Le Règlement (UE) 2024/1689, plus connu sous le nom d'IA Act, constitue le premier cadre juridique complet au monde dédié à l'intelligence artificielle. Adopté par le Parlement européen et entré en vigueur le 1er août 2024, il s'applique progressivement à toutes les entreprises qui développent, importent, distribuent ou utilisent des systèmes d'IA sur le territoire de l'Union européenne.
Son objectif est clair : garantir une IA digne de confiance, qui respecte les droits fondamentaux, la santé et la sécurité des citoyens européens. Pour les organisations françaises, qu'elles soient fournisseurs ou déployeurs de solutions d'IA, la mise en conformité n'est plus une option. Comprendre ce que le texte impose concrètement est devenu une priorité stratégique.
IA Act | obligations, calendrier et conformité entreprises
Temps de lecture : ~10 min
- Résumé en bref
- Qu'est-ce que l'IA Act et pourquoi a-t-il été adopté ?
- Quelles entreprises sont concernées par l'IA Act en France ?
- Les quatre niveaux de risque définis par l'IA Act
- Les modèles d'IA à usage général (GPAI)
- Le calendrier d'application de l'IA Act
- Quelles sanctions en cas de non-conformité à l'IA Act ?
- Comment se préparer à la conformité à l'IA Act ?
- Agir maintenant pour une IA responsable
- FAQ
Résumé en bref
- Qu'est-ce que l'IA Act ? Le premier règlement européen encadrant les systèmes d'IA selon leur niveau de risque, entré en vigueur en août 2024.
- Qui est concerné ? Toute entreprise qui fournit, déploie, importe ou distribue un système d'IA utilisé dans l'UE, y compris les acteurs établis hors de l'Union.
- Les niveaux de risque : Le règlement distingue quatre catégories : pratiques interdites, haut risque, risque limité et risque minimal.
- Le calendrier d'application : Une entrée en vigueur progressive, avec des échéances en 2025, 2026 et jusqu'en 2027-2028 selon les catégories.
- Les sanctions : Des amendes pouvant atteindre 7 % du chiffre d'affaires annuel mondial en cas d'infraction grave.
- Comment se préparer ? Cartographier ses usages IA, évaluer les niveaux de risque et structurer une gouvernance de l'IA interne.
Qu'est-ce que l'IA Act et pourquoi a-t-il été adopté ?
Un cadre européen fondé sur le risque
L'IA Act est un règlement européen directement applicable dans tous les États membres, sans nécessiter de transposition nationale. Il a été conçu pour répondre à une réalité nouvelle : la diffusion rapide des systèmes d'intelligence artificielle dans des domaines sensibles comme la santé, l'emploi, l'éducation, la justice ou encore le contrôle aux frontières.
Face à cette expansion, l'Union européenne a choisi une approche fondée sur le risque : les obligations imposées à une organisation dépendent directement du niveau de risque que présente le système d'IA concerné. La Commission européenne a voulu créer un environnement favorable à l'innovation tout en protégeant les droits fondamentaux des personnes.
Le Bureau européen de l'IA, aussi appelé AI Office, a été créé pour coordonner la mise en œuvre du règlement à l'échelle de l'Union. En France, la CNIL joue un rôle de surveillance dans les domaines qui relèvent de la protection des données personnelles, en lien avec les autorités de surveillance du marché compétentes.
Quelles entreprises sont concernées par l'IA Act en France ?
Les acteurs de la chaîne de valeur de l'IA
Le règlement distingue plusieurs rôles dans la chaîne de valeur IA, chacun portant des obligations spécifiques. Voici les principaux acteurs visés :
- Le fournisseur de système IA : toute personne physique ou morale qui développe un système d'IA et le met sur le marché ou en service, sous son propre nom ou sa propre marque.
- Le déployeur : toute organisation qui utilise un système d'IA dans le cadre d'une activité professionnelle, par exemple une PME qui intègre un outil d'IA dans son processus de recrutement ou de gestion RH.
- L'importateur : toute entreprise établie dans l'UE qui met sur le marché un système d'IA développé par un fournisseur établi hors de l'Union.
- Le distributeur : toute personne qui met à disposition un système d'IA sur le marché européen sans en être le fournisseur initial.
- Le mandataire : toute personne physique ou morale établie dans l'UE et mandatée par un fournisseur établi hors de l'UE pour agir en son nom.
Pour les DRH de PME et ETI, cela signifie concrètement que l'utilisation d'un outil de scoring de candidatures, d'un chatbot RH ou d'un système d'analyse du climat social basé sur l'IA peut vous placer dans la catégorie des déployeurs, avec des obligations de transparence et de contrôle humain à respecter. Pour aller plus loin sur l'articulation entre RH et intelligence artificielle, des analyses de terrain sont disponibles sur ce sujet.
Les quatre niveaux de risque définis par l'IA Act
Une classification graduée des systèmes d'IA
L'architecture du règlement repose entièrement sur une classification des systèmes d'IA selon leur niveau de risque potentiel pour la société. Le tableau ci-dessous synthétise les quatre catégories et leurs implications principales.
| Niveau de risque | Exemples de systèmes concernés | Régime applicable |
|---|---|---|
| Pratiques interdites (risque inacceptable) | Notation sociale généralisée, manipulation subliminale, reconnaissance biométrique en temps réel dans les espaces publics (sauf exceptions) | Interdiction totale, aucune dérogation possible pour les cas listés |
| Haut risque | IA dans le recrutement, la gestion RH, l'éducation, la santé, les infrastructures critiques, la justice, la migration | Obligations renforcées : documentation technique, évaluation de la conformité, marquage CE, registre européen des systèmes IA, supervision humaine |
| Risque limité | Chatbots, systèmes de génération de contenu, deepfakes | Obligations de transparence algorithmique : informer l'utilisateur qu'il interagit avec une IA |
| Risque minimal | Filtres anti-spam, IA dans les jeux vidéo, recommandations de contenu sans impact significatif | Pas d'obligation spécifique, application volontaire de codes de conduite |
La définition d'un système d'IA à haut risque est centrale dans le règlement. Un système est classé à haut risque s'il est utilisé dans l'un des domaines listés à l'annexe III du règlement, comme la sélection de candidats à l'embauche, l'évaluation des performances des salariés ou l'accès à des prestations sociales. Pour les entreprises qui utilisent des outils RH intégrant de l'IA, cette question mérite une analyse sérieuse.
Les modèles d'IA à usage général (GPAI)
L'IA Act introduit une catégorie spécifique pour les modèles d'IA à usage général, désignés par l'acronyme GPAI (General Purpose AI). Il s'agit de modèles comme les grands modèles de langage (LLM) qui peuvent être utilisés pour de très nombreuses tâches différentes.
Les fournisseurs de ces modèles sont soumis à des obligations de transparence, notamment la publication d'une documentation technique et le respect des règles sur le droit d'auteur. Lorsqu'un modèle GPAI présente un risque systémique avéré — par exemple en raison de sa puissance de calcul ou de son déploiement massif — des exigences supplémentaires s'appliquent, notamment une évaluation des risques et des obligations de signalement des incidents. Pour comprendre comment les grands modèles d'IA transforment le capital humain, des analyses contextuelles sont disponibles.
Le calendrier d'application de l'IA Act
L'application du règlement est progressive. Voici les grandes étapes à retenir pour les entreprises françaises.
| Échéance | Ce qui entre en application |
|---|---|
| 1er août 2024 | Entrée en vigueur du règlement |
| 2 février 2025 | Interdiction des pratiques d'IA à risque inacceptable ; premières obligations de formation pour les personnels utilisant des systèmes d'IA |
| 2 août 2025 | Application des règles relatives aux modèles GPAI et au Bureau européen de l'IA |
| 2 août 2026 | Application des obligations pour les systèmes d'IA à haut risque (hors annexe I) et pour les déployeurs de systèmes à risque limité |
| 2027-2028 | Application aux systèmes d'IA embarqués dans des produits réglementés (dispositifs médicaux, machines, véhicules) et certains systèmes d'IA à haut risque dans le secteur public |
Quelles sanctions en cas de non-conformité à l'IA Act ?
Le règlement prévoit un régime de sanctions graduées selon la gravité de l'infraction. Les montants sont calculés sur la base du chiffre d'affaires annuel mondial de l'entreprise concernée, avec des seuils planchers en millions d'euros pour les PME et des règles proportionnées pour éviter de pénaliser les petites structures de manière disproportionnée.
Les infractions les plus graves — c'est-à-dire l'utilisation de systèmes d'IA totalement interdits — peuvent entraîner une amende allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Le non-respect des obligations applicables aux systèmes à haut risque peut conduire à une amende de 15 millions d'euros ou 3 % du chiffre d'affaires. La fourniture d'informations inexactes aux autorités de surveillance du marché est passible d'une amende de 7,5 millions d'euros ou 1 % du chiffre d'affaires.
Ces montants confirment que la conformité à l'IA Act n'est pas un sujet à remettre à plus tard.
Comment se préparer à la conformité à l'IA Act ?
Structurer sa démarche de conformité à l'IA Act
La mise en conformité avec l'IA Act suppose une démarche structurée, qui commence par une cartographie précise des systèmes d'IA utilisés ou développés au sein de l'organisation. Cette étape permet d'identifier les cas d'usage concernés, d'évaluer leur niveau de risque selon la grille du règlement et de prioriser les actions à mener.
Plusieurs chantiers doivent ensuite être engagés en parallèle :
La documentation technique. Les fournisseurs de systèmes à haut risque doivent constituer un dossier technique complet, incluant la description du système, ses performances, ses données d'entraînement et ses limites connues.
La gouvernance de l'IA interne. Il s'agit de définir des rôles clairs, de former les équipes concernées et de mettre en place des procédures de contrôle humain sur les décisions automatisées. La norme ISO/IEC 42001, dédiée au management des systèmes d'IA, peut servir de référentiel utile pour structurer cette gouvernance.
L'évaluation de la conformité formelle. Pour les systèmes à haut risque, une évaluation est requise avant la mise sur le marché, pouvant inclure un audit par un organisme notifié et l'apposition du marquage CE.
Dans le domaine RH et managérial, les outils d'analyse du climat social et des dynamiques organisationnelles pilotés par des algorithmes sont directement concernés par ces exigences. Chez LeDIAG, notre approche repose sur la transparence des méthodes et la lisibilité des résultats, deux principes qui s'alignent naturellement avec les exigences de transparence algorithmique posées par le règlement. Vous pouvez consulter notre page dédiée aux experts et consultants partenaires pour comprendre comment nous accompagnons les organisations dans leur démarche de diagnostic managérial et digital.
La Direction interministérielle du numérique (DINUM) et la CNIL publient régulièrement des guides pratiques pour aider les organisations françaises à s'orienter dans ce nouveau cadre réglementaire. Il est conseillé de les consulter régulièrement, car les lignes directrices du Bureau européen de l'IA sont amenées à évoluer au fil des mois.
Agir maintenant pour une IA responsable
L'IA Act représente un tournant majeur dans la manière dont les entreprises européennes doivent concevoir, déployer et superviser leurs systèmes d'intelligence artificielle. Avec une application progressive mais désormais bien engagée, et des sanctions significatives en cas de manquement, les organisations françaises n'ont plus le luxe de l'attentisme.
La priorité est d'abord de comprendre où se situent les usages d'IA existants dans la grille de risque du règlement, puis de structurer une gouvernance interne adaptée. Pour les DRH, les dirigeants et les responsables QVCT, cette démarche rejoint directement les enjeux de pilotage humain, de transparence et de confiance que nous plaçons au cœur du diagnostic managérial et digital.
FAQ
L'IA Act s'applique-t-il aux petites entreprises qui n'utilisent pas directement l'IA mais dont les fournisseurs de logiciels intègrent de l'IA ?
Oui, une entreprise qui utilise un logiciel intégrant de l'IA dans un processus professionnel est considérée comme déployeur au sens du règlement. Elle a des obligations de vérification : notamment s'assurer que le fournisseur lui transmet les informations nécessaires à une utilisation conforme et que des mécanismes de contrôle humain sont en place.
Qu'est-ce que le registre européen des systèmes d'IA ?
Il s'agit d'une base de données publique gérée par la Commission européenne dans laquelle les fournisseurs de systèmes d'IA à haut risque doivent enregistrer leurs produits avant leur mise sur le marché. Ce registre vise à renforcer la transparence et à permettre aux autorités de surveillance de suivre les systèmes en circulation.
Un outil de diagnostic RH ou de mesure du climat social est-il considéré comme un système d'IA à haut risque ?
Cela dépend de la manière dont l'outil fonctionne et de l'usage qui en est fait. Si l'outil utilise des composantes d'IA pour évaluer les performances des salariés ou influencer des décisions d'emploi, il peut relever de la catégorie haut risque au titre de l'annexe III du règlement. Un outil de mesure du climat social qui produit des indicateurs agrégés sans décision automatisée individuelle est généralement moins exposé, mais une analyse au cas par cas reste nécessaire.
Qu'est-ce qu'un bac à sable réglementaire dans le contexte de l'IA Act ?
Un bac à sable réglementaire est un environnement contrôlé, mis en place par les autorités nationales compétentes, dans lequel les entreprises peuvent tester leurs systèmes d'IA innovants pendant une période limitée, avant leur mise sur le marché, avec un accompagnement des régulateurs. Ce dispositif est particulièrement accessible aux PME et aux start-up.
La norme ISO/IEC 42001 est-elle obligatoire pour se conformer à l'IA Act ?
Non, la norme ISO/IEC 42001 n'est pas rendue obligatoire par le règlement. Elle constitue cependant un référentiel reconnu pour structurer un système de management de l'IA et peut faciliter la démonstration de conformité aux exigences du règlement, notamment en matière de gouvernance et de documentation.
Quel est le rôle de la CNIL dans l'application de l'IA Act en France ?
La CNIL est désignée comme l'une des autorités de surveillance du marché compétentes en France pour les systèmes d'IA qui traitent des données personnelles, en coordination avec d'autres autorités sectorielles. Elle peut mener des contrôles, émettre des recommandations et, le cas échéant, prononcer des sanctions en lien avec les autorités européennes.