L'AI Act est le règlement européen (UE) 2024/1689 qui encadre l'intelligence artificielle selon le niveau de risque de chaque système. Il est en vigueur depuis le 1er août 2024 et s'applique par étapes entre 2025 et 2028. Il concerne les entreprises qui fournissent ou utilisent de l'IA dans l'Union européenne, PME comprises.
L'essentiel en 30 secondes
- Quatre niveaux de risque : inacceptable (interdit), haut risque, transparence et minimal.
- Application par étapes : pratiques interdites et maîtrise de l'IA depuis le 2 février 2025, transparence (Art. 50) depuis le 2 août 2026, haut risque de l'Annexe III à partir du 2 décembre 2027.
- Les fournisseurs et les déployeurs sont visés, PME comprises, sans seuil d'effectif.
- Sanctions (Art. 99) : jusqu'à 35 M€ ou 7 % du CA pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs et la transparence. Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes. Une PME se voit appliquer le montant le plus bas des deux.
- Le détail des obligations d'une PME figure dans le guide AI Act pour les PME françaises.
1. Qu'est-ce que l'AI Act ?
L'AI Act est le règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024. Selon la Commission européenne, c'est le premier cadre juridique complet sur l'IA au monde. Publié au Journal officiel de l'Union européenne le 12 juillet 2024, il est entré en vigueur le 1er août 2024. Son but est de promouvoir une IA digne de confiance et centrée sur l'humain, tout en protégeant la santé, la sécurité et les droits fondamentaux et en soutenant l'innovation (Art. 1).
Sa méthode est l'approche par les risques : plus un système d'IA peut porter atteinte aux personnes, plus les règles sont strictes. Un système d'IA est un système basé sur une machine qui déduit des données reçues comment produire des résultats (prédictions, contenus, recommandations, décisions). Voir l'article sur la définition du système d'IA (Art. 3(1)).
Qui est concerné ?
L'Article 2 donne au règlement un champ d'application large. Sont visés notamment :
- les fournisseurs, qui développent un système d'IA (ou le font développer) et le mettent sur le marché ou en service sous leur nom ;
- les déployeurs, qui utilisent un système d'IA dans le cadre d'une activité professionnelle ;
- les importateurs et les distributeurs de systèmes d'IA dans l'Union ;
- les fournisseurs et les déployeurs établis hors de l'UE, lorsque les résultats du système sont utilisés dans l'Union.
Une PME française est le plus souvent déployeur : elle utilise des outils d'IA. Elle est fournisseur si elle développe un système d'IA, y compris pour son propre usage, ou si elle commercialise sous son nom un système conçu par un tiers. Voir l'article sur les entreprises concernées en France et celui sur la différence entre déployeur et fournisseur.
2. Les quatre niveaux de risque
L'AI Act range les systèmes d'IA en quatre niveaux de risque. Le niveau détermine les règles applicables.
| Niveau de risque | Principe | Exemples | Cadre juridique |
|---|---|---|---|
| Risque inacceptable | Usages contraires aux valeurs de l'UE : interdits | Notation sociale, manipulation nuisible, reconnaissance des émotions au travail ou à l'école | Art. 5 : interdiction |
| Haut risque | Risque pour la santé, la sécurité ou les droits fondamentaux | Tri de CV, scoring de crédit, notation d'examens, chirurgie assistée par robot | Art. 6, Annexes I et III ; exigences des Art. 8 à 15 |
| Risque de transparence (dit « limité ») | Interaction avec des personnes, contenus générés par IA | Chatbots, hypertrucages (deepfakes), textes ou images générés par IA | Art. 50 : obligations de transparence |
| Risque minimal | Tous les autres systèmes | Filtres anti-spam, jeux vidéo | Pas de règle spécifique ; codes de conduite volontaires (Art. 95) |
La maîtrise de l'IA (Art. 4) s'applique en plus à tous les fournisseurs et déployeurs, quel que soit le niveau de risque.
Les pratiques interdites (Art. 5)
La Commission européenne dénombre neuf pratiques interdites : la manipulation nuisible, l'exploitation nuisible des vulnérabilités, la notation sociale, l'évaluation du risque d'infraction fondée sur le seul profilage, le moissonnage non ciblé d'images faciales, la reconnaissance des émotions au travail et à l'école, la catégorisation biométrique de caractéristiques protégées, l'identification biométrique à distance en temps réel à des fins répressives et, à partir du 2 décembre 2026, la génération de contenus intimes non consentis ou pédocriminels. Les huit premières s'appliquent depuis le 2 février 2025. Voir l'article sur les pratiques interdites.
Les systèmes à haut risque
Deux voies conduisent au haut risque (Art. 6). Soit le système est un produit, ou le composant de sécurité d'un produit, couvert par la législation d'harmonisation de l'Annexe I et soumis à une évaluation de conformité par un tiers. Soit il correspond à un usage listé à l'Annexe III : biométrie, infrastructures critiques, éducation, emploi, services essentiels, répression, migration, justice et processus démocratiques.
Un outil de tri automatisé de candidatures relève de l'Annexe III, point 4 : il est à haut risque, quelle que soit la taille de l'entreprise qui l'utilise. La dérogation de l'Art. 6(3) ne s'applique jamais lorsque le système réalise du profilage de personnes. Voir l'article sur la classification des systèmes à haut risque.
3. Les dates d'application à retenir
L'AI Act s'applique par étapes. Le règlement (UE) 2026/1744 (« Omnibus IA »), en vigueur depuis le 27 juillet 2026, a reporté l'application des obligations du haut risque.
| Date | Ce qui s'applique |
|---|---|
| 1er août 2024 | Entrée en vigueur du règlement |
| 2 février 2025 | Pratiques interdites (Art. 5) et maîtrise de l'IA (Art. 4) |
| 2 août 2025 | Modèles d'IA à usage général (GPAI), gouvernance, sanctions |
| 2 août 2026 | Transparence (Art. 50) : informer qu'on échange avec une IA, signaler les hypertrucages et certains textes générés par IA |
| 2 décembre 2026 | Nouvelle interdiction (contenus intimes non consentis ou pédocriminels) ; marquage lisible par machine des contenus générés, pour les systèmes déjà sur le marché avant le 2 août 2026 |
| 2 décembre 2027 | Obligations des systèmes à haut risque de l'Annexe III |
| 2 août 2028 | Obligations des systèmes à haut risque intégrés à des produits réglementés (Annexe I) |
Pour chaque échéance, voir le calendrier complet de l'AI Act et la page sur l'Omnibus IA.
4. Ce que l'AI Act change pour une PME
Pour une PME, tout dépend du rôle et du niveau de risque. Le règlement ne prévoit aucune exemption liée à la taille, mais il prévoit des aménagements pour les PME (plafond d'amende plus bas, accès prioritaire aux bacs à sable, documentation technique simplifiée).
- Utiliser des outils d'IA courants : prendre des mesures pour favoriser la maîtrise de l'IA du personnel (Art. 4), éviter toute pratique interdite, respecter la transparence (Art. 50) selon l'usage.
- Utiliser un système à haut risque : respecter les obligations du déployeur (Art. 26), à partir du 2 décembre 2027 pour l'Annexe III.
- Développer ou commercialiser un système d'IA : respecter les obligations du fournisseur, les plus lourdes pour le haut risque.
Le détail, rôle par rôle, figure dans le guide AI Act pour les PME françaises.
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 31 octobre, puis 99 €.
Créer mon pack — 29 €5. Les sanctions en cas de non-conformité
L'Article 99 du règlement (UE) 2024/1689 fixe trois plafonds de sanctions, modulés selon la gravité de l'infraction.
Tableau des sanctions
| Type d'infraction | Plafond en valeur absolue | Plafond en pourcentage du CA mondial | Article appliqué |
|---|---|---|---|
| Pratiques interdites (Art. 5) | 35 millions € | 7 % | Art. 99(3) |
| Manquement aux obligations des fournisseurs, déployeurs, importateurs et distributeurs, et à la transparence (Art. 50) | 15 millions € | 3 % | Art. 99(4) |
| Informations inexactes, incomplètes ou trompeuses fournies aux autorités ou aux organismes notifiés | 7,5 millions € | 1 % | Art. 99(5) |
Pour une PME, le montant le plus bas entre la valeur absolue et le pourcentage du chiffre d'affaires s'applique (Art. 99(6)). Exemple : avec 5 M€ de chiffre d'affaires, le plafond est de 350 000 € pour une pratique interdite, de 150 000 € pour un manquement du deuxième palier (y compris l'Art. 50) et de 50 000 € pour une information inexacte.
Les autorités nationales compétentes appliquent ces sanctions (la Commission européenne pour les fournisseurs de modèles d'IA à usage général), à mesure que chaque obligation devient applicable. Les pratiques interdites et la transparence sont déjà concernées ; les systèmes à haut risque de l'Annexe III le seront à compter du 2 décembre 2027. Voir l'article sur les autorités compétentes en France.
Pour les critères de fixation du montant (Art. 99(7)) et d'autres exemples, voir la page Sanctions AI Act pour une PME : amendes et calcul et l'article sur l'Article 99.
6. Par où commencer ?
Trois actions permettent de démarrer sans attendre :
- Inventorier les outils d'IA utilisés dans l'entreprise, y compris ceux que les équipes utilisent de leur propre initiative.
- Classer chaque outil selon les quatre niveaux de risque et selon le rôle de l'entreprise (fournisseur ou déployeur).
- Documenter les mesures prises : règles d'usage, sensibilisation des équipes (Art. 4) et responsabilités.
La checklist de conformité en 50 contrôles détaille chaque étape.
7. Glossaire des termes clés
Voici les notions essentielles pour se repérer dans le règlement. Pour les définitions complètes, voir le glossaire de l'AI Act.
| Terme | Définition synthétique | Référence |
|---|---|---|
| Système d'IA | Système basé sur une machine, conçu pour fonctionner avec différents niveaux d'autonomie, qui déduit des données reçues comment produire des résultats (prédictions, contenus, recommandations, décisions) pouvant influencer des environnements physiques ou virtuels | Art. 3(1) |
| Fournisseur | Personne ou organisme qui développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom | Art. 3(3) |
| Déployeur | Personne ou organisme qui utilise un système d'IA sous son autorité, sauf usage personnel non professionnel | Art. 3(4) |
| Modèle d'IA à usage général (GPAI) | Modèle d'IA présentant une généralité significative, capable d'exécuter de manière compétente un large éventail de tâches distinctes et pouvant être intégré dans de nombreux systèmes ou applications | Art. 3(63) |
| Maîtrise de l'IA (AI literacy) | Compétences, connaissances et compréhension permettant d'utiliser les systèmes d'IA de façon éclairée et de prendre conscience de leurs opportunités et de leurs risques | Art. 3(56) |
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 31 octobre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €8. Sources et liens utiles
Pour approfondir, voir les ressources officielles et les pages de référence du site.
Sources officielles
- Texte consolidé du règlement (UE) 2024/1689 : version consolidée au 27 juillet 2026 sur EUR-Lex, modifiée par le règlement (UE) 2026/1744.
- Page de la Commission européenne sur l'AI Act : digital-strategy.ec.europa.eu — approche par les risques et calendrier.
- Service d'aide AI Act de la Commission européenne : ai-act-service-desk.ec.europa.eu — explorateur du texte, outil de vérification et questions-réponses.
- CNIL — fiches pratiques IA : cnil.fr — articulation de l'IA et du RGPD.
- Texte annoté de l'AI Act : artificialintelligenceact.eu — navigation article par article.
Pages de référence du site
- Guide AI Act pour PME françaises — obligations détaillées d'une PME.
- Sanctions AI Act pour une PME — amendes, plafonds et calcul (Article 99).
- Glossaire AI Act — définitions des termes du règlement.
- Sources et bibliographie — références utilisées sur le site.
FAQ
Quelles sont les sanctions pour les PME en cas de non-conformité ?
L'Article 99 du règlement (UE) 2024/1689 prévoit trois paliers : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs (fournisseurs, déployeurs…) et à la transparence (Art. 50). Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités. Pour une PME, c'est le montant le plus bas des deux qui s'applique (Art. 99(6)). Voir l'article sur les sanctions de l'Article 99.
Comment savoir si mon système d'IA est concerné par l'AI Act ?
Quatre questions suffisent pour un premier tri. Le produit est-il un système d'IA au sens de l'Art. 3(1) ? Relève-t-il d'une pratique interdite (Art. 5) ? Figure-t-il à l'Annexe III, ou est-il intégré à un produit de l'Annexe I, ce qui le classe à haut risque ? Entre-t-il dans les cas de transparence de l'Art. 50 ? Le diagnostic AI Act gratuit donne ce tri en deux minutes.
Quelles sont les étapes pour se conformer à l'AI Act ?
Trois actions permettent de démarrer : inventorier les systèmes d'IA utilisés, les classer selon le niveau de risque et le rôle de l'entreprise, puis documenter les mesures prises (règles d'usage, sensibilisation du personnel, responsabilités). Le guide AI Act pour les PME françaises détaille la démarche.
L'AI Act s'applique-t-il aux PME françaises ?
Oui, sans condition de taille. L'Art. 2 ne prévoit aucune exemption générale pour les PME : les interdictions, la transparence et les obligations du haut risque s'appliquent quelle que soit la taille de l'entreprise. Des aménagements existent : plafond d'amende le plus bas des deux montants (Art. 99(6)), accès prioritaire aux bacs à sable réglementaires (Art. 62) et formulaire simplifié de documentation technique (Art. 11(1)).
Où puis-je trouver de l'aide pour comprendre l'AI Act ?
Le service d'aide de la Commission européenne (ai-act-service-desk.ec.europa.eu) propose un explorateur du texte, un outil de vérification et des questions-réponses. La CNIL publie 13 fiches pratiques sur l'IA et le RGPD. Le glossaire explique les termes du règlement.
Disclaimer — Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.