IA act : obligations, dates et qui est concerné

IA act : définition, logique du règlement européen IA et champ d’application

Le IA Act désigne le règlement de l’Union européenne qui encadre l’intelligence artificielle selon une logique de niveau de risque. Le texte officiel, publié en juillet 2024, est entré en vigueur le 1er août 2024. Sa mise en application est progressive, avec un point très surveillé à partir du 2 août 2026, puis d’autres échéances ensuite. Le sujet intéresse déjà les entreprises, les administrations et les éditeurs, parce que ce règlement européen IA touche autant la conception que l’usage de systèmes utilisés dans le travail, l’emploi, la santé ou les services numériques.

Le point utile à garder en tête est simple : le règlement ne traite pas tous les outils de la même façon. Plus un système produit un effet fort sur la sécurité, les droits ou l’accès à un service, plus les obligations montent.

Ce que dit le règlement européen IA sur l’intelligence artificielle

Le règlement européen sur l’intelligence artificielle pose un cadre harmonisé dans toute l’union. Son objectif est double. D’un côté, limiter les usages jugés dangereux. De l’autre, permettre une mise sur le marché plus lisible pour les acteurs qui développent des modèles, des applications métier ou des outils intégrés à un produit.

Le texte retient une approche par catégories. Certaines pratiques sont interdites car elles créent un risque inacceptable. D’autres systèmes restent autorisés mais passent sous un régime plus lourd, surtout quand ils sont classés haut risque. Enfin, des usages plus ordinaires, tels que certains chatbots ou outils de génération de contenu, relèvent surtout d’exigences de transparence.

Cette architecture évite un blocage général. Franchement, c’était nécessaire. Sans cela, la réglementation aurait été trop large pour être applicable dans un temps raisonnable.

Qui est concerné par l’application du règlement européen sur l’IA

Le champ d’application est large. Sont visés les fournisseurs, les importateurs, les distributeurs, les déployeurs et, dans certains cas, les mandataires. Une entreprise hors UE peut aussi être concernée si son système d’intelligence artificielle est mis sur le marché européen ou si sa sortie est utilisée dans l’union.

Concrètement, plusieurs profils sont dans la boucle :

• les entreprises qui développent des systèmes d’intelligence artificielle
• les fournisseurs de modèles d’usage général
• les organisations qui intègrent ces outils dans un processus métier
• les acteurs publics qui achètent ou déploient des solutions automatisées
• les distributeurs qui mettent un produit ou un service en circulation

Le mot déployeur compte beaucoup. Selon le règlement, il s’agit de l’acteur qui utilise un système sous sa propre autorité, sauf usage purement personnel et non professionnel. Une direction RH qui utilise un outil de tri de CV entre déjà dans ce cadre.

Pourquoi la commission européenne tient une place centrale dans l’IA act

La Commission européenne pilote une partie décisive de la gouvernance, notamment pour les modèles d’IA à usage général. Elle publie des lignes directrices, coordonne la lecture du texte, suit la mise en place des autorités compétentes et intervient dans la surveillance de certains régimes.

Chaque État membre garde un rôle national. Mais la commission reste la référence pour savoir comment lire tel article, comment gérer l’application progressive et comment articuler le règlement avec d’autres règles du droit numérique. Pour accéder au texte, le plus propre reste EUR-Lex. Cette page permet de voir la version publiée, les articles et les dates utiles, sans dépendre d’un résumé secondaire.

IA act et calendrier : les dates d’application 2026 à connaître

Le calendrier du règlement est échelonné. C’est pratique pour la mise en conformité, mais cela crée aussi pas mal de confusion, surtout quand une entreprise mélange l’entrée en vigueur, la date d’application et la fin d’une période transitoire. Les dates d'application en 2026 sont donc à lire avec précision.

Avant d’agir, il faut distinguer trois choses : la publication du texte, son entrée en vigueur, puis l’application de chapitres ou d’articles à des moments différents.

Le 1er août 2024, point de départ du règlement européen sur l’IA

Le texte est entré en vigueur le 1er août 2024. Cela ne veut pas dire que toutes les obligations ont commencé ce jour-là. La mise en place est graduelle, article par article, selon les catégories de systèmes et les acteurs visés.

Le calendrier le plus cité s’articule ainsi :

• 1er août 2024 : entrée en vigueur du règlement
• 2 février 2025 : interdiction de certaines pratiques à risque inacceptable
• 2 août 2025 : premières règles pour les modèles d’usage général et régime de sanctions
• 2 août 2026 : nouvelle étape majeure d’application pour plusieurs obligations
• 2 août 2027 et au-delà : extension à certains produits et régimes spécifiques

Cette progression donne du temps, mais pas tant que ça. Beaucoup d’entreprises ont déjà des outils déployés, des flux de données actifs et une documentation technique incomplète.

Ce qui s’applique dès le 2 août 2026

Le 2 août 2026 n’est pas la date de tout le règlement. C’est une étape de mise en œuvre importante, en particulier pour des obligations de transparence, de gouvernance et d’organisation des autorités. Le sujet des bacs à sable réglementaires arrive aussi à ce moment.

À cette date, vous devez surtout vérifier si vos systèmes relèvent d’une obligation d’information des utilisateurs, d’un encadrement spécifique pour certains modèles ou d’un dispositif national de supervision. Selon les cas, cela implique de mettre à jour la documentation, le marquage, les notices, les logs ou les procédures internes.

Le vrai piège, c’est la lecture trop rapide du calendrier. Beaucoup pensent que les systèmes à haut risque basculent tous en 2026. En réalité, certaines obligations lourdes arrivent plus tard selon la catégorie de produit.

Les dates d'application en 2026 et les échéances qui suivent

Après août 2026, d’autres échéances prennent le relais. Les systèmes classés haut risque incorporés dans certains produits réglementés suivent un rythme distinct. Cela concerne par exemple des dispositifs médicaux, des machines ou des composants soumis à d’autres procédures de conformité.

Pour éviter l’erreur de date, gardez cinq repères simples :

• date d’entrée en vigueur du règlement
• date d’application du chapitre concerné
• type de système ou de modèle visé
• qualité de l’acteur concerné, fournisseur ou déployeur
• base juridique exacte, avec l’article applicable

Côté terrain, une feuille de route interne vaut mieux qu’un rappel vague. Une page de suivi avec les jalons, la personne responsable et les preuves de conformité fait gagner un temps net.

Systèmes à haut risque : quels secteurs, quelles exigences, quelles limites

La catégorie des systèmes à haut risque concentre l’attention parce qu’elle combine impact opérationnel, contraintes documentaires et risque de sanction. Le règlement ne vise pas un secteur abstrait. Il cible des usages précis, avec des annexes et des cas listés.

La logique est assez concrète : plus un système peut affecter la santé, la sécurité, l’accès à l’emploi ou l’exercice d’un droit, plus le niveau d’exigences monte.

Les systèmes à haut risque dans la santé, le transport et le recrutement

Trois exemples reviennent souvent, et pour de bonnes raisons. En santé, un système utilisé pour aider à un diagnostic ou à une priorisation clinique peut entrer dans la zone haut risque. En transport, des fonctions liées à la sécurité, à l’assistance de conduite ou à la gestion d’infrastructures critiques sont regardées de près. En recrutement, les outils de tri de CV, de scoring ou d’aide à la sélection relèvent souvent d’un contrôle renforcé.

Ces cas ne sont pas anecdotiques. Ils touchent des décisions avec effet direct sur des personnes. Un classement erroné dans l’emploi, une donnée biaisée en santé ou une alerte défaillante dans le transport créent un risque concret, pas une simple gêne d’usage.

Les exigences de conformité pour les systèmes à haut risque

Pour ces systèmes, la conformité passe par un ensemble de mesures techniques et organisationnelles. Les obligations des fournisseurs sont lourdes, mais les déployeurs ont aussi leur part de travail. Il faut penser en cycle de vie, depuis la conception jusqu’au suivi après mise sur le marché.

Les points à traiter incluent souvent :

• une gestion des risques documentée
• des données d’entraînement, de validation et de test adaptées
• une documentation technique suffisamment complète
• une supervision humaine réelle, pas décorative
• une qualité de logs et d’informations permettant l’audit

Le mot-clé, ici, c’est traçabilité. Sans trace, pas de démonstration. Et sans démonstration, la conformité devient théorique.

Ce qui est interdit au titre du risque inacceptable

Le règlement bloque certaines pratiques. C’est la catégorie du risque inacceptable. On y trouve notamment la notation sociale, certains usages de manipulation, l’exploitation de vulnérabilités ou des cas d’identification biométrique à distance en temps réel, avec des exceptions très encadrées.

Deux expressions comptent dans la lecture du texte : risque inacceptable et notation sociale. Elles ne sont pas là pour faire joli. Elles servent à fermer la porte à des usages jugés incompatibles avec les droits fondamentaux dans l’union.

Dans les faits, si votre service touche à l’évaluation comportementale, au profilage sensible ou à une prise de décision automatisée avec effet fort, il faut revoir la qualification du système sans attendre la fin d’un projet.

Bacs à sable réglementaires, article 57 et obligations des fournisseurs

Le règlement ne se limite pas aux interdictions et aux sanctions. Il prévoit aussi des outils d’accompagnement pour tester, corriger et apprendre sous supervision publique. C’est le sens des bacs à sable réglementaires, qui intéressent surtout les PME, les laboratoires et les porteurs de projets à forte composante technique.

Là où ça devient concret, c’est avec l’article 57. Ce passage impose à chaque État membre de mettre en place au moins un dispositif national de test réglementé.

Ce que prévoit l’article 57 sur les bacs à sable réglementaires

L’article 57 prévoit un environnement contrôlé où un système d’intelligence artificielle peut être développé, testé ou validé sous la supervision d’une autorité compétente. Le but n’est pas de suspendre le droit. Le but est de permettre une expérimentation encadrée, avec collecte d’informations, vérification des risques et dialogue avec le régulateur.

Pour les entreprises, l’intérêt est clair. Vous pouvez tester une solution avant une mise sur le marché plus large, mieux qualifier les données utilisées, vérifier les limites de performance et préparer une documentation plus solide. Cela vaut surtout pour des secteurs tels que la santé, la mobilité ou les services publics numériques.

Pourquoi les bacs à sable réglementaires comptent pour les entreprises

Les bacs à sable réglementaires réduisent une partie de l’incertitude. Une jeune structure n’a pas toujours les moyens de financer seule toute la preuve technique demandée, surtout quand le produit touche au haut risque ou repose sur des modèles complexes.

Dans la pratique, ces dispositifs peuvent aider à :

• tester un système dans un cadre supervisé
• corriger un jeu de données avant une diffusion plus large
• préparer les preuves de conformité et de sécurité
• échanger avec l’autorité sur la qualification du risque
• mettre en place un protocole de suivi après essai

Autant le dire, ce n’est pas un passe-droit. C’est un outil de préparation réglementaire.

Les obligations des fournisseurs avant la mise sur le marché

Les obligations des fournisseurs changent selon la catégorie de système, mais un socle revient souvent. Il faut pouvoir inscrire la solution dans un dossier vérifiable, avec des éléments techniques, des instructions d’utilisation, des procédures de surveillance et parfois un enregistrement dans une base dédiée.

Parmi les exigences les plus courantes, on retrouve la qualité des données, la robustesse, la cybersécurité, la supervision humaine, la tenue d’une documentation technique et la conservation d’éléments permettant de voir comment le système fonctionne dans le temps. Les fournisseurs de modèles d’usage général doivent également gérer le sujet du droit d’auteur, du résumé de contenu d’entraînement et, selon le cas, des risques systémiques.

Côté sanctions, le règlement prévoit des amendes administratives qui peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour certains manquements, selon le type d’infraction. D’autres niveaux existent, par exemple 15 millions d’euros ou 3 %, puis 7,5 millions d’euros ou 1,5 %. Le montant dépend de l’article violé, du statut de l’acteur et de la nature du manquement.

Comment préparer votre conformité IA act avant 2026

Attendre l’été 2026 pour agir serait une erreur. La mise en conformité demande un inventaire, des arbitrages et parfois une reprise de conception. Si plusieurs outils d’intelligence artificielle sont déjà utilisés dans vos équipes, le travail commence par la cartographie.

Le plus efficace consiste à traiter le sujet comme un programme de gouvernance, pas comme une case juridique isolée.

La checklist de mise en conformité pour vos systèmes et modèles

Un plan utile tient sur une séquence simple, mais chaque étape doit produire une preuve exploitable. Sinon, au moment d’un contrôle, il manque toujours un morceau.

Voici une base de travail réaliste :

• recenser chaque système, modèle ou service d’intelligence artificielle utilisés
• qualifier le niveau de risque et le statut de l’acteur, fournisseur ou déployeur
• vérifier les obligations applicables selon la date d’application
• compléter la documentation technique, les notices et la gouvernance des données
• organiser le suivi, les incidents, la revue humaine et la conservation des informations

Notre conseil éditorial est assez simple : commencez par les usages qui touchent l’emploi, la santé, l’accès à un droit ou une décision importante. C’est là que le gain de temps est le plus net.

Les documents et informations à mettre en place dès maintenant

Une conformité sérieuse repose sur des pièces concrètes. Il ne suffit pas d’avoir un discours de principe sur l’intelligence artificielle. Il faut des documents datés, versionnés et relus.

Pensez à mettre en place une fiche par système, avec l’objectif, le périmètre, les utilisateurs, les données d’entrée, le type de modèle, les tests, les limites connues et les incidents déjà observés. Ajoutez un registre de décisions, les consignes de supervision humaine, les preuves de formation du personnel et les modalités de recours si le système affecte une personne.

Mais il y a un point souvent oublié : la transparence côté métier. Un RH, un médecin ou un agent de service doit savoir ce que l’outil fait, ce qu’il ne fait pas, et quand il faut reprendre la main.

Ce que la commission européenne et les autorités vont regarder

La commission et les autorités nationales ne vont pas lire seulement votre communication externe. Elles regarderont la cohérence entre le texte, les preuves, les journaux d’activité et l’architecture réelle du système.

Selon le cas, elles voudront savoir si le niveau de risque a été correctement évalué, si les utilisateurs ont reçu les bonnes informations, si les mécanismes de contrôle humain sont effectifs, et si les données utilisées n’introduisent pas un biais majeur. Pour un outil d’emploi, ce point peut vite devenir sensible.

Enfin, gardez une logique simple de gouvernance. Une personne responsable, un calendrier, une revue à intervalles fixes, une page de suivi et un mode d’escalade interne. Sans cela, la conformité reste dispersée.

Questions fréquentes sur l’IA act

Le sujet soulève souvent les mêmes questions, surtout depuis que les dates d'application en 2026 circulent dans les directions conformité et produit. Les réponses ci-dessous restent générales et s’appuient sur le règlement publié.

C’est quoi l’IA act ?

L’IA Act est le règlement européen sur l’intelligence artificielle. Il encadre le développement, la mise sur le marché et l’usage de systèmes d’IA dans l’union selon une approche par niveau de risque. Son entrée en vigueur date du 1er août 2024.

Quel usage est interdit par l’IA act ?

Le texte interdit certains usages classés en risque inacceptable, comme la notation sociale par les pouvoirs publics et plusieurs pratiques de manipulation ou d’exploitation de vulnérabilités. Des cas biométriques très sensibles sont aussi visés. Il faut toujours lire l’article applicable et son contexte.

Qui est soumis à l’IA act ?

Sont concernés les fournisseurs, importateurs, distributeurs, déployeurs et parfois les mandataires. Une entreprise située hors UE peut aussi être visée si son système ou sa sortie est utilisé dans l’Union européenne. Le champ d’application est donc plus large que la seule implantation géographique.

Qu’est-ce qu’un déployeur selon l’IA act ?

Le déployeur est l’acteur qui utilise un système d’intelligence artificielle sous sa propre autorité, en dehors d’un usage personnel non professionnel. Une entreprise qui exploite un outil de tri de candidatures ou d’aide à la décision entre typiquement dans cette catégorie. Cela entraîne des obligations opérationnelles, pas seulement contractuelles.

Quel est le régulateur de l’IA act ?

La Commission européenne occupe une place centrale, surtout pour les modèles d’usage général et la coordination d’ensemble. À cela s’ajoutent des autorités nationales désignées par chaque État membre. Le contrôle est donc à la fois européen et national.