L’IA Act européen, ou règlement UE 2024/1689, change déjà la manière dont les entreprises conçoivent, commercialisent et utilisent l’intelligence artificielle en Europe. Pour un dirigeant, le sujet ne se limite pas aux grands éditeurs de modèles, car une société utilisatrice peut aussi être concernée dès qu’elle intègre une solution d’IA dans ses processus. L’enjeu est simple, identifier les usages, comprendre le niveau de risque et mettre en place les bons garde-fous.
En bref :
L’IA Act impose de cartographier, former et documenter vos usages d’IA pour maîtriser les risques réglementaires tout en conservant votre agilité opérationnelle.
- Inventaire exhaustif : recensez tous les outils IA (chatbots, générateurs, API, plug‑ins) pour savoir précisément où vous êtes exposé.
- Formation ciblée : déployez des actions de littératie IA pour RH, support et équipes opérationnelles (obligation en vigueur depuis le 2 février 2025).
- Marquage machine lisible : prévoyez le balisage des contenus générés et les mentions utilisateur avant le 2 août 2026, intégré dès la conception des parcours.
- Documentation et supervision : pour les systèmes à risque élevé, conservez les descriptions techniques, les tests, la gestion des incidents et un contrôle humain effectif.
- Surveillez la requalification en fournisseur : si vous modifiez ou commercialisez une solution, révisez vos contrats avec les éditeurs GPAI et adaptez vos obligations de conformité.
Qu’est-ce que l’IA Act européen ?
L’IA Act est un règlement adopté par l’Union européenne pour encadrer l’ensemble du cycle de vie des systèmes d’intelligence artificielle sur le territoire européen. Il vise le développement, la mise sur le marché, la distribution et l’utilisation de ces systèmes, avec une logique de proportionnalité selon les risques.
Le texte s’applique à toutes les entreprises qui développent, commercialisent ou utilisent de l’IA dans l’Union européenne. Il concerne aussi les structures situées hors UE si leurs produits sont utilisés ou distribués dans l’espace européen. Autrement dit, la localisation du siège ne protège pas d’une application du règlement lorsque l’IA touche le marché européen.
Le règlement distingue quatre niveaux de risque. Les systèmes à risque inacceptable sont interdits, comme la manipulation cognitive, le scoring social d’État ou certaines utilisations de l’identification biométrique en temps réel dans l’espace public. Les systèmes à risque élevé, eux, sont encadrés de manière renforcée, notamment dans le recrutement, la santé, la justice ou l’accès à des services essentiels. Viennent ensuite les systèmes à risque limité, soumis surtout à des obligations de transparence, puis les systèmes à risque minimal, qui restent peu réglementés.
Pour une entreprise utilisatrice, le point de départ consiste à comprendre que l’IA Act ne cible pas seulement les créateurs de modèles. Dès lors qu’une société paramètre, intègre ou déploie une solution d’IA dans son activité, elle entre dans le champ du texte. Cela vaut pour les usages internes, la relation client, les fonctions RH, ou encore les outils mis à disposition des équipes.
Périmètre et champ d’application pour les entreprises utilisatrices
Le règlement ne traite pas toutes les organisations de la même façon. Les obligations varient selon le niveau de risque du système et selon le rôle occupé par l’entreprise, qu’elle soit fournisseur, mandataire ou déployeur. Pour une société utilisatrice, le terme à retenir est celui de déployeur, c’est-à-dire l’entité qui implante ou exploite un système d’IA dans ses processus internes ou dans son offre.
Dans la vie réelle, cela peut concerner un outil de présélection de CV, un assistant conversationnel utilisé par le service client, un moteur de recommandation, un générateur de texte pour la communication, ou un outil d’aide à la décision. Dès que l’IA est utilisée au service de salariés, de clients ou de candidats, l’entreprise doit vérifier son niveau d’exposition au règlement.
Le champ d’application est large, car une entreprise hors UE peut aussi être concernée si son IA est utilisée dans l’Union. Il faut également surveiller un point de vigilance important, la requalification en fournisseur. Une entreprise utilisatrice peut changer de catégorie si elle modifie de manière substantielle un système, si elle change son usage prévu, si elle commercialise la solution sous sa propre marque ou si elle l’intègre dans une application à haut risque.
Cette requalification n’est pas théorique. Elle entraîne des obligations nettement plus lourdes, notamment en matière de documentation, de conformité et de contrôle. Pour un dirigeant, cela impose de cartographier précisément le rôle de l’entreprise dans la chaîne de valeur de l’IA.
Les principales obligations pour les entreprises utilisatrices
Les obligations ne se résument pas à un simple affichage ou à un rappel juridique. L’IA Act demande une organisation interne, des preuves de conformité et une gouvernance capable de suivre l’évolution des outils déployés. La logique du texte est claire, plus le risque augmente, plus le niveau d’exigence monte.
Inventaire et transparence de l’utilisation de l’IA
La première attente consiste à réaliser un inventaire exhaustif des usages d’IA dans l’entreprise. Cet inventaire doit couvrir les chatbots, les assistants, les systèmes de génération de texte ou d’image, les outils embarqués, les plug-ins IA et les API. Sans cette cartographie, il devient impossible de piloter la conformité ou de mettre à jour les documents internes.
La transparence est également centrale. Lorsqu’un utilisateur interagit avec un système d’IA, l’entreprise doit l’en informer clairement. C’est particulièrement vrai pour les outils conversationnels et les systèmes génératifs. Si un contenu est produit par une IA, qu’il s’agisse de texte, d’image, de vidéo ou d’audio, une mention explicite doit le signaler. Les deepfakes et les contenus portant sur des sujets d’intérêt public doivent aussi être identifiés sans ambiguïté.
Cette exigence de transparence répond à un objectif simple, éviter toute confusion sur l’origine du contenu. Pour une entreprise, cela suppose de revoir ses parcours utilisateurs, ses interfaces et ses mentions d’information. Le marquage ne doit pas être laissé à l’initiative de l’utilisateur, il doit être intégré au système ou au processus de diffusion.
Obligation de formation et de littératie IA
Depuis le 2 février 2025, les entreprises utilisatrices ou déployeurs doivent mettre en place des actions de sensibilisation et de formation à l’IA. Cette obligation, prévue par l’article 4, concerne la littératie IA, c’est-à-dire la capacité des collaborateurs à comprendre les usages, les limites et les risques des systèmes déployés.
Concrètement, il ne s’agit pas seulement d’organiser une session ponctuelle. L’entreprise doit prévoir une montée en compétence adaptée aux fonctions exposées, aux outils utilisés et aux risques identifiés. Les équipes RH, juridiques, techniques, commerciales ou support n’ont pas les mêmes besoins, mais elles doivent toutes savoir comment utiliser l’IA sans créer de dérive.
Cette exigence doit être anticipée sans attendre les autres échéances du règlement. Dans beaucoup de sociétés, le point faible ne sera pas le manque d’outils, mais le manque de maîtrise interne. Former les équipes devient une condition de pilotage, pas une formalité administrative.
Gestion du risque, documentation et contrôle humain
Pour les systèmes à risque élevé, une documentation technique doit exister. Elle doit décrire le fonctionnement de l’algorithme, les données utilisées, les tests réalisés, les risques identifiés, les modalités de supervision et les possibilités d’audit interne. Cette documentation sert à démontrer que le système est encadré et que ses usages sont maîtrisés.
Le règlement impose aussi un système de gestion des risques avec une actualisation régulière. Cela signifie que l’entreprise doit suivre les évolutions du système, les incidents éventuels, les dérives d’usage et les changements de contexte. Un outil qui paraît stable au départ peut devenir problématique si les données, les paramétrages ou les usages changent.
Le contrôle humain est un autre point de vigilance. Avant la mise en service de certains systèmes à haut risque, un dispositif de supervision humaine est nécessaire. L’opérateur doit être guidé dans son contrôle pour ne pas se contenter d’un simple validation automatique. L’humain doit rester capable d’intervenir, corriger et suspendre le processus lorsque la situation l’exige.
Respect de la vie privée et de la cybersécurité
Les entreprises doivent tenir un registre permettant de suivre l’utilisation des systèmes d’IA, de protéger les données personnelles et d’évaluer la conformité dans la durée. Ce registre facilite les contrôles internes et donne une vision plus claire des traitements associés aux outils utilisés.
Les systèmes à haut risque doivent aussi offrir un bon niveau de robustesse, d’exactitude et de cybersécurité. Le règlement attend des mesures techniques et organisationnelles cohérentes avec ces objectifs. En pratique, cela implique de sécuriser les accès, de surveiller les anomalies, de limiter les risques de corruption de données et de prévoir des mécanismes de reprise.
Pour une direction, ce sujet croise la conformité, la sécurité informatique et la gouvernance des données. L’IA ne peut pas être gérée comme un simple logiciel ajouté à l’existant. Elle doit être intégrée à une politique de contrôle plus large.
Le tableau ci-dessous résume les principaux niveaux de risque et leur logique de traitement.
| Niveau de risque | Exemples | Traitement réglementaire |
|---|---|---|
| Risque inacceptable | Manipulation cognitive, scoring social d’État, identification biométrique en temps réel dans l’espace public | Pratiques interdites |
| Risque élevé | Recrutement, santé, justice, services essentiels | Documentation, supervision, contrôle humain, gestion des risques |
| Risque limité | Chatbots, assistants conversationnels | Transparence et information de l’utilisateur |
| Risque minimal | Usages peu ou pas sensibles | Encadrement réduit |
Exigences relatives aux contenus générés
À partir du 2 août 2026, les contenus générés par IA devront porter un marquage explicite, lisible par machine, afin de signaler leur origine informatique. Cette exigence vise surtout l’IA générative, qu’il s’agisse de texte, d’image, de vidéo ou d’audio.
Les chatbots et assistants doivent également comporter une mention obligatoire pour prévenir l’utilisateur qu’il interagit avec une IA. Le principe est le même pour les contenus sensibles ou susceptibles de circuler largement, car l’objectif du règlement est de limiter la confusion et de renforcer la traçabilité des productions automatisées.
Pour une entreprise, cela suppose d’anticiper les flux de diffusion, les métadonnées, les mentions d’avertissement et les mécanismes de marquage. La transparence doit être pensée dès la conception du parcours, pas ajoutée après coup.
Cas particuliers, GPAI, éditeurs et mandataires
Le règlement prévoit aussi des règles spécifiques pour certains acteurs qui occupent une place particulière dans l’écosystème de l’IA. C’est le cas des fournisseurs de modèles à usage général, des éditeurs et des mandataires désignés par des acteurs hors UE.
Modèles d’IA à usage général et GPAI à risque systémique
Les fournisseurs et éditeurs de modèles d’IA à usage général, comme certains grands modèles génératifs, doivent publier une documentation technique détaillée. Cette documentation doit couvrir le processus de formation, les essais, les résultats d’évaluation, le respect du droit d’auteur et les données d’entraînement utilisées.
Pour les modèles à risque systémique, les exigences montent d’un cran. Les fournisseurs doivent réaliser régulièrement des tests adversariaux afin d’identifier les risques systémiques, signaler tout incident grave à l’Office AI et aux autorités nationales compétentes, et garantir un haut niveau de cybersécurité. La logique est de prévenir les effets de masse et les dérives qui pourraient affecter un grand nombre d’utilisateurs.
Depuis août 2025, la tendance réglementaire renforce la transparence et le respect du droit d’auteur sur ces modèles. Pour les entreprises qui s’appuient sur des GPAI, cela implique de vérifier la qualité documentaire de leurs fournisseurs et la solidité des garanties contractuelles. Le choix d’un modèle ne peut plus se faire uniquement sur la performance technique.
Mandataires
Lorsqu’un fournisseur est situé hors UE, un mandataire peut être désigné pour assurer la conformité dans l’Union. Ce mandataire doit vérifier le respect des obligations applicables, conserver les documents pendant dix ans, coopérer avec les autorités sur la gestion des risques et accomplir les formalités d’enregistrement.
Ce rôle est loin d’être symbolique. Il sert d’intermédiaire de conformité et de point d’ancrage juridique pour les autorités européennes. En cas de contrôle, l’existence d’un mandataire identifié facilite la vérification des responsabilités et des documents de référence.
Pour les entreprises utilisatrices qui travaillent avec des acteurs internationaux, ce point doit être surveillé de près. La chaîne de conformité ne s’arrête pas à la signature du contrat, elle doit rester suivie dans le temps.
Sanctions en cas de non-respect de l’IA Act
Les sanctions prévues par l’IA Act sont élevées et proportionnées à la gravité des manquements. Pour les pratiques interdites, les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Pour les manquements aux obligations des GPAI standards, l’amende maximale peut aller jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial.
Ces sanctions ne visent pas seulement les fournisseurs historiques. Elles peuvent aussi concerner les entreprises utilisatrices requalifiées ou celles qui n’ont pas correctement renseigné leurs obligations. En pratique, le risque financier s’ajoute au risque réputationnel et au risque opérationnel.
Le bon réflexe consiste donc à construire une démarche de conformité dès maintenant. Il ne faut pas attendre l’entrée en vigueur complète de chaque mesure pour agir. Les contrôles s’anticipent par l’inventaire, la documentation et la gouvernance.
Erreurs fréquentes et recommandations
La première erreur consiste à attendre le 2 août 2026 pour démarrer. Or, l’obligation de formation est déjà en vigueur depuis le 2 février 2025. Une entreprise qui n’a pas lancé de sensibilisation prend du retard sur un point déjà applicable.
La deuxième erreur est de négliger l’inventaire des usages d’IA. Sans liste exhaustive, il devient impossible d’évaluer les risques, de suivre les outils et de documenter les responsabilités. Les organisations qui disposent de plusieurs services ou filiales doivent être encore plus rigoureuses sur ce point.
Il faut aussi éviter d’oublier le marquage des contenus générés par IA, en particulier pour les textes, images, vidéos et deepfakes. Un autre écueil fréquent consiste à modifier un système ou à l’intégrer dans un usage à haut risque sans mesurer la requalification possible en fournisseur. Dans ce cas, les obligations changent fortement.
Enfin, l’absence de documentation technique sur les systèmes à risque élevé constitue une violation directe du règlement. La tendance observée depuis août 2025 montre aussi un renforcement des attentes sur la transparence, le droit d’auteur et la gestion des modèles GPAI. La conformité IA n’est plus un chantier théorique, c’est un sujet de pilotage immédiat.
Pour une entreprise, la bonne méthode consiste à cartographier les usages, former les équipes, documenter les systèmes et sécuriser les responsabilités. C’est la meilleure façon de garder la maîtrise du sujet et de faire de l’IA un levier durable, sans subir le cadre réglementaire.
