Règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744 · Mis à jour le [date]
L'AI Act, expliqué pour les entreprises qui utilisent l'IA.
L'AI Act est le règlement européen qui encadre l'intelligence artificielle. Il s'applique à toute organisation qui utilise un système d'IA dans un cadre professionnel dans l'Union, quelle que soit sa taille. Ses obligations dépendent de deux choses : votre rôle, et le niveau de risque de l'usage.
Fournisseur ou déployeur : la première question
Fournisseur
Développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque.
Exemple : Un éditeur de chatbot ; une entreprise qui fait concevoir un assistant sur mesure à son nom
Déployeur
Utilise un système d'IA sous sa propre autorité, dans un cadre professionnel.
Exemple : Une agence qui utilise ChatGPT ; un commerce qui installe un chatbot du marché
La plupart des TPE et PME sont déployeurs. Elles peuvent devenir fournisseurs sans le savoir, en faisant développer un outil d'IA à leur nom.
Quatre niveaux, quatre régimes
Pratiques interdites (art. 5)
Manipulation, exploitation des vulnérabilités, notation sociale, reconnaissance des émotions au travail, etc.
Depuis le 2 février 2025
Haut risque (art. 6)
Recrutement, éducation, crédit, assurance, services essentiels, biométrie, etc. Obligations lourdes.
2 décembre 2027 (annexe III) et 2 août 2028 (annexe I)
Transparence (art. 50)
Chatbots, contenus générés, hypertrucages, reconnaissance des émotions.
Depuis le 2 août 2026
Risque minimal
Tous les autres usages. Seule obligation : maîtrise de l'IA (art. 4) depuis le 2 février 2025.
Les obligations d'une TPE déployeuse
- 1Faire l'inventaire de vos outils d'IA et leurs usages
- 2Vérifier qu'aucun usage n'est interdit
- 3Prendre des mesures de maîtrise de l'IA pour votre personnel
- 4Respecter la transparence pour hypertrucages, textes, etc.
- 5Articuler avec le RGPD : l'AI Act s'y ajoute, ne le remplace pas
Le Règlement (UE) 2026/1744, dit « Digital Omnibus »
Adopté le 8 juillet 2026, en vigueur depuis le 27 juillet 2026. Il reporte uniquement les obligations du haut risque : 2 décembre 2027 et 2 août 2028.
Les interdictions (art. 5), la maîtrise de l'IA (art. 4) et la transparence (art. 50) ne sont pas reportées : elles s'appliquent déjà.
Sanctions (art. 99)
Pratiques interdites
Jusqu'à 35 M€ ou 7 % du CA annuel mondial ; pour une PME, le plus faible des deux
Autres obligations (transparence, déployeur haut risque)
Jusqu'à 15 M€ ou 3 % du CA annuel mondial ; pour une PME, le plus faible des deux
Informations inexactes aux autorités
Jusqu'à 7,5 M€ ou 1 % du CA annuel mondial ; pour une PME, le plus faible des deux