IA Act : obligations, calendrier et guide complet du règlement européen

Ce que le règlement européen change concrètement

Mardi matin, réunion de direction dans une ETI de services. À l'ordre du jour, un point rapide sur « la conformité IA ». Le directeur juridique pose une question simple : combien d'outils d'intelligence artificielle l'entreprise utilise-t-elle aujourd'hui ? Silence. Personne n'a le chiffre.

Entre le correcteur intégré à la suite bureautique, l'assistant du CRM, les trois abonnements ChatGPT pris « pour tester », le module de tri de CV du logiciel RH et le chatbot du site, la réponse honnête est : beaucoup plus qu'on ne le croyait. C'est exactement le point de départ de l'IA Act.

Quatre niveaux de risque, une logique de proportionnalité

L'IA Act ne réglemente pas « l'intelligence artificielle » en général. Il réglemente des systèmes, en fonction de l'usage qu'on en fait. Le même modèle de langage peut relever du risque minimal quand il résume des notes internes, et du haut risque quand il filtre des candidatures à l'embauche.

Les pratiques inacceptables sont interdites depuis février 2025 : notation sociale, manipulation subliminale, reconnaissance des émotions sur le lieu de travail, police prédictive fondée sur le seul profilage. Ce sont des lignes rouges, pas des cases à cocher.

Le haut risque, lui, n'est pas interdit : il est encadré. Un système de scoring de crédit ou un outil de présélection RH reste autorisé, à condition de respecter sept familles d'obligations (voir plus bas). Le risque limité se contente d'une obligation de transparence. Et le risque minimal, qui concerne l'écrasante majorité des usages, n'impose rien de spécifique.

Fournisseur ou déployeur ? La question qui décide de vos obligations

L'IA Act distingue plusieurs rôles le long de la chaîne de valeur : le fournisseur (celui qui développe le système et le met sur le marché), le déployeur (celui qui l'utilise dans le cadre d'une activité professionnelle), l'importateur et le distributeur. Vos obligations ne dépendent pas de votre taille, mais de votre rôle.

La plupart des entreprises françaises sont des déployeurs. Elles n'ont pas à produire la documentation technique d'un système ni à obtenir un marquage CE, mais elles doivent former leur personnel, utiliser l'outil conformément à sa notice, assurer un contrôle humain réel et informer les personnes exposées à une décision assistée par IA.

Attention au glissement de rôle : un déployeur qui modifie substantiellement un système à haut risque, ou qui le commercialise sous sa propre marque, devient fournisseur et récupère l'ensemble des obligations qui vont avec. Personnaliser lourdement un modèle avant de le revendre n'est pas un détail contractuel.

Le « Digital Omnibus » a-t-il vidé l'IA Act de sa substance ?

Fin 2025, la Commission a proposé un paquet de simplification numérique, le « Digital Omnibus ». Après un accord politique au printemps 2026, il a été publié au Journal officiel de l'Union européenne durant l'été et a modifié le calendrier de l'IA Act.

Ce qui bouge : les obligations des systèmes à haut risque de l'annexe III passent du 2 août 2026 au 2 décembre 2027, et celles de l'annexe I au 2 août 2028. Le motif officiel est pragmatique : les normes techniques harmonisées et les autorités de contrôle n'étaient pas prêtes.

Ce qui ne bouge pas : les interdictions de février 2025, les règles sur les modèles à usage général d'août 2025, et les obligations de transparence de l'article 50, applicables depuis le 2 août 2026. Autrement dit, le report concerne un étage de la fusée, pas la fusée entière. Reporter sa mise en conformité « parce que Bruxelles a reculé » repose sur une lecture optimiste du communiqué de presse.

Obligations des systèmes à haut risque : les sept piliers

Pour un système classé à haut risque, le fournisseur doit mettre en place, sur tout le cycle de vie du produit :

• Un système de gestion des risques continu, documenté et mis à jour.
• Une gouvernance des données : jeux d'entraînement, de validation et de test pertinents, représentatifs et examinés pour les biais.
• Une documentation technique complète (annexe IV) et une journalisation automatique des événements.
• De la transparence envers les déployeurs : une notice d'utilisation claire sur les capacités, les limites et les conditions d'emploi.
• Un contrôle humain effectif, prévu dès la conception, permettant de comprendre, superviser et interrompre le système.
• De l'exactitude, de la robustesse et de la cybersécurité, mesurées et déclarées.
• Un système de gestion de la qualité, une évaluation de conformité, un marquage CE et un enregistrement dans la base de données de l'Union.

Le déployeur d'un système à haut risque, de son côté, doit respecter la notice, confier la supervision à des personnes compétentes, conserver les journaux, signaler les incidents graves et — pour les organismes publics et certains services essentiels — réaliser une analyse d'impact sur les droits fondamentaux.

Obligations de transparence : ce qui s'applique déjà

L'article 50 est le premier bloc d'obligations qui touche directement le grand public, et il est contraignant depuis le 2 août 2026. Trois règles simples : une personne qui interagit avec un système d'IA doit en être informée ; les contenus générés ou manipulés par IA (images, audio, vidéo, textes d'intérêt public) doivent être marqués comme tels ; les deepfakes doivent être signalés.

Pour un site qui exploite un chatbot ou une entreprise qui diffuse des visuels produits par IA, la mise en conformité est concrète : mention explicite, marquage technique des fichiers, mise à jour des mentions légales. Les systèmes déjà en ligne avant août 2026 bénéficient d'un sursis jusqu'au 2 décembre 2026 pour le seul marquage des contenus.

Modèles à usage général : le cas OpenAI, Mistral et consorts

Depuis le 2 août 2025, les fournisseurs de modèles d'IA à usage général (GPAI) ont leurs propres obligations : documentation technique du modèle, politique de respect du droit d'auteur, résumé public des données d'entraînement, et — pour les modèles présentant un « risque systémique » — évaluation des risques et tests contradictoires.

Pour une entreprise déployeuse, l'intérêt est indirect mais réel : ces obligations rendent enfin possible l'audit de la brique d'IA qu'on intègre. Demander à son fournisseur s'il a publié son résumé de données d'entraînement et s'il suit le code de bonnes pratiques GPAI n'est plus une question exotique.

IA Act et RGPD : deux règlements, une seule cartographie

L'erreur classique consiste à traiter l'IA Act comme un nouveau chantier indépendant. En pratique, il se superpose au RGPD sur la plupart des usages. Un outil de tri de candidatures traite des données personnelles (RGPD : base légale, information, éventuellement analyse d'impact) et constitue un système à haut risque (IA Act : documentation, contrôle humain, transparence).

La bonne nouvelle, c'est que la cartographie des traitements exigée par le RGPD sert de socle. Il suffit d'y ajouter une colonne « système d'IA : oui/non », puis « niveau de risque » et « rôle : fournisseur ou déployeur ». En France, laCNILa d'ailleurs choisi de traiter les deux règlements ensemble dans ses recommandations.

Ce que l'IA Act change pour les cabinets d'avocats et les directions juridiques

Deux réflexes à corriger d'emblée. D'abord, un cabinet ou une direction juridique qui utilise un outil d'IA est déployeur, pas fournisseur : les obligations lourdes de conception ne le concernent pas, mais la littératie en IA, elle, est obligatoire depuis février 2025 pour toutes les équipes qui manipulent ces outils.

Ensuite, tout ce qui touche au droit n'est pas « à haut risque ». L'annexe III vise l'IA destinée à assister une autorité judiciaire dans l'établissement des faits et l'application du droit, pas un logiciel de relecture de contrats utilisé par uncabinet d'avocatsou unedirection juridique d'entreprise. Ces usages relèvent le plus souvent du risque limité, avec une obligation de transparence.

Reste une évidence qu'il vaut mieux rappeler : l'IA Act ne remplace pas le secret professionnel ni les règles déontologiques. Il s'y ajoute. Coller une clause client dans un outil grand public « juste pour voir » était déjà un problème avant le règlement ; ça en reste un après. Noslimites de ChatGPT en droitdétaillent ce point.

Auditer son fournisseur d'IA juridique au regard de l'IA Act

Choisir un outil d'IA, c'est désormais aussi choisir un co-responsable de conformité. Avant de signer, une grille de questions à poser à l'éditeur :

• Rôles : qui est fournisseur, qui est déployeur, et qu'est-ce que le contrat met à votre charge ?
• Classification : le système relève-t-il du haut risque, du risque limité ou du risque minimal, et sur quelle base l'éditeur le justifie-t-il ?
• Documentation : une notice d'utilisation conforme à l'article 13 est-elle fournie ?
• Transparence : les contenus générés sont-ils identifiables comme tels (article 50) ?
• Données : lieu d'hébergement, contrat de sous-traitance RGPD, engagement contractuel de non-utilisation de vos documents pour l'entraînement.
• Traçabilité : chaque réponse renvoie-t-elle à une source vérifiable, et les journaux sont-ils exportables ?

C'est précisément la logique retenue par Tallos : hébergement exclusivement en France, engagement contractuel de « zero training », et traçabilité des sources sur chaque analyse. Le détail des mesures figure sur la pagesécurité et confidentialité. Pour comparer les familles d'outils, voir aussi notrecomparatif des IA pour juristes.

Sanctions : jusqu'à 7 % du chiffre d'affaires mondial

Les montants affichés plus haut (35, 15 et 7,5 millions d'euros, ou 7 %, 3 % et 1 % du chiffre d'affaires) sont des plafonds, pas des amendes automatiques. Mais ils fixent l'ordre de grandeur : sur le papier, l'IA Act peut coûter plus cher que le RGPD.

Dans les faits, le risque le plus courant pour une entreprise moyenne n'est pas l'amende record : c'est la découverte, à l'occasion d'un incident ou d'un contrôle, qu'un système utilisé depuis des mois n'a jamais été cartographié, classé ni documenté. Le coût réel se mesure alors en remédiation d'urgence, pas en pourcentage de chiffre d'affaires.

Par où commencer : une feuille de route en six étapes

• 1. Cartographier. Recenser tous les systèmes d'IA utilisés, y compris la « shadow AI » installée sans validation. On ne protège pas ce qu'on ne connaît pas.
• 2. Classer. Pour chaque système, déterminer le niveau de risque et le rôle de l'entreprise (fournisseur ou déployeur).
• 3. Former. Mettre en place la littératie en IA — obligation déjà en vigueur — pour les équipes concernées.
• 4. Documenter. Notices, journaux, analyses d'impact, registre des systèmes d'IA adossé au registre RGPD.
• 5. Contractualiser. Revoir les contrats fournisseurs à la lumière de la grille d'audit ci-dessus.
• 6. Gouverner. Désigner un référent, prévoir une revue périodique et un canal de signalement des incidents.

Aucune de ces étapes ne suppose d'attendre décembre 2027. La cartographie et la formation sont utiles dès aujourd'hui, et elles conditionnent tout le reste.