Qu'est-ce que l'IA Act ?

L'IA Act (« AI Act ») est le règlement (UE) 2024/1689, adopté le 13 juin 2024 et entré en vigueur le 1er août 2024. C'est le premier cadre juridique complet au monde consacré à l'intelligence artificielle. Il classe les systèmes d'IA selon leur niveau de risque.

Une approche par les risques (4 niveaux)

• Risque inacceptable — INTERDIT : notation sociale, manipulation subliminale, exploitation des personnes vulnérables, moissonnage massif d'images de visages, reconnaissance des émotions au travail et à l'école, certaines identifications biométriques… (exceptions très encadrées).
• Haut risque : IA utilisée dans les infrastructures critiques, l'éducation, l'emploi/RH, l'accès aux services essentiels, la justice, la police, la migration ou la biométrie. Obligations fortes : gestion des risques, qualité des données, documentation, transparence, contrôle humain, robustesse, marquage CE.
• Risque limité — transparence : les chatbots, deepfakes et contenus générés par IA doivent être signalés comme tels.
• Risque minimal : la grande majorité des usages (filtres anti-spam, jeux…) — aucune obligation spécifique.

Modèles d'IA à usage général (GPAI)

Les grands modèles (type IA générative) ont des obligations de transparence, de documentation technique et de respect du droit d'auteur. Les modèles présentant un « risque systémique » sont soumis à des exigences renforcées (évaluation, sécurité, signalement d'incidents).

Calendrier d'application

• Février 2025 : entrée en application des pratiques interdites.
• Août 2025 : obligations pour les modèles à usage général.
• 2 août 2026 : application générale du règlement. C'est la date charnière : l'essentiel du texte s'applique désormais, et chaque État membre doit disposer d'un « bac à sable » réglementaire opérationnel.
• 2 décembre 2027 : obligations des systèmes à haut risque autonomes (biométrie, éducation, emploi, accès aux services essentiels, justice…). Échéance repoussée par le « Digital Omnibus », adopté par le Parlement européen le 16 juin 2026 et validé par le Conseil le 29 juin 2026.
• 2 août 2028 : obligations de l'IA intégrée à des produits déjà réglementés (machines, jouets, dispositifs médicaux…), également repoussées par le même texte.

Ce que ça change pour vous

Le règlement vise d’abord ceux qui fabriquent et ceux qui déploient des systèmes d’IA. Mais trois effets sont directement visibles quand on utilise une IA :

• On doit vous dire que vous parlez à une machine. Un agent conversationnel doit être identifiable comme tel — vous n’avez pas à le deviner.
• Les contenus générés doivent être signalés. Images, sons et vidéos produits ou modifiés par une IA doivent être marqués comme tels, ce qui vise en premier lieu les deepfakes.
• Certaines pratiques sont purement interdites, quel que soit le consentement obtenu : la notation sociale, la manipulation subliminale, l’exploitation des personnes vulnérables, ou la reconnaissance des émotions au travail et à l’école.

Si vous utilisez l’IA dans une activité professionnelle, vous êtes un « déployeur ». Pour la très grande majorité des usages courants — rédiger, résumer, traduire, générer une image — vous relevez du risque minimal ou limité : aucune démarche particulière, seulement l’obligation de transparence ci-dessus. Les obligations lourdes ne s’appliquent qu’aux usages listés comme à haut risque : recrutement, éducation, crédit, santé, police, justice.

Un point mérite l’attention des employeurs : le règlement demande que les personnes qui utilisent ces systèmes disposent d’un niveau suffisant de maîtrise de l’IA. Autrement dit, former ceux qui s’en servent fait partie du cadre — ce n’est pas seulement une bonne pratique. Voir se former à l’IA.

Enfin, si votre sujet est sensible, la façon la plus simple de réduire le problème est de ne rien envoyer à l’extérieur : voir l’IA en local.

Sanctions

Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites. La surveillance est assurée par le Bureau européen de l'IA (AI Office) et les autorités nationales.

Lien avec le RGPD

L'IA Act encadre les systèmes d'IA ; le RGPD protège les données personnelles. Un système d'IA qui traite des données personnelles doit respecter les deux textes.

📄 Télécharger le texte officiel (PDF EUR-Lex)

Résumé pédagogique à but informatif, non contractuel. Seul le texte officiel fait foi ; pour la France, voir aussi la CNIL.