La Loi sur l’IA de l’UE (EU AI Act) : la première grande législation mondiale sur l’IA est désormais en vigueur — ce que vous devez savoir

Le 1er août 2024, la Loi sur l’intelligence artificielle de l’Union européenne (EU AI Act) est entrée en vigueur — et le paysage de la réglementation de l’IA a changé pour toujours. Pour la première fois dans l’histoire, un bloc économique majeur a adopté des règles complètes et juridiquement contraignantes régissant la manière dont l’intelligence artificielle peut être développée, déployée et utilisée dans pratiquement tous les secteurs de l’économie.

La Loi sur l’IA de l’UE représente pour l’intelligence artificielle ce que le RGPD (GDPR) a représenté pour la protection des données personnelles : un séisme réglementaire dont les répliques se feront sentir à l’échelle mondiale, et pas seulement en Europe. Des entreprises aux États-Unis, en Asie et au-delà restructurent déjà leurs programmes de gouvernance de l’IA, leurs équipes juridiques et leurs pipelines de produits pour se conformer à cette législation. Comprendre cette loi — sa portée, ses exigences, ses sanctions et son calendrier — est désormais une compétence de base pour toute personne qui développe ou déploie de l’IA en 2026.

La logique fondamentale : un cadre basé sur les risques

Contrairement à des interdictions générales ou à des directives volontaires, la Loi sur l’IA de l’UE organise les systèmes d’IA en quatre niveaux de risque. Vos obligations dépendent entièrement de la position de votre IA dans cette hiérarchie.

Niveau 1 : Risque inacceptable — INTERDIT

Ces pratiques d’IA sont purement et simplement interdites depuis le 2 février 2025 :

• Notation sociale par les autorités publiques (social scoring) : utilisation de l’IA pour évaluer la fiabilité des citoyens dans l’accès aux services publics, comme pratiqué dans certains pays
• Manipulation subliminale : systèmes d’IA déployant des techniques qui contournent la prise de décision consciente pour modifier substantiellement le comportement au détriment des intérêts des utilisateurs
• Police prédictive basée uniquement sur le profilage (predictive policing) : utilisation de l’IA pour prédire un comportement criminel à partir de modèles démographiques ou comportementaux seuls, sans preuves supplémentaires
• Reconnaissance des émotions sur les lieux de travail et dans les établissements scolaires : sauf pour des cas d’utilisation médicaux ou de sécurité spécifiques
• Identification biométrique en temps réel dans les espaces publics par les forces de l’ordre : avec des exceptions limitées et approuvées par un tribunal

Toute entreprise exploitant de tels systèmes dans l’UE après le 2 février 2025 s’expose au niveau le plus élevé de sanctions.

Niveau 2 : Risque élevé — Exigences strictes

Les systèmes d’IA à haut risque sont autorisés mais soumis à des obligations de conformité contraignantes. La loi définit huit domaines d’application critiques considérés comme à haut risque :

1. Identification biométrique (au-delà des cas d’utilisation interdits)
2. Infrastructures critiques (eau, énergie, transports)
3. Éducation et formation professionnelle (évaluation des étudiants, décisions d’admission)
4. Emploi et ressources humaines (tri de CV, notation d’entretiens, suivi des performances)
5. Services essentiels publics et privés (notation de crédit, assurance, décisions d’allocations)
6. Application de la loi (évaluation des preuves, systèmes de polygraphie)
7. Migration, asile, contrôle aux frontières
8. Administration de la justice (prédiction des issues judiciaires)

Les exigences pour les systèmes à haut risque comprennent :

• Système de gestion des risques (documenté et mis à jour en continu)
• Jeux de données d’entraînement, de validation et de test de haute qualité
• Documentation technique et journalisation
• Transparence et fourniture d’informations aux utilisateurs
• Mécanismes de supervision humaine
• Normes de robustesse, de précision et de cybersécurité

Niveau 3 : Risque limité — Obligations de transparence

Les systèmes d’IA tels que les chatbots, les générateurs de deepfake et les outils de reconnaissance des émotions doivent clairement signaler aux utilisateurs qu’ils interagissent avec une IA. C’est l’exigence du « vous devez savoir que vous parlez à un robot ».

Niveau 4 : Risque minimal — Aucune obligation spécifique

Les filtres anti-spam alimentés par l’IA, les systèmes de recommandation, l’IA dans les jeux vidéo — ces applications ne sont soumises à aucune exigence spécifique de la loi, bien que le droit général de l’UE continue de s’appliquer.

Les règles GPAI : pour les fournisseurs de modèles de fondation

L’échéance du 2 août 2025 a introduit des exigences spécifiques aux fournisseurs de modèles d’IA à usage général (GPAI — General-Purpose AI) — les entreprises qui développent des modèles de fondation tels que GPT, Gemini, Llama, Claude ou Mistral.

Tous les fournisseurs de GPAI opérant dans l’UE doivent :

1. Documentation technique : documentation complète de l’architecture du modèle, des données d’entraînement, des procédures d’entraînement, des ressources de calcul et des caractéristiques de performance
2. Soutien aux fournisseurs en aval : fournir des informations techniques aux entreprises qui développent des solutions basées sur leurs modèles
3. Conformité au droit d’auteur : mettre en œuvre des politiques respectant le droit d’auteur européen ; entraîner les modèles sur des données obtenues légalement
4. Transparence des données d’entraînement : publier des « résumés suffisamment détaillés » du contenu des données d’entraînement

Les modèles GPAI présentant un risque systémique (ceux dépassant 10^25 FLOPs en puissance de calcul d’entraînement, soit approximativement le niveau de GPT-4) sont soumis à des exigences supplémentaires :

• Évaluation du modèle et tests adversariaux (red-teaming)
• Signalement des incidents au Bureau européen de l’IA (EU AI Office)
• Mesures de cybersécurité pour le modèle et son infrastructure
• Rapport sur l’efficacité énergétique

Le calendrier de mise en application : dates clés

Date	Ce qui s’est passé / Ce qui se passe
1er août 2024	Entrée en vigueur de la Loi sur l’IA
2 février 2025	Interdiction des pratiques d’IA prohibées ; début des obligations de littératie en IA
2 août 2025	Entrée en vigueur des règles de gouvernance et des obligations GPAI
2 août 2026	Application complète des obligations pour les systèmes d’IA à haut risque (échéance principale de conformité)
2 août 2027	Les systèmes d’IA à haut risque intégrés dans des produits réglementés (dispositifs médicaux, véhicules) doivent être conformes

Le 2 août 2026 est l’échéance critique. Les entreprises disposant de systèmes d’IA à haut risque doivent avoir complété :

• L’évaluation de conformité complète
• La documentation technique
• Le marquage CE (le cas échéant)
• L’enregistrement dans la base de données européenne des systèmes d’IA

Sanctions : les chiffres qui concentrent les esprits

Les amendes prévues par la Loi sur l’IA de l’UE figurent parmi les plus importantes de l’histoire de la réglementation technologique :

Infraction	Amende maximale
Pratiques d’IA interdites (Niveau 1)	35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial
Non-conformité des systèmes à haut risque	15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial
Fourniture d’informations incorrectes aux autorités	7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial

Pour les PME et les startups, des plafonds proportionnels s’appliquent, mais la structure basée sur le pourcentage du chiffre d’affaires signifie que les grandes entreprises s’exposent à des montants absolus considérables. Une entreprise réalisant 10 milliards d’euros de chiffre d’affaires pourrait se voir infliger une amende de 700 millions d’euros pour des pratiques d’IA interdites.

À titre de comparaison, le plafond maximal du RGPD est de 4 % du chiffre d’affaires annuel mondial. Le plafond de 7 % de la Loi sur l’IA est plus sévère.

Portée extraterritoriale : pourquoi cela concerne le monde entier

Comme le RGPD, la Loi sur l’IA de l’UE a une application extraterritoriale. Vous devez vous conformer si :

• Votre système d’IA est mis sur le marché de l’UE
• Vous proposez des services d’IA à des utilisateurs européens
• Le résultat de votre système d’IA est utilisé dans l’UE

Cela signifie qu’une entreprise américaine proposant un outil de présélection RH par IA à des entreprises européennes doit se conformer aux dispositions relatives au haut risque — même si elle n’a aucun bureau en Europe. C’est précisément le schéma établi par le RGPD, qui s’est avéré efficace.

Les entreprises mondiales qui développent des produits d’IA ne construisent donc pas de programmes de conformité distincts pour l’Europe — elles élaborent leur gouvernance globale de l’IA selon les normes européennes et les appliquent partout.

Qui est responsable de quoi ?

La loi distingue plusieurs rôles :

Fournisseur (Provider) : l’entité qui développe le système d’IA et le met sur le marché. Assume la responsabilité principale de la conformité pour les systèmes à haut risque.

Déployeur (Deployer) : les organisations qui utilisent un système d’IA à haut risque dans un contexte professionnel. Doivent appliquer les instructions d’utilisation, maintenir les journaux, assurer la supervision humaine et signaler les incidents graves.

Importateur / Distributeur : les entités qui distribuent des systèmes d’IA. Doivent vérifier que le fournisseur a satisfait aux exigences.

Cela crée une chaîne de conformité : les fournisseurs ne peuvent pas simplement transférer les obligations aux déployeurs, et les déployeurs ne peuvent pas présumer que les fournisseurs ont tout pris en charge.

Le Bureau européen de l’IA (EU AI Office) : nouvelle autorité de contrôle

La loi a créé le Bureau européen de l’IA (EU AI Office) au sein de la Commission européenne — le premier organe au niveau de l’UE doté d’un pouvoir de contrôle direct sur l’IA. Il :

• Supervise la conformité des modèles GPAI à travers l’UE
• Enquête sur les incidents liés aux systèmes d’IA
• Se coordonne avec les autorités nationales compétentes
• Peut mener des évaluations de modèles et ordonner l’accès aux données d’entraînement

Chaque État membre de l’UE désigne des Autorités nationales compétentes pour l’application domestique — de manière similaire à la façon dont les autorités de protection des données (APD) appliquent le RGPD au niveau national. La CNIL en France, la BfDI en Allemagne et la DPC en Irlande figurent parmi les plus actives.

Ce que font concrètement les entreprises pour se préparer

D’après les rapports des cabinets de conseil en conformité et les enquêtes auprès des entreprises :

Réalisation d’inventaires d’IA

La plupart des grandes entreprises découvrent qu’elles ont bien plus de systèmes d’IA déployés que quiconque ne le réalisait. L’IA fantôme (shadow AI) — des outils adoptés par des équipes individuelles sans processus d’approvisionnement formel — constitue une découverte majeure dans la plupart des audits.

Mise en place de cadres de gouvernance de l’IA

Les entreprises nomment des Responsables de la conformité IA (AI Compliance Officers), créent des Comités d’éthique de l’IA (AI Ethics Boards) et mettent en place des processus internes pour évaluer les systèmes d’IA par rapport aux niveaux de risque de la loi avant leur déploiement.

Mise à jour des contrats fournisseurs

Les équipes d’approvisionnement ajoutent des clauses de « conformité à la Loi sur l’IA de l’UE » dans les contrats avec les fournisseurs d’IA, les éditeurs de logiciels et les plateformes cloud.

Investissement dans la documentation technique

Les exigences documentaires de la loi — données d’entraînement, architecture des modèles, tests de performance — obligent les équipes d’ingénierie à produire des documents qu’elles n’ont souvent pas conservés historiquement.

Red-teaming et tests adversariaux

Les fournisseurs de GPAI disposant de modèles à risque systémique développent des capacités de red-teaming. Cette pratique était auparavant informelle ; la loi en fait une obligation légale.

L’effet domino mondial

La Loi sur l’IA de l’UE influence déjà la politique en matière d’IA dans le monde entier :

• Royaume-Uni : l’AI Safety Institute, créé après le Sommet de Bletchley Park, coordonne des tests de sécurité volontaires pour les modèles de pointe
• Canada : le projet de Loi sur l’intelligence artificielle et les données (AIDA) fait explicitement référence à l’approche européenne
• Brésil : la Stratégie nationale d’IA s’aligne sur les principes de hiérarchisation des risques de l’UE
• Singapour : le Cadre de gouvernance de l’IA modèle (Model AI Governance Framework) est en cours de révision vers des exigences contraignantes
• Chine : dispose de ses propres réglementations en matière d’IA mais suit de près les résultats de l’application européenne

L’« Effet Bruxelles » (Brussels Effect) — la tendance des réglementations européennes à devenir des normes mondiales de facto parce que les multinationales trouvent plus simple d’appliquer une politique mondiale unique plutôt que des règles régionales fragmentées — fonctionne à plein régime avec l’IA.

Ce qu’il faut faire maintenant

Pour toute organisation qui développe ou déploie de l’IA touchant les marchés européens :

1. Cartographiez vos systèmes d’IA : inventoriez chaque outil d’IA utilisé, y compris l’IA intégrée dans les produits SaaS
2. Classez par niveau de risque : quels systèmes sont à haut risque selon les définitions de la loi ?
3. Évaluez votre exposition GPAI : si vous fournissez des modèles de fondation ou des services basés sur eux, comprenez vos obligations
4. Constituez votre documentation : commencez à créer la documentation technique pour vos systèmes d’IA dès maintenant — cela prend des mois, pas des semaines
5. Formez vos équipes : les obligations de littératie en IA (Article 4) exigent que toute personne qui développe ou gère de l’IA possède les compétences appropriées
6. Consultez un conseiller juridique : la conformité à la Loi sur l’IA est suffisamment complexe pour que le recours à un conseil juridique spécialisé soit désormais une nécessité, pas un luxe

Conclusion

La Loi sur l’IA de l’UE est le développement le plus significatif en matière de politique de l’IA de l’histoire. Elle transforme l’IA, d’un espace non réglementé, en une industrie réglementée — avec des règles claires, une responsabilité définie et des conséquences sérieuses en cas de non-conformité.

Les entreprises qui tireront le plus grand bénéfice de ce moment réglementaire ne sont pas nécessairement celles qui disposent de l’IA la plus puissante. Ce sont celles qui disposent de l’IA la plus digne de confiance — documentée, testée, supervisée par des humains et communiquée de manière transparente aux utilisateurs qu’elle affecte.

L’échéance du 2 août 2026 n’est pas loin. Pour les organisations qui n’ont pas encore entamé leur parcours de conformité, c’est maintenant qu’il faut agir.