ChatGPT, Gemini, Claude, générateurs d’images, assistants intégrés dans nos logiciels, outils de recrutement, systèmes de reconnaissance biométrique…

L’intelligence artificielle est désormais un peu partout. Et forcément, une question se pose : qui fixe les règles ?

En Europe, une partie de la réponse tient en deux mots : AI Act.

Depuis le 2 août 2026, une grande partie de ce règlement européen est désormais applicable. Mais contrairement à ce que son nom pourrait laisser penser, l’AI Act n’est pas une loi qui cherche à interdire l’intelligence artificielle.

Son principe est plutôt simple :

plus une utilisation de l’IA peut avoir des conséquences importantes sur notre vie, plus elle doit être encadrée.

Voyons ça tranquillement.

C’est quoi, exactement, l’AI Act ?

L’AI Act — ou règlement européen sur l’intelligence artificielle — est le règlement européen 2024/1689.

Il a été publié au Journal officiel de l’Union européenne le 12 juillet 2024 et est entré en vigueur le 1er août 2024.

Son objectif est d’établir des règles communes pour le développement et l’utilisation de systèmes d’intelligence artificielle dans l’Union européenne.

L’idée n’est pas de réglementer toutes les IA de la même manière.

Un filtre antispam qui classe vos courriels ne présente évidemment pas le même risque qu’un algorithme utilisé pour décider si vous pouvez obtenir un prêt ou décrocher un emploi.

L’Europe a donc choisi une approche basée sur le niveau de risque.

Quatre niveaux de risque

🟢 Risque minimal ou faible

C’est la très grande majorité des systèmes d’IA.

Par exemple :

un filtre antispam ;
l’IA d’un jeu vidéo ;
certaines fonctions de recommandation ou d’assistance ;
beaucoup d’outils utilisés pour améliorer ou automatiser des tâches sans prendre de décision importante sur une personne.

Pour ces systèmes, l’AI Act n’ajoute généralement pas d’obligations lourdes spécifiques.

Autrement dit : l’Europe ne demande pas une autorisation administrative chaque fois qu’une entreprise utilise de l’IA.

🟡 Risque lié à la transparence

Ici, le problème n’est pas forcément que l’IA soit dangereuse.

Le problème est que vous devez savoir que vous avez affaire à une IA ou à un contenu artificiel lorsque cette information est importante.

Exemple très simple : un chatbot automatique qui discute avec vous doit normalement permettre de comprendre que vous échangez avec une machine, sauf si cela est déjà évident.

L’AI Act impose également des règles autour des contenus générés artificiellement.

Les fournisseurs de systèmes générant des images, vidéos, sons ou textes doivent prévoir des mécanismes permettant d’identifier techniquement certains contenus comme générés ou manipulés par une IA.

Pour les deepfakes, celui qui publie ou utilise le contenu doit également signaler qu’il a été généré ou manipulé artificiellement, avec certaines exceptions notamment artistiques ou créatives.

Ces obligations de transparence sont applicables depuis le 2 août 2026.

Et cela va probablement devenir l’un des effets les plus visibles de l’AI Act pour le grand public.

🟠 Haut risque

Là, les choses deviennent beaucoup plus sérieuses.

Un système peut être considéré comme à haut risque lorsqu’une erreur ou un biais pourrait avoir des conséquences importantes sur la santé, la sécurité ou les droits d’une personne.

Cela peut concerner par exemple certaines IA utilisées dans :

le recrutement et la sélection de candidats ;
l’éducation et l’évaluation d’élèves ;
l’accès à certains services publics ;
l’évaluation de solvabilité ou l’accès au crédit ;
certaines assurances ;
les infrastructures critiques ;
la justice ;
la police ;
l’immigration et le contrôle aux frontières ;
certains systèmes biométriques.

Imaginez un logiciel qui examine automatiquement 2 000 CV et décide quels candidats seront vus par un recruteur.

Si son fonctionnement défavorise systématiquement certaines catégories de personnes, les conséquences peuvent être considérables.

Pour ces systèmes, l’AI Act prévoit donc notamment :

une gestion des risques ;
une documentation détaillée ;
une meilleure traçabilité ;
une attention particulière à la qualité des données ;
une supervision humaine ;
des exigences de précision, de robustesse et de cybersécurité.

Mais attention à un changement récent très important : la majorité de ces obligations « haut risque » n’est finalement pas entrée en application le 2 août 2026.

On y revient dans la chronologie.

🔴 Risque inacceptable

Certaines utilisations sont considérées comme tellement dangereuses pour les libertés fondamentales qu’elles sont tout simplement interdites.

Depuis février 2025, l’AI Act interdit notamment certaines formes :

de manipulation ou de tromperie par IA ;
d’exploitation de personnes vulnérables ;
de notation sociale ;
de prédiction individuelle de criminalité basée uniquement sur certains profils ;
de constitution massive de bases de reconnaissance faciale en récupérant sans distinction des photos sur Internet ou des images de vidéosurveillance ;
de reconnaissance des émotions au travail ou dans les établissements scolaires, sauf certaines exceptions ;
de catégorisation biométrique visant à déduire certaines caractéristiques sensibles d’une personne.

Une nouvelle interdiction a également été ajoutée en 2026 concernant notamment les systèmes permettant de produire sans consentement des contenus sexuels explicites ou intimes, comme certaines applications de « déshabillage » artificiel. Elle entrera en application en décembre 2026.

Pourquoi l’Europe a-t-elle créé l’AI Act ?

Parce qu’une IA peut désormais faire beaucoup plus que vous proposer la prochaine chanson à écouter.

Elle peut participer à une décision concernant :

votre travail, votre crédit, votre assurance, vos études, votre accès à un service public ou votre sécurité.

Et il peut parfois être extrêmement difficile de comprendre pourquoi un algorithme a pris ou recommandé une décision. La Commission européenne cite justement le cas d’un recrutement ou de l’attribution d’une prestation publique : une personne peut être défavorisée sans pouvoir facilement comprendre pourquoi.

L’AI Act cherche donc à créer un équilibre entre deux objectifs :

permettre l’innovation et le développement de l’IA, tout en protégeant la sécurité et les droits fondamentaux.

Ce n’est donc pas vraiment :

« IA contre réglementation ».

C’est plutôt :

« Vous pouvez construire et utiliser de l’IA, mais plus elle peut avoir d’impact sur quelqu’un, plus vous devez pouvoir démontrer qu’elle est utilisée correctement. »

Et pour nous, particuliers ?

Premier point important :

utiliser une IA à titre purement personnel ne fait pas de vous un professionnel soumis aux obligations de l’AI Act.

Si vous utilisez ChatGPT pour trouver une recette, Gemini pour préparer vos vacances ou une IA pour créer une image rigolote, le règlement ne vous transforme pas soudainement en responsable conformité.

Les obligations applicables aux « déployeurs » ne concernent pas les personnes qui utilisent une IA dans le cadre d’une activité purement personnelle et non professionnelle.

L’impact pour les particuliers est surtout indirect : vous êtes davantage protégé lorsque des organisations utilisent de l’IA sur vous ou avec vous.

Vous devriez plus facilement savoir quand vous parlez à une IA

Un service utilisant un chatbot automatisé doit, dans certaines situations, vous informer que vous interagissez avec une IA.

Les deepfakes doivent être davantage signalés

Lorsqu’une image, une vidéo ou un son réaliste est artificiellement généré ou manipulé, des obligations de transparence peuvent s’appliquer.

Certaines pratiques sont interdites

Notation sociale, certaines utilisations de reconnaissance des émotions, constitution sauvage de gigantesques bases de reconnaissance faciale…

L’objectif est ici directement de protéger les individus.

Vous disposez de recours

Une personne ou une organisation estimant qu’une disposition de l’AI Act a été enfreinte peut déposer une plainte auprès de l’autorité de surveillance compétente.

Le règlement prévoit également un droit à obtenir des explications dans certaines décisions individuelles reposant sur des systèmes d’IA à haut risque, lorsqu’elles produisent des effets juridiques ou affectent fortement une personne.

Exemple :

une IA participe à une décision importante vous concernant.

Le principe n’est plus simplement :

« L’ordinateur a dit non. »

Dans certaines situations, l’organisation devra pouvoir expliquer le rôle joué par le système dans cette décision.

Et pour les entreprises ?

C’est évidemment là que l’impact réglementaire est le plus important.

Mais là encore, il faut éviter une idée reçue :

utiliser ChatGPT ou Gemini dans une entreprise ne signifie pas automatiquement déployer un système d’IA à haut risque.

Le niveau d’obligation dépend surtout de ce que fait l’IA et de l’impact potentiel de son utilisation.

Une IA qui aide à reformuler un mail n’est pas dans la même catégorie qu’une IA qui décide quels candidats seront retenus pour un emploi.

Première étape : savoir quelles IA sont utilisées

Avant même de parler de conformité, une entreprise doit avoir une vision claire des usages.

Exemples :

génération de texte ;
support client ;
recrutement ;
résumé de documents ;
analyse financière ;
détection de fraude ;
génération d’images ;
développement informatique ;
automatisation de décisions.

Sans inventaire, difficile de déterminer quels risques existent.

Les salariés doivent comprendre un minimum les outils qu’ils utilisent

Depuis février 2025, le règlement prévoit que fournisseurs et déployeurs prennent des mesures afin de favoriser un niveau de compréhension adapté de l’IA chez les personnes qui utilisent ces systèmes pour leur compte.

Le texte ne demande pas que tout le monde devienne ingénieur en machine learning : l’objectif est que les utilisateurs comprennent suffisamment l’outil, ses limites et ses risques dans leur contexte professionnel.

Concrètement, cela peut passer par :

de la sensibilisation ;
des règles internes d’utilisation ;
des formations ;
des exemples de données qu’il ne faut pas transmettre ;
une explication des hallucinations et des limites des modèles ;
des règles de validation humaine.

La transparence devient importante

Une entreprise qui déploie un chatbot auprès de ses clients doit s’intéresser aux obligations de transparence.

Même chose lorsqu’elle publie certains contenus générés ou manipulés artificiellement.

Le recrutement mérite une attention particulière

Une IA utilisée pour analyser, filtrer ou classer des candidats peut relever des systèmes à haut risque.

Les entreprises utilisant ce genre d’outil auront donc des obligations beaucoup plus importantes que celles qui utilisent simplement une IA générative comme assistant de rédaction.

AI Act + RGPD : souvent les deux

L’AI Act ne remplace absolument pas le RGPD.

Les deux textes peuvent s’appliquer en même temps.

Le RGPD s’intéresse principalement au traitement des données personnelles.

L’AI Act s’intéresse davantage aux risques liés au système d’IA et à son utilisation.

Un outil de recrutement utilisant des données personnelles peut donc relever simultanément des deux réglementations.

Et ChatGPT, Gemini, Claude et les autres ?

L’AI Act prévoit également des règles spécifiques pour les modèles d’IA à usage général, souvent appelés GPAI pour General Purpose AI.

Il s’agit des grands modèles capables d’effectuer de nombreuses tâches différentes.

Les règles applicables à ces modèles sont entrées en application le 2 août 2025.

Les fournisseurs concernés doivent notamment produire certaines documentations techniques et fournir des informations permettant aux entreprises qui intègrent leurs modèles de comprendre leurs capacités et leurs limites.

Ils doivent également mettre en place une politique de respect du droit d’auteur européen et publier une synthèse suffisamment détaillée du contenu ayant servi à entraîner leurs modèles.

Des obligations supplémentaires existent pour les modèles présentant des risques systémiques, notamment concernant l’évaluation des modèles, la gestion des risques, les incidents graves et la cybersécurité.

La chronologie : où en sommes-nous ?

Et c’est ici qu’il faut être particulièrement vigilant, car le calendrier a changé récemment.

📅 2021 — La Commission propose le texte

La Commission européenne présente son projet de règlement sur l’intelligence artificielle.

Commence alors un long processus de négociation entre les institutions européennes.

📅 2023 — Accord politique

En décembre 2023, le Parlement européen et le Conseil trouvent un accord politique sur le futur règlement.

📅 2024 — Adoption

Le texte définitif est adopté.

12 juillet 2024 : publication au Journal officiel de l’Union européenne.

1er août 2024 : entrée en vigueur.

Mais « entrée en vigueur » ne signifie pas que toutes les obligations deviennent immédiatement applicables.

L’Europe prévoit plusieurs étapes.

📅 2 février 2025 — premières interdictions

Les principales pratiques d’IA considérées comme présentant un risque inacceptable deviennent interdites.

Les premières dispositions autour de la compréhension et de la maîtrise de l’IA entrent également en application.

📅 2 août 2025 — modèles d’IA généralistes

Les règles concernant la gouvernance et les modèles d’IA à usage général deviennent applicables.

📅 27 juillet 2026 — changement de dernière minute

Un élément important est arrivé juste avant la grande échéance de 2026.

L’Union européenne a adopté un texte de simplification surnommé AI Omnibus.

Il est entré en vigueur le 27 juillet 2026.

Parmi ses effets : simplification de certaines obligations et surtout report de plusieurs règles concernant les systèmes d’IA à haut risque.

C’est important, car de nombreux articles publiés avant cette modification indiquent toujours les anciennes dates.

📅 2 août 2026 — nous y sommes

Depuis le 2 août 2026, la majeure partie du règlement est applicable.

Les règles de transparence de l’article 50 sont notamment entrées en application et les autorités européennes et nationales disposent désormais de leurs pouvoirs de contrôle sur les dispositions concernées.

Mais contrairement au calendrier initial, les principales exigences concernant les IA dites « à haut risque » ont été repoussées.

📅 2 décembre 2026

La nouvelle interdiction concernant notamment certaines IA permettant de générer sans consentement des contenus sexuels ou intimes artificiels doit entrer en application.

📅 2 décembre 2027

Les obligations principales concernant les systèmes à haut risque de l’annexe III entreront en application.

Cela concerne notamment certains usages en matière de :

biométrie ;
infrastructures critiques ;
éducation ;
emploi ;
accès à certains services essentiels ;
police ;
immigration ;
justice.

📅 2 août 2028

Les obligations concernant les IA à haut risque intégrées dans certains produits réglementés entreront à leur tour en application.

Cela peut concerner par exemple certains équipements, dispositifs médicaux, machines ou jouets.

Et si une entreprise ne respecte pas les règles ?

L’AI Act prévoit des sanctions potentiellement importantes.

Pour certaines pratiques interdites, les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, selon les conditions prévues par le règlement.

Pour d’autres manquements, les plafonds peuvent notamment atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. Des règles adaptées existent pour les PME.

Comme avec le RGPD, ces énormes chiffres ne signifient évidemment pas qu’une petite entreprise recevra automatiquement une amende de plusieurs millions parce qu’un salarié a utilisé un chatbot de travers.

Les sanctions doivent notamment être effectives, proportionnées et dissuasives.

Mais le message est clair : l’utilisation professionnelle de l’IA devient progressivement un vrai sujet de gouvernance.

Est-ce une bonne ou une mauvaise nouvelle ?

Comme souvent avec le numérique : la réponse n’est pas complètement binaire.

L’AI Act va imposer du travail supplémentaire aux entreprises qui développent ou utilisent certains systèmes.

Il faudra parfois documenter davantage, contrôler les fournisseurs, former les équipes, revoir certains processus et surtout se demander sérieusement ce qu’une IA a le droit de décider.

Mais il peut aussi apporter quelque chose qui manquait encore beaucoup dans le monde de l’IA :

des règles du jeu communes.

Une entreprise pourra toujours utiliser une IA pour gagner du temps.

Un développeur pourra toujours utiliser un assistant pour coder.

Un particulier pourra toujours discuter avec un chatbot ou générer des images.

L’objectif de l’AI Act n’est pas d’empêcher tout cela.

Il cherche surtout à éviter qu’un système opaque puisse décider silencieusement de choses importantes sur notre vie sans contrôle, sans responsabilité et parfois sans même que nous sachions qu’une IA est intervenue.

Et c’est probablement la meilleure façon de résumer le texte :

plus l’IA a du pouvoir sur une personne, plus ceux qui l’utilisent doivent être capables d’expliquer, contrôler et assumer ce qu’elle fait.

🐒 Le conseil du Singe

Pas besoin de lire les centaines de pages du règlement avant d’utiliser une IA.

Pour un particulier, gardez surtout trois questions en tête :

Est-ce que je sais que j’ai affaire à une IA ?

Est-ce qu’elle est en train de m’aider… ou de décider quelque chose sur moi ?

Si cette décision est importante, puis-je comprendre et contester ce qui s’est passé ?

Et pour une entreprise, ajoutez-en une quatrième :

est-ce que nous savons réellement quelles IA sont utilisées chez nous et pour faire quoi ?

Parce qu’avant de gérer le risque lié à l’intelligence artificielle, encore faut-il savoir où elle se cache.

Sources principales

Règlement (UE) 2024/1689 — texte consolidé de l’AI Act, EUR-Lex.
Commission européenne — AI Act : cadre réglementaire et calendrier d’application, mis à jour le 3 août 2026.
Commission européenne — AI Omnibus, entré en vigueur le 27 juillet 2026.
Commission européenne — FAQ sur l’application de l’AI Act.
CNIL — articulation entre règlement IA et RGPD.