IA Act

L’IA Act (ou AI Act) est la première grande loi européenne consacrée à l’intelligence artificielle.
Son objectif est simple à formuler, mais ambitieux à mettre en œuvre : encourager l’innovation tout en protégeant les citoyens contre les usages les plus risqués de l’IA.

Concrètement, l’IA Act classe les systèmes d’IA par niveau de risque et fixe des règles différentes selon les usages : certains sont interdits, d’autres très encadrés, d’autres enfin presque libres.

IA Act : résumé en une minute

L’IA Act est une réglementation européenne qui encadre les systèmes d’intelligence artificielle en fonction de leur niveau de risque.
Elle interdit certains usages jugés dangereux, impose des obligations strictes pour les IA à haut risque (santé, recrutement, crédit, justice…),
prévoit des règles de transparence pour l’IA générative et les chatbots, et laisse libres la plupart des usages à faible risque.

En résumé, l’IA Act ne cherche pas à bloquer l’IA, mais à éviter qu’elle ne soit utilisée au détriment des droits fondamentaux, de la sécurité ou de la confiance des citoyens.

Qu’est-ce que l’IA Act ? (définition simple)

L’IA Act est un règlement européen qui établit un cadre légal commun pour le développement, la mise sur le marché et l’utilisation des systèmes d’IA dans l’Union européenne.

Il définit :

• ce qu’est un système d’IA ;
• comment les classer selon leur niveau de risque ;
• quelles obligations s’appliquent aux acteurs qui conçoivent, déploient ou utilisent ces systèmes ;
• quelles pratiques sont tout simplement interdites.

Comme le RGPD l’a fait pour les données personnelles, l’IA Act devient la référence pour encadrer l’usage de l’intelligence artificielle en Europe.

L’IA Act en Europe

L’IA Act est une loi européenne : elle s’applique dans tous les États membres de l’Union européenne, et concerne aussi des entreprises situées hors d’Europe dès lors qu’elles proposent des systèmes d’IA sur le marché européen.

Objectifs principaux :

• harmoniser les règles pour éviter 27 cadres nationaux différents ;
• fixer un niveau minimum de protection pour tous les citoyens européens ;
• donner un cadre clair aux entreprises qui développent ou utilisent l’IA ;
• positionner l’Europe comme une zone d’innovation responsable.

Autrement dit, une entreprise américaine ou asiatique qui vend une solution d’IA à des clients européens est, elle aussi, concernée par l’IA Act.

Entrée en vigueur de l’IA Act

L’IA Act ne s’applique pas en une seule fois : il est mis en place progressivement.

En simplifiant :

• la loi est entrée en vigueur à l’été 2024 ;
• les pratiques d’IA jugées inacceptables (surveillance biométrique de masse, scoring social, manipulation comportementale…) sont interdites quelques mois plus tard ;
• des obligations spécifiques commencent à s’appliquer en 2025, notamment sur la gouvernance de l’IA et les modèles à usage général (GPAI) ;
• la plupart des règles, en particulier pour les systèmes à haut risque, deviennent pleinement applicables à partir de 2026, avec certaines extensions jusqu’en 2027 pour les cas les plus complexes.

Pour les entreprises, cela signifie qu’il faut anticiper dès maintenant, même si toutes les obligations ne sont pas encore en vigueur.

Les niveaux de risque prévus par l’IA Act

L’IA Act adopte une approche par niveau de risque. Il distingue quatre grandes catégories.

1. Risque inacceptable

Ces systèmes sont tout simplement interdits.
Exemples typiques évoqués dans le cadre de l’IA Act :

• scoring social de personnes physiques par des autorités publiques ;
• certains usages de reconnaissance biométrique de masse dans l’espace public ;
• systèmes d’IA visant à manipuler gravement le comportement d’une personne en exploitant ses vulnérabilités.

2. Risque élevé

Ces systèmes restent autorisés, mais sont très encadrés.
On y trouve par exemple :

• les systèmes utilisés dans le recrutement ou la gestion des carrières ;
• les IA en santé (diagnostic, aide à la décision médicale) ;
• les systèmes utilisés dans l’éducation pour noter, classer ou orienter ;
• les IA qui jouent un rôle dans l’accès au crédit, à un logement ou à un service public ;
• certains systèmes de sécurité, transport ou infrastructures critiques.

Pour ces usages, les obligations sont nombreuses : qualité des données, documentation, traçabilité, analyse de risques, supervision humaine, transparence, etc.

3. Risque limité

Ces systèmes restent relativement libres, mais avec des exigences de transparence.
Exemples :

• chatbots qui doivent indiquer clairement à l’utilisateur qu’il échange avec une IA ;
• génération de contenus qui doivent être identifiables comme générés par une IA (ex. deepfakes signalés).

4. Risque minimal

La plupart des usages quotidiens de l’IA entrent dans cette catégorie.
Exemples :

• filtres photos ou vidéos ;
• outils de productivité assistés par IA ;
• recommandations basiques de contenus ;
• beaucoup d’outils d’IA utilisés dans des fonctions internes, sans impact direct sur des droits fondamentaux.

Pour ces systèmes, l’IA Act ne crée pratiquement pas d’obligations supplémentaires.

Qui est concerné par l’IA Act ?

Trois grands types d’acteurs sont concernés :

• les fournisseurs de systèmes d’IA : ceux qui conçoivent, entraînent et mettent sur le marché des modèles ou des solutions IA ;
• les déployeurs ou utilisateurs professionnels : entreprises, administrations, organisations qui intègrent ou utilisent ces systèmes dans leurs processus ;
• les distributeurs, importateurs, intégrateurs : ceux qui revendent, intègrent ou adaptent des solutions pour des clients finaux.

Une PME qui utilise un outil d’IA pour trier des CV ou pour automatiser une partie de son service client peut donc entrer dans le champ de l’IA Act, même si elle n’est pas elle-même « éditeur de solution IA ».

Que doivent faire les entreprises, concrètement ?

Les obligations varient selon le niveau de risque, mais on peut résumer l’attendu en quelques étapes clés pour une entreprise utilisatrice d’IA :

1. Cartographier les systèmes d’IA utilisés : identifier où l’IA est présente (logiciels, outils, automatisations, modèles intégrés…).
2. Évaluer le niveau de risque : déterminer si les systèmes utilisés entrent dans la catégorie « haut risque » ou non.
3. Documenter : garder une trace des systèmes, de leurs finalités, des données utilisées et des décisions qu’ils influencent.
4. Mettre en place une supervision humaine : pour les cas sensibles, s’assurer que l’humain garde la main sur les décisions importantes.
5. Informer les utilisateurs : signaler lorsqu’ils interagissent avec un système d’IA ou lorsqu’un contenu est généré par IA, quand c’est requis.
6. Surveiller et améliorer : suivre les performances, détecter les dérives, corriger si nécessaire.

Pour beaucoup d’entreprises, le premier travail consiste à « voir » réellement où se trouve l’IA dans leurs outils du quotidien.

IA Act et IA générative

Les modèles d’IA générative (comme ceux qui créent du texte, des images, du son ou de la vidéo) sont également concernés.

Deux niveaux principaux :

• les modèles à usage général (GPAI) : ceux utilisés comme base dans de nombreux services (par exemple les grands modèles de langage) ;
• les applications construites par-dessus : chatbots, générateurs de contenu, assistants métiers, etc.

L’IA Act impose notamment :

• des obligations de transparence et de documentation aux fournisseurs de modèles ;
• des obligations d’information aux entreprises qui utilisent l’IA générative, par exemple lorsque l’utilisateur final pourrait confondre un contenu généré avec un contenu « réel ».

Pour une entreprise utilisatrice, l’essentiel est de comprendre comment l’outil d’IA est intégré dans le parcours utilisateur et s’il influence une décision susceptible d’avoir un impact important.

Exemples concrets d’impact de l’IA Act

Recrutement et RH

Une entreprise qui utilise un système d’IA pour pré-qualifier des candidatures, classer des CV ou analyser des entretiens vidéo peut entrer dans la catégorie « haut risque ».
Elle devra documenter le fonctionnement du système, garder une supervision humaine, et être capable d’expliquer pourquoi un profil a été retenu ou écarté.

Accès au crédit ou à un logement

Un modèle d’IA qui influence l’octroi ou le refus d’un prêt, ou l’attribution d’un logement, sera fortement encadré :
qualité des données, évaluation des biais, traçabilité des décisions, droits des personnes concernées.

Chatbot de service client

Un chatbot de premier niveau, qui répond à des questions courantes, sera plutôt classé en risque limité.
L’obligation principale : informer clairement l’utilisateur qu’il parle à une IA, et non à un humain.

Marketing et contenus générés par IA

Un outil qui génère des textes ou des visuels pour une campagne marketing sera en général considéré comme faible à moyen risque.
L’entreprise devra surtout faire attention à la transparence, au respect des droits d’auteur, à la cohérence avec son image de marque et, dans certains cas, au risque de désinformation.

À retenir

L’IA Act est au cœur de la régulation de l’intelligence artificielle en Europe.
Il ne vise pas à freiner l’innovation, mais à poser des garde-fous clairs autour des usages les plus sensibles.

En pratique :

• la plupart des usages courants de l’IA resteront possibles ;
• les systèmes à haut risque seront davantage documentés, supervisés et audités ;
• certaines pratiques jugées dangereuses sont interdites ;
• les entreprises doivent apprendre à identifier là où l’IA intervient vraiment dans leurs processus.

FAQ liée à l’IA Act

L’IA Act interdit-il l’intelligence artificielle en Europe ?

Non. L’IA Act n’interdit pas l’IA, il encadre ses usages. Seuls certains systèmes jugés à « risque inacceptable » sont bannis.
La grande majorité des usages restent possibles, dans un cadre plus clair.

Quand l’IA Act s’applique-t-il réellement aux entreprises ?

La loi est déjà entrée en vigueur, mais ses obligations sont mises en œuvre progressivement entre 2025 et 2026, avec certains dispositifs prolongés jusqu’en 2027 pour les systèmes à haut risque.
Pour les entreprises, c’est dès maintenant qu’il faut se préparer.

Une PME qui utilise des outils d’IA standard est-elle concernée ?

Oui, mais de manière proportionnée. Une PME qui utilise un chatbot ou un outil d’IA générative pour produire du contenu est bien moins exposée qu’un groupe qui utilise l’IA pour recruter, accorder des crédits ou gérer des infrastructures critiques.

Quelle est la différence entre IA Act et RGPD ?

Le RGPD encadre le traitement des données personnelles.
L’IA Act encadre les systèmes d’IA eux-mêmes et leurs usages.
Les deux règlements peuvent s’appliquer en parallèle : une IA qui traite des données personnelles doit respecter le RGPD et l’IA Act.

Comment savoir si un système d’IA utilisé dans mon entreprise est « à haut risque » ?

Il faut regarder son impact : influence-t-il une décision importante pour une personne (emploi, crédit, santé, éducation, justice, accès à un service public, sécurité, etc.) ?
Si oui, il est probable qu’il entre dans la catégorie « haut risque » et qu’il soit soumis à des obligations renforcées.