L’AI Act n’est plus un dossier à laisser dormir dans un coin du bureau, entre la charte informatique de 2014 et le mug « I love Excel ». Le règlement européen sur l’intelligence artificielle s’applique progressivement, avec des obligations déjà actives et d’autres repoussées à décembre 2027 pour les systèmes d’IA à haut risque.
Le calendrier a de quoi donner le tournis. Certaines règles sont en vigueur depuis février 2025, de nouvelles exigences de transparence s’appliquent depuis le 2 août 2026, tandis que les obligations les plus structurantes pour les IA à haut risque arriveront le 2 décembre 2027. Ce report ne doit pas être interprété comme un feu vert pour attendre tranquillement. Au contraire, les entreprises ont tout intérêt à organiser leur gouvernance de l’IA dès maintenant.
Voici les 7 règles AI Act à respecter aujourd’hui, les 2 grandes obligations qui se profilent, et surtout les actions concrètes à lancer avant que la conformité ne devienne un sport de combat.
AI Act : pourquoi le règlement concerne bien plus d’entreprises qu’on ne le croit
L’AI Act vise à encadrer les usages de l’intelligence artificielle sur le marché européen selon leur niveau de risque. Il ne concerne pas seulement les géants qui entraînent des modèles de langage géants. Une PME qui utilise un chatbot pour répondre à ses clients, une direction RH qui teste un outil de tri de CV ou une équipe marketing qui publie des visuels générés par IA peut être concernée.
Le règlement distingue notamment les pratiques interdites, les systèmes à haut risque et les systèmes soumis à des règles de transparence. Dans les faits, l’enjeu est simple : une entreprise doit savoir quels outils d’IA elle utilise, à quoi ils servent, quelles données ils traitent et qui garde le dernier mot lorsque l’outil propose une décision.
Ce dernier point est crucial. L’IA peut être rapide, impressionnante et très convaincante, y compris lorsqu’elle se trompe avec une assurance digne d’un candidat à une émission de quiz. L’AI Act cherche donc à préserver des garde-fous humains, une traçabilité et une information claire des personnes concernées.
Les 3 premières règles AI Act déjà applicables depuis 2025
Depuis le 2 février 2025, un premier ensemble d’obligations s’impose aux organisations qui utilisent ou développent des systèmes d’IA.
1. Assurer un niveau suffisant de maîtrise de l’IA
La première obligation est souvent sous-estimée : les entreprises doivent veiller à l’AI literacy, autrement dit à un niveau de maîtrise suffisant de l’IA chez les collaborateurs qui l’utilisent.
Il ne s’agit pas de transformer chaque salarié en ingénieur machine learning. En revanche, une personne qui utilise un assistant conversationnel, un générateur de texte ou un agent automatisé doit comprendre les principaux risques liés à cet usage : erreurs factuelles, hallucinations, confidentialité, biais, droits d’auteur, sécurité ou encore décisions inadaptées.
Une sensibilisation pertinente doit être adaptée aux métiers. Les équipes RH doivent connaître les risques de discrimination dans le recrutement. Les équipes commerciales doivent savoir ce qu’elles peuvent transmettre à un outil d’IA externe. Les communicants doivent maîtriser les règles d’étiquetage des contenus générés. Une formation unique de vingt minutes pour tout le monde sera rarement suffisante, même avec de très jolies diapositives.
2. Bannir les pratiques de manipulation et d’exploitation des vulnérabilités
L’AI Act interdit les systèmes recourant à des techniques subliminales, manipulatrices ou trompeuses susceptibles d’altérer de manière significative le comportement d’une personne et de lui causer un préjudice.
Sont également interdites les IA qui exploitent les vulnérabilités liées à l’âge, au handicap ou à une situation sociale ou économique particulière. Le message est clair : l’IA ne doit pas devenir une machine à pousser des publics fragiles vers des décisions qu’ils n’auraient pas prises autrement.
Le scoring social est aussi proscrit. Une organisation ne peut pas établir une note globale de fiabilité d’une personne à partir de son comportement social ou de caractéristiques personnelles, puis lui appliquer un traitement défavorable ou disproportionné. Le scénario de science-fiction reste donc au placard, ce qui est plutôt rassurant pour tout le monde.
3. Éviter les usages biométriques et prédictifs interdits
Le règlement interdit aussi plusieurs pratiques particulièrement sensibles. Cela inclut le profilage destiné à prédire qu’une personne pourrait commettre une infraction sur la seule base de ses données ou de son profil.
Autres interdictions majeures : constituer des bases de données de reconnaissance faciale à partir d’une collecte massive et non ciblée d’images, catégoriser des individus à partir de données biométriques sensibles ou analyser les émotions au travail et dans les établissements scolaires.
La reconnaissance des émotions d’un salarié pendant une réunion ou d’un étudiant pendant un examen peut sembler sortir d’un mauvais épisode de série dystopique. Pourtant, des outils existent. L’AI Act rappelle fermement que ces usages n’ont pas leur place dans les organisations concernées.
L’identification biométrique à distance et en temps réel dans l’espace public est elle aussi interdite par principe, avec des exceptions très strictes réservées aux forces de l’ordre.
Depuis août 2026, la transparence n’est plus une option
Le 2 août 2026 a marqué une nouvelle étape de l’AI Act. Même si une partie des obligations relatives aux systèmes à haut risque a été décalée, les règles de transparence IA sont désormais centrales pour de nombreux acteurs.
4. Dire clairement à l’utilisateur qu’il parle à une IA
Lorsqu’une personne interagit directement avec un chatbot, un assistant virtuel ou un agent de service client, elle doit être informée qu’elle échange avec une intelligence artificielle.
Cette information doit être claire, compréhensible et visible au bon moment. Un discret lien caché dans les conditions générales ne suffit pas. Un message simple du type « Vous échangez avec un assistant IA » répond davantage à l’esprit du texte.
Cette règle concerne les chatbots installés sur un site e-commerce, les assistants de support client, certains outils conversationnels utilisés dans une application ou encore les agents vocaux automatisés. L’objectif n’est pas de diaboliser les bots, mais d’éviter qu’ils jouent à cache-cache avec les utilisateurs.
5. Rendre les contenus générés par IA détectables techniquement
Les fournisseurs de systèmes génératifs doivent faire en sorte que les contenus produits par leurs outils soient détectables comme générés par IA. Cela vaut pour les textes, les images, les vidéos et les contenus audio.
Cette détection repose sur un marquage lisible par machine : métadonnées, filigrane technique, signature de provenance ou autre mécanisme équivalent. Le marquage n’a pas besoin d’être visible à l’œil nu, mais il doit permettre à des systèmes automatisés d’identifier l’origine artificielle du contenu.
Une période d’adaptation existe jusqu’au 2 décembre 2026 pour les modèles déjà commercialisés avant le 2 août 2026. Les entreprises qui développent ou fournissent des outils d’IA générative doivent néanmoins se préparer sans tarder. Le watermark technique n’est pas très glamour, mais il risque de devenir le nouveau badge d’accès des contenus numériques.
6. Signaler visiblement les deepfakes
La transparence ne s’arrête pas au marquage invisible. Lorsqu’une entreprise diffuse un deepfake, elle doit l’indiquer de manière claire et directement associée au contenu.
Un deepfake peut être une image, une vidéo ou un enregistrement audio créé ou modifié par IA afin de représenter de façon trompeuse une personne ou un événement réel. Faire parler une personnalité dans une publicité, modifier le visage d’un intervenant dans une vidéo ou simuler une voix entre dans cette zone à risque.
Le public doit pouvoir comprendre immédiatement que le contenu a été généré ou modifié par intelligence artificielle. L’information ne doit pas apparaître après trois clics, en police minuscule ou dans une couleur qui se confond miraculeusement avec l’arrière-plan.
7. Étiqueter certains textes d’information générés par IA
Les textes générés par IA et publiés pour informer le public sur des sujets d’intérêt général doivent également être signalés, sauf lorsqu’ils ont été soumis à un contrôle éditorial humain avec une personne ou une organisation qui assume la responsabilité de leur publication.
Cette nuance est importante pour les médias, les entreprises, les administrations et les organisations qui publient régulièrement du contenu. Utiliser l’IA pour préparer une première version n’est pas interdit. En revanche, il faut une véritable relecture, une vérification des faits, des corrections et une responsabilité éditoriale clairement assumée pour bénéficier de l’exception.
L’IA peut aider à rédiger plus vite, mais elle ne remplace ni le jugement, ni la vérification, ni ce petit réflexe très humain qui consiste à se demander : « Est-ce que cette phrase est vraiment exacte ? »
Les 2 obligations AI Act qui arrivent en décembre 2027
Le calendrier applicable aux systèmes d’IA à haut risque a été repoussé au 2 décembre 2027. Ces systèmes concernent des domaines où l’IA peut avoir un impact direct sur la sécurité, les droits fondamentaux ou l’accès à des opportunités essentielles.
Sont notamment visés les usages dans la biométrie, les infrastructures critiques, l’éducation, le recrutement, la gestion des salariés, le crédit, la santé, les activités des forces de l’ordre, le contrôle aux frontières, la justice et les processus démocratiques.
Un logiciel qui trie des candidatures, évalue des salariés, surveille des examens ou contribue à une décision de crédit peut donc relever de cette catégorie.
1. Enregistrer les systèmes d’IA à haut risque
Les organisations devront déclarer les systèmes concernés dans une base de données européenne dédiée, qui reste à mettre en place. L’enregistrement permettra de rendre ces outils plus identifiables et de renforcer le suivi réglementaire.
Même si le registre n’est pas encore opérationnel, il faut anticiper les informations à fournir : finalité du système, entité responsable, catégorie de risque, contexte de déploiement et éléments de conformité. Attendre l’ouverture de la plateforme pour découvrir son parc d’IA serait une stratégie audacieuse. Pas forcément dans le bon sens.
2. Documenter, tester et superviser les décisions de l’IA
La seconde obligation est la plus structurante. Les entreprises devront documenter précisément le fonctionnement de leurs systèmes à haut risque : données utilisées, logique de fonctionnement, performances, limites connues, tests réalisés, biais détectés, interventions humaines possibles et mesures de surveillance.
Dans le recrutement, par exemple, l’entreprise devra démontrer que l’outil ne défavorise pas certains candidats en raison de critères discriminatoires. La décision finale devra rester sous supervision humaine. Dire que l’algorithme a choisi ne constituera pas une défense suffisante, même si l’algorithme a une très belle interface.
Cette exigence de preuve est le vrai changement. Les organisations ne devront pas seulement appliquer des principes responsables, elles devront être capables de montrer concrètement comment elles les appliquent.
La priorité : cartographier tous les usages de l’IA
La meilleure façon d’aborder l’AI Act consiste à lancer une cartographie des systèmes d’IA. L’objectif est d’identifier les outils officiellement déployés, mais aussi les usages plus discrets : assistants IA activés dans des suites bureautiques, outils utilisés par les équipes marketing, automatisations no-code, agents créés par des collaborateurs ou services SaaS intégrant des fonctions génératives.
Cette phase doit répondre à quelques questions simples : quel outil est utilisé, par qui, pour quelle finalité, avec quelles données, et avec quel niveau d’autonomie ? Une fois cette liste établie, les systèmes doivent être classés selon leur niveau de risque.
L’entreprise peut ensuite mettre en place une gouvernance pragmatique : règles d’achat des outils, processus de validation, formation des équipes, charte d’usage, référents IA, contrôle des accès aux données et procédures de remontée des incidents. Le but n’est pas de freiner l’innovation, mais d’éviter que chacun construise son petit laboratoire IA dans son coin sans aucune visibilité.
L’AI Act avance par étapes, mais son message est déjà limpide : l’intelligence artificielle doit rester utile, transparente et maîtrisée. Les entreprises qui commencent maintenant à former leurs équipes, cartographier leurs outils et documenter leurs usages auront une longueur d’avance lorsque les obligations de décembre 2027 deviendront pleinement applicables.
Source : AI Act : 7 règles déjà incontournables et 2 échéances que les entreprises ne peuvent plus ignorer
