Le règlement européen sur l’intelligence artificielle (l’IA Act, ou AI Act) est le règlement (UE) 2024/1689. Il s’applique par étapes depuis février 2025, et il a été modifié le 27 juillet 2026 par le règlement (UE) 2026/1744, connu sous le nom de Digital Omnibus.
Le point de situation en une phrase : les obligations de transparence de l’article 50 sont applicables depuis le 2 août 2026, tandis que les obligations « haut risque » ont été reportées à décembre 2027 et août 2028.
L’annonce du report a laissé croire que « l’IA Act est repoussé ». C’est faux pour la partie qui concerne le plus grand nombre d’organisations : l’article 50 s’applique depuis le 2 août 2026, et les pratiques interdites depuis février 2025. Le règlement (UE) 2026/1744 reporte trois blocs (le haut risque de l’annexe III, celui de l’annexe I, et les bacs à sable réglementaires nationaux), et il ne reporte aucune autre date d’application. Il en ajoute en revanche de nouvelles, à commencer par le 2 décembre 2026 — et il accorde aux fournisseurs de systèmes générant des contenus de synthèse déjà sur le marché un délai supplémentaire pour l’article 50, paragraphe 2, jusqu’à cette même date.
Quand l’IA Act s’applique-t-il, et qu’est-ce qui est déjà exigible ?
Le règlement est applicable depuis le 2 août 2026, mais il se déclenche par étapes depuis février 2025. Sont exigibles aujourd’hui : les pratiques interdites — à l’exception des deux points ajoutés par l’omnibus, exigibles le 2 décembre 2026 — la maîtrise de l’IA, les obligations sur les modèles d’IA à usage général, le régime de sanctions et la transparence de l’article 50. Le haut risque, lui, a été reporté à décembre 2027 et août 2028.
- 2 février 2025En vigueurPratiques d’IA interdites et maîtrise de l’IALes chapitres I et II s’appliquent : maîtrise de l’IA (article 4), pratiques interdites de l’article 5, points a) à h), et l’intégralité du régime d’autorisation de l’identification biométrique à distance en temps réel. Deux interdictions font exception, ajoutées depuis et applicables le 2 décembre 2026.
- 2 août 2025En vigueurObligations des fournisseurs de modèles d’IA à usage généralLe chapitre V s’applique : documentation technique, information des fournisseurs en aval, politique de respect du droit d’auteur et résumé suffisamment détaillé des contenus d’entraînement. S’appliquent aussi le chapitre III, section 4 (autorités notifiantes et organismes notifiés), le chapitre VII (gouvernance), le chapitre XII (sanctions) à l’exception de l’article 101, et l’article 78 (confidentialité).
- 27 juillet 2026En vigueurAction représentative des consommateursLes articles 102 à 110 sont applicables. Le seul qui produise un effet direct sur un opérateur est l’article 110 : il inscrit le règlement sur l’IA à l’annexe I de la directive (UE) 2020/1828, ce qui ouvre l’action représentative des consommateurs contre une violation du texte.
- 2 août 2026Applicable maintenantTransparence, article 50Information des personnes qui interagissent avec un système d’IA, marquage lisible par machine des contenus de synthèse, étiquetage des hypertrucages, information en cas de reconnaissance des émotions ou de catégorisation biométrique. L’article 50 n’a pas d’échéance propre : il relève du chapitre IV, que le troisième alinéa de l’article 113 ne liste pas. Il n’a pas été reporté.
- 2 août 2026Applicable maintenantAmendes de la Commission aux fournisseurs de modèles à usage généralL’article 101 est le seul article du chapitre XII que le troisième alinéa de l’article 113 exclut de la date du 2 août 2025 : il relève donc de la date générale. Les pouvoirs de contrôle de la Commission sur le chapitre V prennent effet à la même date, un an après les obligations qu’ils sanctionnent.
- 2 décembre 2026Deux interdictions nouvelles, article 5Application des points b bis) et b ter) de l’article 5, paragraphe 1 : matériel intime non consenti, et matériel ou spectacle d’abus sexuels sur enfants. Les paragraphes 1 bis et 1 ter, applicables à la même date, définissent la portée de ces deux points : ce ne sont pas des interdictions supplémentaires. Ce n’est pas une période transitoire, c’est une date d’application.
- 2 décembre 2026Rattrapage de l’article 50, paragraphe 2Les fournisseurs de systèmes générant des contenus de synthèse mis sur le marché avant le 2 août 2026 doivent se conformer au paragraphe 2 tout entier : marquer les contenus dans un format lisible par machine et les rendre identifiables comme générés ou manipulés par une IA. Deux obligations, pas une. Ce rattrapage ne vise ni les déployeurs, ni les systèmes qui ne génèrent pas de contenu de synthèse.
- 2 août 2027Bacs à sable réglementaires nationaux (obligation des États membres)Chaque État membre doit avoir rendu opérationnel au moins un bac à sable réglementaire de l’IA. Mise en place reportée d’un an par le règlement (UE) 2026/1744.
- 2 août 2027Modèles d’IA à usage général antérieurs au 2 août 2025Les fournisseurs de modèles d’IA à usage général mis sur le marché avant le 2 août 2025 doivent avoir pris les mesures nécessaires pour se conformer aux obligations prévues par le règlement. Le texte ne restreint pas cette mise en conformité au seul chapitre V.
- 2 décembre 2027Haut risque, annexe IIILes sections 1, 2 et 3 du chapitre III s’appliquent aux systèmes classés à haut risque au titre de l’article 6, paragraphe 2 : biométrie, infrastructures critiques, éducation, emploi et recrutement, services essentiels et scoring de crédit, répression, migration, justice et démocratie. Reporté depuis le 2 août 2026.
- 2 août 2028Haut risque, annexe ILes mêmes sections s’appliquent aux systèmes classés à haut risque au titre de l’article 6, paragraphe 1 : l’IA composant de sécurité d’un produit déjà couvert par une législation d’harmonisation de l’Union. Reporté depuis le 2 août 2027.
- 2 août 2030Butoir du secteur publicLes fournisseurs et les déployeurs de systèmes à haut risque destinés à être utilisés par des autorités publiques doivent s’être mis en conformité, qu’il y ait eu ou non modification importante de la conception. C’est la limite du régime d’antériorité de l’article 111, paragraphe 2.
- 31 décembre 2030Systèmes d’information à grande échelle, annexe XLes systèmes d’IA composants des systèmes d’information à grande échelle énumérés à l’annexe X et mis sur le marché ou mis en service avant le 2 août 2027 doivent être mis en conformité.
Le détail de chaque échéance, sa base juridique et les quatre pièges de lecture de ce calendrier sont sur la page dédiée.
Qui doit respecter l’IA Act ?
Toute organisation qui développe, met sur le marché ou utilise un système d’IA dans un cadre professionnel, quelle que soit sa taille, sous réserve des exclusions de l’article 2 — usage exclusivement militaire, de défense ou de sécurité nationale, recherche scientifique, développement avant mise sur le marché, et systèmes publiés sous licence libre hors haut risque, article 5 et article 50. Le règlement ne raisonne ni par métier ni par effectif, mais par rôle : fournisseur, déployeur, importateur, distributeur. Une organisation établie hors de l’Union est concernée dès lors que les sorties de son système sont utilisées dans l’Union.
Une question précède celle-ci, et elle est souvent sautée : votre outil est-il un système d’IA au sens de l’article 3, point 1 ? La définition est plus large qu’on ne le croit, et la Commission a publié seize pages pour dire où elle s’arrête.
→ Mon outil est-il un système d’IA au sens du règlement ?
Le règlement raisonne par rôles, définis à l’article 3, et la qualification se fait système par système. Le fournisseur est celui qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système en service sous son propre nom ou sa propre marque, deux conditions cumulatives. Le déployeur est celui qui l’utilise sous sa propre autorité, hors usage personnel non professionnel. S’y ajoutent le mandataire, l’importateur et le distributeur.
Deux points suffisent à situer une organisation. Intégrer un modèle dans un produit que vous commercialisez fait de vous le fournisseur du système, même sans avoir entraîné aucun modèle, sans faire de vous le fournisseur du modèle. Et être établi hors de l’Union ne suffit pas à sortir du champ : l’article 2, paragraphe 1, point c) rattrape le fournisseur ou le déployeur d’un pays tiers dès lors que les sorties du système sont utilisées dans l’Union.
→ Les rôles, les cinq questions qui tranchent et la bascule de l’article 25
Quels sont les niveaux de risque de l’IA Act ?
Quatre, souvent présentés en pyramide : risque inacceptable, haut risque, risque limité soumis à la seule transparence de l’article 50, et risque minimal. Deux régimes échappent pourtant à cette grille et s’appliquent quand même : la maîtrise de l’IA de l’article 4, qui ne dépend d’aucun niveau, et les modèles d’IA à usage général, qui forment un chapitre à part. La pyramide est une aide de lecture, pas la structure du texte.
L’IA Act ne régule pas l’intelligence artificielle en tant que technologie, mais les usages, gradués selon leur risque.
| Niveau | Ce que cela recouvre | Conséquence |
|---|---|---|
| Inacceptable | Dix pratiques interdites à l’article 5 : manipulation, exploitation de vulnérabilités, matériel intime non consenti, matériel ou spectacle d’abus sexuels sur enfants, notation sociale, prédiction d’infractions, moissonnage non ciblé d’images faciales, émotions au travail et à l’école, catégorisation biométrique sensible, identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives | Huit applicables depuis le 2 février 2025 ; les deux ajoutées par le règlement (UE) 2026/1744 (matériel intime non consenti et matériel ou spectacle d’abus sexuels sur enfants) le 2 décembre 2026 |
| Haut risque | Huit domaines à l’annexe III : biométrie, infrastructures critiques, éducation, emploi et recrutement, services essentiels et solvabilité, répression, migration, justice et démocratie ; et l’IA composant de sécurité d’un produit couvert par l’annexe I et soumis à une évaluation de conformité par un tiers | Obligations lourdes, applicables le 2 décembre 2027 et le 2 août 2028 |
| Risque limité | Interaction avec une personne, génération de contenus de synthèse, hypertrucages, reconnaissance des émotions | Transparence de l’article 50, applicable depuis le 2 août 2026 |
| Risque minimal | Tout le reste | Aucune obligation spécifique au titre de ces niveaux |
Deux conditions cumulatives pour l’annexe I, pas une. Un système intégré dans un produit de l’annexe I qui n’est pas soumis à évaluation de conformité par un tiers n’est pas à haut risque à ce titre.
Le règlement (UE) 2026/1744 a en outre ajouté trois filtres à l’article 6, et ce sont ses modifications les plus favorables aux entreprises. Un système utilisé « uniquement pour des aspects non liés à la sécurité » (assistance aux utilisateurs, optimisation des performances, efficacité des services, automatisation, commodité, contrôle de la qualité) n’est pas un composant de sécurité. Mais un système dont « la défaillance ou le dysfonctionnement mettrait en danger la santé et la sécurité » en redevient un. Et un produit soumis à évaluation par un tiers uniquement pour des risques autres que la santé et la sécurité (le spectre radioélectrique, les interférences électromagnétiques) ne remplit pas la seconde condition de l’annexe I.
Deux autres précisions que la présentation en pyramide fait presque toujours disparaître.
La maîtrise de l’IA ne dépend d’aucun niveau. L’article 4 impose aux fournisseurs et aux déployeurs de systèmes d’IA, quel que soit le risque de leurs systèmes, de prendre des mesures pour développer la maîtrise de l’IA de leur personnel. Cette obligation existe depuis le 2 février 2025, mais sa rédaction actuelle date du 27 juillet 2026 : c’est le règlement (UE) 2026/1744 qui a ajouté qu’elle « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». Citer le texte d’aujourd’hui en le datant de février 2025 serait un anachronisme.
Comme le reste du règlement, l’article 4 s’applique sous réserve des exclusions de l’article 2 : usage personnel non professionnel, recherche scientifique, développement avant mise sur le marché, défense et sécurité nationale, et systèmes publiés sous licence libre hors haut risque, article 5 et article 50.
Les modèles d’IA à usage général forment un régime à part, au chapitre V, qui ne se range dans aucun des quatre niveaux. Il vise les modèles, pas les systèmes, et s’applique depuis le 2 août 2025.
Être à l’annexe III ne suffit pas à être à haut risque
C’est la disposition la plus mal comprise du règlement, et elle change la réponse pour beaucoup d’organisations.
« Par dérogation au paragraphe 2, un système d’IA visé à l’annexe III n’est pas considéré comme étant à haut risque lorsqu’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, y compris en n’ayant pas d’incidence significative sur le résultat de la prise de décision. »
Source : Article 6, paragraphe 3, premier alinéa
Le second alinéa énumère quatre situations : tâche procédurale étroite, amélioration du résultat d’une activité humaine déjà réalisée, détection d’écarts par rapport à des constantes sans se substituer à l’évaluation humaine, tâche préparatoire.
L’articulation des deux alinéas n’est pas tranchée. Une lecture fait de l’absence de risque important une condition de fond autonome, dont les quatre situations ne sont que les portes d’entrée ; l’autre considère que ces quatre situations épuisent l’appréciation. Le projet de lignes directrices de la Commission sur la classification à haut risque, mis en ligne le 19 mai 2026, retient plutôt la seconde, mais il n’est pas adopté, et l’échéance du 2 février 2026 que le règlement fixait à la Commission pour les publier est dépassée.
Deux garde-fous, en revanche, ne souffrent aucune discussion.
Le profilage barre l’exemption en toute hypothèse. Un système visé à l’annexe III « est toujours considéré comme étant à haut risque lorsqu’il effectue un profilage de personnes physiques ».
Et sortir du haut risque n’est pas sortir du règlement. L’article 6, paragraphe 4 impose au fournisseur qui se prévaut de cette exemption de documenter son évaluation avant la mise sur le marché, et de s’enregistrer dans la base de données de l’Union.
Que dit l’article 50 de l’IA Act ?
Depuis le 2 août 2026, l’article 50 est applicable. La Commission le lit, dans un projet de lignes directrices non adopté et non contraignant, comme portant quatre obligations. Le texte, lui, ne compte rien.
Cette grille est commode, à condition de retenir ce qu’elle a d’essentiel : ces obligations ne pèsent pas sur les mêmes acteurs. Le tableau ci-dessous en compte cinq lignes parce qu’il sépare les deux alinéas du paragraphe 4, que la Commission range sous une seule obligation et dont les régimes diffèrent.
| Obligation | Qui la porte | Base |
|---|---|---|
| Informer la personne qu’elle interagit avec un système d’IA, sauf évidence contextuelle ou usage répressif autorisé par la loi | Fournisseur | art. 50, §1 |
| Marquer les contenus de synthèse dans un format lisible par machine et les rendre identifiables comme générés ou manipulés par une IA | Fournisseur | art. 50, §2 |
| Informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique | Déployeur | art. 50, §3 |
| Indiquer qu’un hypertrucage a été généré ou manipulé par une IA | Déployeur | art. 50, §4, 1er al. |
| Indiquer qu’un texte publié pour informer le public sur des questions d’intérêt public a été généré ou manipulé par une IA | Déployeur | art. 50, §4, 2e al. |
L’exemption qui vide le champ pour toute rédaction. Le second alinéa du paragraphe 4 ne s’applique pas « lorsque le contenu généré par l’IA a fait l’objet d’un processus d’examen humain ou de contrôle éditorial et lorsqu’une personne physique ou morale assume la responsabilité éditoriale de la publication du contenu ». Les deux conditions sont cumulatives : l’une sans l’autre ne suffit pas.
Le mot du texte français est « hypertrucage », pas « deepfake ».
Une échéance courte reste devant vous, et elle est plus large qu’on ne la présente. Les fournisseurs de systèmes générant des contenus de synthèse mis sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour se conformer au paragraphe 2, c’est-à-dire au marquage et à la détectabilité, les deux obligations que ce paragraphe porte. Ce rattrapage ne vise ni les déployeurs, ni les systèmes qui ne génèrent pas de contenu de synthèse.
Les modèles d’IA à usage général
Le chapitre V vise les modèles, pas les systèmes, et il n’a pas été reporté : les obligations des fournisseurs s’appliquent depuis le 2 août 2025. Documentation technique, information des fournisseurs en aval, politique de respect du droit d’auteur et résumé public du contenu d’entraînement.
Deux nuances comptent. Les modèles mis sur le marché avant le 2 août 2025, c’est-à-dire l’essentiel du parc en service, ont jusqu’au 2 août 2027 pour se mettre en conformité. Et une licence libre et ouverte n’exempte que des deux premières obligations, jamais lorsque le modèle présente un risque systémique.
Au-delà de 10²⁵ opérations en virgule flottante cumulées à l’entraînement, le modèle est présumé avoir des capacités à fort impact, ce qui le fait entrer dans le régime du risque systémique. La présomption peut être renversée, et le franchissement du seuil oblige le fournisseur à notifier la Commission dans les deux semaines.
Quelles sont les sanctions prévues par l’IA Act ?
Trois plafonds, et le plus cité n’est pas le plus élevé. 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites de l’article 5, article 99, paragraphe 3. 15 millions ou 3 % pour les manquements du paragraphe 4, dont la transparence de l’article 50. 7,5 millions ou 1 % pour une information inexacte donnée en réponse à une demande, paragraphe 5. Le chiffre de 15 millions, souvent présenté comme le maximum, est le deuxième des trois.
Le montant le plus élevé des deux termes est retenu dans chaque cas, et le paragraphe 4 couvre expressément les obligations des fournisseurs, des déployeurs, des importateurs, des distributeurs et des mandataires.
Pour les PME, la règle s’inverse : c’est le montant le plus faible qui est retenu. Pour les petites entreprises à moyenne capitalisation, cette inversion ne joue pas sur l’article 5 : une petite ETI qui enfreint une pratique interdite reste exposée au plafond le plus élevé.
Une nuance de calendrier vaut d’être signalée : une obligation peut être applicable sans que son régime de sanction le soit encore. Les pratiques interdites s’appliquent depuis le 2 février 2025, l’article 99 depuis le 2 août 2025.
Existe-t-il une certification IA Act ?
Il n’existe pas de certification « IA Act » générale, et c’est l’idée reçue la plus coûteuse du sujet. Des certificats existent bien, délivrés par des organismes notifiés, mais ils ne concernent qu’une fraction des systèmes : pour les points 2 à 8 de l’annexe III, soit sept domaines d’usage sur huit, l’article 43, paragraphe 2 impose la procédure fondée sur le contrôle interne de l’annexe VI, « qui ne prévoit pas d’intervention d’un organisme notifié ».
Pour ces sept domaines, ce qui porte la démonstration est votre évaluation interne documentée, pas un certificat. Deux cas font exception : le point 1 de l’annexe III, la biométrie, où l’article 43, paragraphe 1 ouvre le choix entre contrôle interne et organisme notifié — et encore, à condition d’avoir appliqué des normes harmonisées ; et l’annexe I, où c’est le droit sectoriel qui désigne la procédure.
Au 24 août 2026, date de notre dernière vérification, aucune référence de norme harmonisée n’a été publiée au Journal officiel de l’Union européenne au titre du règlement (UE) 2024/1689, de sorte que la présomption de conformité de l’article 40, celle que tout le monde invoque, n’est activable pour personne.
→ Ce qui compte réellement comme preuve de conformité
Par où commencer, dans quel ordre ?
L’ordre des opérations compte davantage que la vitesse.
- Recenser les systèmes d’IA utilisés ou développés, y compris les usages informels apparus dans les équipes.
- Qualifier votre rôle, système par système : fournisseur, déployeur, ou les deux. C’est cette qualification qui commande tout le reste.
- Classer chaque système, en n’oubliant ni le filtre de l’article 6, paragraphe 3, ni le fait qu’en sortir se documente.
- Vérifier l’article 5 : les pratiques interdites sont exigibles depuis février 2025 et portent le plafond de sanction le plus élevé.
- Documenter la maîtrise de l’IA, exigible depuis février 2025 et rarement formalisée.
- Traiter l’article 50, exigible depuis le 2 août 2026, avec le 2 décembre 2026 pour seule échéance courte.
- Construire la trajectoire vers décembre 2027 pour ce qui relève du haut risque.
Sur quoi ce guide s’appuie
Chaque affirmation de cette page est adossée au texte du règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744, dans sa version consolidée au 27 juillet 2026, étant entendu que le texte qui fait foi est celui publié au Journal officiel, la version consolidée n’ayant qu’une valeur documentaire. Lorsqu’une lecture est celle de la Commission européenne et non celle du texte, la page le dit : les lignes directrices de la Commission ne sont pas contraignantes.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026, règlement (UE) 2026/1744 et le projet de lignes directrices de la Commission sur les obligations de transparence de l’article 50, non adopté et non contraignant, consultés le 27 août 2026.
Questions fréquentes
L’IA Act est-il reporté ?
Trois blocs seulement sont reportés : le haut risque de l’annexe III au 2 décembre 2027, celui de l’annexe I au 2 août 2028, et les bacs à sable réglementaires nationaux au 2 août 2027. Tout le reste s’applique : les pratiques interdites depuis février 2025, la maîtrise de l’IA depuis février 2025, les obligations sur les modèles à usage général depuis août 2025, et les obligations de transparence de l’article 50 depuis le 2 août 2026.
Quelle est la différence entre « IA Act » et « AI Act » ?
Aucune : ce sont deux graphies du même texte, le règlement (UE) 2024/1689. « AI Act » reprend le sigle anglais, « IA Act » sa transposition française. Le nom officiel en français est « règlement sur l’intelligence artificielle ». Ce texte a été modifié le 27 juillet 2026 par le règlement (UE) 2026/1744, dit Digital Omnibus : lire la version de juillet 2024 seule conduit à des erreurs. Le texte qui fait foi reste celui publié au Journal officiel ; la version consolidée d’EUR-Lex est un outil de documentation, commode mais sans effet juridique.
Quelles sont les sanctions prévues ?
Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour le non-respect des pratiques interdites de l’article 5, au titre de l’article 99, paragraphe 3. Et jusqu’à 15 millions ou 3 % pour les manquements listés au paragraphe 4 du même article, dont les obligations de transparence de l’article 50. Le montant le plus élevé des deux est retenu, sauf pour les PME, pour lesquelles le règlement inverse la règle et retient le plus faible.
Mon entreprise est-elle concernée si elle utilise seulement ChatGPT ?
Oui. Utiliser un outil sous votre propre autorité dans un cadre professionnel fait de vous un déployeur au sens de l’article 3, point 4, et l’obligation de maîtrise de l’IA de l’article 4 pèse sur les déployeurs depuis le 2 février 2025, sous réserve des exclusions de l’article 2, dont l’usage personnel non professionnel et la recherche. Attention en revanche à la répartition des rôles dans l’article 50 : informer l’utilisateur qu’il parle à une IA et marquer les contenus de synthèse incombent au fournisseur du système, pas à vous. Ce qui vous incombe en tant que déployeur, c’est d’indiquer qu’un hypertrucage a été généré par une IA, et de le faire aussi pour un texte publié dans le but d’informer le public sur des questions d’intérêt public, sauf si ce texte a fait l’objet d’un examen humain ou d’un contrôle éditorial et que quelqu’un en assume la responsabilité éditoriale.
Par quoi commencer pour savoir ce qui s’applique à nous ?
Par deux questions, dans cet ordre. D’abord la qualification du rôle, système par système : fournisseur, déployeur, ou les deux sur des systèmes différents, ce qui commande l’intégralité des obligations. Ensuite le niveau de risque de chaque système : interdit, haut risque, transparence de l’article 50, ou aucun de ces trois. Les deux réponses se croisent, et c’est ce croisement qui donne la liste des obligations et leurs dates.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.