IA Act : le règlement européen sur l'intelligence artificielle pour les entreprises
L'IA Act est le règlement européen (UE 2024/1689) qui encadre l'intelligence artificielle en fonction de son niveau de risque. Entré en vigueur le 1er août 2024, il s'applique progressivement à toutes les entreprises qui développent, fournissent ou utilisent un système d'IA sur le marché de l'UE. Concrètement, plus un système d'IA menace la sécurité ou les droits des personnes, plus les obligations légales sont strictes. Pour un dirigeant de PME, la vraie question n'est donc pas « suis-je concerné ? » mais « à quel niveau de risque se situe mon utilisation de l'IA, et quelles règles dois-je respecter ? ».
Ce guide vous explique, sans jargon inutile, ce qu'est l'AI Act, comment fonctionne son approche par le risque, quel est le calendrier réel d'application après le Digital Omnibus de 2026, et quelles démarches engager pour mettre votre entreprise en conformité. DOERSIS accompagne les TPE et PME sur ces sujets réglementaires et numériques : l'objectif ici est de vous donner une vision claire pour agir au bon moment, sur le bon sujet, sans céder à la panique ambiante.
Qu'est-ce que l'IA Act, ce règlement sur l'intelligence artificielle ?
L'intelligence artificielle est désormais partout : chatbots de support, outils de génération de contenu, logiciels de scoring commercial, aide au recrutement. Face à cette diffusion massive, l'Union européenne a adopté le premier cadre juridique complet au monde dédié à l'IA. Le règlement, que l'on désigne aussi par son nom anglais, l'AI Act, poursuit un double objectif : sécuriser le déploiement de ces technologies et préserver les droits fondamentaux, tout en soutenant l'innovation et le développement d'un marché européen de confiance. L'idée directrice est simple : encadrer sans étouffer. C'est aussi la première législation de cette ampleur au monde, ce qui en fait une référence que d'autres régions observent de près.
Un cadre juridique unique dans l'UE
Le cadre européen sur l'IA harmonise les règles dans tous les États membres de l'Union. Une entreprise française, allemande ou italienne obéit ainsi aux mêmes exigences, ce qui évite un patchwork de législations nationales. Ce cadre s'applique aussi bien aux fournisseurs établis dans l'UE qu'aux acteurs situés hors d'Europe, dès lors que leurs systèmes d'IA sont utilisés ou mis sur le marché européen. Un logiciel conçu aux États-Unis mais commercialisé auprès de clients européens doit donc s'y conformer. Cette portée extraterritoriale explique pourquoi ce dispositif est scruté par les géants technologiques du monde entier.
Les objectifs : protéger les droits fondamentaux et la sécurité
Derrière le texte, il y a une intention politique claire : faire en sorte que les systèmes d'IA déployés en Europe soient sûrs, transparents et respectueux des personnes. Le règlement protège en particulier la sécurité, la santé et les droits fondamentaux. La cybersécurité des PME en constitue le prolongement naturel. Un outil qui trie des candidatures, accorde un crédit ou oriente un diagnostic de santé peut avoir un impact direct sur la vie des gens : ces situations sont donc particulièrement surveillées. À l'inverse, un filtre anti-spam ou un correcteur orthographique ne présentent presque aucun risque et ne subissent aucune contrainte particulière. Cette logique de proportionnalité est la clé de voûte de tout le dispositif.
L'approche par niveau de risque de l'AI Act
Le cœur du dispositif repose sur une classification en quatre catégories, du plus dangereux au plus anodin. Cette approche par le risque détermine l'intensité des obligations qui pèsent sur chaque système d'IA. Comprendre à quel niveau se situe votre outil est la première étape de toute analyse de conformité, et souvent la plus éclairante : beaucoup de dirigeants découvrent que leurs usages relèvent des niveaux les plus bas, donc les moins contraignants.
Les quatre niveaux de risque prévus par l'AI Act sont les suivants :
Risque inacceptable : usages purement interdits, comme la notation sociale, la manipulation comportementale ou certaines surveillances biométriques de masse.
Risque élevé : systèmes d'IA à haut risque, soumis à des exigences strictes de documentation, de supervision humaine et de traçabilité.
Risque limité : chatbots et IA génératives, soumis à une simple obligation de transparence envers l'utilisateur.
Risque minimal : la grande majorité des applications courantes, sans obligation spécifique.
Le risque inacceptable : les pratiques interdites
Certaines pratiques sont jugées contraires aux valeurs de l'Union et sont donc interdites depuis le 2 février 2025. On y trouve la notation sociale des citoyens, les techniques de manipulation exploitant les vulnérabilités des personnes, ou encore certaines formes d'identification biométrique à distance. Le Parlement a d'ailleurs renforcé cette liste en y ajoutant les contenus sexuels non consensuels générés par IA. Pour une PME classique, ces interdictions concernent rarement l'activité quotidienne, mais il est utile de savoir qu'elles constituent la ligne rouge absolue du règlement, celle qui expose aux sanctions les plus lourdes.
Les systèmes d'IA à haut risque
C'est la catégorie la plus lourde en obligations. L'annexe III liste huit domaines dans lesquels un système d'IA est automatiquement classé à haut risque : la biométrie, les infrastructures critiques, l'éducation, l'emploi et le recrutement, l'accès aux services essentiels (dont le scoring de crédit), la répression pénale, la justice et la gestion des frontières. Si votre entreprise utilise un outil de présélection de CV ou un moteur de décision automatisée relevant de ces secteurs, vous manipulez très probablement une IA à haut risque, avec les exigences que cela implique. Un même logiciel peut d'ailleurs basculer dans cette catégorie selon l'utilisation concrète que vous en faites.
Le risque limité et le risque minimal
La plupart des entreprises se situent en réalité dans les deux niveaux les plus bas. Le risque limité impose surtout d'informer clairement l'utilisateur qu'il interagit avec une machine : un chatbot doit signaler qu'il n'est pas humain, un contenu généré par IA doit rester identifiable. Le risque minimal, lui, regroupe les usages sans danger particulier et n'entraîne aucune obligation légale. Cette gradation évite d'imposer des contraintes disproportionnées à des outils inoffensifs et laisse respirer l'innovation, ce qui rassure les entreprises craignant une réglementation paralysante.
Le calendrier d'application du règlement pour les entreprises
L'application de cette loi européenne ne s'est pas faite d'un bloc. Le législateur a prévu une entrée en vigueur progressive, par vagues successives, pour laisser aux entreprises le temps de s'adapter. Cette montée en charge s'étale de 2025 à 2028, et un ajustement récent, le Digital Omnibus, a modifié certaines échéances clés en 2026. Suivre ce calendrier est essentiel pour traiter le bon sujet au bon moment plutôt que de s'affoler sur une date mal comprise.
Les grandes échéances depuis l'entrée en vigueur
Le règlement, connu à l'international sous le nom d'AI Act, est entré en vigueur le 1er août 2024. Depuis, plusieurs jalons se sont succédé : le 2 février 2025, les interdictions et l'obligation de maîtrise de l'IA (la littératie) sont devenues effectives ; le 2 août 2025, les dispositions applicables aux modèles d'IA à usage général sont entrées en application ; et le 2 août 2026 marque l'entrée en application du régime de sanctions ainsi que des obligations de transparence. C'est cette dernière date qui a fait couler beaucoup d'encre auprès des dirigeants, souvent présentée de façon alarmiste alors que sa portée réelle est plus nuancée.
Ce que change le Digital Omnibus pour l'IA à haut risque
Un point récent mérite toute votre attention. Sous la pression des acteurs économiques, la Commission a proposé fin 2025 un paquet dit « Digital Omnibus », approuvé par le Parlement européen le 16 juin 2026 puis par le Conseil le 29 juin 2026. Ce texte reporte les obligations les plus lourdes des systèmes d'IA à haut risque : celles de l'annexe III glissent au 2 décembre 2027, et celles de l'annexe I (produits soumis au marquage CE) à l'horizon 2028. Tant que la publication au Journal officiel de l'UE n'est pas intervenue, le calendrier initial reste juridiquement la référence. Ce report ne supprime rien : il décale simplement l'échéance pour l'IA à haut risque, sans toucher aux interdictions, à la transparence, ni aux pouvoirs de sanction. Autrement dit, ce n'est pas un feu vert à l'inaction, mais un délai supplémentaire pour bien faire.
Quelles obligations pour les systèmes d'IA à haut risque ?
Les systèmes d'IA à haut risque concentrent l'essentiel des obligations du règlement. Le texte distingue deux grands rôles : celui des fournisseurs, qui conçoivent et mettent le système sur le marché, et celui des déployeurs, qui l'utilisent dans leur activité. Selon votre position dans la chaîne, vos responsabilités diffèrent nettement. Bien identifier votre rôle est donc déterminant pour connaître l'étendue exacte de vos devoirs.
Les exigences pour les fournisseurs
Les fournisseurs d'une IA à haut risque supportent la charge la plus lourde. Ils doivent mettre en place un système de gestion des risques, constituer une documentation technique complète (annexe IV), garantir la qualité des données d'entraînement, assurer la traçabilité et la supervision humaine, puis se soumettre à une procédure d'évaluation de la conformité avant la mise sur le marché. Des organismes notifiés interviennent parfois pour valider cette conformité et délivrer les attestations nécessaires. Ces exigences visent à démontrer, preuve à l'appui, que le système est sûr, robuste et fiable avant d'atteindre l'utilisateur final.
Les obligations des déployeurs et utilisateurs
Bonne nouvelle pour la plupart des PME : si vous vous contentez d'utiliser une IA tierce (un logiciel RH en SaaS, un outil de scoring, un assistant IA), l'essentiel de la charge de conformité repose sur le fournisseur. En tant que déployeur, l'utilisation d'un système tiers vous oblige surtout à respecter sa notice, assurer une supervision humaine, surveiller son fonctionnement et informer les personnes concernées lorsque c'est requis. La coordination avec votre DPO (délégué à la protection des données) devient précieuse, car les questions de données personnelles et d'IA se recoupent largement. Ce DPO devient souvent le pivot naturel de votre mise en conformité.
Les modèles d'IA à usage général et la transparence
Une catégorie à part mérite l'attention : les modèles d'IA à usage général, ces grands modèles polyvalents qui alimentent les principaux assistants conversationnels. Depuis le 2 août 2025, leurs fournisseurs sont soumis à des règles spécifiques, distinctes du régime « haut risque ». Ces modèles servent de brique de base à une multitude d'applications, ce qui justifie un traitement dédié dans le règlement.
Les règles pour les modèles d'IA à usage général
Tout fournisseur d'un modèle d'IA à usage général commercialisé dans l'UE doit documenter le fonctionnement de son modèle, publier un résumé du contenu utilisé pour l'entraînement et respecter le droit d'auteur européen. Les modèles présentant un risque systémique se voient imposer des obligations renforcées en matière de sécurité et d'évaluation. Pour une PME utilisatrice, ces contraintes pèsent sur l'éditeur du modèle, et non sur vous — mais elles expliquent pourquoi vos outils IA évoluent et se dotent progressivement de mentions de transparence et d'informations sur leurs données.
L'obligation de transparence au 2 août 2026
La transparence est l'un des piliers du dispositif qui touche le plus grand nombre d'entreprises. À compter du 2 août 2026, l'article 50 impose d'informer les utilisateurs lorsqu'ils interagissent avec une IA et de signaler les contenus artificiels (images, sons, textes générés). Si votre site déploie un chatbot ou publie des visuels créés par IA, cette obligation vous concerne directement. C'est une mise en conformité relativement simple à réaliser, souvent une mention ou un marquage, mais à ne surtout pas négliger, car elle relève des règles actives dès cette échéance.
IA Act et RGPD : deux cadres qui se complètent
Beaucoup de dirigeants confondent l'AI Act et le RGPD. Les deux textes se complètent sans se remplacer — pour approfondir, voir notre guide de mise en conformité RGPD. Le RGPD encadre le traitement des données personnelles ; le texte européen encadre la conception et l'usage des systèmes d'IA, qu'ils traitent ou non des données personnelles. Dans les faits, la plupart des projets d'IA touchent aux deux réglementations en même temps, ce qui rend leur articulation incontournable.
Pourquoi traiter les deux réglementations ensemble
Un outil de recrutement qui analyse des CV traite des données personnelles (donc RGPD) et relève potentiellement du haut risque (donc de l'AI Act). Gérer ces deux volets en silo disperse les équipes et multiplie le travail. En pratique, mieux vaut construire une cartographie unique de vos usages, reliant chaque système d'IA à sa classification, à ses obligations et à son registre de traitement. Cette approche intégrée réduit les coûts, évite les oublis et offre une vue d'ensemble bien plus lisible pour la direction comme pour les autorités.
Qui veille à l'application du règlement en Europe ?
Le règlement met en place une gouvernance à plusieurs étages. Au niveau européen, un Bureau de l'IA rattaché à la Commission coordonne l'ensemble, notamment pour les modèles à usage général. Un comité européen de l'IA réunit les représentants des États membres afin d'assurer une application homogène. Chaque pays doit par ailleurs désigner des autorités compétentes chargées de la surveillance du marché sur son territoire.
Les autorités de surveillance nationales
Ce sont ces autorités nationales qui contrôleront le respect du règlement, traiteront les plaintes et pourront prononcer des sanctions. En France, plusieurs institutions se partagent ce rôle selon les secteurs. Leur mission couvre la surveillance des systèmes mis sur le marché, la vérification de la conformité et, en cas de manquement grave, le retrait d'un produit. Pour une entreprise, savoir à quelle autorité s'adresser en cas de question devient un réflexe utile à intégrer dans sa démarche de conformité.
Comment mettre votre entreprise en conformité avec l'IA Act
Face à ce paysage réglementaire posé par l'AI Act, l'inaction n'est pas une option, même avec le report du volet haut risque. La bonne approche consiste à cartographier vos usages, à les classer par niveau de risque, puis à traiter en priorité ce qui s'applique dès maintenant : la transparence et la maîtrise de l'IA par vos équipes. Une démarche méthodique vaut mille réactions dans l'urgence.
Les premières étapes de la mise en conformité
Voici une feuille de route pragmatique pour démarrer sereinement :
Recenser tous les systèmes d'IA utilisés dans l'entreprise : outils internes, logiciels SaaS, extensions et modules cachés dans vos applications métier.
Déterminer le niveau de risque de chaque usage selon la grille du règlement.
Vérifier les obligations de transparence et les appliquer sans attendre l'échéance.
Former vos collaborateurs à un usage responsable de l'IA, au titre de l'obligation de littératie déjà en vigueur.
Documenter vos décisions et coordonner le sujet avec votre DPO et vos services concernés.
Cette démarche progressive vous évite de tout traiter d'un coup et de paniquer sur la mauvaise échéance. Elle transforme une obligation subie en un chantier maîtrisé, étalé dans le temps.
Se faire accompagner : le rôle de DOERSIS
La complexité du règlement, la superposition des calendriers et l'articulation avec le RGPD peuvent vite décourager un dirigeant déjà accaparé par son activité. C'est précisément là que DOERSIS intervient : cartographier vos usages d'IA, identifier vos obligations réelles selon votre niveau de risque, puis vous accompagner dans la mise en conformité sans jargon ni surcoût inutile. L'IA Act n'est pas qu'une contrainte : bien anticipé, il devient un gage de confiance vis-à-vis de vos clients et un véritable avantage concurrentiel sur un secteur de plus en plus sensible à l'usage responsable de l'intelligence artificielle.