Règlement européen sur l'IA : lire le texte 2024/1689

Le règlement européen sur l'intelligence artificielle porte un nom officiel : règlement (UE) 2024/1689, dit « AI Act ». On en parle par ses sanctions, rarement par le texte lui-même. Voici une lecture guidée : ce qu'il contient, comment il classe les systèmes, qui il rend responsable, et ce qu'il demande à une PME qui utilise un outil d'IA sans l'avoir développé. Chaque article cité est vérifié sur le texte publié sur EUR-Lex.

Que contient le règlement (UE) 2024/1689 ?

Le règlement encadre le développement, la mise sur le marché et l'utilisation des systèmes d'IA dans l'Union européenne. Il compte treize chapitres et des annexes, dont l'annexe III qui liste les domaines à haut risque. Le règlement (UE) 2026/1744 l'a modifié en 2026 : échéances décalées, pratiques interdites ajoutées.

Les passages qui concernent directement une entreprise sont peu nombreux : définitions (article 3), maîtrise de l'IA (article 4), pratiques interdites (article 5), systèmes à haut risque et obligations des déployeurs (article 26), transparence (article 50), modèles d'IA à usage général (chapitre V) et sanctions (article 99). Le reste organise la gouvernance et la surveillance du marché. Le règlement européen sur l'intelligence artificielle se lit donc par entrées, pas d'un bloc.

Comment fonctionne l'approche par les risques ?

Le texte ne réglemente pas « l'IA » en général : il attache des obligations à l'usage d'un système. Plus cet usage touche aux droits des personnes, plus les exigences montent. Quatre niveaux structurent le règlement européen sur l'intelligence artificielle.

Les modèles d'IA à usage général (chapitre V) relèvent d'un régime à part qui pèse sur leurs fournisseurs. L'annexe III couvre huit domaines, dont l'emploi, l'accès aux services essentiels (crédit, assurance), l'éducation et la biométrie.

Fournisseur, déployeur, importateur, distributeur : qui est qui ?

L'article 3 définit les opérateurs, et ce sont ces rôles qui déterminent vos obligations. Une même entreprise peut en cumuler deux, et le rôle s'apprécie système par système.

• Fournisseur : celui qui développe un système, ou le fait développer, et le met sur le marché ou en service sous son nom ou sa marque.
• Déployeur : celui qui utilise un système sous sa propre autorité, hors usage personnel. C'est le rôle de la plupart des PME.
• Importateur : celui qui, établi dans l'Union, met sur le marché un système portant la marque d'une entité d'un pays tiers.
• Distributeur : tout autre maillon qui met un système à disposition sur le marché de l'Union.

Qu'est-ce qui incombe à une PME qui déploie un système d'IA ?

Une PME qui utilise un outil d'IA acheté ou loué est un déployeur au sens du règlement européen sur l'intelligence artificielle. Deux séries d'obligations la concernent : l'article 4, qui vaut pour tout système, et l'article 26, réservé au haut risque. L'article 50 s'ajoute si l'outil génère des contenus ou reconnaît des émotions.

L'article 4, dans sa rédaction issue du règlement 2026/1744, demande aux fournisseurs et aux déployeurs de prendre des mesures favorisant la maîtrise de l'IA de leur personnel, sans imposer de formation type. L'article 26 est repris ci-dessous d'après le service d'assistance de la Commission sur l'AI Act.

L'article 50 ajoute au déployeur l'obligation de signaler un système de reconnaissance des émotions et de marquer les hypertrucages ; informer qu'on parle à une machine incombe au fournisseur.

Quelles sanctions prévoit l'article 99 ?

L'article 99 fixe trois plafonds d'amendes administratives selon la gravité du manquement, avec une règle particulière pour les PME, prononcées par les autorités nationales de surveillance du marché.

Quand le texte s'applique-t-il ?

L'application est échelonnée, et le calendrier initial a été modifié. Le règlement (UE) 2026/1744, publié en juillet 2026, a reporté le haut risque de l'annexe III au 2 décembre 2027 et celui de l'annexe I (produits réglementés) au 2 août 2028. Les pratiques interdites et l'article 4 s'appliquent déjà, l'article 50 depuis le 2 août 2026. Le détail est tenu à jour dans notre article sur le calendrier d'entrée en vigueur de l'AI Act, d'après le texte modificatif sur EUR-Lex et la foire aux questions de la CNIL.

Comment le règlement s'articule-t-il avec le RGPD ?

Les deux textes se cumulent. Le RGPD s'applique dès qu'un système traite des données personnelles, quel que soit son niveau de risque ; le règlement européen sur l'intelligence artificielle vise le système lui-même, sa conception et son usage. L'article 26 §9 fait le lien avec l'analyse d'impact RGPD. Pour cadrer un projet, consultez notre guide IA et RGPD : cadrer un projet, et pour la mise en œuvre en droit français, notre article sur la loi IA en France.

À retenir

• Le règlement (UE) 2024/1689 classe les usages de l'IA en quatre niveaux ; votre rôle (souvent déployeur) et le niveau de risque de chaque système fixent vos obligations.
• Pour un déployeur, trois articles comptent : 4 (maîtrise de l'IA), 26 (haut risque) et 50 (transparence).
• Article 99 : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial ; pour une PME, le plus faible des deux montants s'applique.
• Le règlement 2026/1744 a reporté le haut risque de l'annexe III au 2 décembre 2027 ; le RGPD, lui, s'applique sans attendre.