AI Act : comprendre le règlement européen sur l'IA, ses obligations et son calendrier

L’intelligence artificielle s’installe dans les processus métier plus vite que les cadres qui l’encadrent. L’Union européenne a choisi de combler cet écart avec l’AI Act, le premier règlement complet au monde consacré à l’IA. Comprendre ce qu’il impose, et surtout à quelles échéances, est devenu un sujet de gouvernance à part entière.

Qu’est-ce que l’AI Act ?

L’AI Act est le nom usuel du règlement (UE) 2024/1689. Entré en vigueur le 1er août 2024, il s’applique de manière progressive jusqu’en 2028. Son principe est simple : réguler les systèmes d’IA selon le niveau de risque qu’ils font peser sur la sécurité, la santé et les droits fondamentaux, et non selon la technologie employée.

Sa portée est large. Le règlement s’applique aux fournisseurs comme aux déployeurs de systèmes d’IA utilisés dans l’Union, y compris lorsque l’organisation est établie hors d’Europe. Une entreprise française qui déploie un outil d’IA développé ailleurs reste concernée.

Une régulation fondée sur le risque

L’AI Act distingue quatre niveaux de risque :

Risque inacceptable : pratiques interdites, comme la notation sociale, la manipulation comportementale, l’exploitation des vulnérabilités de personnes fragiles ou certains usages de l’identification biométrique à distance. Ces pratiques sont interdites depuis le 2 février 2025.
Risque élevé : systèmes listés à l’annexe III (ressources humaines, accès au crédit, éducation, infrastructures critiques, biométrie, justice, etc.) et IA intégrée à des produits déjà régulés (annexe I). Ce sont eux qui portent les obligations les plus lourdes.
Risque limité : agents conversationnels et contenus générés ou modifiés par IA. L’exigence principale est la transparence : informer l’utilisateur qu’il interagit avec une IA et étiqueter les contenus artificiels.
Risque minimal : la grande majorité des usages, sans obligation spécifique.

À part, les modèles d’IA à usage général (GPAI, general-purpose AI), comme les grands modèles de langage, relèvent d’un régime propre de transparence et de documentation, renforcé pour ceux présentant un « risque systémique ».

Les principales obligations

Pour les systèmes à haut risque, le règlement impose un socle exigeant : système de gestion des risques, gouvernance des données d’entraînement, documentation technique, journalisation des événements, information des utilisateurs, supervision humaine, robustesse et cybersécurité, évaluation de conformité et enregistrement dans une base européenne.

Pour les modèles à usage général, les obligations portent sur la documentation technique, l’information des fournisseurs en aval, le respect du droit d’auteur et un résumé des données d’entraînement. Les modèles à risque systémique ajoutent évaluation, tests contradictoires et signalement d’incidents.

Enfin, une obligation transversale concerne toutes les organisations : la littératie IA, c’est-à-dire former les personnes qui conçoivent ou utilisent des systèmes d’IA. Elle s’applique depuis le 2 février 2025.

Le calendrier d’application

L’AI Act n’entre pas en vigueur d’un bloc. Il se déploie par étapes, et ce calendrier a été récemment ajusté.

Date	Ce qui devient applicable
1er août 2024	Entrée en vigueur du règlement
2 février 2025	Interdiction des pratiques à risque inacceptable et obligation de littératie IA
2 août 2025	Obligations des modèles à usage général (GPAI), gouvernance et régime de sanctions
2 août 2026	Obligations de transparence (article 50) : information sur l’interaction avec une IA, étiquetage des contenus générés
2 décembre 2027	Obligations des systèmes à haut risque de l’annexe III
2 août 2028	Obligations de l’IA intégrée aux produits déjà régulés (annexe I)

Point d’attention : en 2026, le paquet de simplification appelé Digital Omnibus a reporté les principales échéances haut risque. Les obligations de l’annexe III, initialement prévues au 2 août 2026, sont désormais fixées au 2 décembre 2027 ; celles de l’annexe I passent du 2 août 2027 au 2 août 2028. En revanche, les obligations de transparence restent bien applicables au 2 août 2026. Ce report allège la pression de calendrier, il ne supprime pas les obligations.

Les sanctions

Le règlement prévoit des sanctions dissuasives, calculées sur le montant le plus élevé entre une somme fixe et un pourcentage du chiffre d’affaires annuel mondial : jusqu’à 35 millions d’euros ou 7 % pour les pratiques interdites, jusqu’à 15 millions d’euros ou 3 % pour les autres manquements, et jusqu’à 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes.

Ce que cela implique concrètement

Le report des échéances haut risque ne doit pas conduire à l’attentisme, pour une raison simple : la mise en conformité repose sur des travaux longs. Avant de documenter ou de superviser un système, encore faut-il savoir qu’il existe.

Les premiers chantiers sont les mêmes pour toutes les organisations : cartographier les usages d’IA déjà en place, les classer par niveau de risque, identifier son rôle (fournisseur ou déployeur), puis mettre en place la gouvernance des données, la supervision humaine, la documentation et la formation des équipes. Ce sont des mois de travail, pas des semaines.

L’accompagnement SCAFE

Chez SCAFE, nous abordons l’AI Act au croisement de trois expertises : l’IA, la cybersécurité et la conformité. Concrètement, nous aidons nos clients à inventorier et qualifier leurs usages d’IA, à mettre en place une gouvernance de l’IA de confiance (cloisonnement des données, traçabilité des réponses, supervision humaine), et à déployer des agents conformes via notre approche de plateforme IA de confiance, en partenariat avec EURELIS, sur une infrastructure Cloud de confiance.

L’objectif n’est pas de traiter l’AI Act comme une contrainte isolée, mais de l’articuler avec les cadres déjà en place (RGPD, et selon le secteur NIS2 ou DORA), pour construire une trajectoire de conformité cohérente plutôt qu’une accumulation de chantiers.

Un cadre, pas seulement une contrainte

L’AI Act formalise ce qu’une organisation qui déploie l’IA sérieusement devrait de toute façon maîtriser : savoir où l’IA est utilisée, sur quelles données, sous quel contrôle. Les entreprises qui prennent de l’avance ne le font pas pour cocher une case, mais pour déployer l’IA de manière fiable et défendable.

La première question à se poser est peut-être la plus simple : savez-vous aujourd’hui combien de systèmes d’IA sont déjà en usage dans votre organisation, et dans quelle catégorie de risque ils se rangent ?

Sources : règlement (UE) 2024/1689 (AI Act), EUR-Lex ; paquet « Digital Omnibus » sur l’IA, adopté et publié au Journal officiel de l’Union européenne en juillet 2026.