Qu'est-ce que l'AI Act ? Définition et enjeux pour l'entreprise

Entrée en vigueur juridique le 1er août 2024, application progressive. Les interdictions (risque inacceptable) s'appliquent depuis le 2 février 2025. Les obligations pour les modèles de fondation (GPAI) depuis le 2 août 2025. Le gros du texte, y compris les systèmes haut risque, s'applique à partir du 2 août 2026. Les systèmes haut risque intégrés dans des produits déjà régulés (dispositifs médicaux, jouets…) ont jusqu'au 2 août 2027.

Trois niveaux, chacun exprimé comme le montant le plus élevé entre une somme fixe et un pourcentage du chiffre d'affaires mondial : 35 M€ ou 7 % pour l'usage de systèmes interdits, 15 M€ ou 3 % pour les violations d'obligations sur les systèmes haut risque ou les GPAI, 7,5 M€ ou 1 % pour la fourniture d'informations inexactes aux autorités. Les PME et start-ups bénéficient de plafonds réduits proportionnels.

Oui. L'AI Act s'applique dès qu'un système d'IA est mis sur le marché ou utilisé dans l'UE, quel que soit le pays du fournisseur. En tant qu'entreprise européenne « déployeur », vous êtes responsable des obligations qui vous incombent (transparence, supervision humaine, information des personnes) même si l'IA vient d'OpenAI, Google ou Alibaba. Vos contrats doivent d'ailleurs prévoir les garanties nécessaires.

Le RGPD encadre le traitement des données personnelles (finalité, base légale, information des personnes). L'AI Act encadre les systèmes d'IA eux-mêmes (classification par risque, obligations de conception, transparence sur l'IA). Les deux textes s'appliquent en parallèle : un système d'IA qui traite des données personnelles doit respecter les deux. En pratique, ils se complètent — le RGPD n'a jamais suffi à répondre aux risques spécifiques de l'IA générative.

L'annexe III de l'AI Act liste les usages haut risque : biométrie, infrastructures critiques, éducation, emploi et RH (dont filtrage de CV, notation salariés), accès aux services essentiels (crédit, assurance, aides sociales), forces de l'ordre, migration et asile, justice, processus démocratique. Si votre cas d'usage tombe dans une de ces catégories — ou si votre système d'IA est un composant de sécurité d'un produit déjà régulé — vous êtes en haut risque.

Oui, huit pratiques sont interdites (article 5) : scoring social par les autorités publiques, manipulation subliminale, exploitation de vulnérabilités des personnes, reconnaissance émotionnelle sur le lieu de travail ou en établissement scolaire, catégorisation biométrique par traits sensibles (origine, orientation), extraction non ciblée de visages depuis internet ou vidéosurveillance, prédiction d'infractions basée uniquement sur le profilage, biométrie temps réel dans l'espace public (avec exceptions étroites pour les forces de l'ordre).