite des données personnelles, les obligations du RGPD s ajoutent à celles de l AI Act : base légale, information des personnes, analyse d impact, encadrement de la sous-traitance, droits des personnes. Pour beaucoup d organisations, le RGPD reste en pratique la contrainte la plus lourde des deux.

Pour aller plus loin

• Règlement (UE) 2024/1689 — texte intégral sur EUR-Lex
• Règlement (UE) 2026/1744 — Digital Omnibus sur l IA
• Cadre réglementaire de l IA — Commission européenne
• Guide complet ISO/IEC 42001
• Guide complet de la directive NIS2
• Modèles et checklists à télécharger

Page mise à jour le 24 août 2026. Ce guide présente une lecture opérationnelle du règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744. Il ne constitue pas un conseil juridique. Deux points restent à ce jour non tranchés par les sources disponibles et sont signalés comme tels dans le texte : le rattachement de l article 4 au régime d amendes de l article 99(4), et la désignation précise des autorités françaises de surveillance du marché. Édité par IntelTec, nom commercial de TECHNOCENTRE SAS.