Système d'IA : la définition de l'Article 3(1) AI Act

Un système d'IA, au sens de l'Article 3(1) de l'AI Act, est un système fondé sur une machine, conçu pour fonctionner avec un certain degré d'autonomie, qui déduit des données qu'il reçoit comment générer des sorties (prédictions, contenus, recommandations, décisions) pouvant influencer un environnement physique ou virtuel. L'inférence est la condition qui le distingue d'un logiciel classique fondé sur des règles écrites par des humains ; l'adaptabilité après déploiement est facultative. Un tableur, une base de données ou un logiciel de comptabilité standard ne sont pas des systèmes d'IA.

L'essentiel en 30 secondes

Article 3(1) : un système d'IA est un système fondé sur une machine, conçu pour fonctionner avec des niveaux variables d'autonomie, qui infère à partir des entrées comment générer des sorties pouvant influencer des environnements physiques ou virtuels.
Les lignes directrices de la Commission (publiées le 6 février 2025) détaillent sept éléments. L'autonomie et l'inférence sont des conditions nécessaires ; l'adaptabilité après déploiement est facultative.
Ne sont pas des systèmes d'IA : tableurs, bases de données, logiciels à règles fixes, tableaux de bord statistiques, certaines optimisations mathématiques et prédictions très simples (selon ces lignes directrices).
Qualifier un outil de système d'IA ne dit pas encore quelles obligations s'appliquent : le rôle (déployeur ou fournisseur) et le niveau de risque comptent. Maîtrise de l'IA (Art. 4) depuis le 2 février 2025, transparence (Art. 50) depuis le 2 août 2026, Annexe III à partir du 2 décembre 2027.
Sanctions AI Act (Art. 99) : jusqu'à 35 M€ ou 7 % du CA pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs et la transparence. Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes. Une PME se voit appliquer le montant le plus bas des deux.
Pour une PME : recenser ses outils (fonctions d'IA intégrées à des logiciels comprises), appliquer le test en 4 questions et consigner la décision.

La définition d'un système d'intelligence artificielle conditionne l'application du règlement (UE) 2024/1689. Sans qualification, pas d'obligations propres à l'IA ; tant que la qualification reste incertaine, il vaut mieux l'analyser que l'ignorer. Pour une PME, comprendre cette définition est le point de départ d'une analyse de conformité réaliste. Pour une présentation d'ensemble du règlement, voir l'article qu'est-ce que l'AI Act : explication simple.

Cet article décompose l'Article 3(1) du règlement (UE) 2024/1689, illustre la définition par des cas concrets de PME et fournit une grille d'auto-évaluation utilisable immédiatement.

1. Définition légale : l'Article 3(1) AI Act

L'Article 3(1) du règlement (UE) 2024/1689 énonce la définition d'un système d'IA. Elle s'inspire de la définition de l'OCDE, actualisée en novembre 2023.

Le texte anglais de l'Article 3(1) est le suivant :

« AI system means a machine-based system that is designed to operate with varying levels of autonomy and that may exhibit adaptiveness after deployment, and that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments ». Le texte français suit la même structure : système automatisé conçu pour fonctionner à différents niveaux d'autonomie, capable de faire preuve d'adaptation après son déploiement, qui déduit des entrées reçues la manière de générer des sorties qui peuvent influencer des environnements physiques ou virtuels.

Cette définition remplace celle de la proposition initiale de la Commission (2021), qui reposait sur une liste de techniques d'IA en annexe. Le texte final privilégie un critère fonctionnel : exclure les logiciels classiques fondés sur des règles définies par l'humain, tout en couvrant les approches d'apprentissage automatique, de logique et fondées sur la connaissance.

Le considérant 12 précise la portée : la définition doit permettre de distinguer l'IA des systèmes logiciels et approches de programmation traditionnels plus simples, et ne doit pas couvrir les systèmes fondés sur des règles définies uniquement par des personnes physiques pour exécuter automatiquement des opérations. Un logiciel qui exécute strictement des instructions écrites par des humains ne relève donc pas de cette qualification.

Pour une PME française, retenir trois points :

La définition est technologiquement neutre : elle ne cite ni machine learning, ni réseaux de neurones, ni LLM.
Elle est fonctionnelle : ce qui compte, c'est ce que le système fait, pas comment il est codé.
Elle repose sur sept éléments (lignes directrices de la Commission) : l'autonomie et l'inférence sont nécessaires, l'adaptabilité est facultative.

Le guide AI Act pour les PME françaises détaille les obligations d'une PME et le calendrier d'application.

2. Les sept éléments de la définition

Les lignes directrices de la Commission sur la définition d'un système d'IA, publiées le 6 février 2025, identifient sept éléments dans l'Article 3(1). Elles précisent que la qualification s'apprécie sur l'architecture et le fonctionnement du système, en tenant compte de l'ensemble de ces éléments. Ces lignes directrices ne sont pas contraignantes : seule la Cour de justice de l'Union européenne donne une interprétation faisant autorité.

Élément	Ce que cela signifie	Cas PME — exemple
1. Système fondé sur une machine	Matériel et logiciel qui permettent le fonctionnement du système	Tout logiciel ou service SaaS
2. Autonomie	Un certain degré d'indépendance d'action par rapport à l'intervention humaine (condition nécessaire)	Filtre anti-spam qui trie seul les courriels
3. Adaptabilité (facultative)	Capacité d'auto-apprentissage après déploiement ; le texte dit « peut » : ce n'est pas décisif	Moteur de recommandation qui se réentraîne
4. Objectifs explicites ou implicites	Buts internes au système, qui peuvent différer de la finalité d'usage	Répondre aux questions sur un corpus de documents
5. Inférence	Déduire des entrées la manière de générer des sorties (condition indispensable qui distingue l'IA des logiciels à règles)	Modèle de scoring appris sur des données
6. Sorties	Prédictions, contenus, recommandations ou décisions	Chatbot client générant des réponses
7. Influence sur l'environnement	Sorties pouvant influencer des environnements physiques ou virtuels	Recommandation qui oriente une décision RH

2.1 Un système fondé sur une machine

Le système doit fonctionner sur des machines, matériel et logiciel. Un processus manuel, même structuré et répétitif, n'est pas un système d'IA. Un tableur utilisé comme tableur, une base de données qui trie ou filtre selon des critères, un script qui applique une formule fixe ne qualifient pas : ce sont des traitements de données de base, sans apprentissage ni inférence. L'automatisation seule ne suffit donc pas.

2.2 Niveaux d'autonomie

L'Article 3(1) vise des systèmes conçus pour fonctionner avec différents niveaux d'autonomie. Les lignes directrices en font une condition nécessaire : elle exclut seulement les systèmes conçus pour fonctionner avec une intervention humaine entièrement manuelle. Un système dont chaque sortie est validée par un humain avant action reste un système d'IA si les autres éléments sont réunis ; un système agissant sans aucune intervention humaine est également couvert.

2.3 Capacité d'adaptation

Le texte indique que le système « peut » faire preuve d'adaptabilité après déploiement. Les lignes directrices en déduisent que cette capacité d'auto-apprentissage est facultative et non décisive. Un modèle figé après son entraînement initial peut donc relever de l'AI Act.

2.4 Inférence et sorties

L'inférence est la condition indispensable : le système doit déduire des entrées la manière de générer des sorties, au lieu d'appliquer uniquement des règles définies par des humains. Les sorties (prédictions, contenus, recommandations, décisions) doivent pouvoir influencer des environnements physiques ou virtuels ; la liste est donnée à titre d'exemples. Selon les lignes directrices, restent hors champ les systèmes d'optimisation mathématique reposant sur des méthodes établies, le traitement de données de base (bases de données, tableurs, tableaux de bord de statistiques descriptives), les systèmes fondés sur des heuristiques classiques et les prédictions très simples (par exemple une moyenne historique).

3. Exemples concrets pour les PME françaises

L'application de la définition gagne en clarté sur des cas pratiques. Les exemples ci-dessous illustrent des usages courants en PME ; la qualification dépend toujours du fonctionnement réel de l'outil.

Outil métier	Système IA selon Art. 3(1) ?	Justification
Chatbot client basé sur LLM	Oui	Génère du contenu via inférence, niveau d'autonomie élevé
Algorithme de tri de CV automatisé	Oui, s'il infère à partir de données (un filtre à mots-clés fixes n'est pas une IA)	Produit des recommandations influençant une décision RH
Système de recommandation e-commerce	Oui, s'il repose sur un modèle appris	Sorties prédictives influençant l'environnement virtuel
Logiciel de prévision de ventes par ML	Oui, sauf prédiction très simple (moyenne historique)	Prédiction générée par apprentissage automatique
Reconnaissance d'image pour contrôle qualité	Oui	Décision automatisée sur produits physiques
Tableur Excel avec formule SOMMEPROD	Non	Règles strictes définies par l'humain, pas d'inférence
Logiciel de comptabilité standard	Non	Traitement déterministe sans génération de sorties IA
Filtre anti-spam basé sur règles	Non si règles fixes	Oui seulement si un modèle appris classe les messages

Cas 1 — Une agence de communication parisienne utilise ChatGPT pour générer des brouillons de newsletters. Le système qualifie comme système d'IA. L'agence est déployeur au sens de l'Art. 3(4) : l'obligation de maîtrise de l'IA (Art. 4) s'applique. L'Art. 50 n'impose pas, en tant que tel, de signaler un brouillon de newsletter commerciale : il vise les hypertrucages et les textes publiés pour informer le public sur des questions d'intérêt public. Voir l'article ChatGPT en équipe marketing : cas pratique.

Cas 2 — Une PME industrielle lyonnaise utilise un logiciel de planification de production basé sur des règles métier figées. Aucune inférence, aucun apprentissage. Le logiciel ne qualifie pas, et reste hors champ AI Act, même s'il « optimise » la production.

Cas 3 — Une startup RH bordelaise développe un outil de scoring de candidatures par machine learning supervisé. Le système qualifie. Il relève de l'Annexe III, point 4(a) de l'AI Act (recrutement) : la startup est fournisseur, avec des obligations renforcées à partir du 2 décembre 2027. Voir l'article déployeur ou fournisseur : comment savoir ?.

Vos documents IA, personnalisés et prêts aujourd'hui

Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 31 octobre, puis 99 €.

Créer mon pack — 29 €

4. Exclusions : ce qui n'est PAS un système IA

Le considérant 12 et l'Article 2 du règlement délimitent le champ. La distinction est importante : qualifier à tort un logiciel de système d'IA expose à des coûts de mise en conformité inutiles. À l'inverse, ne pas qualifier un système qui en relève expose à des manquements.

Sont exclus de la qualification de système d'IA, ou du champ de l'AI Act :

Les logiciels exécutant strictement des règles définies par des humains, sans inférence.
Les systèmes utilisés à des fins exclusivement militaires, de défense ou de sécurité nationale (Art. 2(3)).
Les systèmes développés exclusivement à des fins de recherche scientifique (Art. 2(6)).
Les systèmes d'IA publiés sous licence libre et ouverte, sauf s'ils sont mis sur le marché comme systèmes à haut risque ou relèvent des Articles 5 ou 50 (Art. 2(12)).
Les activités de recherche, d'essai et de développement précédant la mise sur le marché ou la mise en service (Art. 2(8)).
Les personnes physiques qui utilisent un système d'IA dans le cadre d'une activité strictement personnelle et non professionnelle (Art. 2(10)).

Cas particuliers fréquents en PME :

Outil	Qualification	Pourquoi
Macro VBA dans Excel	Non	Règles déterministes humaines
Système expert avec base de connaissances	Oui	Le considérant 12 cite les approches fondées sur la logique et les connaissances
Calculateur de prix par formule	Non	Pas d'inférence
OCR avec extraction de données	Frontière	Selon présence ML
Traduction automatique neuronale	Oui, si elle repose sur un modèle appris	Génération de contenu par modèle d'IA

L'erreur fréquente consiste à confondre « automatisation » et « intelligence artificielle ». Un robot de procédure (RPA) qui exécute une séquence d'actions prédéfinies n'est pas un système d'IA, même s'il « remplace » du travail humain. À l'inverse, un système d'aide à la décision qui apprend des historiques pour ajuster ses recommandations qualifie, même si son interface est minimaliste.

5. Conséquences pour les PME : pourquoi la qualification compte

La qualification d'un outil comme système d'IA ouvre l'analyse des obligations. Certaines s'appliquent à tous, les autres dépendent du rôle et du niveau de risque (pratiques interdites de l'Art. 5, haut risque de l'Art. 6 et de l'Annexe III, transparence de l'Art. 50).

Obligations qui s'appliquent largement à un déployeur PME :

Interdiction des pratiques de l'Art. 5, applicable depuis le 2 février 2025.
Mesures pour favoriser la maîtrise de l'IA du personnel (Art. 4, applicable depuis le 2 février 2025), sans garantie d'un niveau donné pour chaque personne.
Transparence de l'Art. 50, en vigueur depuis le 2 août 2026, dans les cas visés : hypertrucages, textes publiés pour informer le public (déployeurs) ; information sur l'échange avec une IA (fournisseurs).
Bonnes pratiques : documentation interne de l'usage et des finalités, supervision humaine adaptée au niveau de risque.

Exigences applicables aux systèmes à haut risque (Annexe III), à partir du 2 décembre 2027 (principalement pour le fournisseur ; le déployeur suit l'Art. 26) :

Système de gestion des risques (Art. 9).
Gouvernance des données d'entraînement et de test (Art. 10).
Documentation technique complète (Art. 11).
Journalisation automatique des événements (Art. 12).
Transparence et fourniture d'informations aux utilisateurs (Art. 13).
Supervision humaine effective (Art. 14).
Exactitude, robustesse et cybersécurité (Art. 15).

Sanctions encourues — l'Article 99 prévoit des amendes administratives graduées :

Catégorie de manquement	Sanction maximale
Pratiques interdites (Art. 5)	35 M€ ou 7% du CA mondial annuel
Manquement aux obligations des opérateurs, dont la transparence (Art. 50)	15 M€ ou 3% du CA mondial annuel
Fourniture d'informations inexactes, incomplètes ou trompeuses	7,5 M€ ou 1% du CA mondial annuel

Pour une PME réalisant 5 M€ de chiffre d'affaires, 7 % représentent 350 000 € (le montant le plus bas des deux plafonds s'applique aux PME, Art. 99(6)). Le détail des sanctions et un calculateur figurent sur la page AI Act sanctions PME : amendes et calculateur.

6. Guide pratique : comment identifier un système IA en 4 étapes

Cette méthodologie est exploitable immédiatement par un dirigeant, un DPO ou un responsable IA. Elle ne remplace pas une analyse juridique, mais constitue un premier filtre opérationnel.

Étape 1 — Inventorier les outils numériques

Lister tous les logiciels, services SaaS, applications mobiles et outils internes utilisés dans l'entreprise. Inclure les outils informels (extensions de navigateur, abonnements personnels utilisés en contexte professionnel) : voir l'article sur la shadow IA en entreprise.

Étape 2 — Pour chaque outil, répondre aux 4 questions tirées de l'Art. 3(1) :

L'outil fonctionne-t-il sur une machine, avec un certain degré d'autonomie (au-delà d'une utilisation purement manuelle) ?
Infère-t-il, à partir des données reçues, la manière de produire ses sorties, au lieu d'appliquer uniquement des règles écrites par des humains ?
Génère-t-il des sorties (prédictions, contenus, recommandations, décisions) ?
Ces sorties peuvent-elles influencer un environnement physique ou virtuel (une décision, un contenu diffusé, une action) ?

Quatre « oui » : qualification probable comme système d'IA. Si l'outil relève d'une catégorie exclue par les lignes directrices (tableur, base de données, règles fixes, tableau de bord statistique), la qualification est écartée. En cas de doute, l'analyse se fait au cas par cas.

Étape 3 — Identifier le niveau de risque

Croiser l'usage avec les listes du Règlement :

Niveau de risque	Référence	Exemples
Inacceptable	Art. 5	Notation sociale, manipulation cognitive
Élevé	Annexe III	Recrutement, crédit, justice, infrastructures critiques
Limité	Art. 50	Chatbots, deepfakes, systèmes de reconnaissance d'émotions
Minimal	Hors listes	Filtres anti-spam, jeux vidéo

Étape 4 — Documenter la décision de qualification

Tenir un registre interne mentionnant pour chaque outil : nom, fournisseur, finalité, qualification AI Act, niveau de risque, date d'analyse, responsable. Ce registre n'est exigé par aucune disposition du règlement pour un déployeur (l'enregistrement dans la base de l'UE vise d'abord les fournisseurs de systèmes de l'Annexe III), mais il facilite l'audit et la preuve des mesures prises. Le modèle de registre des systèmes d'IA peut servir de support ; le glossaire reprend les définitions clés.

7. Ressources officielles pour les PME

Plusieurs ressources publiques aident à qualifier un outil. Quatre sources sont utiles.

Service desk AI Act de la Commission européenne — ai-act-service-desk.ec.europa.eu. Explorateur du texte, outil de vérification (Compliance Checker), FAQ et formulaire de questions. Les orientations de la Commission ne sont pas contraignantes.

CNIL — cnil.fr propose 13 fiches pratiques sur l'application du RGPD aux systèmes d'IA. La CNIL est compétente pour les données personnelles traitées par les systèmes d'IA.

AI Office européen — le Bureau de l'IA de la Commission européenne, prévu par l'Art. 64, supervise notamment les modèles d'IA à usage général et contribue à la mise en œuvre du règlement.

EUR-Lex — la version consolidée du règlement (UE) 2024/1689 est disponible en français et dans les autres langues officielles de l'Union.

La page sources et références liste les références utilisées.

8. ISO/IEC 42001:2023 : complément normatif pour la gouvernance

La norme ISO/IEC 42001:2023, publiée en décembre 2023, fournit un cadre de gouvernance pour les organisations qui développent, fournissent ou utilisent des systèmes d'IA. Elle est complémentaire de l'AI Act, non substitutive.

Différences clés :

Critère	AI Act	ISO/IEC 42001
Nature	Règlement européen contraignant	Norme volontaire
Sanctions	Amendes jusqu'à 35 M€ ou 7 % du CA (pratiques interdites), 15 M€ ou 3 %, 7,5 M€ ou 1 %	Aucune sanction directe
Approche	Conformité par niveau de risque	Système de management de l'IA
Public	Tous opérateurs UE	Organisations volontaires
Référence	Règlement (UE) 2024/1689	ISO/IEC 42001:2023

Pour une PME française, la certification ISO 42001 n'est pas obligatoire. Elle peut toutefois :

Aider à structurer le système de gestion de la qualité de l'Art. 17 côté fournisseur, sans présomption de conformité.
Constituer un argument commercial en B2B.
Structurer la documentation interne et la preuve des mesures prises.

L'AI Act prévoit que les normes harmonisées donnent une présomption de conformité (Art. 40). Le CEN-CENELEC JTC 21 travaille à l'élaboration de ces normes. ISO/IEC 42001 n'est pas une norme harmonisée : elle ne donne aucune présomption de conformité. Voir l'article ISO 42001 et AI Act : quelles différences ?.

FAQ

Quelles sont les conséquences pour une PME qui utilise un système IA sans le déclarer ?

L'AI Act n'impose pas de déclaration générale de tout système d'IA. L'enregistrement dans la base de données européenne (Art. 49 et 71) concerne les systèmes à haut risque de l'Annexe III, côté fournisseur, ainsi que les déployeurs qui sont des autorités publiques. Pour les autres systèmes, aucune déclaration préalable n'est requise. L'absence de cartographie interne expose toutefois à des manquements aux obligations qui, elles, s'appliquent : voir l'article Article 6 : classification des systèmes à haut risque.

Comment savoir si mon logiciel est un système IA selon l'AI Act ?

Appliquer le test en 4 questions tirées de l'Article 3(1) : le logiciel fonctionne-t-il sur une machine avec un certain degré d'autonomie ? Infère-t-il la manière de générer ses sorties à partir des données reçues ? Génère-t-il des sorties (prédictions, contenus, recommandations, décisions) ? Ces sorties peuvent-elles influencer un environnement physique ou virtuel ? Quatre réponses positives indiquent une qualification probable. En cas de doute, le considérant 12 et les lignes directrices de la Commission précisent les cas limites. Le service desk européen permet de poser des questions.

Dois-je déclarer tous les systèmes IA à l'autorité compétente ?

Non. L'obligation d'enregistrement dans la base de données européenne (Art. 49 et 71) concerne les systèmes à haut risque de l'Annexe III, côté fournisseur, ainsi que les déployeurs qui sont des autorités publiques. Les systèmes soumis à l'Art. 50 ont des obligations de transparence, non d'enregistrement. Les systèmes à risque minimal n'ont pas d'obligation déclarative.

Quelles sont les différences entre l'AI Act et le RGPD pour les systèmes IA ?

L'AI Act régule les systèmes d'IA en tant que produits, indépendamment du traitement de données personnelles. Le RGPD régule tout traitement de données personnelles, qu'il implique ou non un système d'IA. Les deux régimes peuvent s'appliquer ensemble. Un outil de tri de CV doit ainsi respecter à la fois les obligations AI Act de l'Annexe III, point 4(a), à partir du 2 décembre 2027, et les obligations RGPD (base légale, durée de conservation, droits des personnes). L'analyse d'impact relative à la protection des données (AIPD) peut être complétée par une FRIA lorsque celle-ci s'applique (Art. 27(4)). Voir l'article RGPD et AI Act : articuler les deux règlements.

Puis-je utiliser un système IA sans en être conscient ?

Techniquement oui, par exemple via une fonctionnalité d'IA intégrée à un logiciel SaaS classique (filtre photo, suggestion automatique). Juridiquement, cette ignorance n'exonère pas. L'Article 4 du règlement (UE) 2024/1689, applicable depuis le 2 février 2025, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel et des personnes qui utilisent des systèmes d'IA pour leur compte, en tenant compte de leurs connaissances, de leur expérience et du contexte d'usage. L'obligation n'exige pas de garantir un niveau donné pour chaque personne. Une cartographie régulière des outils utilisés, y compris les fonctionnalités d'IA intégrées à des solutions tierces, est donc utile.

Passez des obligations aux documents

Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 31 octobre, puis 99 €, satisfait ou remboursé 30 jours.