IA Act : ce que le règlement européen change pour votre entreprise

Votre équipe produit a intégré un module de recommandation, un assistant conversationnel ou un outil de tri de candidatures. Ces briques fonctionnent, vos clients les apprécient, et un grand compte vous demande désormais des garanties de conformité avant de signer. Le Règlement (UE) 2024/1689, dit IA Act, encadre précisément ces usages. Comprendre son architecture vous permet de transformer une exigence réglementaire en argument commercial.

L'essentiel en 30 secondes. L'IA Act est le premier cadre juridique complet au monde sur l'intelligence artificielle. Il classe les systèmes selon leur niveau de risque et impose des obligations graduées. Votre position dépend de votre rôle : fournisseur qui développe un système, ou déployeur qui l'utilise. Maîtriser cette distinction conditionne vos obligations et votre capacité à rassurer clients et investisseurs.

Un règlement directement applicable, pas une directive

L'IA Act a été publié au Journal officiel de l'Union européenne le 12 juillet 2024 et est entré en vigueur le 1er août 2024. Étant un règlement, il s'applique directement dans tous les États membres, sans transposition nationale préalable. Vos obligations découlent donc du texte européen lui-même, ce qui garantit une lecture homogène sur l'ensemble du marché intérieur.

Le règlement vise un objectif double. Il protège les droits fondamentaux et la sécurité des personnes face aux usages problématiques de l'IA. Il sécurise aussi un marché unique de l'intelligence artificielle, dans lequel les entreprises conformes circulent librement et gagnent en crédibilité commerciale.

Fournisseur ou déployeur : votre rôle détermine vos obligations

Le règlement distingue plusieurs acteurs, mais deux concernent la grande majorité des PME tech. Le fournisseur développe un système d'IA, ou le fait développer, puis le met sur le marché ou en service sous son propre nom. Le déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel.

Une startup qui édite un logiciel de scoring et le commercialise agit comme fournisseur. Une PME qui se contente d'utiliser un outil tiers pour présélectionner des candidats agit comme déployeur. Les obligations diffèrent sensiblement entre ces deux situations, le fournisseur portant la charge la plus lourde.

Cette ligne de partage demande de la vigilance. Un déployeur qui modifie substantiellement un système, ou l'exploite sous sa propre marque, peut basculer dans le statut de fournisseur. Vous assumez alors des responsabilités nettement étendues, raison pour laquelle une qualification juridique précoce vous évite de mauvaises surprises.

L'approche par les risques, colonne vertébrale du texte

L'IA Act ne traite pas tous les systèmes d'intelligence artificielle de la même manière. Il les classe selon une pyramide des risques à quatre niveaux, et calibre les obligations en conséquence. Cette logique proportionnée évite d'imposer des contraintes lourdes à des usages anodins.

Au sommet figurent les pratiques à risque inacceptable, purement et simplement interdites depuis le 2 février 2025. La notation sociale, l'exploitation des vulnérabilités d'une personne ou la reconnaissance des émotions sur le lieu de travail relèvent de cette catégorie prohibée.

Viennent ensuite les systèmes à haut risque, soumis à des obligations strictes de gestion des risques, de qualité des données, de documentation et de surveillance humaine. Les systèmes à risque limité, comme les agents conversationnels, supportent de simples obligations de transparence. La grande majorité des outils, enfin, relèvent du risque minimal et ne déclenchent aucune obligation particulière.

Ce que cela implique concrètement pour une PME utilisatrice

Si vous utilisez l'IA sans la développer, votre première tâche consiste à cartographier vos systèmes et à les rattacher au bon niveau de risque. Cet inventaire conditionne tout le reste, car une obligation ne naît qu'à partir d'une classification correcte. Un outil de tri de CV, par exemple, relève du haut risque au titre de l'emploi.

Pour les systèmes à haut risque que vous déployez, vous devez assurer une surveillance humaine effective, utiliser le système conformément à sa notice, et conserver les journaux générés. Vous informez aussi les personnes concernées lorsque le système prend des décisions les affectant. Ces gestes, bien documentés, deviennent des preuves de sérieux face à un client exigeant.

Une obligation transversale mérite votre attention immédiate. Depuis le 2 février 2025, toute organisation qui développe ou utilise de l'IA doit garantir un niveau suffisant de littératie en IA parmi son personnel. Former vos équipes à comprendre les systèmes qu'elles manipulent n'est plus seulement une bonne pratique, mais une exigence légale.

Un calendrier remanié par le Digital Omnibus

L'application du règlement s'étale dans le temps, et ce calendrier a évolué récemment. Les interdictions et la littératie s'appliquent depuis février 2025. Les règles sur les modèles d'IA à usage général, la gouvernance et les sanctions s'appliquent depuis le 2 août 2025. Les obligations de transparence de l'article 50 s'appliquent à compter du 2 août 2026.

Le volet le plus structurant a été reporté. L'accord politique sur le Digital Omnibus, conclu le 7 mai 2026, décale l'entrée en application des obligations relatives aux systèmes à haut risque. Les systèmes de l'Annexe III, comme ceux liés à l'emploi ou à la biométrie, deviennent applicables au 2 décembre 2027. Les systèmes intégrés à des produits réglementés suivent au 2 août 2028.

Ce report n'est pas une invitation à l'attentisme. Il vous offre une fenêtre pour structurer votre conformité sereinement, avant que vos concurrents ne s'y mettent. Le Digital Omnibus prévoit d'ailleurs des allégements ciblés pour les PME et les small mid-caps, dont une documentation technique simplifiée et un accès élargi aux bacs à sable réglementaires.

La conformité comme accélérateur commercial

Les sanctions prévues par l'article 99 sont dissuasives, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites. Pour les PME et les startups, c'est le montant le plus faible des plafonds qui s'applique, ce qui tempère le risque financier sans le supprimer. L'enjeu réel se situe ailleurs.

Une entreprise capable de démontrer sa conformité à l'IA Act franchit plus vite les due diligences d'investisseurs et les processus d'achat des grands comptes. La conformité documentée devient un actif, un signal de maturité qui raccourcit les cycles de vente et rassure les partenaires. Anticiper aujourd'hui, c'est sécuriser vos signatures de demain.

Vous utilisez ou développez de l'IA et souhaitez sécuriser votre position avant vos prochaines levées ou signatures ? Échangeons sur votre conformité IA Act.

Sources

• Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle