L'EU AI Act (Règlement 2024/1689) est la première législation IA complète au monde. Il s'applique par paliers : pratiques interdites depuis février 2025, règles GPAI depuis août 2025, obligations IA à haut risque depuis décembre 2027 (Annexe III) et août 2028 (Annexe I) après l'omnibus 2026.
Qu'est-ce que l'EU AI Act ?
Le Règlement (UE) 2024/1689 sur l'intelligence artificielle est le premier cadre juridique horizontal complet au monde pour l'intelligence artificielle. Il est entré en vigueur le 1er août 2024 et s'applique progressivement selon quatre niveaux de risque.
L'AI Act adopte une approche basée sur le risque : plus le préjudice potentiel est élevé, plus les obligations sont strictes. Il ne gouverne pas tous les logiciels — uniquement les systèmes qui qualifient comme IA au sens de l'Art. 3(1) et de l'Annexe I (apprentissage automatique, approches logiques et basées sur la connaissance, modèles statistiques).
Qui doit se conformer ?
L'AI Act s'applique à quatre catégories d'acteurs :
- Fournisseurs — organisations qui développent des systèmes IA ou des modèles GPAI et les mettent sur le marché UE ou les mettent en service dans l'UE
- Déployeurs — organisations ou particuliers qui utilisent des systèmes IA sous leur propre autorité dans un contexte professionnel
- Importateurs — entités établies dans l'UE qui importent des systèmes IA de pays tiers
- Distributeurs — entités dans la chaîne d'approvisionnement autres que les fournisseurs et importateurs
Portée géographique : l'AI Act s'applique dès que la sortie du système IA est utilisée dans l'UE, quel que soit le lieu d'établissement du fournisseur.
Les quatre niveaux de risque
| Niveau de risque | Périmètre | Règle clé |
|---|---|---|
| Risque inacceptable | IA manipulatrice, notation sociale, identification biométrique en temps réel, reconnaissance des émotions au travail | Interdit — Art. 5 |
| Haut risque | Annexe III (autonomes) et Annexe I (embarqués dans produits réglementés) | Évaluation de conformité, SMQ, marquage CE, enregistrement |
| Risque limité | Chatbots, deepfakes, contenu généré par IA | Obligations de transparence — les utilisateurs doivent être informés |
| Risque minimal | Filtres anti-spam, IA dans les jeux vidéo, systèmes de recommandation | Aucune obligation obligatoire |
Calendrier d'application
| Obligation | Applicable à partir du |
|---|---|
| Pratiques interdites (Art. 5) | 2 février 2025 |
| Règles GPAI — Chapitre 5 | 2 août 2025 |
| IA à haut risque — Annexe III autonomes | 2 décembre 2027 (prolongé par l'omnibus 2026) |
| IA à haut risque — Annexe I embarquée | 2 août 2028 (prolongé par l'omnibus 2026) |
Obligations clés pour les fournisseurs d'IA à haut risque
- Système de gestion des risques (Art. 9) — processus continu sur tout le cycle de vie
- Gouvernance des données (Art. 10) — adéquation des données d'entraînement, de validation et de test
- Documentation technique (Art. 11 + Annexe IV) — avant la mise sur le marché
- Transparence et journalisation (Art. 12–13) — journalisation automatique, instructions pour déployeurs
- Supervision humaine (Art. 14) — mesures permettant aux humains de surveiller et d'intervenir
- Précision, robustesse, cybersécurité (Art. 15)
- Système de management de la qualité (Art. 17)
- Évaluation de conformité (Art. 43) — tierce partie pour certaines catégories
- Enregistrement dans la base de données UE (Art. 71)
- Marquage CE (Art. 48) avant la mise sur le marché
Convergence avec DORA et NIS2
Les institutions financières font face à des obligations qui se chevauchent entre AI Act, DORA et NIS2. Le système de gestion des risques de l'AI Act (Art. 9) correspond étroitement au cadre de gestion des risques TIC de DORA (Art. 5–16). Le double mapping documentaire réduit la charge de conformité. Voir notre analyse de convergence →.
Calendrier officiel de conformité AI Act
Mis à jour le · Sources : Règlement (UE) 2024/1689 et Digital Omnibus AI 2026.
| Obligation | S'applique à | Date initiale | Nouvelle date | Statut | Compte à rebours | Base légale |
|---|---|---|---|---|---|---|
| Pratiques interdites (Art. 5) | Tous les fournisseurs et déployeurs | active | — | AI Act Art. 5 | ||
| Règles GPAI (chap. 5) | Fournisseurs de modèles GPAI | active | — | AI Act Art. 51-56 | ||
| IA à haut risque — Annexe III (autonomes) | Fournisseurs systèmes autonomes Annexe III | deferred | — | Omnibus AI 2026, Art. 6(2) | ||
| IA à haut risque — Annexe I (embarquée) | Systèmes embarqués dans produits réglementés Annexe I | deferred | — | Omnibus AI 2026, Art. 6(1) | ||
| Marquage contenu IA (transparence) | Fournisseurs systèmes GPAI génératifs | active | — | AI Act Art. 50(2) | ||
| Bacs à sable réglementaires | Autorités nationales compétentes | active | — | AI Act Art. 57 |
⬇ Télécharger JSON · CC BY 4.0
Convergence AI Act – DORA – NIS2
Votre organisation est-elle soumise à la fois à l'AI Act et à DORA ? Les deux règlements se croisent sur la résilience opérationnelle des systèmes d'IA financiers. Notre site jumeau regulation-dora.eu couvre DORA en profondeur.
Explorer regulation-dora.eu ↗Questions fréquentes
L'AI Act s'applique par paliers. Pratiques interdites (Art. 5) : 2 février 2025. Règles GPAI : 2 août 2025. IA à haut risque — systèmes autonomes Annexe III : 2 décembre 2027 (prolongé par l'omnibus 2026). IA à haut risque — Annexe I embarquée : 2 août 2028.
L'AI Act s'applique aux fournisseurs (qui développent ou mettent des IA sur le marché UE), aux déployeurs (qui utilisent des IA dans un contexte professionnel), aux importateurs et aux distributeurs. Il s'applique dès que la sortie du système IA est utilisée dans l'UE, indépendamment du lieu d'établissement du fournisseur.
Les amendes varient selon la violation : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel pour les violations des pratiques interdites ; jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres violations ; jusqu'à 7,5 millions d'euros ou 1,5 % pour la fourniture d'informations incorrectes.
L'AI Act et le RGPD sont des règlements distincts qui interagissent. Le RGPD régit le traitement des données personnelles ; l'AI Act régit les systèmes d'IA indépendamment du traitement de données personnelles. De nombreux systèmes IA à haut risque traitant des données personnelles doivent se conformer aux deux.
Restez informé des évolutions AI Act
Recevez les alertes compliance quand les délais ou obligations changent.
Pas de spam. Désabonnement en un clic.