- ▸ Le premier cadre mondial sur l'IA est entré en vigueur le 1er août 2024
- ▸ Quatre niveaux de risque, de l'interdiction au filtre anti-spam
- ▸ Les bacs à sable réglementaires, un sas d'expérimentation encadré
- ▸ Fournisseurs, distributeurs, déployeurs : personne n'est hors champ
Le règlement (UE) 2024/1689 s’applique par étapes jusqu’en 2027. Toute organisation qui fournit, distribue ou déploie un système d’intelligence artificielle doit désormais classer ses usages selon quatre niveaux de risque, de l’interdiction pure à la simple obligation d’informer l’utilisateur. Le texte est entré en vigueur le 1er août 2024.
Ce qu’il faut retenir
– Le règlement (UE) 2024/1689, en vigueur depuis le 1er août 2024, est le premier cadre juridique mondial dédié à l’IA.
– Quatre niveaux de risque structurent le texte : inacceptable (interdit), haut risque, limité, minimal ou inexistant.
– Le champ d’application couvre fournisseurs, distributeurs et déployeurs, sans exception de taille ou de secteur.
– Les « bacs à sable réglementaires » ouvrent un espace d’expérimentation contrôlé pour les acteurs qui innovent.
– L’application s’étale de 2025 à 2027, selon une montée en charge progressive des obligations.
Le premier cadre mondial sur l’IA est entré en vigueur le 1er août 2024
Aucune juridiction n’avait légiféré de façon transversale sur l’intelligence artificielle avant l’Union européenne. Le règlement (UE) 2024/1689, entré en vigueur le 1er août 2024, constitue le premier texte au monde à encadrer la discipline dans son ensemble, selon la fiche officielle publiée par service-public.gouv.fr en octobre 2025.
Sa finalité tient en une exigence : produire une IA « digne de confiance ». Le législateur européen ne cherche pas à freiner la technologie, mais à conditionner sa mise sur le marché au respect des droits humains et de la sécurité des utilisateurs. La confiance, ici, n’est pas un slogan. Elle se décline en critères vérifiables : le texte renvoie « à sa robustesse, à son exactitude et à sa cybersécurité », trois propriétés qu’un système doit démontrer avant d’être déployé à grande échelle.
Cette logique tranche avec l’approche américaine, restée sectorielle et jurisprudentielle. L’Union a fait un pari inverse : un règlement unique, d’application directe dans les 27 États membres, qui impose les mêmes règles au fournisseur californien qu’à la jeune pousse lyonnaise dès lors que le système touche le marché européen.
Quatre niveaux de risque, de l’interdiction au filtre anti-spam
Le cœur du règlement repose sur une hiérarchie. Plus un système menace les droits fondamentaux, plus les obligations se durcissent. Quatre catégories organisent cette gradation, décrites par service-public.gouv.fr.
Le premier étage regroupe les risques inacceptables. Ces systèmes sont purement et simplement prohibés : manipulation des comportements, exploitation des vulnérabilités d’une personne, catégorisation biométrique à des fins sensibles. L’interdiction est absolue, sans mécanisme de mise en conformité possible.
Vient ensuite le haut risque, la catégorie la plus lourde en obligations. Elle vise les systèmes à impact significatif, déjà encadrés par ailleurs par une réglementation européenne : biométrie, sécurité, éducation, emploi, dispositifs médicaux. Un algorithme de tri de candidatures ou un outil d’aide au diagnostic médical relève de ce niveau. Ces systèmes restent autorisés, mais sous condition d’audits, de documentation et de contrôle humain.
Pour comprendre — « système à haut risque »
Il ne s’agit pas d’une IA dangereuse par nature, mais d’un système dont une défaillance
aurait des conséquences lourdes sur les droits ou la sécurité d’une personne : accès à un
emploi, à un crédit, à un soin. Le règlement impose à ces systèmes des garanties renforcées
plutôt qu’une interdiction.
Le troisième niveau, le risque limité, concerne les systèmes soumis à une obligation de transparence. L’utilisateur doit savoir qu’il interagit avec une intelligence artificielle et non avec un humain. Un agent conversationnel entre dans ce cadre : la loi n’interdit rien, elle impose une information claire.
Le dernier étage, le risque minimal ou inexistant, rassemble les usages sans danger identifié. Un filtre anti-spam en est l’exemple canonique. Ces systèmes échappent à toute obligation spécifique. La grande majorité des applications d’IA en circulation aujourd’hui relève de cette catégorie, ce qui relativise l’image d’un règlement uniformément contraignant.
Notre lecture : cette architecture proportionnée est la force du texte, mais aussi son principal point de friction. Le classement d’un système donné dans l’une ou l’autre catégorie déterminera à lui seul le coût de conformité. Or la frontière entre « haut risque » et « risque limité » reste, dans certains cas d’usage, sujette à interprétation.
Les bacs à sable réglementaires, un sas d’expérimentation encadré
Le règlement ne se limite pas à contraindre. Il ouvre une soupape pour l’innovation à travers les « bacs à sable réglementaires », terme repris tel quel par service-public.gouv.fr.
Le principe : offrir aux entreprises un environnement contrôlé où tester une technologie avant sa mise sur le marché, sous la supervision des autorités compétentes. Ces espaces facilitent, selon le texte, « le développement, l’entraînement, la mise à l’essai et la validation de systèmes d’IA innovants ». L’entreprise expérimente sans s’exposer immédiatement au risque de sanction, l’autorité observe et affine sa doctrine.
Ce mécanisme n’est pas propre à l’IA. Le secteur financier britannique l’a popularisé au milieu des années 2010. Sa transposition à l’intelligence artificielle vise un objectif précis : éviter que la charge de conformité n’écrase les acteurs les plus petits, faute de moyens juridiques comparables à ceux d’un géant américain.
Reste une question ouverte, que les sources disponibles à ce jour ne tranchent pas : la capacité réelle des autorités nationales à animer ces bacs à sable à l’échelle du flux de projets. Un dispositif d’accompagnement n’a de valeur que s’il est doté de moyens humains suffisants pour instruire les dossiers dans des délais compatibles avec les cycles d’innovation.
Fournisseurs, distributeurs, déployeurs : personne n’est hors champ
Une erreur fréquente consiste à penser que seuls les concepteurs de modèles sont visés. Le règlement dit l’inverse. Il concerne « toutes les organisations, y compris les entreprises, qui fournissent, distribuent ou déploient des systèmes ou modèles d’intelligence artificielle », rappelle service-public.gouv.fr.
Trois rôles, trois séries d’obligations. Le fournisseur conçoit ou fait concevoir le système. Le distributeur le met à disposition sur le marché. Le déployeur l’utilise dans le cadre de son activité professionnelle. Une entreprise qui se contente d’intégrer un outil d’IA acheté sur étagère devient déployeur, et à ce titre responsable de son usage conforme.
Cette chaîne de responsabilité partagée a une conséquence directe : externaliser la technologie ne dispense pas de l’obligation. Une PME qui déploie un logiciel de scoring de candidats reste comptable de la classification de cet outil et du respect des garanties associées, même si elle n’en a écrit aucune ligne de code.
Un calendrier étalé entre 2025 et 2027
Le règlement ne s’impose pas d’un bloc. Son application est progressive, échelonnée entre 2025 et 2027, précise service-public.gouv.fr. Cette montée en charge laisse le temps aux organisations d’adapter leurs pratiques, catégorie de risque par catégorie de risque.
| Échéance | Étape |
|---|---|
| 1ᵉʳ août 2024 | Entrée en vigueur du règlement (UE) 2024/1689 |
| 2025-2027 | Application progressive des obligations, par paliers |
Le décalage entre entrée en vigueur et pleine application est une donnée à intégrer dans toute feuille de route. Une obligation entrée en vigueur n’est pas nécessairement immédiatement exigible. Pour les directions juridiques, l’enjeu de 2026 n’est pas de tout mettre en conformité d’un coup, mais de cartographier ses systèmes d’IA et de les rattacher à la bonne catégorie avant l’échéance qui les concerne.
C’est là que se joue la préparation utile de l’année : l’inventaire. Une organisation qui ignore combien de systèmes d’IA elle exploite, et sous quel statut, ne peut pas mesurer sa dette de conformité. Le règlement récompense l’anticipation et sanctionne l’improvisation.
FAQ
Si mon IA n’est pas classée « haut risque », suis-je quand même soumis à l’AI Act ?
Oui. Le règlement s’applique dès qu’une organisation fournit, distribue ou déploie un système d’IA. La classification ne détermine pas si vous êtes concerné, mais l’intensité de vos obligations. Un système à risque limité impose surtout une transparence envers l’utilisateur ; un système à risque minimal n’entraîne pas d’obligation spécifique.
Quels domaines relèvent typiquement du « haut risque » ?
Les secteurs où une défaillance affecte lourdement une personne : emploi, éducation, sécurité, dispositifs médicaux et biométrie. Ces domaines sont déjà encadrés par le droit européen, et l’AI Act y ajoute des garanties dédiées : documentation, contrôle humain, exigences de robustesse et de cybersécurité.
Ce que 2026 impose aux entreprises françaises
L’AI Act n’est ni un texte punitif ni un blanc-seing. Il pose une grille de lecture claire — quatre niveaux de risque — et un principe de responsabilité qui remonte toute la chaîne, du concepteur à l’utilisateur professionnel. Pour une organisation française, la question n’est plus de savoir si elle est concernée, mais où se situe chacun de ses usages sur cette échelle. Le vrai chantier de l’année sera-t-il l’inventaire des systèmes en production, ou l’appropriation des bacs à sable par des autorités encore en rodage ?
