EU AI Act.
Le règlement sur l’IA pour les entreprises : rôles, cas d’usage, obligations applicables et démarche vers les preuves adaptées.
- Règlement (UE) 2024/1689 · Modifications au 27.07.2026
- Par Derya Altinay
- À jour au 22/10/2026
- Temps de lecture : 10 min
Réponse courte.
L’AI Act européen réglemente l’intelligence artificielle selon l’usage, le risque et le rôle. Il distingue notamment fournisseurs et déployeurs, interdit certaines pratiques et impose des protections et preuves particulières pour l’IA à haut risque. Transparence, maîtrise de l’IA et obligations des fournisseurs de modèles doivent être examinées séparément ; l’art. 113 fixe l’application échelonnée.
Le règlement sur l’IA et sa version actuelle.
L’AI Act européen est un règlement de l’Union directement applicable, et non une norme de sécurité volontaire. Le règlement (UE) 2024/1689 organise les obligations relatives aux systèmes d’IA et aux modèles d’IA à usage général. Le panorama des classes de risque de l’AI Act facilite une première approche ; une décision concrète nécessite aussi d’examiner le rôle de l’entreprise et l’usage prévu.
Le règlement (UE) 2026/1744 a modifié le règlement sur l’IA et s’applique depuis le 27 juillet 2026. Son art. 1, point 40, modifie le calendrier de l’art. 113 : pour les systèmes à haut risque relevant de l’art. 6, paragraphe 2, et de l’annexe III, les sections 1 à 3 du chapitre III s’appliquent en principe dès le 2 décembre 2027 ; pour la voie produit de l’art. 6, paragraphe 1, et de l’annexe I, dès le 2 août 2028. L’art. 6, paragraphe 5, fait exception.
La date générale d’application reste le 2 août 2026. Les interdictions, la maîtrise de l’IA et les règles relatives aux modèles à usage général ont des échéances antérieures propres ; certaines interdictions nouvellement ajoutées ne s’appliquent qu’à compter du 2 décembre 2026. Le report de certaines échéances du haut risque ne décale donc pas tout le règlement. Les règles transitoires de l’art. 111 doivent aussi être vérifiées pour les systèmes et modèles déjà fournis.
À qui s’applique l’AI Act européen.
Selon l’art. 2, l’AI Act concerne notamment les fournisseurs qui mettent des systèmes d’IA sur le marché de l’Union ou en service, ainsi que les déployeurs établis ou situés dans l’Union. Certains acteurs hors de l’Union sont aussi concernés lorsque les sorties du système y sont utilisées. Importateurs, distributeurs et fabricants de produits ont leurs propres rôles. L’usage strictement privé et non professionnel se distingue de l’utilisation en entreprise.
Une entreprise doit clarifier son rôle pour chaque cas d’usage. L’achat d’un service tiers ne détermine pas définitivement son rôle pour toutes les applications construites à partir de celui-ci. Le modèle et le système final sont également deux objets distincts. La finalité, la fourniture et l’utilisation réelle doivent donc être examinées ; une classification de toute l’entreprise fondée uniquement sur le nom du modèle est trop imprécise.
Les obligations de l’AI Act dépendent du rôle et de l’usage.
Les obligations de l’AI Act ne forment pas un ensemble uniforme de mesures pour toute utilisation de l’IA. Les domaines suivants donnent des repères ; les articles et les échéances applicables doivent être déterminés pour chaque système et chaque rôle.
Vérifier les interdictions et la classification à haut risque.
L’art. 5 décrit les pratiques interdites et l’art. 6 la classification à haut risque. La voie produit associe le lien à l’annexe I à l’évaluation par un tiers requise ; la seconde voie concerne les usages énumérés à l’annexe III. Toute application dans un secteur cité n’est pas automatiquement à haut risque. Les exceptions nécessitent un examen justifié de la fonction concrète.
Développer la maîtrise de l’IA.
Dans sa version modifiée, l’art. 4 exige des mesures favorisant le développement de la maîtrise de l’IA. Les connaissances préalables, l’expérience, les tâches et le contexte d’utilisation doivent être pris en compte. Les fournisseurs et déployeurs ne sont pas tenus de garantir un niveau individuel précis de compétence. Une attestation de formation générale ne remplace donc ni le choix de mesures appropriées ni l’examen des systèmes utilisés.
Concevoir une IA à haut risque sûre et traçable.
Les exigences des art. 9 à 15 pour le haut risque concernent notamment la gestion des risques, les données, la documentation, les enregistrements, les informations, le contrôle humain ainsi que l’exactitude, la robustesse et la cybersécurité. Les obligations des fournisseurs et le management de la qualité selon l’art. 17 organisent ce travail. Les règles applicables et leurs dates dépendent du régime concret et du calendrier d’application.
Assumer la responsabilité pendant l’utilisation.
Les obligations des déployeurs de l’art. 26 diffèrent des tâches des fournisseurs. Lorsque les règles du haut risque s’appliquent, elles comprennent notamment l’utilisation selon les instructions, un contrôle humain adapté et le suivi de l’utilisation. Ce contrôle nécessite des personnes compétentes disposant d’une capacité réelle d’action ; la seule désignation d’un service responsable ne démontre pas une intervention efficace dans le travail.
Mettre en œuvre la transparence de manière ciblée.
L’art. 50 prévoit des obligations particulières d’information et de marquage pour certains systèmes et sorties. Cela concerne par exemple l’identification des interactions avec une IA et certains contenus générés artificiellement. L’acteur tenu d’informer ou de marquer dépend de la disposition et du rôle. Il n’en découle pas de règle générale pour tout document traité en interne à l’aide d’une IA.
Examiner séparément les obligations relatives aux modèles.
Le chapitre V contient des obligations propres aux fournisseurs de modèles d’IA à usage général, appelés General-Purpose AI ou GPAI en anglais. Des exigences supplémentaires concernent les modèles présentant un risque systémique. Utiliser un tel modèle ne transforme pas automatiquement une entreprise en fournisseur de modèle ; sa documentation ne clarifie pas non plus toutes les obligations du système construit à partir de lui.
La mise en œuvre commence par le cas d’usage.
Recenser la finalité et l’utilisation.
Pour commencer concrètement, décrivez la tâche assurée par un système d’IA, ses utilisateurs et les personnes ou décisions concernées par ses sorties.
Clarifier le rôle et le champ d’application.
Consignez le rôle de votre organisation et l’examen du lien avec l’Union et des exceptions possibles qui justifie cette décision.
Faire examiner la classification par les spécialistes.
Examinez les interdictions, les voies du haut risque et les questions de transparence avec les responsables métier, techniques et juridiques, et documentez la justification.
Déterminer les obligations et les échéances.
Attribuez aux dispositions pertinentes des responsables précis et leur date d’application, y compris les règles transitoires distinctes.
Relier les preuves au fonctionnement.
Planifiez la documentation, les examens et le contrôle nécessaires pour refléter l’utilisation réelle du système et la démarche de preuve applicable.
Réévaluer les changements.
À titre de recommandation pratique, revoyez les décisions lorsque la finalité, les fonctions, l’environnement d’utilisation ou les responsabilités changent, et consignez le nouvel état.
La preuve suit la procédure applicable.
Le règlement sur l’IA ne prévoit pas l’achat d’un certificat unique pour toutes les entreprises. Pour l’IA à haut risque, l’art. 43 détermine la procédure d’évaluation de la conformité applicable. Selon le système, un contrôle interne ou l’intervention d’un organisme notifié est prévu ; les règles relatives aux produits peuvent aussi déterminer la procédure. Documentation, éventuelle déclaration UE de conformité, marquage CE et enregistrement doivent être considérés dans leur contexte légal propre.
Un certificat d’un organisme notifié se distingue d’un certificat volontaire de système de management. L’art. 44, paragraphe 2, limite la validité qui y est régie à cinq ans au maximum pour les systèmes de l’annexe I et quatre ans pour ceux de l’annexe III ; la période indiquée et les conditions de la procédure sont déterminantes. Ces plafonds ne constituent pas une durée générale pour toutes les preuves de l’AI Act. Les obligations d’utilisation doivent aussi être respectées.
Pour aller plus loin sur le blog.
- AI Act européen : classer les usages et planifier les preuvesApprofondir la classification opérationnelle avec les rôles, l’inventaire et un exemple pratique.
- Normes de gouvernance de l’IA en octobre 2026Lire la publication, située dans son contexte temporel, sur les normes techniques et organisationnelles.
Les autres référentiels soutiennent des tâches différentes.
Pour les produits d’IA, les obligations relatives aux produits du Cyber Resilience Act peuvent aussi être pertinentes et doivent être examinées indépendamment.
ISO 42001 structure un système de management de l’IA, tandis que le NIST AI RMF propose un cadre volontaire pour les risques liés à l’IA. Tous deux peuvent aider à organiser le travail, mais ne démontrent aucune conformité automatique à l’AI Act européen. Le RGPD continue de s’appliquer de façon autonome aux traitements de données personnelles ; une classification AI Act ne remplace pas l’examen de la protection des données.
- Cyber Resilience ActExaminer séparément la cybersécurité des produits et les rôles de fabricant.
- ISO 42001Situer le système de management de l’IA.
- NIST AI RMFComprendre le cadre volontaire de gestion des risques liés à l’IA.
- RGPDExaminer séparément les obligations relatives aux traitements de données personnelles.
Dans Secani.
Secani contient un catalogue éditorial pour les entreprises sur l’AI Act européen, avec des données de rôle et de profil, des conseils de mise en œuvre et des exemples de preuves. Fournisseurs, déployeurs et autres rôles sont recensés séparément. Cet outil facilite un travail structuré ; il ne remplace ni la classification spécialisée ni une procédure d’évaluation légalement requise. Le catalogue n’est pas une preuve officielle de conformité.
Prochaine étape.
Choisissez un cas d’usage concret de l’IA, en production ou prévu, et réunissez ses responsables métier et techniques avec les personnes chargées de l’examen juridique. Le premier résultat doit être une décision justifiée sur le rôle, l’usage et les obligations pertinentes. Elle permettra un plan de preuves exploitable ; une liste non examinée de tous les articles du règlement est moins utile à cette fin.
Sources.
- Commission européenne : Cyber Resilience Act
- Règlement sur l’IA : version consolidée du 27 juillet 2026
- Règlement (UE) 2026/1744 : Digital Omnibus on AI, notamment art. 1, points 5 et 40
- Commission européenne : AI Act et calendrier d’application
- AI Act Service Desk officiel : art. 2, champ d’application
- AI Act Service Desk officiel : art. 4, maîtrise de l’IA
- AI Act Service Desk officiel : art. 6, classification à haut risque
- AI Act Service Desk officiel : art. 17, management de la qualité
- AI Act Service Desk officiel : art. 26, obligations des déployeurs
- AI Act Service Desk officiel : art. 43, évaluation de la conformité
- AI Act Service Desk officiel : art. 44, certificats
- AI Act Service Desk officiel : art. 50, obligations de transparence
- AI Act Service Desk officiel : art. 113, application
Questions fréquentes.
Non. L’art. 6 rattache la classification à certaines configurations de produits ou à des usages énumérés, avec leurs conditions et exceptions. Le seul recours à un modèle puissant ne détermine pas la classification.
Non. Le rôle dépend de la fourniture, de l’application propre et des modifications éventuelles. Le contrat avec un fournisseur de modèle ou de service ne clarifie pas automatiquement la responsabilité du système final.
Non. Un système de management de l’IA peut organiser les responsabilités et les processus, tandis que les obligations légales de chaque usage doivent être examinées séparément. Un certificat de système de management n’est pas une preuve générale de toutes les exigences de l’AI Act européen.
Non. Les preuves nécessaires découlent du rôle, du système et des dispositions applicables. L’art. 43 distingue plusieurs procédures d’évaluation de la conformité ; toutes ne prévoient pas l’intervention d’un organisme externe.
Traiter concrètement les responsabilités liées à l’IA.
Reliez dans Secani exigences, responsabilités et preuves pour les cas d’usage que vous avez examinés.
Cette page présente le règlement sur l’IA de manière générale. Les actes en vigueur et l’examen du cas d’usage concret font foi.