Loi européenne sur l’IA : tout ce que les entreprises doivent savoir dès maintenant

La loi européenne sur l’IA n’est plus une question d’avenir. Les premières obligations s’appliquent déjà, d’autres suivront selon un calendrier échelonné. Pour les entreprises, ce n’est pas seulement qu’elles développent elles-mêmes l’IA qui compte. Toute personne utilisant des chatbots, la gestion des candidatures, des générateurs d’images, des modèles de prévision ou des fonctions d’IA dans un logiciel standard peut également être enregistrée en tant que fournisseur, opérateur, importateur ou revendeur.

Ce guide explique le statut juridique actuel après les adaptations décidées en 2026, classe les classes de risques et montre quelles mesures les entreprises doivent désormais mettre en pratique dans la pratique. Il ne remplace pas les conseils juridiques, mais fournit une base fiable pour l’inventaire, l’évaluation des risques et les responsabilités internes.

Le plus important en bref

La loi européenne sur l’IA ne s’applique pas uniquement aux développeurs d’IA. Cela affecte également les entreprises qui utilisent les systèmes d’IA à des fins professionnelles.
Depuis lors, l’interdiction de certaines pratiques d’IA et l’obligation de disposer de compétences appropriées en IA sont en vigueur.2 février 2025.
Règles pour les modèles à usage général, brièvementGPAI, sont largement en vigueur depuis lors2 août 2025.
Après l’ajustement décidé en 2026, de nouveaux délais s’appliquent : des solutions de transparence pour les contenus générés artificiellement2 décembre 2026, IA autonome à haut risque2 décembre 2027et IA à haut risque intégrée aux produits2 août 2028.
Les pratiques interdites peuvent entraîner des amendes pouvant aller jusqu’à35 millions d’euros ou 7 pour cent du chiffre d’affaires annuel mondialmenacer.
Le point de départ le plus judicieux est un inventaire complet de l’IA avec l’objectif, le fournisseur, les types de données, les personnes concernées et les parties responsables.

Réponse courte : Que doivent faire les entreprises maintenant ?

Les entreprises doivent enregistrer tous les systèmes d’IA utilisés, déterminer leur rôle et leur classe de risque, former les employés en fonction des risques, exclure les applications interdites et rassembler des preuves sur la sélection, le fonctionnement, la protection des données, le contrôle humain et la transparence. Si vous commencez peu de temps avant la date limite, vous serez pressé par les délais, notamment en ce qui concerne les contrats, la documentation technique et les informations sur les fournisseurs.

Qu’est-ce que la loi européenne sur l’IA ?

L’EU AI Act est le règlement européen sur l’IA, officiellement le règlement (UE) 2024/1689. Il crée un cadre juridique uniforme pour le développement, la fourniture, l’importation, la distribution et l’utilisation de systèmes d’IA dans l’Union européenne. L’approche est basée sur le risque : plus le risque possible pour la santé, la sécurité ou les droits fondamentaux est élevé, plus les exigences sont strictes.

Le règlement ne pose pas d’abord la question de savoir si un logiciel apparaît spectaculaire ou particulièrement complexe sur le plan technique. La fonction, le contexte d’utilisation et les conséquences possibles sont déterminants. Un assistant textuel pour les collections d’idées internes relève généralement d’un domaine différent d’un système qui pré-trie les candidats, évalue leur solvabilité ou influence l’accès à l’éducation.

La loi européenne sur l’IA poursuit deux objectifs à la fois. Les gens doivent être protégés contre les applications d’IA manipulatrices, discriminatoires ou dangereuses. Dans le même temps, il convient de créer un marché intérieur fiable dans lequel les entreprises sachent quelles règles s’appliquent. C’est précisément cette combinaison qui rend le cadre juridique pertinent pour la gestion, l’informatique, la protection des données, les ressources humaines, les achats, le développement de produits et la conformité.

Quiconque s’inquiète des conséquences sociales le trouvera dans le domaine thématiqueÉthique et intelligence artificielled’autres arrière-plans. La catégorie regroupe les évolutions techniques et les nouveaux outilsIntelligence artificielle.

Loi de l’UE sur l’IA : délais actuels et calendrier 2026 à 2028

Le calendrier initial a été ajusté en 2026 par le Digital Omnibus. C’est pourquoi de nombreux aperçus circulent encore en ligne avec des délais désormais dépassés. En matière de planification d’entreprise, il convient de faire une distinction entre les obligations déjà en vigueur, les nouveaux délais de transparence et les règles reportées pour l’IA à haut risque.

Date	Domaine réglementaire	Importance pratique
1 août 2024	Entrer en vigueur	Le règlement IA est applicable au droit de l’UE, mais le deviendra progressivement.
2 février 2025	Interdictions et compétence en IA	Certaines pratiques d’IA sont interdites. Les fournisseurs et les opérateurs doivent garantir une compétence appropriée en IA.
2 août 2025	GPAI, gouvernance et sanctions	Des obligations essentielles s’appliquent aux fournisseurs de modèles à usage général.
2 décembre 2026	Solutions de transparence du contenu IA	Les fournisseurs doivent mettre en œuvre des exigences adaptées pour l’identification et la reconnaissabilité des contenus générés artificiellement. De nouvelles interdictions sur les deepfakes sexualisés non consensuels entrent également en vigueur.
2 août 2027	Laboratoires nationaux d’IA du monde réel	Date limite fixée pour la mise en place par les autorités nationales compétentes des laboratoires réels prévus.
2 décembre 2027	IA autonome à haut risque	Les exigences relatives aux systèmes autonomes à haut risque, tels que les décisions relatives au personnel, à la formation ou aux accès critiques, deviennent applicables.
2 août 2028	IA à haut risque intégrée au produit	Les règles s’appliquent à l’IA à haut risque intégrée dans des produits réglementés, à moins qu’une règle transitoire plus spécifique ne s’applique.

Note pratique :Un délai reporté n’est pas une invitation à attendre. Les avenants aux contrats, les dossiers des fournisseurs, la gouvernance des données, la documentation technique, la journalisation et la supervision humaine peuvent rarement être mis en place proprement en quelques semaines.

Source de l’horaire modifié :Conseil de l’Union européenne : adoption définitive des règles simplifiées en matière d’IA.

Quelles classes de risque la loi européenne sur l’IA reconnaît-elle ?

La division souvent citée en quatre niveaux de risque constitue un modèle de travail utile. Mais sur le plan juridique, il faut y regarder de plus près : les pratiques interdites, les systèmes à haut risque et les obligations particulières de transparence obéissent à des réglementations différentes. Les modèles à usage général forment également leur propre domaine de réglementation.

catégorie	Exemples typiques	Conséquence
Risque inacceptable	Systèmes manipulateurs à potentiel de dommage important, score social, certaines applications biométriques ou de reconnaissance émotionnelle	Fondamentalement interdit, seules des exceptions légales étroites
Risque élevé	Décisions en matière de dotation, éducation, infrastructures critiques, certains dispositifs médicaux, accès aux services essentiels	Exigences étendues en matière de gestion des risques, des données et de la qualité
Risque de transparence	Chatbots, deepfakes, médias synthétiques, reconnaissance d’émotions spécifiques ou catégorisation biométrique	Obligations d’information, d’étiquetage et de reconnaissabilité
Risque minime ou faible	Filtres anti-spam, systèmes de recommandation simples, IA dans les jeux, fonctions d’assistance interne sans pouvoir de décision sensible	Aucune obligation particulière à haut risque, d’autres lois s’appliquent toujours

Pourquoi l’utilisation spécifique prévue est cruciale

Un même modèle de base peut être classé de manière très différente selon son utilisation. Un modèle linguistique qui conçoit des descriptions de produits n’est pas automatiquement une IA à haut risque. Cependant, si une candidature basée sur ce principe est utilisée pour présélectionner les candidats, elle peut tomber dans la zone à haut risque. Les entreprises doivent donc documenter non seulement le nom du produit, mais aussi l’objectif réel, les personnes concernées et la chaîne de décision.

Une bonne classification répond à cinq questions : Que fait le système ? Qui est concerné ? Quelle décision est en préparation ou en prise ? Un humain peut-il intervenir efficacement ? Quels dommages se produiraient en réalité en cas d’erreurs, de distorsions ou d’utilisation abusive ?

Quelles applications d’IA sont interdites ?

Les interdictions sont en vigueur depuis le 2 février 2025. Elles visent les candidatures dont les risques pour la liberté, la dignité, la sécurité ou les droits fondamentaux sont jugés inacceptables. Les entreprises devraient placer cet examen au tout début de leur processus d’approbation de l’IA. Une meilleure politique de confidentialité ou une formation supplémentaire ne rend pas légal un système interdit.

Les principales pratiques interdites comprennent :

des techniques de manipulation ou d’influence subliminale ciblées si elles menacent de causer des dommages importants ;
l’exploitation de besoins particuliers de protection dus à l’âge, au handicap ou à la situation sociale et économique ;
Une notation sociale qui désavantage injustement les personnes en fonction de leur comportement ou des caractéristiques qui leur sont attribuées ;
les prédictions individuelles de comportement criminel lorsqu’elles sont basées uniquement sur le profilage ou les caractéristiques de la personnalité ;
la lecture non ciblée d’images faciales provenant d’Internet ou de caméras de surveillance pour constituer des bases de données faciales ;
Reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement, à moins qu’une exception médicale ou liée à la sécurité ne s’applique ;
la catégorisation biométrique, utilisée pour dériver des caractéristiques particulièrement sensibles ;
identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives, sauf dans des cas exceptionnels étroitement définis.

Avec le changement décidé en 2026, d’autres interdictions seront ajoutées à partir de décembre 2026. Elles concernent les systèmes d’IA qui produisent des représentations sexualisées ou intimes non consensuelles de personnes réelles, ainsi que des représentations d’abus sexuels sur des enfants. Cela crée un espace de test supplémentaire clair pour les plateformes, les services d’imagerie et les fournisseurs d’outils génératifs.

Un aperçu officiel est fourni par leL’Agence fédérale des réseaux sur les pratiques interdites en matière d’IA.

Fournisseur, exploitant ou revendeur : quel est le rôle de votre entreprise ?

De nombreuses erreurs d’évaluation commencent par la phrase : « Nous ne développons pas du tout l’IA ». Cela ne suffit pas. La réglementation IA répartit les obligations tout au long de la chaîne de valeur. Une entreprise peut même avoir plusieurs rôles en même temps.

rôle	Quand cela se produit généralement	Exemple
Fournisseur	L’entreprise développe ou fait développer un système d’IA et le commercialise sous son propre nom.	Un éditeur de logiciels vend son propre outil de candidature basé sur l’IA.
opérateur	L’entreprise utilise un système d’IA sous sa propre responsabilité dans un contexte professionnel.	Un service des ressources humaines utilise un système de sélection externe.
importateur	Une entreprise basée dans l’UE introduit sur le marché de l’UE un système d’IA provenant d’un fournisseur d’un pays tiers.	Un distributeur allemand présente une caméra AI d’un fabricant asiatique.
Revendeur	L’entreprise fournit un système d’IA dans la chaîne d’approvisionnement sans être elle-même fournisseur ou importateur.	Un détaillant spécialisé vend une solution d’IA déjà introduite.
Fabricant de produits	Un système d’IA est mis sur le marché avec un produit réglementé sous le nom du fabricant.	Un fabricant intègre l’IA dans un dispositif médical ou un composant de sécurité.

Quand un opérateur peut devenir fournisseur

Les propres labels, les changements importants et les nouvelles finalités sont particulièrement sensibles. Quiconque propose un système tiers sous son propre nom, le modifie considérablement ou l’utilise à d’autres fins à haut risque peut légalement se glisser dans le rôle de fournisseur. Les obligations augmentent alors considérablement. Cette question appartient donc à tout processus d’approvisionnement et de changement.

La compétence en IA est obligatoire depuis février 2025

Les fournisseurs et les opérateurs doivent faire de leur mieux pour garantir que les employés et autres personnes désignées disposent d’un niveau approprié de compétence en IA. Cela s’applique quel que soit le secteur d’activité et la taille de l’entreprise. Cela peut également inclure l’utilisation de chatbots ou de fonctions d’IA courantes dans les logiciels de bureau.

Ce qu’un solide cours de formation en IA devrait couvrir

Fonctionnalités et limites des systèmes utilisés ;
Hallucinations, distorsions et mauvaises applications typiques ;
Traitement des données personnelles, confidentielles et exclusives ;
applications autorisées et non autorisées dans l’entreprise ;
contrôle humain, escalade et signalement des incidents ;
Exigences en matière d’étiquetage pour le contenu généré artificiellement ;
Exigences liées au rôle pour les équipes d’achats, informatiques, RH, marketing et produit.

Le règlement n’exige pas de formation standard rigide. Une certification externe ou un représentant AI officiellement nommé ne sont généralement pas non plus obligatoires. L’Agence fédérale des réseaux recommande toutefois de documenter les mesures de manière compréhensible. Ce qui fait sens, ce sont la date, le groupe cible, le contenu, la durée, la personne responsable et la preuve de participation. Pour les applications à haut risque, une introduction générale d’une heure suffit à peine.

Orientation officielle :Agence fédérale des réseaux sur la compétence en matière d’IA selon l’article 4.

IA à haut risque : quand les obligations d’entreprise les plus strictes s’appliquent

L’IA à haut risque n’est pas automatiquement une « IA dangereuse ». Il s’agit de systèmes dont les erreurs ou les abus peuvent avoir un impact particulièrement grave sur les personnes, la sécurité ou les droits fondamentaux. Le règlement fait une distinction entre les systèmes à haut risque liés aux produits et les applications indépendantes dans des domaines de la vie explicitement mentionnés.

Domaines typiques de l’IA autonome à haut risque

identification et catégorisation biométriques dans les cas réglementés ;
Gestion et exploitation des infrastructures critiques ;
Éducation, examens et accès à la formation ou à l’enseignement complémentaire ;
emploi, sélection du personnel, promotion et suivi des performances ;
Accès aux services privés ou publics essentiels, comme certaines décisions de crédit ou d’assurance ;
application de la loi;
migration, asile et contrôle des frontières ;
Administration de la justice et processus démocratiques.

Obligations fondamentales pour les fournisseurs de systèmes à haut risque

Gestion des risques :Les risques doivent être identifiés, évalués, testés et réduits tout au long du cycle de vie.
Gouvernance des données :Les données de formation, de validation et de test doivent être adaptées à leur objectif, suffisamment représentatives et contrôlées.
Documentation technique :La structure, les capacités, les limites, les versions et les tests doivent être décrits de manière compréhensible.
Enregistrement:Les processus concernés doivent pouvoir être enregistrés automatiquement.
Informations pour les opérateurs :Le fonctionnement, les limites de performance, les risques et les mesures de surveillance doivent être clairement documentés.
Supervision humaine :Les gens doivent être capables d’interpréter correctement les dépenses, d’intervenir et d’arrêter le système si nécessaire.
Précision, robustesse et cybersécurité :Le système doit être fiable pour l’usage auquel il est destiné et protégé contre toute manipulation.
Management de la qualité et observation du marché :Après la mise sur le marché, les performances, les incidents et les corrections nécessaires doivent être systématiquement suivis.

Obligations des opérateurs

Les opérateurs doivent se conformer aux instructions d’utilisation, ancrer la supervision humaine dans l’organisation, contrôler les données d’entrée et tenir des journaux pertinents. Selon l’application, il existe des obligations supplémentaires d’information des employés ou des personnes concernées. Les organismes publics et certains opérateurs privés peuvent être tenus de réaliser une analyse d’impact sur les droits fondamentaux avant le déploiement. Si le système touche des données personnelles, une analyse d’impact sur la protection des données peut être réalisée en parallèle.RGPDêtre requis.

LeL’Agence fédérale des réseaux explique les systèmes d’IA à haut risqueet les domaines d’application concernés. Notre article approfondit les questions relatives aux systèmes d’IA physiquerègles juridiques pour les robots humanoïdes. Pour approfondir ce point, consultez Les robots humanoïdes et la singularité de l’IA.

Obligations de transparence pour les chatbots, les deepfakes et les contenus IA

Les gens devraient être capables de reconnaître quand ils interagissent avec un système d’IA ou lorsqu’ils visualisent du contenu généré artificiellement. L’apparence des informations dépend du format et du contexte. Une note générale dans les mentions légales ne suffit pas toujours.

Cas typiques de transparence

Chatbots et assistants vocaux :Les utilisateurs ont généralement besoin de savoir qu’ils communiquent avec un système d’IA, à moins que cela ne soit déjà évident.
Deepfakes :Les contenus images, audio et vidéo créés artificiellement ou manipulés doivent être divulgués en tant que tels.
Contenu synthétique :Les fournisseurs de systèmes génératifs doivent prendre en charge des solutions techniques qui rendent les résultats de l’IA reconnaissables sous une forme lisible par machine.
Textes d’intérêt public :Les textes générés par l’IA sur des sujets d’intérêt public peuvent nécessiter leur divulgation. Une révision éditoriale avec responsabilité humaine peut modifier la note.
Reconnaissance des émotions et catégorisation biométrique :Les personnes concernées doivent être informées des cas d’utilisation autorisés.

L’étiquetage doit apparaître là où le contenu est perçu. Pour les images, cela peut être une indication visible, une solution de métadonnées robuste ou une combinaison des deux. Les balises techniques ne résolvent pas à elles seules tous les problèmes de transparence, car les plateformes peuvent supprimer les métadonnées. L’article explique plus à ce sujetLes filigranes IA et leurs limites. Pour élargir la perspective sur le secteur, consultez Supprimer le filigrane AI : 4 méthodes simples.

Si vous choisissez des outils génératifs, vous devez vérifier les fonctions d’exportation et d’étiquetage lors de l’achat. La comparaison donne un aperçu du marchégénérateurs d’images IA actuels.

Les détails officiels peuvent être trouvés surAgence fédérale des réseaux sur les obligations de transparence.

GPAI : ce qui s’applique aux modèles d’IA généraux

GPAI signifie « General Purpose AI », en allemand modèles d’IA à usage général. De tels modèles peuvent remplir de nombreuses tâches différentes et constituent souvent la base technique de chatbots, de fonctions de recherche, d’assistants de programmation, de générateurs d’images ou d’applications spécifiques à un secteur. Pour un éclairage technique complémentaire, consultez Gemini Robotics contrôle Apollo : ce que signifie la démo humanoïde.

La loi européenne sur l’IA fait une distinction entre le fournisseur de modèles et le fournisseur d’un système d’IA basé sur celui-ci. Quiconque utilise simplement une interface prête à l’emploi n’est pas automatiquement un fournisseur GPAI. Quiconque change radicalement un modèle, le propose sous son propre nom ou l’intègre dans son propre produit doit examiner de plus près son rôle.

Responsabilités essentielles des fournisseurs GPAI

documentation technique sur le développement, les capacités et les limites ;
Informations destinées aux fournisseurs de systèmes d’IA en aval ;
une stratégie de respect de la loi européenne sur le droit d’auteur ;
une synthèse suffisamment détaillée du contenu utilisé pour la formation ;
pour les modèles comportant un risque systémique, des évaluations supplémentaires, l’atténuation des risques, le signalement des incidents et les mesures de cybersécurité.

Les entreprises qui achètent GPAI ne devraient pas se contenter de promesses publicitaires. Des informations fiables sont requises sur la version du modèle, le traitement des données, les emplacements de stockage, la formation à l’utilisation des intrants, les sous-traitants, les mesures de sécurité, les concepts de défaillance et les notifications de modifications. Sans ces informations, votre propre évaluation des risques se transforme rapidement en devinettes.

Explications officielles :Agence fédérale des réseaux sur les modèles GPAI.

La loi européenne sur l’IA et le RGPD s’appliquent souvent en même temps

The EU AI Act does not replace the General Data Protection Regulation. If an AI system processes personal data, both sets of rules apply side by side. The AI Act primarily assesses AI-specific risks and market obligations. Le RGPD exige, entre autres, une base juridique, une limitation de la finalité, une minimisation des données, une transparence, des droits des personnes concernées et une sécurité appropriée.

Quatre chevauchements typiques

Données des employés :Un outil d’IA dans le recrutement peut être une IA à haut risque et traiter en même temps des données sensibles sur le personnel ou les candidats.
Profilage :Les évaluations automatisées peuvent déclencher des exigences d’information et des restrictions sur les décisions individuelles automatisées.
Données de formation et d’entrée :Les données personnelles ne peuvent pas être utilisées uniquement parce qu’un fournisseur d’IA est techniquement capable de le faire.
Évaluations d’impact :Une analyse d’impact sur les droits fondamentaux conformément à la loi sur l’IA et une analyse d’impact sur la protection des données peuvent être nécessaires en parallèle. Ils doivent être coordonnés, mais pas assimilés sans vérification.

Dans la pratique, il est intéressant de mettre en place un processus d’examen conjoint entre la protection des données, la sécurité de l’information, les services spécialisés et la conformité. Cela évite les documents en double et révèle des lacunes qui restent souvent indétectées dans les achats purement techniques. Ce chevauchement est particulièrement évident dans la robotique et la technologie des capteurs, par exempleProtection des données pour les robots domestiques humanoïdes.

La classification de la protection des données explique celaCommissaire fédéral à la protection des données et à la liberté d’information.

Qui contrôle la loi européenne sur l’IA en Allemagne ?

L’Allemagne compte sur l’Agence fédérale des réseaux pour jouer un rôle central dans la mise en œuvre nationale. Selon le gouvernement fédéral, elle servira essentiellement d’autorité de surveillance du marché et mettra en place un centre de coordination et de compétence. Les autorités spécialisées restent impliquées dans certains secteurs afin d’éviter que les contrôles spécialisés existants ne fassent double emploi.

La loi d’application allemande a été adoptée par le Bundestag et le Bundesrat en 2026. Le Conseil fédéral a donné son accord le 10 juillet 2026. Après rédaction et promulgation, la loi peut entrer en vigueur. Les entreprises bénéficient ainsi de contacts nationaux plus clairs, tandis que les obligations matérielles continuent de découler directement du règlement européen sur l’IA.

L’Agence fédérale des réseaux devrait également créer au moins un véritable laboratoire d’IA. Ces laboratoires réels permettent des tests contrôlés de systèmes innovants sous supervision officielle. Il ne s’agit pas d’un vide juridique, mais ils peuvent aider les petites et moyennes entreprises, en particulier, à comprendre plus tôt les exigences.

Source:Le gouvernement fédéral sur la mise en œuvre du règlement sur l’IA en Allemagne.

Quelles sont les amendes en cas d’infraction ?

Le montant de la sanction dépend de la nature, de la gravité, de la durée et des conséquences de l’infraction. La taille de l’entreprise, la coopération avec les autorités, les violations antérieures et l’avantage économique peuvent également jouer un rôle. Les montants maximaux montrent néanmoins que la conformité à l’IA n’est pas un projet supplémentaire volontaire.

violation	Montant maximum possible
Violer les pratiques interdites en matière d’IA	Jusqu’à 35 millions d’euros ou 7 pour cent du chiffre d’affaires annuel mondial
Manquement à d’autres devoirs essentiels	Jusqu’à 15 millions d’euros ou 3 pour cent du chiffre d’affaires annuel mondial
Informations fausses, incomplètes ou trompeuses fournies aux autorités	Jusqu’à 7,5 millions d’euros ou 1,5 pour cent du chiffre d’affaires annuel mondial

Pour les entreprises, le montant plus élevé peut être décisif. Le cadre juridique prévoit la proportionnalité pour les petites entreprises. Néanmoins, les tests, les arrêts de vente, les rappels, les litiges contractuels et les atteintes à la réputation peuvent coûter cher, même si le plafond des amendes n’est pas épuisé.

La responsabilité reste une question distincte. La loi sur l’IA définit les obligations du marché et de l’organisation, mais ne répond pas à toutes les actions civiles. Cela devient vite pratique avec des systèmes autonomes, comme les contributionsResponsabilité pour les dommages causés par les robots humanoïdesetPourquoi un robot n’est pas responsable de lui-mêmemontrer.

Liste de contrôle de la loi européenne sur l’IA : 11 étapes pour les entreprises

Un programme de conformité pratique ne commence pas par un ensemble de règles d’une centaine de pages. Cela commence par la transparence sur votre propre inventaire. Vous pouvez ensuite définir des priorités en fonction des risques et des délais.

Créer un inventaire IA

Capturez toutes les applications d’IA productives, testées ou décentralisées. Notez le fournisseur, la version, l’objectif, le groupe d’utilisateurs, les types de données, les interfaces, le pays d’utilisation et le service responsable. Les outils de navigation gratuits et les fonctions intégrées aux logiciels existants font également partie de la liste.
Déterminer le rôle dans la chaîne d’approvisionnement

Vérifiez si l’entreprise est un fournisseur, un opérateur, un importateur, un revendeur ou un fabricant de produits. Documentez les changements de rôle via des marques privées, des changements importants ou de nouveaux objectifs.
Exclure les applications interdites

Avant toute évaluation ultérieure, effectuer un contrôle d’interdiction. Cela permet d’économiser des efforts et empêche les équipes d’essayer de « corriger » une solution inacceptable avec des mesures supplémentaires.
Vérifiez la classe de risque et la loi spéciale

Évaluer le contexte opérationnel, les personnes affectées et les conséquences possibles. Incluez le droit de la vie privée, de l’emploi, de la consommation, du droit d’auteur, de la sécurité des produits et du secteur industriel.
Développer les compétences en IA par rôle

Ne formez pas tous les employés de la même manière. Le marketing a besoin de règles différentes de celles des RH, de l’administration informatique, des achats ou de la gestion. Enregistrez les actions et la participation.
Affiner les achats et les contrats

Demandez de la documentation technique, des informations de sécurité, des avis de modification et une assistance pour les demandes gouvernementales. Réglementez l’utilisation des données, les sous-traitants, les options d’audit, la responsabilité, la sortie et le retour des données.
Combiner protection des données et sécurité des informations

Vérifiez les bases juridiques, la minimisation des données, l’accès, les périodes de stockage, les transferts vers des pays tiers, la journalisation et la protection des informations confidentielles. Utilisez les processus ISMS et de protection des données existants au lieu de créer des mondes parallèles.
Concevoir spécifiquement la supervision humaine

« Une personne le regarde à nouveau » est trop imprécis. Déterminez qui vérifie quelles informations sont disponibles, quand un résultat est rejeté et comment éviter les contraintes de temps ou les biais d’automatisation.
Mettre en œuvre la transparence et l’étiquetage

Définissez des indices pour les chatbots, les deepfakes, les médias synthétiques et les textes publics d’IA. Vérifiez les informations visibles et les marquages lisibles par machine dans le processus de publication réel.
Mettre en place la surveillance et la gestion des incidents

Surveillez les taux d’erreur, les plaintes, les préjugés, les incidents de sécurité et les modifications de modèle. Définir les canaux de reporting, les niveaux d’escalade, les critères d’arrêt et les responsabilités.
Mettre régulièrement à jour les preuves

Les systèmes d’IA évoluent avec de nouveaux modèles, invites, sources de données et interfaces. Répétez l’évaluation pour les mises à jour importantes, les nouveaux groupes d’utilisateurs ou les changements d’objectif. Un formulaire une fois rempli ne constitue pas une preuve permanente de conformité.

Ensemble de données minimum pour un registre d’IA

Champ	Exemple
Système et version	Chatbot de support interne, version modèle 4.2
But	Rédiger les réponses du service client
Rôle de l’entreprise	opérateur
Personnes concernées	Clients et employés de service
Types de données	Coordonnées, informations de commande, texte libre
Évaluation du risque	Nécessite de la transparence, pas de risque élevé selon l’objectif actuel
Contrôle humain	Pas d’envoi automatique, approbation par les salariés
Responsabilité	Responsable service client et informatique
Essai final	24 juillet 2026
Prochaine occasion	Changement de modèle, nouvelle source de données ou dans douze mois au plus tard

Ces erreurs ralentissent la mise en œuvre de la loi européenne sur l’IA

Seul l’informatique est rendu responsable

L’informatique connaît les systèmes et les interfaces, mais pas toutes les lois du travail, la protection des données ou les conséquences techniques. Une équipe durable relie l’informatique, la protection des données, la sécurité de l’information, le juridique, les achats et les départements spécialisés respectifs.

ChatGPT est confondu avec l’ensemble de l’inventaire IA

L’IA est présente depuis longtemps dans le CRM, les logiciels de candidature, la traduction, l’analyse vidéo, la détection des fraudes, les fonctions de recherche et les plateformes d’automatisation. Ceux qui n’enregistrent que des chatbots bien connus négligent souvent les systèmes les plus risqués.

Le prestataire est considéré comme seul responsable sans être contrôlé

Les obligations de l’opérateur restent à la charge de l’entreprise utilisatrice. Même un fournisseur leader sur le marché ne vous dispense pas de la définition des objectifs, de la formation des employés, de l’évaluation de la protection des données et de la supervision humaine.

Une politique n’existe que sur papier

Une politique d’IA sans processus de publication, sans formation et sans contrôles techniques ne change guère le travail quotidien. Des règles doivent s’appliquer là où les outils sont achetés, les comptes sont créés, les données sont saisies et le contenu est publié.

Les délais sont confondus avec le démarrage du projet

Le délai marque le moment à partir duquel l’obligation doit être respectée. Ce n’est pas le jour où le projet devrait démarrer. Les systèmes à haut risque, en particulier, nécessitent un préavis pour la documentation, les tests et les ajustements contractuels.

Pourquoi une bonne gouvernance de l’IA est plus qu’un simple devoir

Une gouvernance propre de l’IA peut accélérer les décisions. Les équipes savent quelles demandes sont approuvées, quelles données peuvent être utilisées et qui décide en cas d’incertitude. Cela réduit l’IA fantôme et empêche chaque projet de repartir de zéro.

Les bénéfices augmentent également en termes de ventes. Les clients professionnels sont plus susceptibles de poser des questions sur les sources de données, les concepts de sécurité, les modifications de modèle et le contrôle humain. Quiconque peut répondre à ces points de manière structurée semble plus fiable qu’un fournisseur qui fait uniquement de la publicité « alimenté par l’IA ».

L’approche la plus forte est proportionnelle : les systèmes d’assistance simples reçoivent des règles allégées, les demandes sensibles ou liées à la décision font l’objet d’un examen plus approfondi. De cette manière, la conformité ne devient pas un frein général à l’innovation, mais plutôt un filtre pour des opérations viables.

Conclusion : avec le EU AI Act, la préparation avant la date limite compte

La loi européenne sur l’IA fait de l’utilisation de l’IA une tâche de gestion compréhensible. Les interdictions et les compétences en IA s’appliquent déjà. Les règles de transparence suivront fin 2026, et les exigences globales en matière de risques élevés selon le nouveau calendrier suivront en 2027 et 2028. Les entreprises ne gagnent pas grand-chose si elles ne tiennent compte que du dernier délai.

Le chemin pragmatique commence par un inventaire de l’IA. Viennent ensuite la clarification des rôles, l’évaluation des risques, la formation, l’examen des contrats et un contrôle humain documenté. Cette structure ne protège pas seulement contre les amendes. Il améliore les achats, la qualité des données et la responsabilité – et sépare les projets d’IA utiles des solutions rapides et risquées.

Sources officielles et informations complémentaires

Agence fédérale des réseaux : service desk IA et aperçu de la réglementation IA
Agence fédérale des réseaux : compétence en IA
Agence fédérale des réseaux : pratiques d’IA interdites
Agence fédérale des réseaux : systèmes d’IA à haut risque
Agence fédérale des réseaux : obligations de transparence
Agence fédérale des réseaux : modèles GPAI
BfDI : réglementation de l’IA et protection des données
Gouvernement fédéral : mise en œuvre nationale du règlement sur l’IA
Conseil de l’Union européenne : Omnibus numérique et nouvelles dates de candidature

Note éditoriale : L’article reflète le statut juridique publiquement documenté au 24 juillet 2026. Pour des produits spécifiques, des applications à haut risque ou des procédures officielles, un examen juridique individuel est judicieux.

Questions fréquemment posées sur la loi européenne sur l’IA

La loi européenne sur l’IA s’applique-t-elle également aux petites entreprises ?

Oui. Le règlement s’applique généralement quelle que soit la taille de l’entreprise si une entreprise assume un rôle couvert. Cependant, la portée et la priorité des mesures dépendent fortement du système utilisé et de son risque ; Pour les petites entreprises, les principes de proportionnalité s’appliquent aux sanctions et aux offres de soutien.

La loi européenne sur l’IA s’applique-t-elle si nous utilisons uniquement ChatGPT ou des outils similaires ?

L’utilisation professionnelle d’outils généraux d’IA peut également déclencher des obligations de l’opérateur, notamment en matière de compétence en IA, de protection des données et de règles d’utilisation internes. Cet outil n’est pas seulement un système à haut risque en raison de sa popularité. Ce qui compte, c’est à quoi il sert spécifiquement et quelles décisions en dépendent.

Depuis quand s’applique l’obligation d’avoir des compétences en IA ?

Cette obligation est en vigueur depuis le 2 février 2025. Les fournisseurs et les opérateurs doivent faire de leur mieux pour garantir un niveau de compétence approprié parmi toutes les personnes qui utilisent ou exploitent des systèmes d’IA en leur nom. La portée et le contenu dépendent du rôle, des connaissances antérieures, du système et du risque.

Chaque entreprise a-t-elle besoin d’un représentant IA ?

Non, la loi européenne sur l’IA n’exige pas qu’il y ait un représentant officiel de l’IA à tous les niveaux. Une responsabilité interne claire a toujours du sens. Selon la taille, cette tâche peut incomber à une équipe interdisciplinaire de gouvernance de l’IA, à la fonction conformité ou à une personne responsable désignée.

Quand les règles à haut risque de la loi européenne sur l’IA s’appliquent-elles ?

Selon le Digital Omnibus adopté en 2026, les règles relatives à l’IA autonome à haut risque s’appliqueront à partir du 2 décembre 2027. Pour l’IA à haut risque intégrée dans des produits réglementés, la date du 2 août 2028 s’appliquera généralement. Les règles sectorielles particulières et le type de produit spécifique doivent également être examinés.

Toute IA dans les RH est-elle automatiquement à haut risque ?

Non. Les systèmes qui influencent de manière significative l’accès à l’emploi, la sélection, la promotion, le licenciement, la répartition des tâches ou le contrôle des performances présentent un risque particulièrement élevé. Un assistant de texte pur sans fonction décisionnelle peut être classé différemment, même si la protection des données et le droit du travail s’appliquent toujours.

Le contenu généré par l’IA doit-il toujours être étiqueté ?

Tous les projets internes n’ont pas besoin d’une référence visible. Les exigences en matière d’étiquetage s’appliquent principalement lors de l’interaction avec l’IA, les deepfakes, les médias synthétiques et certains contenus publiés d’intérêt public. Le format, le contrôle éditorial et l’utilisation spécifique déterminent la conception.

La loi européenne sur l’IA remplace-t-elle le RGPD ?

Non. Dès que des données personnelles sont traitées, le RGPD s’applique en parallèle. Les entreprises doivent donc examiner les risques spécifiques à l’IA ainsi que la base juridique, la transparence, la minimisation des données, les droits des personnes concernées et la sécurité des données.

Quel est le montant des amendes en vertu de la loi européenne sur l’IA ?

Pour les pratiques interdites, jusqu’à 35 millions d’euros, soit 7 pour cent du chiffre d’affaires annuel mondial, sont possibles. Pour d’autres violations clés, jusqu’à 15 millions d’euros ou 3 pour cent peuvent s’appliquer. Le montant spécifique dépend, entre autres, de la gravité, de la durée, de la taille de l’entreprise et de la coopération.

Quelle est la première étape raisonnable vers la conformité ?

Le meilleur point de départ est de disposer d’un inventaire complet de l’IA. Il doit inclure le système, la version, l’objectif, le fournisseur, le rôle de l’entreprise, les types de données, les personnes concernées, la classification des risques et les parties responsables. Ce n’est qu’avec cette vue d’ensemble que la formation, les contrats et les contrôles pourront être hiérarchisés de manière judicieuse.

Bewerte den Beitrag hier!

[Total: 1 Average: 5]

Nico Nuss

Website

L’auteur Nico Nuss travaille depuis 2001 sur les thèmes de l’informatique mobile et des logiciels d’automatisation. Fort de son expérience et de son vif intérêt pour les technologies d’avenir, il se concentre sur la robotique et l’IA.