L'IA Act en deux minutes#
L'IA Act (on dit aussi AI Act) est le règlement (UE) 2024/1689. Entré en vigueur le 1er août 2024, il s'applique directement dans tous les pays de l'Union, sans loi de transposition. Son principe : plus un usage de l'IA présente de risques pour les personnes, plus les obligations sont lourdes.
Il distingue quatre niveaux :
| Niveau de risque | Exemples | Ce qui s'applique |
|---|---|---|
| Inacceptable | notation sociale des personnes, manipulation exploitant une vulnérabilité | interdit |
| Haut risque | IA utilisée pour recruter, accorder un crédit, dans certains produits réglementés | obligations lourdes : gestion des risques, documentation, contrôle humain |
| Transparence | assistant conversationnel, contenu généré par l'IA | informer les personnes |
| Minimal | filtre anti-spam, aide à la rédaction | aucune obligation propre |
Le règlement distingue aussi deux rôles. Le fournisseur développe le système et le met sur le marché. Le déployeur l'utilise dans le cadre de son activité. Une entreprise qui équipe ses équipes d'un assistant IA est, en général, déployeur.
Le calendrier, remis à jour après l'Omnibus#
Le 24 juillet 2026, le règlement (UE) 2026/1744, dit Omnibus numérique sur l'IA, a été publié au Journal officiel de l'Union. Entré en vigueur le 27 juillet 2026, il modifie l'IA Act, principalement pour repousser les échéances du haut risque.
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | pratiques interdites ; obligation de maîtrise de l'IA (article 4) |
| 2 août 2025 | règles des modèles d'IA à usage général ; autorités et sanctions |
| 2 août 2026 | obligations de transparence (article 50) |
| 2 décembre 2026 | fin du délai de marquage des contenus générés, pour les systèmes déjà sur le marché |
| 2 décembre 2027 | obligations des systèmes à haut risque « autonomes » (annexe III) |
| 2 août 2028 | obligations des systèmes à haut risque intégrés à des produits réglementés (annexe I) |
Ce qui concerne une entreprise qui utilise l'IA au bureau#
Si vos équipes utilisent un assistant pour rédiger, résumer, analyser des tableaux ou préparer des courriels, vous n'êtes en général pas dans le haut risque. Trois sujets vous concernent pourtant dès aujourd'hui.
1. Former, et pouvoir le montrer#
L'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour développer la maîtrise de l'IA de leur personnel et des personnes qui l'utilisent pour leur compte. L'Omnibus a reformulé cette obligation : elle n'exige plus de garantir un « niveau suffisant », mais des mesures adaptées aux systèmes utilisés, aux risques et aux personnes concernées. Elle reste une obligation, et la meilleure façon d'y répondre est d'en garder la trace : qui a été formé, sur quoi, quand.
2. Être transparent avec le public#
Depuis le 2 août 2026, une personne qui échange avec un système d'IA doit le savoir, sauf si c'est évident. Et les contenus générés ou manipulés par l'IA doivent pouvoir être identifiés comme tels. Un assistant conversationnel sur votre site ou un visuel généré dans une campagne sont directement concernés.
3. Vérifier qu'aucun usage ne bascule#
Le même outil peut être à risque minimal pour rédiger un courrier et à haut risque s'il sert à trier des candidatures. C'est l'usage qui compte, pas le logiciel. D'où l'intérêt d'une charte d'utilisation de l'IA qui dit clairement ce qui est permis.
Ce que l'IA Act ne remplace pas#
L'IA Act s'ajoute au RGPD, il ne le remplace pas. Toute donnée personnelle envoyée à un modèle reste soumise aux règles habituelles : minimisation, base légale, information des personnes. Remplacer les données personnelles par des leurres avant l'envoi, comme le fait AIGuard, applique directement le principe de minimisation à l'usage de l'IA.
Et les sanctions ne sont pas symboliques : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 millions ou 3 % pour la plupart des autres manquements.
Comment s'organiser sans y passer l'année#
- Inventorier les usages de l'IA, y compris ceux que personne n'a déclarés (on en parle dans notre article sur le shadow IA).
- Classer chaque usage : minimal, transparence, haut risque, interdit.
- Encadrer par une charte et des outils qui appliquent les règles plutôt que de les espérer.
- Tracer : formations, décisions, exceptions. Un journal d'audit qui ne s'efface pas vaut mieux qu'un dossier reconstitué la veille d'un contrôle.
C'est précisément le travail que nous menons avec les entreprises dans notre accompagnement en gouvernance IA.
Cet article informe sur le texte et son calendrier ; il ne remplace pas un conseil juridique adapté à votre situation.