L’AI Act, adopté par le Parlement européen en mars 2024, est le premier cadre réglementaire complet au monde sur l’intelligence artificielle. Son application progressive entre 2025 et 2027 va modifier profondément la manière dont les entreprises développent et déploient l’IA en Europe.
- Le principe : une approche par les risques
- Les obligations pour les systèmes à haut risque
- Les modèles de fondation (GPAI)
- Calendrier d'application
- Les sanctions
- Impact concret pour les entreprises
- Sources
- Les niveaux de risque définis par l'AI Act
- Questions fréquentes
- Quand l'AI Act entre-t-il en vigueur ?
- Les startups IA françaises sont-elles concernées ?
Le principe : une approche par les risques
L’AI Act classe les systèmes d’IA en quatre niveaux de risque, chacun associé à des obligations proportionnelles :
| Niveau | Exemples | Obligations |
|---|---|---|
| Risque inacceptable (interdit) | Notation sociale, manipulation comportementale, surveillance biométrique de masse | Interdiction totale |
| Risque élevé | Recrutement, credit scoring, diagnostic médical, justice | Conformité stricte, audit, transparence |
| Risque limite | Chatbots, deepfakes | Obligations de transparence |
| Risque minimal | Filtres anti-spam, jeux vidéo | Aucune obligation spécifique |
Les obligations pour les systèmes à haut risque
Les entreprises deploying des systèmes IA à haut risque doivent désormais :
- Mettre en place un système de gestion des risques tout au long du cycle de vie.
- Garantir la qualité et la représentativité des données d’entraînement.
- Documenter techniquement le système pour permettre l’évaluation de conformité.
- Assurer la transparence envers les utilisateurs.
- Prévoir un contrôle humain effectif (human oversight).
- Garantir la robustesse, la précision et la cybersécurité.
Les modèles de fondation (GPAI)
L’AI Act introduit des obligations spécifiques pour les « general-purpose AI models » (modèles à usage général), c’est-à-dire les modèles comme GPT-4, Gemini ou Claude :
- Documentation technique et transparence sur les données d’entraînement.
- Respect du droit d’auteur européen.
- Pour les modèles à « risque systémique » (entraînés avec plus de 10^25 FLOPs) : évaluations de sécurité additionnelles et reporting d’incidents.
Calendrier d’application
- Février 2025 : interdiction des pratiques à risque inacceptable.
- Août 2025 : obligations pour les modèles GPAI.
- Août 2026 : application complète, y compris systèmes à haut risque.
Les sanctions
Les amendes prévues sont significatives : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les violations les plus graves. Pour les PME et startups, les montants sont réduits proportionnellement.
Impact concret pour les entreprises
Si vous développez ou utilisez de l’IA en Europe, voici les actions à entreprendre :
- Cartographier vos systèmes IA et les classer selon les niveaux de risque.
- Évaluer les écarts de conformité pour les systèmes à haut risque.
- Mettre en place la documentation technique requise.
- Former vos équipes aux nouvelles obligations.
L’AI Act vous semble-t-il trop contraignant ou nécessaire pour encadrer l’IA ?
Sources
Les niveaux de risque définis par l’AI Act
L’AI Act classe les systèmes d’IA en quatre niveaux. Risque inacceptable (interdit) : scoring social, manipulation subliminale, reconnaissance faciale de masse en temps réel. Risque élevé (obligations strictes) : IA dans le recrutement, la justice, le crédit, l’éducation, les infrastructures critiques. Risque limité (transparence) : chatbots et deepfakes doivent être identifiés comme IA. Risque minimal (libre) : filtres anti-spam, jeux vidéo. Les sanctions vont jusqu’à 35 millions d’euros ou 7 % du CA mondial.
Questions fréquentes
Quand l’AI Act entre-t-il en vigueur ?
L’AI Act est entré en vigueur en août 2024, avec une application progressive. Les interdictions (risque inacceptable) s’appliquent depuis février 2025. Les obligations pour les systèmes à haut risque s’appliquent à partir d’août 2026.
Les startups IA françaises sont-elles concernées ?
Oui, toute entreprise opérant dans l’UE est concernée, quelle que soit sa taille. Des exemptions allégées existent pour les PME et les bacs à sable réglementaires. Mistral et d’autres acteurs français ont participé aux négociations.
À lire aussi
→ Comprendre ce terme dans notre glossaire IA
