- ▸ Un texte transversal, pas une charte de bonnes intentions
- ▸ Quatre niveaux de risque, de l'interdiction à l'usage libre
- ▸ Fournisseurs, déployeurs, distributeurs : personne n'est hors champ
- ▸ Une application par paliers jusqu'en 2027
Le règlement (UE) 2024/1689, dit AI Act, est le premier cadre mondial encadrant l’intelligence artificielle. En vigueur depuis le 1er août 2024, il oblige toute organisation qui développe, distribue ou déploie un système d’IA à le classer selon quatre niveaux de risque — de l’usage libre à l’interdiction pure. L’application s’étale par paliers jusqu’en 2027.
Ce qu’il faut retenir
– Le règlement (UE) 2024/1689 est le premier texte au monde à encadrer l’IA de façon transversale, avec un objectif affiché d’IA « digne de confiance ».
– La logique repose sur quatre catégories de risque : inacceptable (interdit), haut risque, limité et minimal.
– Le périmètre englobe toutes les organisations qui fournissent, distribuent ou déploient un système ou un modèle d’IA, pas seulement les éditeurs.
– L’application est progressive entre 2025 et 2027, à partir d’une entrée en vigueur fixée au 1er août 2024.
– Des « bacs à sable réglementaires » sont prévus pour tester des systèmes innovants dans un cadre contrôlé.
Un texte transversal, pas une charte de bonnes intentions
L’AI Act ne relève pas de l’autorégulation. C’est un règlement européen d’application directe, ce qui signifie qu’il s’impose aux vingt-sept États membres sans transposition nationale, contrairement à une directive. Sa portée dépasse donc largement le périmètre français.
Le dispositif vise à encadrer l’utilisation de l’intelligence artificielle. Sa finalité, telle que décrite par le service public français, tient en une formule : parvenir à une IA « digne de confiance ». Derrière ce vocabulaire volontairement mesuré se cache un arbitrage politique délicat, entre deux impératifs qui tirent en sens contraire.
D’un côté, le texte entend protéger les droits humains et la sécurité des utilisateurs. De l’autre, il ne veut pas asphyxier une filière où l’Europe accuse déjà un retard face aux États-Unis et à la Chine. Le règlement cherche cet équilibre en modulant les contraintes selon le danger réel que présente chaque usage, plutôt qu’en soumettant tous les systèmes au même régime.
Pour comprendre — Un règlement européen (par opposition à une directive) s’applique tel quel dans chaque pays dès son entrée en vigueur. Aucune loi nationale n’est nécessaire pour qu’il produise ses effets. C’est le mécanisme juridique le plus contraignant du droit de l’Union.
Cette approche par le risque constitue la colonne du texte. Elle explique pourquoi une messagerie qui suggère des réponses automatiques et un algorithme de tri de candidatures ne relèvent pas du tout des mêmes obligations, alors que les deux mobilisent de l’IA.
Quatre niveaux de risque, de l’interdiction à l’usage libre
Le règlement hiérarchise les systèmes selon quatre paliers. Chacun déclenche un régime d’obligations distinct, du plus strict au plus souple.
Le risque inacceptable ferme la porte. Ces systèmes sont strictement prohibés sur le territoire de l’Union. Y figurent, selon le service public, les dispositifs de manipulation, l’exploitation des vulnérabilités des personnes ou encore certaines catégorisations biométriques. Aucune mise en conformité n’est possible ici : l’usage est interdit, point final. C’est la ligne rouge du texte.
Le haut risque concentre l’essentiel de la charge réglementaire. Il vise les systèmes ayant un impact significatif et qui relèvent déjà d’une réglementation européenne : biométrie, sécurité, éducation, emploi, dispositifs médicaux. Un algorithme de scoring pour l’accès au crédit, un outil de tri de CV ou un logiciel d’aide au diagnostic entrent dans cette catégorie. Ces systèmes restent autorisés, mais sous conditions. Le règlement fixe des exigences relatives, dans les termes mêmes du texte, « à sa robustesse, à son exactitude et à sa cybersécurité ».
Le risque limité repose sur la transparence. Ces systèmes sont soumis à l’obligation d’informer les utilisateurs qu’ils interagissent avec une intelligence artificielle. Un agent conversationnel doit ainsi révéler sa nature : l’internaute doit savoir qu’il ne dialogue pas avec un humain. L’obligation est réelle mais légère, sans audit ni documentation lourde.
Le risque minimal laisse la main libre. La grande majorité des usages courants — filtres anti-spam, moteurs de recommandation basiques, IA de jeux vidéo — relèvent de ce dernier palier. Aucune obligation spécifique ne s’y attache au titre du règlement.
| Niveau de risque | Régime | Exemples cités |
|---|---|---|
| Inacceptable | Interdiction | Manipulation, exploitation des vulnérabilités, certaines catégorisations biométriques |
| Haut risque | Obligations renforcées (robustesse, exactitude, cybersécurité) | Biométrie, sécurité, éducation, emploi, dispositifs médicaux |
| Limité | Obligation d’information de l’utilisateur | Agents conversationnels |
| Minimal | Aucune obligation spécifique | Usages courants non listés |
La conséquence pratique est directe : une entreprise doit d’abord cartographier ses systèmes avant même de parler de conformité. Un même service peut d’ailleurs combiner plusieurs niveaux selon ses fonctionnalités, ce qui complique l’exercice d’inventaire.
Fournisseurs, déployeurs, distributeurs : personne n’est hors champ
L’erreur la plus répandue consiste à croire que le règlement ne vise que les grands laboratoires d’IA. Le texte est explicite sur ce point. Il concerne toutes les organisations, y compris les entreprises, qui fournissent, distribuent ou déploient des systèmes ou modèles d’intelligence artificielle.
Cette formulation élargit considérablement le périmètre. Une PME qui n’a écrit aucune ligne de code d’IA mais qui déploie un outil de recrutement automatisé acheté à un tiers devient un acteur régulé. Elle endosse des responsabilités propres au titre du règlement, distinctes de celles du fournisseur qui a conçu l’outil.
Trois rôles se dégagent le long de la chaîne de valeur. Le fournisseur conçoit ou fait concevoir le système et le met sur le marché sous son nom. Le déployeur l’utilise dans le cadre de son activité professionnelle. Le distributeur le met à disposition sans en être l’auteur. Un même acteur peut cumuler ces casquettes, et chacune emporte des devoirs différents.
Pour un dirigeant, la première question n’est donc pas « produisons-nous de l’IA ? » mais « quels systèmes d’IA font tourner nos processus, et à quel titre les manipulons-nous ? ». La réponse détermine l’exposition réglementaire. Une direction juridique qui néglige cette cartographie prend le risque d’ignorer des obligations qui la visent pourtant directement, comme le montre notre analyse sur la conformité IA des directions techniques françaises.
Une application par paliers jusqu’en 2027
Le calendrier est le point que les entreprises comprennent le moins bien. L’AI Act ne s’applique pas d’un bloc. Il s’applique de manière progressive entre 2025 et 2027, à partir d’une entrée en vigueur fixée au 1er août 2024.
Cette montée en charge par étapes répond à une logique : donner aux acteurs le temps de s’organiser, en activant d’abord les interdictions les plus urgentes, puis les obligations plus techniques liées au haut risque. Le décalage entre l’entrée en vigueur et l’application pleine des obligations les plus lourdes crée une fenêtre de préparation que les organisations avisées mettent à profit dès maintenant.
Notre lecture : traiter le calendrier comme une échéance lointaine est un pari risqué. La cartographie des systèmes, la documentation technique et les procédures de contrôle interne exigées pour le haut risque ne se bâtissent pas en quelques semaines. Les organisations qui attendront le dernier palier découvriront que la conformité est un chantier de fond, pas une formalité de dernière minute.
Ce que ce cadre reproche — et ce qu’il offre en retour
Le règlement ne fait pas l’unanimité, et il serait malhonnête de le présenter comme un consensus. Deux critiques reviennent. La première pointe le coût de conformité, jugé lourd pour les petites structures : documenter, auditer et surveiller un système à haut risque mobilise des ressources dont une jeune pousse ne dispose pas toujours. La seconde redoute un effet de frein sur l’innovation européenne, au moment où la compétition mondiale s’intensifie.
Le texte tente de désamorcer ce second reproche. Il prévoit des « bacs à sable réglementaires », des environnements contrôlés destinés, selon le service public, à faciliter « le développement, l’entraînement, la mise à l’essai et la validation de systèmes d’IA innovants » avant leur mise sur le marché. L’idée : offrir aux acteurs, en particulier aux plus petits, un espace où éprouver leurs solutions sous la supervision des autorités, sans supporter d’emblée la totalité des contraintes.
Reste un argument favorable rarement mis en avant. La conformité n’est pas qu’une charge : elle devient un signal de confiance. Sur des marchés où le doute sur l’IA persiste, une entreprise capable de démontrer la robustesse et l’exactitude de ses systèmes détient un argument commercial concret face à des concurrents opaques. Le règlement transforme la contrainte en différenciateur pour qui sait s’en saisir.
Questions fréquentes des entreprises
Mon IA n’est pas classée « haut risque » : suis-je quand même concerné ?
Oui. Tout système d’IA entre dans le champ du règlement, quelle que soit sa catégorie. Un usage classé « minimal » n’impose certes aucune obligation spécifique, mais la classification elle-même relève du règlement. Vous devez donc être en mesure de justifier pourquoi tel système ne relève pas du haut risque. L’absence d’obligation lourde n’équivaut pas à une absence de cadre.
Se conformer, est-ce seulement une charge pour mon entreprise ?
Non. Au-delà de l’évitement des sanctions, la conformité ouvre l’accès aux « bacs à sable réglementaires », ces environnements contrôlés où tester un système innovant sous la supervision des autorités. Pour une structure qui développe une solution nouvelle, ce dispositif réduit l’incertitude juridique en amont de la mise sur le marché, et sécurise l’investissement.
Prochaines échéances à surveiller
- 1er août 2024 : entrée en vigueur du règlement (UE) 2024/1689.
- 2025-2027 : application progressive des obligations par paliers, les interdictions et exigences de transparence précédant les régimes techniques du haut risque.
La vraie question pour 2026 n’est plus de savoir si l’AI Act s’applique, mais où chaque entreprise se situe sur son échelle de risque — et combien de temps il lui reste avant que le palier qui la concerne ne devienne opposable.
