AI Act européen : ce que la réglementation change pour les entreprises qui utilisent l'IA

L'AI Act, adopté par le Parlement européen et le Conseil en 2024 sur proposition de la Commission européenne, est le règlement qui encadre le développement et l'utilisation des systèmes d'intelligence artificielle au sein de l'Union européenne. Il s'applique non seulement aux éditeurs de systèmes d'IA, mais aussi à toute entreprise qui déploie ou utilise ces systèmes dans ses processus, y compris via des outils tiers.

Les quatre catégories de risque de l'AI Act

Catégorie	Exemples	Conséquence
Risque inacceptable	Notation sociale, manipulation comportementale	Systèmes interdits
Risque élevé	Recrutement automatisé, évaluation de crédit, systèmes utilisés dans des infrastructures critiques	Obligations strictes : gestion des risques, documentation, supervision humaine
Risque limité	Chatbots, systèmes de recommandation de contenu	Obligation de transparence envers les utilisateurs
Risque minimal	Filtres anti-spam, jeux vidéo utilisant l'IA	Aucune obligation spécifique

Ce que cela change concrètement pour une entreprise

Une entreprise qui utilise l'IA générative pour automatiser une partie de son recrutement, par exemple, doit vérifier si cet usage entre dans la catégorie à risque élevé, ce qui implique alors une documentation précise du système, une supervision humaine effective et une gestion des risques formalisée. À l'inverse, l'utilisation d'un assistant conversationnel interne relève généralement d'obligations de transparence plus légères.

Checklist pour évaluer son niveau de préparation

Recenser l'ensemble des systèmes d'IA utilisés dans l'organisation, y compris les outils tiers intégrés aux processus métier.
Identifier, pour chaque usage, la catégorie de risque probable au regard de l'AI Act.
Vérifier l'existence d'une supervision humaine effective sur les décisions automatisées à fort impact.
Documenter les usages à risque élevé : finalité, données utilisées, mesures de contrôle.
Informer les utilisateurs lorsqu'ils interagissent avec un système d'IA, conformément aux obligations de transparence.

Une réglementation qui vient compléter, pas remplacer, les bonnes pratiques existantes

L'AI Act ne remplace pas les cadres de gouvernance de l'IA déjà adoptés par certaines organisations, à l'image de l'ISO/IEC 42001 ou du NIST AI RMF : il en formalise juridiquement une partie des exigences, avec des obligations désormais opposables sur le territoire européen.

Diagnostic IA·Voir un aperçu du diagnostic

Le calendrier d'application est lui-même échelonné sur plusieurs années : les pratiques interdites sont proscrites depuis février 2025, les obligations les plus lourdes pour les systèmes à risque élevé n'entrent en vigueur que plus tard, et les autorités de surveillance nationales chargées de faire appliquer le texte ne sont pas encore toutes pleinement opérationnelles dans chaque État membre. Cartographier ses usages de l'IA dès maintenant, système par système, évite de découvrir un usage à risque élevé au moment où l'obligation devient effective plutôt qu'en amont.