AI Act : ce que le règlement européen sur l'IA change pour les entreprises
L’Union européenne est la première grande puissance à s’être dotée d’une loi d’ensemble sur l’intelligence artificielle. Ce texte, souvent appelé AI Act, encadre la conception et l’usage des systèmes d’IA selon le risque qu’ils présentent. Il concerne aussi les entreprises qui se contentent d’utiliser des outils d’IA, notamment à travers une obligation de formation de leurs équipes.
Un règlement, pas une directive
Le texte officiel est le règlement (UE) 2024/1689. Le choix du règlement n’est pas anodin : contrairement à une directive, il s’applique directement dans tous les États membres, sans avoir besoin d’être transposé dans le droit national. Les mêmes règles valent donc en France, en Allemagne ou en Espagne.
Il est entré en vigueur le 1er août 2024, mais ses obligations s’appliquent par étapes, pour laisser aux acteurs le temps de s’adapter.
Une approche par niveaux de risque
Le principe central est simple : plus un système d’IA peut porter atteinte à la sécurité ou aux droits fondamentaux des personnes, plus les règles sont strictes. Le règlement distingue quatre niveaux.
| Niveau de risque | Ce que cela recouvre | Conséquence |
|---|---|---|
| Inacceptable | Pratiques jugées contraires aux valeurs de l’Union, comme la notation sociale des personnes | Interdiction |
| Élevé | Systèmes utilisés dans des domaines sensibles : recrutement, éducation, accès à des services essentiels, sécurité de produits… | Obligations lourdes : gestion des risques, qualité des données, documentation, contrôle humain |
| Transparence | Systèmes qui interagissent avec des personnes ou génèrent des contenus | Informer les personnes qu’elles ont affaire à une IA ou à un contenu généré |
| Minimal | La grande majorité des usages courants, comme un filtre antispam | Pas d’obligation spécifique |
À ces quatre niveaux s’ajoute un régime propre aux modèles d’IA à usage général, c’est-à-dire les grands modèles capables d’accomplir de nombreuses tâches et sur lesquels reposent de nombreux outils d’IA générative. Leurs fournisseurs doivent notamment documenter leurs modèles et respecter des règles liées au droit d’auteur.
Le calendrier d’application
Les dates clés à retenir :
- 1er août 2024 : entrée en vigueur du règlement.
- 2 février 2025 : application des interdictions de pratiques à risque inacceptable et de l’obligation de maîtrise de l’IA.
- 2 août 2025 : application des règles relatives aux modèles d’IA à usage général.
- 2 août 2026 : application de la plupart des autres dispositions.
Le calendrier de certaines obligations visant les systèmes à haut risque fait l’objet de propositions de report de la part de la Commission européenne. Ces discussions étant en cours, mieux vaut suivre les publications officielles de l’Union européenne pour connaître les échéances définitives applicables à un cas précis.
Qui est concerné ?
Le règlement distingue plusieurs rôles. Les deux principaux sont :
- Le fournisseur : celui qui développe un système d’IA, ou le fait développer, et le met sur le marché sous son nom.
- Le déployeur : celui qui utilise un système d’IA dans le cadre de son activité professionnelle.
Une PME qui utilise un assistant conversationnel pour ses équipes, un outil de tri de candidatures ou un logiciel d’analyse de données est ainsi un déployeur. Elle n’a pas les mêmes obligations qu’un fournisseur, mais elle n’en est pas dispensée pour autant.
L’obligation de maîtrise de l’IA
C’est le point qui touche le plus directement la formation. L’article 4 du règlement prévoit que les fournisseurs et les déployeurs prennent des mesures pour assurer, dans la mesure du possible, un niveau suffisant de maîtrise de l’IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte.
Cette obligation s’applique depuis le 2 février 2025. Elle ne fixe pas de programme ni de durée de formation : le niveau attendu dépend des connaissances techniques des personnes, de leur expérience, du contexte d’utilisation et des publics concernés par les systèmes.
Concrètement, une organisation peut s’appuyer sur plusieurs leviers :
- recenser les outils d’IA réellement utilisés en interne ;
- sensibiliser l’ensemble des équipes aux principes de fonctionnement et aux limites de ces outils ;
- former plus en profondeur les personnes qui les utilisent au quotidien ou qui en pilotent le déploiement ;
- rédiger des règles internes d’usage, notamment sur les données confidentielles ;
- garder une trace des actions menées.
Pour comprendre les bases à transmettre aux équipes, notre article IA générative : comment ça marche constitue un bon point de départ.
Les sanctions
Le règlement prévoit des amendes administratives dont le montant varie selon la gravité du manquement, les plus élevées visant le non-respect des interdictions. Leur montant peut être exprimé en valeur absolue ou en pourcentage du chiffre d’affaires mondial. Les montants précis et les autorités chargées du contrôle en France sont à vérifier dans le texte officiel et auprès des autorités compétentes.
AI Act et RGPD : deux textes qui se cumulent
Le règlement sur l’IA ne remplace pas le règlement général sur la protection des données. Dès qu’un système d’IA traite des données personnelles, les règles du RGPD continuent de s’appliquer. La CNIL publie d’ailleurs des recommandations sur le développement et l’usage des systèmes d’IA au regard de la protection des données.
En pratique
- Identifiez votre rôle : fournisseur, déployeur, ou simple utilisateur à titre personnel.
- Faites l’inventaire des outils d’IA utilisés et de leurs usages.
- Vérifiez qu’aucun usage ne relève d’une pratique interdite ou d’un domaine à haut risque.
- Organisez la montée en compétences des équipes : c’est une obligation déjà en vigueur.
- Suivez les éventuelles évolutions du calendrier.
Pour organiser cette montée en compétences, consultez notre guide pour choisir une formation en IA.
Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.