Tout savoir sur l'AI Act, le règlement européen qui change les règles de l'IA

Le 12 juillet 2024, l'Union européenne a publié au Journal officiel le premier cadre réglementaire mondial dédié à l'intelligence artificielle.

Deux ans plus tard, le règlement entre dans sa phase opérationnelle : les obligations de transparence sur les systèmes IA en contact avec le public s'appliquent dès août 2026, tandis que les obligations pour les systèmes à haut risque, dont les outils RH et de recrutement, entrent en application en décembre 2027. Pour les entreprises concernées, le moment est venu de comprendre ce que le texte implique réellement.

Le règlement qui encadre l'intelligence artificielle en Europe 

 L'AI Act (Règlement (UE) 2024/1689) est un règlement européen qui établit des règles harmonisées pour le développement, la mise sur le marché et l'utilisation des systèmes d'intelligence artificielle au sein de l'Union européenne. Adopté par le Parlement européen en mars 2024 et publié au Journal officiel de l'UE le 12 juillet 2024, il est entré en vigueur le 1er août 2024. 

Son principe central est une approche par les risques : plus un système IA présente un potentiel de nuisance pour les droits fondamentaux ou la sécurité des personnes, plus les obligations qui l'encadrent sont strictes. Cette logique distingue quatre niveaux : les pratiques interdites, les systèmes à haut risque, les systèmes à risque limité, et les systèmes à risque minimal ou nul. 

 En bref. L'AI Act est le premier règlement européen encadrant l'intelligence artificielle. Adopté en 2024, il classe les systèmes IA selon leur niveau de risque et impose des obligations progressives aux entreprises qui les développent ou les utilisent. Il s'applique à toutes les organisations actives sur le marché de l'UE, quel que soit leur lieu d'établissement. 

 Le règlement s'applique à toute organisation qui développe, commercialise ou utilise des systèmes IA sur le territoire de l'Union, qu'elle soit établie en Europe ou non. Une entreprise dont les systèmes IA produisent des effets sur des personnes situées en Europe est également soumise au règlement, même si elle opère depuis un pays tiers. 

D'après le Règlement (UE) 2024/1689 du Parlement européen et du Conseil, JOUE du 12 juillet 2024.

Qui est réellement concerné par le règlement ?

L'AI Act distingue plusieurs catégories d'acteurs, et la confusion entre elles est fréquente. Le fournisseur (ou provider) est l'entité qui développe un système IA et le met sur le marché. Le déployeur (ou deployer) est l'entité qui utilise ce système dans un contexte professionnel, pour son propre compte ou pour le compte de tiers. L'importateur et le distributeur jouent des rôles de mise à disposition sur le marché européen. 

 Ces distinctions ont des conséquences directes sur les obligations de chacun. Les fournisseurs portent la charge de conformité la plus lourde : documentation technique, évaluation de conformité, marquage CE (apposition de la certification européenne attestant qu'un produit respecte les exigences réglementaires de l'UE) pour les systèmes à haut risque. Les déployeurs ont des obligations plus ciblées, mais elles sont réelles et contraignantes. 

 La grande majorité des entreprises sont des déployeurs 

Une direction RH (Ressources Humaines) qui utilise un logiciel d'aide au tri de CV, une DSI (Direction des Systèmes d'Information, responsable de l'infrastructure et des outils informatiques de l'entreprise) qui déploie un outil d'analyse prédictive des incidents, une direction achats qui recourt à un moteur de recommandation pour qualifier des prestataires : toutes ces entreprises sont des déployeurs au sens du règlement. Elles n'ont pas développé les outils, mais elles en sont responsables dans leur contexte d'usage. 

 Cette clarification est centrale. Les obligations de l'AI Act ne concernent pas uniquement les éditeurs de logiciels ou les laboratoires de recherche : elles s'appliquent à toute organisation qui intègre l'IA dans ses processus métiers. 

 Un exemple concret : la direction RH déployeuse 

Prenons un cas concret. Une direction RH déploie depuis plusieurs mois un logiciel de présélection automatique des candidatures : l'outil analyse les CV reçus, les note selon des critères paramétrés par l'éditeur, et propose un classement des profils pour chaque poste. L'entreprise n'a pas développé l'outil, elle l'a acheté en SaaS et l'utilise quotidiennement pour filtrer plusieurs centaines de candidatures par semaine. 

 Au sens de l'AI Act, cette direction RH est un déployeur d'un système IA à haut risque, au titre de l'Annexe III. Elle ne peut pas se retrancher derrière le fait que l'outil a été conçu par un éditeur tiers. Elle doit désigner une personne responsable de la supervision humaine du système, s'assurer que les décisions de présélection restent auditables, conserver les journaux de bord dans la mesure de ses droits contractuels, et informer les représentants du personnel de l'utilisation de cet outil dans le processus de recrutement. Si l'éditeur n'a pas fourni la documentation technique requise, il lui appartient de la demander. 

 Ce scénario est loin d'être marginal. Beaucoup d'organisations ont intégré des outils de ce type sans avoir formalisé les responsabilités qui en découlent. C'est précisément sur ce point que l'AI Act introduit un changement de posture : utiliser un système IA, c'est en assumer la supervision. 

 Un règlement fondé sur les niveaux de risque 

La logique du règlement repose sur une classification des risques. Comprendre cette classification, c'est identifier directement ce qui s'applique à son organisation. 

 Les pratiques interdites depuis le 2 février 2025 

Certains usages de l'IA sont purement et simplement interdits, sans dérogation possible. Parmi eux figurent les techniques de manipulation subliminale, les systèmes de notation sociale généralisée mis en place par des autorités publiques, la reconnaissance faciale en temps réel dans les espaces publics (avec des exceptions très encadrées), la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, ou encore la constitution de bases de données biométriques par scraping massif sur internet. 

 Ces interdictions s'appliquent depuis le 2 février 2025. Tout système IA existant qui entre dans l'une de ces catégories doit avoir été retiré du marché ou profondément modifié. 

 Les systèmes IA à haut risque, dont les outils RH 

C'est là que se concentrent les enjeux les plus concrets pour les entreprises. L'Annexe III du règlement liste les systèmes IA considérés à haut risque. Plusieurs catégories concernent directement les fonctions DSI, DRH et achats : 

• les outils d'aide au recrutement, au tri de candidatures ou à l'évaluation des candidats  

• les systèmes d'évaluation des performances des salariés, d'allocation de tâches ou de suivi des comportements au travail  

• les outils d'accès à des services essentiels (crédit, assurances, services publics)  

• les systèmes de gestion d'infrastructures critiques  

Un outil de matching (mise en correspondance automatisée entre un profil et un poste) entre profils et postes, un logiciel de scoring de CV (notation automatique des candidatures selon des critères prédéfinis), un système d'évaluation automatisée de prestataires peuvent relever de cette catégorie. Les déployeurs de ces systèmes sont soumis à un ensemble d'obligations détaillées dans la section suivante. 

Risque limité et risque minimal 

Les systèmes à risque limité, comme les chatbots ou les générateurs de contenu synthétique, sont soumis principalement à des obligations de transparence : l'utilisateur doit savoir qu'il interagit avec une IA. Les systèmes à risque minimal, comme les filtres anti-spam ou les outils de traduction automatique, ne font l'objet d'aucune obligation spécifique, même si le règlement encourage les pratiques volontaires de conformité. 

 Les modèles d'IA à usage général (GPAI), des obligations depuis août 2025 

Les modèles d'IA à usage général, désignés sous l'acronyme GPAI (General Purpose AI), sont des modèles entraînés sur de larges volumes de données et conçus pour être utilisés dans des contextes variés : génération de texte, analyse de documents, aide à la décision. ChatGPT, Mistral ou les copilotes intégrés aux suites bureautiques en sont des exemples courants. 

 Depuis le 2 août 2025, les fournisseurs de ces modèles sont soumis à des obligations spécifiques : documentation technique, politique de transparence sur les données d'entraînement, respect des règles sur le droit d'auteur. Ces obligations s'appliquent aux fournisseurs, pas directement aux entreprises qui utilisent ces modèles via une API ou un SaaS tiers. Mais cela ne dispense pas les déployeurs de vérifier que les modèles qu'ils intègrent dans leurs processus respectent ces exigences, et de documenter en conséquence leur usage dans le cadre de leur propre démarche de conformité. 

 Ce qui est déjà en vigueur en août 2026 

 En bref. L'AI Act s'applique progressivement depuis le 1er août 2024. Le règlement dit "Digital Omnibus", proposé par la Commission en novembre 2025 et entré en vigueur le 27 juillet 2026, a décalé certaines échéances. En août 2026, ce sont les obligations de transparence (Article 50) qui entrent en vigueur. Les obligations pour les systèmes IA à haut risque, dont les outils RH et de recrutement, entrent quant à elles en application en décembre 2027. 

Août 2026, une étape clé 

Les entreprises dont les outils IA interagissent directement avec des utilisateurs (chatbots, assistants conversationnels) doivent respecter les obligations de transparence de l'Article 50 dès maintenant. Les déployeurs de systèmes à haut risque disposent quant à eux d'un délai supplémentaire, mais décembre 2027 approche et la préparation se mène sur plusieurs mois. 

D'après le Règlement (UE) 2024/1689, articles 113 et suivants (calendrier d'application), JOUE du 12 juillet 2024. 

 Les obligations concrètes pour les entreprises déployeuses 

Être déployeur d'un système IA à haut risque implique un ensemble d'obligations précises, que le règlement détaille aux articles 26 et suivants. 

 Supervision humaine 

Le déployeur doit s'assurer qu'une ou plusieurs personnes physiques sont désignées pour surveiller le fonctionnement du système IA. Ces personnes doivent disposer des compétences, de l'autorité et des outils nécessaires pour intervenir, corriger ou suspendre le système si nécessaire. Il ne s'agit pas d'une supervision symbolique : elle doit être effective et documentée. 

 Documentation et information des équipes 

Le déployeur est tenu de conserver les journaux de bord générés par le système (logs), dans la mesure où il en a le contrôle. Il doit également tenir un registre de ses usages de systèmes IA à haut risque, et informer ses équipes lorsque leur travail est assisté ou encadré par un tel système. L'obligation d'information s'étend aux représentants du personnel, conformément au droit du travail national applicable. 

 Conformité à l'usage prévu et évaluation d'impact 

Le déployeur ne peut utiliser un système IA qu'en conformité avec les instructions du fournisseur. Il ne peut pas modifier l'usage prévu pour un système certifié dans un autre périmètre. Si un déployeur modifie substantiellement un système IA à haut risque, il endosse alors les responsabilités du fournisseur. 

 Certaines catégories de déployeurs, notamment les organismes publics et les opérateurs de services financiers ou essentiels, ont une obligation supplémentaire : conduire une évaluation de l'impact sur les droits fondamentaux avant le déploiement du système. 

D'après la CNIL, section intelligence artificielle. 

 Les sanctions prévues par le règlement 

L'AI Act prévoit trois niveaux de sanctions administratives, appliquées par les autorités nationales compétentes. 

 Le non-respect des interdictions (pratiques à risque inacceptable) expose à une amende pouvant aller jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé. Les violations des autres obligations applicables aux systèmes à haut risque sont passibles d'amendes pouvant atteindre 15 millions d'euros ou 3 %. La fourniture d'informations inexactes aux autorités de surveillance est sanctionnée à hauteur de 7,5 millions d'euros ou 1,5 %. 

 Pour les PME et les startups, les plafonds en valeur absolue s'appliquent, ce qui représente une charge potentiellement moins lourde qu'un pourcentage de chiffre d'affaires. Les obligations de fond, elles, restent identiques. 

 Ces sanctions sont appliquées dans chaque État membre par des autorités nationales désignées. En France, la mise en place du dispositif de surveillance s'appuie sur un modèle décentralisé impliquant plusieurs autorités sectorielles. Selon le projet de désignation publié par la Direction générale des entreprises (DGE) en septembre 2025, trois autorités concentrent la majorité des cas d'usage : la CNIL (biométrie, données personnelles, éducation), la DGCCRF (pratiques interdites, produits de consommation) et l'ARCOM (contenus audiovisuels, générateurs de texte). La coordination stratégique est assurée par la DGE, la coordination opérationnelle par la DGCCRF. La désignation formelle de ces autorités par voie législative n'avait pas encore été finalisée au moment de la publication de cet article. 

D'après la Direction générale des entreprises (DGE), 2025. 

 Le cas particulier des usages IA non cartographiés 

La mise en conformité avec l'AI Act suppose de savoir quels systèmes IA sont effectivement utilisés dans l'organisation. C'est précisément là que réside l'un des angles morts les plus fréquents : les usages non déclarés, parfois désignés sous le terme de shadow AI. 

 Un collaborateur qui utilise ChatGPT pour rédiger des analyses de candidatures, un outil de génération de texte intégré à un SaaS RH sans validation par la DSI, un copilote IA activé par défaut dans un environnement Microsoft 365 sans cadrage interne : ces usages existent dans beaucoup d'organisations, souvent sans que les équipes IT ou achats en aient une vision consolidée. Or, si l'un de ces outils relève de la catégorie haut risque selon l'Annexe III, l'entreprise est déployeuse et porte des obligations, qu'elle ait ou non formalisé cet usage. 

 La cartographie des usages IA existants, premier point de la démarche de mise en conformité présentée dans la section suivante, n'est donc pas une formalité. Elle conditionne la capacité de l'organisation à identifier ses expositions réelles et à prioriser ses actions. 

 Par où commencer pour structurer sa conformité IA 

La mise en conformité avec l'AI Act ne se traite pas en une seule action ni en quelques semaines. C'est une démarche structurée qui suit une logique de priorités, et dont le point de départ n'est pas juridique : il est opérationnel. 

 Cartographier les usages IA existants 

Avant de qualifier des risques ou de désigner des responsables, une organisation doit savoir quels systèmes IA elle utilise réellement. Cela suppose de recenser, service par service, les outils intégrant une composante IA : logiciels RH de présélection, outils de scoring ou de matching, copilotes intégrés aux suites bureautiques, chatbots en contact avec des clients ou des candidats, systèmes d'analyse prédictive déployés par la DSI. 

 Cette cartographie doit inclure les usages validés par la direction IT et les usages non déclarés, souvent présents dans les équipes métiers sans cadrage formel. 

 C'est un travail transversal qui implique au minimum la DSI, la direction RH et la direction achats. Sans cette base, il est impossible d'identifier les expositions réelles de l'organisation. 

 Qualifier le niveau de risque de chaque système identifié 

Une fois le recensement effectué, chaque outil doit être positionné dans la classification de l'AI Act. La question centrale est simple : le système influence-t-il de façon significative une décision affectant un individu, dans l'un des domaines listés à l'Annexe III ? Si la réponse est oui, le système est à haut risque et déclenche un ensemble d'obligations précises. 

 En cas de doute sur la qualification d'un outil, la démarche recommandée est de consulter la documentation technique fournie par l'éditeur et de lui demander explicitement dans quelle catégorie il positionne son produit. L'absence de réponse claire de la part du fournisseur est en elle-même une information sur sa maturité en matière de conformité. 

 Prioriser les actions selon le niveau de risque 

La troisième étape consiste à séquencer les actions de mise en conformité. Les systèmes à haut risque déjà déployés sont la priorité absolue, en particulier si l'échéance de décembre 2027 approche dans un contexte où les processus de supervision, de documentation et d'information des équipes n'ont pas encore été formalisés. 

 Le tableau suivant synthétise les actions à mener selon le type de système et la fonction concernée.

Pour aller plus loin sur chacun de ces axes, ce hub AI Governance propose des ressources dédiées aux obligations spécifiques des systèmes à haut risque , à la gouvernance interne de l'IA et à l'encadrement contractuel des prestataires IA.

Checklist AI Governance, les questions à se poser avant de déployer un outil IA 

Avant de déployer ou de continuer à utiliser un système IA dans votre organisation, vérifiez ces sept points : 

• Avez-vous identifié le niveau de risque du système selon la classification de l'AI Act (Annexe III) ?  

• Connaissez-vous l'usage prévu par le fournisseur, et votre organisation respecte-t-elle ce cadre ?  

• Une personne est-elle désignée pour assurer la supervision humaine effective du système ?  

• Disposez-vous des journaux de bord (logs) et d'un registre des usages IA à haut risque ?  

• Vos équipes concernées ont-elles été informées de l'utilisation de systèmes IA dans leurs processus ?  

• Votre contrat avec le fournisseur précise-t-il ses responsabilités au titre de l'AI Act ?  

• Avez-vous prévu une procédure pour signaler les incidents ou dysfonctionnements du système ?  

 Ce qu'il faut retenir 

L'AI Act n'est pas un texte à surveiller de loin. Les obligations de transparence s'appliquent dès août 2026 pour les outils en contact avec les utilisateurs, et les obligations pour les systèmes à haut risque, dont les outils RH et de recrutement, entrent en application en décembre 2027. La mise en conformité suit une logique progressive : cartographier les usages, identifier le shadow AI, qualifier les risques, prioriser les actions. Les organisations qui engagent cette démarche maintenant disposent d'une longueur d'avance sur les premières décisions des autorités nationales, qui viendront fixer les standards d'interprétation. 

Pour identifier et mobiliser rapidement des experts en conformité IA, gouvernance des données ou transformation digitale sur vos missions, Pour identifier et mobiliser rapidement des experts en conformité IA ou en gouvernance des données, LittleBig Connection met en relation les entreprises avec des consultants qualifiés, disponibles selon vos délais et votre périmètre.