EU AI Act : le guide complet pour les entreprises françaises

Le Règlement (UE) 2024/1689, communement appele EU AI Act, est la première législation au monde a encadrer specifiquement l'intelligence artificielle. Pour les entreprises françaises, la question n'est plus de savoir si elles sont concernées, mais comment se mettre en conformité avant les échéances.

Qui est concerne par l'EU AI Act ?

L'EU AI Act s'applique a toute organisation qui developpe, deploie, importe ou distribue des systèmes d'IA dans l'Union européenne. Cela inclut les entreprises de toute taille, des startups aux grands groupes, des qu'elles utilisent des outils d'IA dans leurs operations.

Concrètement, si votre entreprise utilise un chatbot pour le service client, un système de scoring pour évaluer des candidatures, un algorithme de recommandation pour vos produits, ou tout autre outil base sur l'apprentissage automatique, vous êtes concerne.

Les 4 niveaux de risque

L'EU AI Act classe les systèmes d'IA en quatre catégories de risque, chacune avec des obligations proportionnelles :

Risque inacceptable : systèmes interdits (scoring social, manipulation comportementale, surveillance biometrique de masse). Interdiction effective depuis le 2 février 2025.

Haut risque : systèmes dans des domaines sensibles (santé, RH, finance, education, justice). Obligations strictes : documentation technique, gestion des risques, supervision humaine, transparence. Échéance : 2 décembre 2027 pour les systèmes autonomes Annexe III (reporte par le règlement (UE) 2026/1744 entre en vigueur le 27 juillet 2026, initialement prévu août 2026).

Risque limite : systèmes necessitant de la transparence (chatbots, deepfakes). Obligation d'informer l'utilisateur qu'il interagit avec une IA.

Risque minimal : la majorite des systèmes d'IA. Pas d'obligations spécifiques, mais des codes de conduite encourages.

Les échéances clés a retenir

Le règlement entre en application progressivement :

2 février 2025 : interdiction des pratiques d'IA inacceptables.

2 août 2025 : obligations pour les modèles d'IA a usage général (GPAI).

2 août 2026 : obligations de transparence (Article 50) pour les chatbots, deepfakes et contenus générés par IA.

2 décembre 2027 : obligations complètes pour les systèmes haut risque autonomes Annexe III (emploi, education, crédit, biometrie). Date repoussee par le règlement (UE) 2026/1744 entre en vigueur le 27 juillet 2026.

2 août 2028 : obligations pour les systèmes haut risque integres dans des produits déjà réglementés (Annexe I).

Les sanctions en cas de non-conformité

Les amendes prévues par l'EU AI Act sont substantielles et proportionnelles au chiffre d'affaires mondial :

Jusqu'à 35 millions d'euros ou 7% du CA mondial pour les pratiques interdites. Jusqu'à 15 millions d'euros ou 3% du CA pour le non-respect des obligations. Jusqu'à 7,5 millions d'euros ou 1,5% du CA pour la fourniture d'informations incorrectes aux autorités.

Comment se preparer des maintenant

La preparation a la conformité EU AI Act passe par plusieurs étapes structurees. Commencez par inventorier tous vos systèmes d'IA : identifiez chaque outil, algorithme ou modèle utilise dans votre organisation. Ensuite, classifiez chaque système selon les 4 niveaux de risque definis par le règlement.

Pour les systèmes identifies comme haut risque, constituez la documentation technique requise et mettez en place un système de gestion des risques. Enfin, formez vos équipes et designez un responsable conformité IA.

Notre plateforme MaConformite automatise l'ensemble de ce processus : diagnostic, classification, génération de documentation, et suivi continu de votre conformité.

Questions fréquentes — EU AI Act entreprises françaises

L'EU AI Act s'applique-t-il aux entreprises françaises qui n'ont pas d'équipe IA ?

Oui, si elles utilisent des logiciels intégrant de l'IA dans leurs processus. Une PME qui utilise un logiciel de recrutement IA, un chatbot client, ou un outil de scoring est « déployeuse » au sens du règlement et a des obligations propres, sans avoir écrit une ligne de code d'IA.

Quels sont les rôles définis par l'EU AI Act ?

Le règlement distingue les fournisseurs (ceux qui développent ou font développer un système d'IA pour le mettre sur le marché), les déployeurs (entreprises qui utilisent un système d'IA dans un contexte professionnel), les importateurs (qui mettent sur le marché UE des systèmes d'IA de pays tiers), et les distributeurs. Chaque rôle entraîne des obligations différentes.

Quelles sont les premières échéances de l'EU AI Act en 2026 ?

Le 2 février 2025, les pratiques interdites (article 5) étaient déjà applicables. Le 2 août 2026 est la première grande échéance : obligations de transparence (article 50), mise en place des autorités nationales de surveillance, et obligations générales de gouvernance IA. Le 2 décembre 2027 s'appliquent les obligations complètes pour les systèmes à haut risque de l'Annexe III.

Qu'est-ce qu'un système d'IA « à haut risque » selon l'AI Act ?

Les systèmes à haut risque sont listés à l'Annexe III du règlement. Ils couvrent notamment : les logiciels de recrutement et d'évaluation des salariés, les outils de scoring de crédit et d'évaluation de solvabilité, les systèmes d'IA utilisés en éducation, santé, justice, services publics essentiels, ou les infrastructures critiques.

Comment prouver sa conformité à l'EU AI Act en cas de contrôle ?

La preuve de conformité repose sur la documentation : registre des systèmes d'IA utilisés, Annexe IV technique pour les systèmes à haut risque, analyse d'impact (FRIA), preuves de formation des équipes (article 4), et audit trail des décisions prises avec l'IA. Cette documentation doit être maintenue à jour et accessible en cas d'inspection par les autorités.