Loi européenne sur l'IA : délais, obligations et mesures à prendre dès maintenant

Mise à jour : 31 août 2026. Les modifications apportées au règlement (UE) n° 2026/1744, en vigueur depuis le 27 juillet 2026, ont été intégrées.

Le règlement sur l'IA, plus connu sous le nom d'« EU AI Act », est en vigueur depuis le 1er août 2024, mais il ne s'applique pas d'un seul coup. Ses obligations s'étalent sur plusieurs années, et le calendrier a encore été repoussé en juillet 2026. Quiconque souhaite savoir aujourd’hui ce qui s’applique à son entreprise doit donc distinguer deux questions : que prévoit le règlement, et à partir de quand faut-il s’y conformer ?.

Cet article répond à ces deux questions. Il explique la systématique, présente les délais actuels et décrit les obligations qui incombent aux entreprises qui n' développent pas elles-mêmes leur IA, mais l'achètent. Car c'est là le cas le plus fréquent et, en même temps, le plus sous-estimé.

Qu'est-ce que la loi européenne sur l'IA ?

La loi européenne sur l'IA, officiellement intitulée Règlement (UE) n° 2024/1689, est la première loi complète au monde en matière d'IA. En tant que règlement, elle s'applique directement dans tous les États membres, sans qu'une loi nationale de transposition soit nécessaire. Pour les entreprises implantées dans plusieurs pays de l'UE, cela signifie un cadre juridique unique au lieu de 27 cadres différents.

Son principe repose sur une approche fondée sur les risques. Ce n'est pas la technologie qui est réglementée, mais l'usage qui en est fait. Un même modèle linguistique peut, selon son utilisation, être soumis à des exigences inexistantes, modérées ou strictes.

Pratiques interdites figurent en tête de liste. Parmi celles-ci figurent la notation sociale par des organismes publics ou privés, l'exploitation ciblée des vulnérabilités des groupes fragiles, la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, ainsi que certaines formes d'identification biométrique à distance. Ces interdictions sont en vigueur depuis février 2025.

Systèmes à haut risque constituent le cœur même du règlement. Le règlement distingue deux voies d’accès à cette catégorie. L’annexe III énumère les applications autonomes dans des domaines sensibles : la biométrie, les infrastructures critiques, l’éducation, l’emploi, l’accès à des services essentiels tels que l’octroi de crédits ou les prestations sociales, les poursuites pénales, la migration et la justice. L’annexe I couvre l’IA intégrée en tant que composant de sécurité dans des produits déjà réglementés, tels que les machines, les ascenseurs, les jouets ou les dispositifs médicaux.

Systèmes soumis à une obligation de transparence constituent la troisième étape. Toute personne qui dialogue avec un chatbot doit pouvoir reconnaître qu’elle ne s’adresse pas à un être humain. Les images, vidéos, fichiers audio et textes générés de manière synthétique ou manipulés doivent être identifiés comme tels sous une forme lisible par machine. Ces règles, issues de l'article 50, s'appliquent depuis août 2026. Pour les systèmes déjà commercialisés avant cette date, l'obligation d'étiquetage prévue au paragraphe 2 ne s'applique toutefois qu'à compter du 2 décembre 2026.

Tout le reste reste largement libre. Un filtre anti-spam, une fonctionnalité de recommandation dans une boutique en ligne ou un système de reconnaissance des factures ne sont généralement soumis à aucune obligation particulière.

Par ailleurs, le règlement encadre les modèles d'IA à usage général, désignés par l'acronyme administratif « GPAI ». Depuis août 2025, leurs fournisseurs sont tenus de fournir une documentation technique, de respecter les droits d'auteur relatifs aux données d'entraînement et de publier un résumé des contenus d'entraînement utilisés.

Délais prévus par la loi européenne sur l'IA : ce qui s'applique et à quel moment

Le calendrier initial prévoyait que les obligations relatives aux risques élevés entrent en vigueur en août 2026. En novembre 2025, la Commission a proposé un allègement dans le cadre du « Digital Omnibus » ; un accord politique a été trouvé en mai 2026, et la modification est entrée en vigueur le 27 juillet 2026. Elle ne se contente pas de reporter les délais : la classification en tant que système à haut risque a été restreinte, la double réglementation par rapport à la législation sectorielle sur les produits a été supprimée et l'obligation de compétence en matière d'IA a été assouplie. La structure du règlement reste inchangée.

Date limite : 31 août 2026, conformément au règlement (UE) n° 2026/1744. La prochaine échéance est donc le 2 décembre 2026, et non pas seulement en 2027.

Ce report constitue un répit pour les entreprises, mais pas un blanc-seing. Les entreprises qui exploitent un système de sélection du personnel ou un système automatisé d'évaluation de la solvabilité ont jusqu'en décembre 2027 pour se mettre en conformité. La charge de travail reste la même, et elle ne se concentre pas sur les dernières semaines précédant la date butoir.

Ce que la loi européenne sur l'IA signifie pour l'économie européenne

On parle rarement de l'AI Act de manière neutre, et le « Digital Omnibus » a exacerbé la polémique. La Commission justifie ces assouplissements par la réduction des formalités administratives et un plus grand champ de manœuvre pour l'innovation. Plus de 120 organisations de la société civile, dont noyb, dirigée par Max Schrems, avaient déjà mis en garde, avant même la présentation officielle, dans une lettre ouverte datée du 13 novembre 2025, que cela serait „ le plus grand recul pour les droits fondamentaux numériques de l'histoire de l'UE “. Sa critique porte sur l'ensemble du projet et surtout sur les modifications prévues du RGPD, et non pas uniquement sur la partie consacrée à l'IA.

Pour les entreprises, la question est plus concrète : ce cadre est-il utile ou nuisible ? De plus en plus d'entreprises se posent cette question. Selon une enquête représentative menée par Bitkom Sur les 604 entreprises comptant au moins 20 salariés, 36 % utilisaient l'IA en septembre 2025, contre 20 % un an auparavant. 47 % supplémentaires envisageaient ou discutaient de son utilisation. Son adoption a donc presque doublé en l'espace d'un an, alors que les règles la régissant n'entrent en vigueur que progressivement.

Les deux camps ont raison à leur manière, et les deux arguments s'appuient sur des éléments concrets.

Un marché au lieu de 27. Avant l'adoption de ce règlement, on risquait de se retrouver face à un patchwork de législations nationales en matière d'IA. Pour une entreprise qui commercialise ses logiciels dans plusieurs États membres, un ensemble d'exigences uniforme revient moins cher que sept ensembles différents, même si cet ensemble est exigeant. C'est précisément là que réside l'argument économique central en faveur du marché unique.

La confiance comme moyen d'accès au marché. Dans des domaines tels que la médecine, les ressources humaines ou l'octroi de crédits, ce n'est pas la performance des modèles qui constitue le frein, mais la réticence des autorités de contrôle, des comités d'entreprise et des clients à leur confier la prise de décision. Un cadre juridique clairement défini permet de lever cet obstacle. Les prestataires capables de prouver leur conformité ont accès à des clients qui, sans cette preuve, ne lanceraient même pas d'appel d'offres.

L'effet Bruxelles. Comme cela a déjà été le cas avec le RGPD, les prestataires internationaux s'alignent souvent sur le marché le plus strict, car des gammes de produits distinctes reviennent plus cher qu'une norme unique. La réglementation européenne a ainsi des répercussions au-delà des frontières de l'Europe. Cela peut constituer un avantage pour les prestataires européens, car ils doivent de toute façon se conformer à ces exigences et cet effort ne représente pas pour eux une activité supplémentaire, mais la norme.

Ces coûts sont bien réels. L'évaluation de la conformité, la documentation technique, la gestion des risques et les obligations de preuve mobilisent des ressources humaines dont les petits prestataires ne disposent souvent pas. Le « Digital Omnibus » est la réponse directe à ce constat. Il offre davantage de temps, restreint la classification « à haut risque » et allège la charge administrative pour les petits prestataires. C’est à la fois un aveu que le calendrier initial était trop serré et le point de départ des critiques : ceux qui ont déjà investi se retrouvent dans une situation moins favorable que ceux qui ont attendu.

Pour l'économie allemande, la véritable opportunité réside moins dans la réglementation elle-même que dans sa combinaison avec les atouts existants. Quiconque automatise des processus dans les secteurs de l'assurance, de la fabrication ou de l'administration travaille de toute façon dans des environnements fortement réglementés et est habitué aux obligations de justification. Cette routine constitue un avantage de départ par rapport aux prestataires pour lesquels la documentation et la vérifiabilité sont des notions nouvelles.

Ce que le règlement sur l'IA implique pour chaque entreprise

La question la plus importante sur le plan pratique n'est pas de savoir si une entreprise utilise l'IA, mais dans quel rôle. Le règlement en distingue principalement deux.

Fournisseur développent un système d'IA ou le font développer, puis le commercialisent sous leur propre nom. C'est à eux qu'incombe la majeure partie des responsabilités : gestion des risques, qualité des données, documentation technique, journalisation, évaluation de la conformité, marquage CE.

exploitant utilisent un système tiers sous leur propre responsabilité. Leurs obligations sont moindres, mais non négligeables. Ils doivent utiliser le système conformément à sa destination, assurer une surveillance humaine, vérifier la pertinence des données saisies, conserver les journaux et, dans le cas d'applications à haut risque, informer les personnes concernées.

Cette distinction comporte un piège. Quiconque modifie de manière substantielle un système acheté, le commercialise sous son propre nom ou l'utilise à des fins autres que celles prévues devient lui-même fournisseur et assume l'intégralité des obligations qui en découlent. Dans la pratique, cela concerne surtout les entreprises qui entraînent un modèle standard sur leurs propres données et intègrent le résultat dans leur propre produit.

À cela s’ajoute une obligation qui s’applique à tous, quelle que soit la classe de risque, et qui est déjà en vigueur depuis février 2025 : la compétence en matière d’IA prévue à l’article 4. Les fournisseurs et les opérateurs doivent prendre des mesures visant à favoriser la compréhension, par leurs employés, du fonctionnement et des limites des systèmes utilisés. L’omnibus numérique a assoupli cette exigence : depuis juillet 2026, il est précisé qu’il n’est pas nécessaire de garantir un niveau de connaissances spécifique pour chaque individu. L’obligation reste en vigueur, mais la charge de la preuve est allégée. Ce que cela implique concrètement est décrit dans l’article consacré à La maîtrise de l'IA, une obligation.

En cas d'infraction, Article 99 trois niveaux. Le recours à des pratiques interdites peut être sanctionné par une amende pouvant aller jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les infractions à d’autres obligations, notamment dans le domaine à haut risque, sont passibles d’une amende pouvant aller jusqu’à 15 millions d’euros ou 3 %. La communication d’informations erronées ou incomplètes aux autorités est passible d’une amende pouvant aller jusqu’à 7,5 millions d’euros ou 1 %.

Pour les petites et moyennes entreprises, c'est la plus faible des deux valeurs qui s'applique ; la loi « Digital Omnibus » a étendu cet allègement aux petites entreprises à capitalisation moyenne, c'est-à-dire aux entreprises comptant entre 250 et 750 salariés et dont le chiffre d'affaires annuel ne dépasse pas 150 millions d'euros ou dont le total du bilan ne dépasse pas 129 millions d'euros.

Ce que les entreprises devraient faire dès maintenant

Le report des délais incite à remettre le sujet à plus tard. C'est risqué, car ce sont les étapes les plus fastidieuses qui se situent au début et non à la fin.

Faites-vous une idée générale des domaines dans lesquels l'IA est utilisée au sein de l'entreprise et définissez votre rôle pour chaque système. Cela peut paraître banal, mais c'est l'étape la plus difficile dans la plupart des entreprises. L'IA est aujourd'hui présente dans les logiciels de gestion des candidatures, les fonctionnalités CRM, les outils de traduction et les fonctions d'assistance des produits Office, souvent sans être désignée comme telle. Pour chaque système identifié, la question du rôle se pose immédiatement : êtes-vous fournisseur ou exploitant, et modifiez-vous le système de manière à devenir fournisseur ? Ce n’est qu’en combinant ces deux aspects que l’on obtient une image fiable, car un même logiciel peut entraîner des obligations totalement différentes selon le contrat et l’utilisation qui en est faite.

Attribuez chaque système à une classe de risque. La plupart des applications d'entreprise se retrouvent dans la catégorie la plus basse. L'essentiel est d'identifier les rares cas qui ne s'y classent pas. Un modèle linguistique qui analyse des factures ne présente aucun risque. Ce même modèle, s’il sert à présélectionner des candidatures ou à statuer sur des prestations d’assurance, relève de l’annexe III et doit faire l’objet d’une évaluation documentée.

Mettez en pratique vos compétences en IA. Cette obligation est déjà en vigueur et, depuis l'entrée en vigueur de la directive « Omnibus », elle ne nécessite plus de dispositif particulier. Une formation documentée, adaptée au domaine d'activité concerné, suffit dans de nombreux cas à la satisfaire.

Mettez en place la documentation et la répartition des responsabilités en parallèle. Si l'on ne commence qu'à la veille d'un contrôle, il n'est plus possible de retracer avec quelles données un modèle a été entraîné ni qui a validé quelle décision. La journalisation, les versions et les processus de validation ne peuvent être enregistrés qu’au fur et à mesure. Pour que cela soit possible, il faut désigner un responsable : la gouvernance de l’IA se situe à la croisée de l’informatique, du droit, de la protection des données et des métiers ; sans cela, elle risque de passer entre les mailles du filet. Les points de convergence avec la protection des données sont d’ailleurs considérables, comme le montre l’article sur IA et protection des données montre.

Profitez de ce temps pour prendre vos décisions. Si vous envisagez de toute façon d'acquérir un système, demandez dès maintenant au fournisseur quelle est sa classification, quelle est sa documentation et quel est son calendrier de mise en conformité. Ces questions sont faciles à poser avant la signature du contrat, mais difficiles à aborder par la suite.

Conclusion

La loi européenne sur l'IA ne réglemente pas l'IA en tant que technologie, mais son utilisation dans des situations où des personnes sont concernées par les décisions prises. Pour la grande majorité des applications en entreprise, elle n'apporte que peu de changements. Pour les rares systèmes qui participent à la prise de décision en matière de recrutement, de crédit, de prestations ou de sécurité, elle exige des justificatifs qui ne peuvent pas être créés a posteriori.

Le report à décembre 2027 et août 2028 offre un peu de répit, mais ne change rien à cette logique. Ceux qui commencent dès aujourd’hui à dresser un inventaire et à clarifier les responsabilités peuvent s’attaquer sereinement aux tâches les plus chronophages. Celui qui attend devra ensuite effectuer le même travail dans l’urgence. Un bon point de départ est son propre environnement de processus : lorsque les documents et les demandes sont traités de manière automatisée, il est généralement possible de déterminer rapidement si une application relève réellement du domaine à haut risque ou si, comme dans la grande majorité des cas, elle ne fait que remplacer un travail fastidieux.

Le cadre juridique officiel, y compris les lignes directrices et les mises à jour, est publié par la Commission européenne. L'article consacré à la question explique en détail comment mettre concrètement en œuvre l'obligation de maîtrise de l'IA : Compétences en IA au sein de l'entreprise.