IA Act : comment anticiper la réglementation sur l'intelligence artificielle ?

L'IA Act, aussi appelé AI Act ou règlement sur l'intelligence artificielle, est le règlement (UE) 2024/1689. Entré en vigueur le 1er août 2024, il s'applique par étapes jusqu'en 2028. Il ne traite pas tous les systèmes d'IA de la même façon : il interdit certaines pratiques, soumet les systèmes à haut risque à des exigences précises, impose de la transparence à d'autres et laisse le reste sans obligation propre. Notre article sur la définition juridique de l'intelligence artificielle explique ce que le règlement appelle un système d'IA, et quels logiciels n'en sont pas.

Le règlement distingue d'abord deux rôles (article 3). Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. Le déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. Une entreprise qui met ChatGPT ou Copilot à la disposition de ses équipes est déployeur. Un éditeur qui vend sous sa marque un logiciel intégrant de l'IA est fournisseur.

Beaucoup d'entreprises pensent ne pas être concernées parce qu'elles ne développent pas d'IA. Le règlement s'applique pourtant aux déployeurs établis dans l'Union européenne, comme aux fournisseurs qui y mettent un système sur le marché, même depuis un pays tiers (article 2). L'usage strictement personnel, sans lien avec une activité professionnelle, n'entraîne pas les obligations du déployeur.

Chez nos clients, les deux situations existent : des entreprises qui utilisent les outils du marché, et d'autres qui développent leur propre IA. Les outils que nos juristes recensent le plus souvent sont Claude, ChatGPT, Mistral et Copilot.

Vos obligations dépendent de deux choses : votre rôle, et la catégorie dans laquelle tombe chaque système. Le tableau résume ce que prévoit le règlement et renvoie, pour chaque catégorie, vers le contenu qui la détaille.

Un système qui n'entre dans aucune des quatre premières catégories ne reçoit pas d'obligation propre : c'est le cas de la plupart des usages courants. L'article 4 continue de s'appliquer à l'entreprise qui l'utilise.

Les systèmes à haut risque sont d'abord ceux que liste l'annexe III : la biométrie, les infrastructures critiques, l'éducation et la formation professionnelle, l'emploi, l'accès aux services essentiels, la répression, la migration et la justice. Le tri de candidatures, l'évaluation de la solvabilité d'une personne ou la tarification d'une assurance-vie en font partie. S'y ajoutent les systèmes qui servent de composant de sécurité à un produit déjà réglementé. Un système de l'annexe III peut sortir de la catégorie dans certains cas, que notre guide détaille. Nos juristes rencontrent parfois, chez un client, un système à haut risque que personne n'avait encadré.

Le règlement s'applique par étapes. Le règlement (UE) 2026/1744, dit omnibus numérique sur l'IA, a modifié ce calendrier : il a repoussé les obligations des systèmes à haut risque et ajouté une échéance au 2 décembre 2026.

• 1er août 2024 : entrée en vigueur du règlement.
• 2 février 2025 : dispositions générales, dont la maîtrise de l'IA, et pratiques interdites.
• 2 août 2025 : règles des modèles d'IA à usage général, désignation des autorités nationales et régime de sanctions.
• 2 août 2026 : la majorité des règles, dont les obligations de transparence de l'article 50. Le contrôle de leur application commence.
• 2 décembre 2026 : interdiction des systèmes qui génèrent des hypertrucages sexuels sans consentement ou des contenus pédopornographiques. C'est aussi la fin du délai laissé à certains fournisseurs pour marquer les contenus générés par des systèmes déjà sur le marché avant le 2 août 2026.
• 2 décembre 2027 : règles des systèmes à haut risque de l'annexe III, comme le recrutement ou l'éducation.
• 2 août 2028 : règles des systèmes à haut risque intégrés à des produits réglementés de l'annexe I, comme certains dispositifs médicaux.

Ces dates figurent dans le calendrier officiel de la Commission européenne (en anglais). Notre article sur le calendrier de l'IA Act jusqu'en 2028 explique ce que chaque échéance change pour une entreprise.

Le règlement fixe trois plafonds d'amende (article 99) :

• jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour une pratique interdite
• jusqu'à 15 millions d'euros ou 3 % pour un manquement aux obligations du fournisseur ou du déployeur d'un système à haut risque, ou aux obligations de transparence
• jusqu'à 7,5 millions d'euros ou 1 % pour des informations inexactes fournies aux autorités

Pour une entreprise, c'est le plus élevé des deux montants qui sert de plafond. Pour une PME, y compris une jeune pousse, c'est le plus faible. Pour mesurer votre exposition, un audit de conformité RGPD de vos systèmes d'IA recense les systèmes en place et les obligations qui s'y rattachent.

Oui. L'IA Act ne remplace pas le RGPD : le règlement précise qu'il n'a pas d'incidence sur lui (article 2). Dès qu'un système d'IA traite des données personnelles, les deux textes s'appliquent, et une partie du travail leur est commune : recenser les outils, analyser les risques, informer les personnes. Notre page sur la conformité RGPD et l'intelligence artificielle explique comment les articuler : base légale, contrat avec le fournisseur de l'outil, transferts hors de l'Union européenne, analyse d'impact.

Les entreprises qui nous sollicitent sur l'IA le font pour l'une de ces raisons :

• elles veulent déployer l'IA et ne savent ni comment l'encadrer, ni quelles règles s'appliquent
• elles hésitent sur l'outil à retenir, souvent sur le choix du modèle de langage
• elles ont subi une violation de données liée à un outil d'IA
• elles veulent mettre en place une charte IA
• elles veulent éviter le shadow AI, c'est-à-dire l'usage d'outils que l'entreprise n'a pas validés

Le travail de la juriste suit cet ordre :

1. un audit complet du système et de l'infrastructure d'IA
2. la classification de chaque système, avec son niveau de risque
3. un plan d'action
4. la cartographie des outils d'IA, puis celle des flux d'IA
5. les documents qui encadrent l'usage par les collaborateurs, et ceux qui informent les clients
6. la mise à jour du dossier RGPD

La plateforme RGPD Start comprend un registre des systèmes d'IA, en plus du registre des traitements. Deux de nos guides décrivent ces documents : le registre des systèmes d'IA et la politique d'utilisation de l'IA.

Nous proposons aussi une sensibilisation des équipes à l'IA. C'est l'une des mesures par lesquelles une entreprise développe la maîtrise de l'IA de son personnel, comme le demande l'article 4.

L'audit gratuit de RGPD Start couvre l'IA Act en même temps que le RGPD. L'ensemble fait partie de la solution RGPD de RGPD Start.

Chez RGPD Start, la conformité IA Act figure dans l'offre Pro, à 399 € HT par mois pour une entreprise de 15 à 49 salariés, aux côtés de la conformité RGPD. Les offres et ce qu'elles comprennent sont détaillés sur la page tarifs.

• L'IA Act est le règlement (UE) 2024/1689 : il encadre les systèmes d'intelligence artificielle selon le risque qu'ils présentent pour les personnes.
• Une entreprise qui utilise un système d'IA dans son activité est un déployeur au sens de l'IA Act, même si elle n'a rien développé.
• Les interdictions de l'IA Act s'appliquent depuis le 2 février 2025 ; les règles des systèmes à haut risque s'appliqueront le 2 décembre 2027 pour l'annexe III et le 2 août 2028 pour les produits réglementés.
• L'amende maximale de l'IA Act atteint 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, pour une pratique interdite.
• Chez RGPD Start, la conformité IA Act figure dans l'offre Pro, à 399 € HT par mois pour une entreprise de 15 à 49 salariés.