AI Act (Règlement 2024/1689) : Le Guide Complet pour les Entreprises en 2026

Entré en vigueur le 1er août 2024, le règlement européen sur l'intelligence artificielle — l'AI Act (Règlement 2024/1689) — est le premier cadre juridique complet au monde régulant l'IA. Pour les entreprises françaises et européennes, les échéances sont déjà là. Voici ce que vous devez savoir et faire avant août 2026.

Qu'est-ce que l'AI Act ?

L'AI Act est un règlement européen fondé sur une approche par le risque : plus un système d'IA présente de risques pour les droits fondamentaux et la sécurité des personnes, plus les obligations sont strictes. Il s'applique à toute entreprise qui développe, déploie ou utilise des systèmes d'IA sur le marché européen — y compris les entreprises américaines ou chinoises dont les clients sont en Europe.

Les 4 niveaux de risque

1. Risque inacceptable — Pratiques interdites (Article 5)

Ces pratiques sont totalement bannies depuis le 2 février 2025. Elles violent les valeurs fondamentales de l'Union européenne :

• La notation sociale (social scoring) par des autorités publiques
• La manipulation comportementale subliminale au-delà de la conscience de l'individu
• L'exploitation des vulnérabilités (âge, handicap, situation socio-économique)
• La prédiction individuelle de crimes basée uniquement sur le profilage
• Le scraping non ciblé de visages sur internet ou caméras CCTV pour créer des bases de données de reconnaissance faciale
• La reconnaissance des émotions sur le lieu de travail ou dans l'éducation
• La catégorisation biométrique pour déduire l'origine raciale, les opinions politiques ou l'orientation sexuelle
• L'identification biométrique en temps réel dans les espaces publics (sauf exceptions : personnes disparues, menaces terroristes imminentes)

2. Haut risque — Obligations renforcées (Annexe III)

Ces systèmes sont autorisés mais soumis à des exigences strictes avant mise sur le marché :

• Biométrie : Identification biométrique à distance (post-facto), reconnaissance des émotions
• Infrastructures critiques : Gestion du trafic routier, réseaux eau/gaz/électricité
• Éducation : Admission scolaire, évaluation des apprentissages, surveillance d'examens
• Emploi : Tri de CVs, décisions de promotion ou licenciement, évaluation des performances
• Services essentiels : Scoring de crédit, éligibilité aux aides sociales, tarification assurance santé/vie
• Justice : Prédiction de récidive, interprétation des faits par une IA pour un juge
• Migration : Évaluation du risque aux frontières, traitement des demandes d'asile
• Démocratie : Systèmes influençant des élections ou référendums

3. Risque limité — Obligations de transparence

Ces systèmes doivent informer l'utilisateur qu'il interagit avec une IA :

• Chatbots et assistants virtuels
• Deepfakes (texte, image, vidéo, audio générés par IA)
• Modèles à usage général (GPAI) comme ChatGPT, Gemini, Claude

Exemple concret : Un site e-commerce utilisant un chatbot sans indiquer clairement "cette conversation est gérée par un assistant virtuel" encourt jusqu'à 7,5 M€ ou 1 % de son chiffre d'affaires mondial d'amende.

4. Risque minimal — Aucune obligation spécifique

Filtres anti-spam, systèmes de recommandation, jeux vidéo. Aucune contrainte réglementaire imposée par l'AI Act.

Le calendrier complet de conformité

Ce que les entreprises doivent mettre en place

Pour les systèmes à haut risque, l'AI Act impose un cadre de gouvernance complet :

• Système de gestion de la qualité (SGQ) : Politiques, procédures et instructions documentées pour la conformité, la gestion des données et l'atténuation des risques
• Documentation technique : Description complète du système, de ses algorithmes et de ses sources de données — comptez 200 à 300 heures pour documenter un seul système
• Supervision humaine : Les systèmes haut risque doivent permettre à un humain de surveiller, intervenir et "overrider" les décisions
• Journaux d'événements (logs) : Conservation automatique pendant au moins 6 mois
• Littératie IA (Article 4) : Formation obligatoire pour tout le personnel déployant ou supervisant de l'IA

Durée et coût réalistes d'un audit de conformité : 3 à 6 mois de travail, représentant entre 10 et 20 % de l'investissement IA total de l'entreprise.

Conclusion : la conformité comme avantage compétitif

L'AI Act n'est pas qu'une contrainte légale : les entreprises conformes bénéficient d'un avantage dans les appels d'offres publics (où la conformité est devenue un critère éliminatoire), d'une confiance accrue des investisseurs et d'une protection contre les litiges. La non-conformité est un facteur aggravant en cas de procès pour discrimination algorithmique.

Questions fréquentes sur l'AI Act