Conformité au règlement européen sur l'IA : amendes GPAI en vigueur, haut risque dès décembre 2027

Le règlement européen sur l'IA (EU AI Act, règlement (UE) 2024/1689) est la première réglementation complète de l'intelligence artificielle au monde. Entré en vigueur le 1er août 2024, il s'applique par étapes : 2 février 2025 (alphabétisation IA et pratiques interdites), 2 août 2025 (obligations GPAI et gouvernance), 2 août 2026 (application générale, transparence et amendes contre les fournisseurs GPAI), 2 décembre 2027 (IA à haut risque de l'Annexe III) et 2 août 2028 (haut risque intégré dans les produits de l'Annexe I). Ces deux dernières dates ont été fixées par le règlement (UE) 2026/1744. Il s'applique à toute organisation qui fournit ou utilise de l'IA sur le marché de l'UE.

Il s'applique à toute organisation qui développe, fournit ou utilise des systèmes d'IA sur le marché de l'UE, qu'elle soit ou non basée en Europe. Il ne distingue ni par secteur ni par taille : une PME utilisant un chatbot, une banque faisant du scoring de crédit ou une entreprise américaine avec des clients européens sont toutes concernées. Les obligations concrètes varient selon votre rôle (fournisseur ou déployeur) et le niveau de risque du système, mais l'alphabétisation IA (Art. 4) est transversale à presque toutes.

Le 2 août 2026, les amendes contre les fournisseurs de modèles GPAI sont devenues applicables (leurs obligations s'appliquent depuis le 2 août 2025), tout comme les obligations de transparence de l'Art. 50, par exemple indiquer que l'on parle à une IA. Les exigences pour l'IA à haut risque de l'Annexe III (gestion des risques, qualité des données, documentation technique, supervision humaine et robustesse), prévues à cette date, ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744. L'IA à haut risque intégrée dans les produits de l'Annexe I passe au 2 août 2028.

Les amendes dépassent celles du RGPD : jusqu'à 35M€ ou 7 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu) pour les pratiques interdites. Pour la plupart des autres infractions, y compris les obligations de haut risque et de fournisseur GPAI : jusqu'à 15M€ ou 3 %. Pour la fourniture d'informations incorrectes ou trompeuses aux autorités : jusqu'à 7,5M€ ou 1 %. Pour les PME et start-ups, c'est le montant le plus bas des deux qui s'applique.

C'est un système d'IA qui, selon l'Annexe III, peut affecter la sécurité ou les droits fondamentaux des personnes. Cela inclut l'IA en recrutement et gestion RH (filtrage de CVs, évaluation de performance), le scoring de crédit et d'assurances, l'administration de la justice, le contrôle aux frontières, les infrastructures critiques, l'éducation (admissions, évaluations), et la santé (diagnostic, triage). Si votre IA influence des décisions affectant les droits des personnes, elle est probablement à haut risque.

Un modèle d'IA à usage général (GPAI) est un modèle entraîné à grande échelle qui sert à de nombreuses tâches différentes, comme GPT, Claude ou Gemini. Ses fournisseurs ont des obligations depuis le 2 août 2025 (documentation technique, transparence, conformité copyright), et les amendes associées s'appliquent depuis le 2 août 2026. Si votre entreprise intègre l'un de ces modèles via API, vous êtes déployeur et avez vos propres obligations, même si vous n'êtes pas le fournisseur du modèle.

Même si vous ne faites qu'utiliser de l'IA de tiers (ChatGPT, Copilot, un chatbot, un outil RH), vous êtes déployeur et avez déjà des obligations. Depuis le 2 février 2025, vous devez prendre des mesures d'alphabétisation IA pour votre équipe (Art. 4) et ne pas utiliser de pratiques interdites. Si le système est à haut risque, vous ajoutez supervision humaine, transparence et évaluation d'impact. Ces obligations ne peuvent pas être déléguées au fournisseur du modèle. Vérifiez en deux minutes lesquelles vous concernent avec notre autodiagnostic du règlement IA.

C'est l'obligation, en vigueur depuis le 2 février 2025, pour toute organisation qui utilise ou supervise des systèmes d'IA, de prendre des mesures pour que son personnel comprenne l'IA : ce qu'elle est, comment elle fonctionne, ses risques et son usage responsable. Depuis le règlement (UE) 2026/1744, c'est une obligation de moyens : elle n'exige pas un niveau précis pour chaque personne ni de documentation. Nous recommandons tout de même d'adapter la formation au rôle et d'en garder une trace pour pouvoir la justifier. C'est la première obligation qui concerne pratiquement toute entreprise, qu'elle développe de l'IA ou non.

Commencez par savoir ce que vous avez : notre autodiagnostic du règlement IA vous situe en deux minutes, gratuitement. Pour l'inventaire complet, notre Diagnostic de conformité IA inventorie tous vos systèmes d'IA, les classe par niveau de risque selon le règlement, détecte les écarts face au règlement et vous livre un plan d'action priorisé en 2-3 semaines. À partir de là, vous savez exactement quoi faire et dans quel ordre, sans dépenser prématurément. Si vous voulez approfondir l'architecture, nous l'accompagnons de conseil en IA.

Cette page présente le calendrier à jour, avec les dates du règlement (UE) 2026/1744, et les liens vers les textes officiels sur EUR-Lex. Pour savoir quelles obligations vous concernent, faites notre autodiagnostic du règlement IA : dix questions et un résultat indicatif. Si vous préférez une lecture appliquée à votre cas, le Diagnostic de conformité IA vous donne l'état réel de votre organisation face au règlement.