Conformitéaurèglementeuropéensurl'IA:le2août2026,lesamendesGPAIs'appliquent

Le règlement européen sur l'IA (EU AI Act, règlement (UE) 2024/1689) est la première réglementation intégrale de l'intelligence artificielle au monde. Entré en vigueur le 1er août 2024, il s'applique de manière échelonnée : 2 février 2025 (alphabétisation IA + pratiques interdites), 2 août 2025 (obligations GPAI + gouvernance), 2 août 2026 (IA à haut risque de l'Annexe III et amendes contre les fournisseurs GPAI), et 2 août 2027 (haut risque intégré dans les produits de l'Annexe I). Il s'applique à toute organisation qui fournit ou utilise l'IA sur le marché de l'UE.

Il s'applique à toute organisation qui développe, fournit ou utilise des systèmes d'IA sur le marché de l'UE, qu'elle soit ou non basée en Europe. Il ne distingue ni par secteur ni par taille : une PME utilisant un chatbot, une banque faisant du scoring de crédit ou une entreprise américaine avec des clients européens sont toutes concernées. Les obligations concrètes varient selon votre rôle (fournisseur ou déployeur) et le niveau de risque du système, mais l'alphabétisation IA (Art. 4) est transversale à presque toutes.

Les exigences complètes pour les systèmes IA à haut risque de l'Annexe III s'appliquent : gestion des risques, qualité des données, documentation technique, supervision humaine et robustesse. Le même jour, les amendes contre les fournisseurs de modèles GPAI deviennent applicables ; leurs obligations s'appliquent depuis le 2 août 2025. Pour l'IA à haut risque intégrée dans les produits réglementés de l'Annexe I, l'échéance est le 2 août 2027.

Les amendes dépassent celles du RGPD : jusqu'à 35M€ ou 7 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu) pour les pratiques interdites. Pour la plupart des autres infractions, y compris les obligations de haut risque et de fournisseur GPAI : jusqu'à 15M€ ou 3 %. Pour la fourniture d'informations incorrectes ou trompeuses aux autorités : jusqu'à 7,5M€ ou 1 %. Pour les PME et start-ups, c'est le montant le plus bas des deux qui s'applique.

C'est un système d'IA qui, selon l'Annexe III, peut affecter la sécurité ou les droits fondamentaux des personnes. Cela inclut l'IA en recrutement et gestion RH (filtrage de CVs, évaluation de performance), le scoring de crédit et d'assurances, l'administration de la justice, le contrôle aux frontières, les infrastructures critiques, l'éducation (admissions, évaluations), et la santé (diagnostic, triage). Si votre IA influence des décisions affectant les droits des personnes, elle est probablement à haut risque.

Un modèle d'IA à usage général (GPAI) est un modèle entraîné à grande échelle qui sert à de nombreuses tâches différentes, comme GPT, Claude ou Gemini. Ses fournisseurs ont des obligations depuis le 2 août 2025 (documentation technique, transparence, conformité copyright), et les amendes associées deviennent applicables le 2 août 2026. Si votre entreprise intègre l'un de ces modèles via API, vous êtes déployeur et avez vos propres obligations, même si vous n'êtes pas le fournisseur du modèle.

Même si vous ne faites qu'utiliser de l'IA de tiers (ChatGPT, Copilot, un chatbot, un outil RH), vous êtes déployeur et avez déjà des obligations. Depuis le 2 février 2025, vous devez garantir l'alphabétisation IA de votre équipe (Art. 4) et ne pas utiliser de pratiques interdites. Si le système est à haut risque, vous ajoutez supervision humaine, transparence et évaluation d'impact. Ces obligations ne peuvent pas être déléguées au fournisseur du modèle. Vérifiez en deux minutes lesquelles vous concernent avec notre autodiagnostic du règlement IA.

C'est l'obligation, en vigueur depuis le 2 février 2025, pour toute organisation qui utilise ou supervise des systèmes d'IA de garantir que son personnel a des connaissances suffisantes sur l'IA : ce qu'elle est, comment elle fonctionne, ses risques et son usage responsable. Une présentation générique ne suffit pas : elle doit être adaptée au rôle de chaque personne et documentée. C'est la première obligation qui concerne pratiquement toute entreprise, qu'elle développe de l'IA ou non.

Commencez par savoir ce que vous avez : notre autodiagnostic du règlement IA vous situe en deux minutes, gratuitement. Pour l'inventaire complet, notre Diagnostic de conformité IA inventorie tous vos systèmes d'IA, les classe par niveau de risque (Annexe III), détecte les écarts face au règlement et vous livre un plan d'action priorisé en 2-3 semaines. À partir de là, vous savez exactement quoi faire et dans quel ordre, sans dépenser prématurément. Si vous voulez approfondir l'architecture, nous l'accompagnons de conseil en IA.

Nous avons publié un guide complet du règlement européen sur l'IA pour les entreprises avec le calendrier d'application, les niveaux de risque, les obligations par rôle et les étapes concrètes pour vous préparer. Si vous préférez une lecture appliquée à votre cas, le Diagnostic de conformité IA vous donne l'état réel de votre organisation face au règlement.