EU AI Act : le règlement IA européen en français expliqué

1. Champ d'application et définitions essentielles

Le EU AI Act règlement IA européen en français s'applique à tous les fournisseurs de systèmes d'IA établis dans l'Union européenne, ainsi qu'aux déployeurs situés dans l'UE. Il concerne également les fournisseurs et déployeurs de pays tiers lorsque les résultats produits par le système d'IA sont utilisés dans l'Union.

« Attention : le règlement a une portée extraterritoriale très large. Même une société américaine qui développe un chatbot utilisé par des clients français est directement soumise au texte. » — Me Julien Lefebvre, avocat au barreau de Paris.

Le texte définit un système d'IA comme « un système automatisé conçu pour fonctionner avec différents niveaux d'autonomie, qui peut faire preuve d'une capacité d'adaptation après son déploiement et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu'il reçoit, la manière de générer des résultats tels que des prédictions, du contenu, des recommandations ou des décisions ». Cette définition large couvre la majorité des applications actuelles, des algorithmes de recommandation aux LLM comme GPT-4 ou Gemini.

2. Catégories de risques et obligations

Le EU AI Act règlement IA européen en français adopte une approche fondée sur le risque, avec quatre catégories distinctes :

2.1 Risque inacceptable (interdit)

Sont interdits les systèmes de scoring social, la manipulation comportementale subliminale, l'exploitation des vulnérabilités des personnes, la reconnaissance biométrique à distance en temps réel dans les espaces publics (sauf exceptions très limitées pour les forces de l'ordre), et la catégorisation biométrique basée sur des données sensibles.

« La CJUE a confirmé en janvier 2026 (affaire C-456/25) que l'interdiction du scoring social s'applique également aux algorithmes utilisés par les assureurs pour fixer des primes basées sur le comportement en ligne. » — Note de jurisprudence.

2.2 Risque élevé

Cette catégorie concerne les systèmes d'IA utilisés dans des domaines critiques : accès à l'emploi, éducation, crédit, justice, migrations, infrastructures critiques. Les fournisseurs doivent respecter des obligations strictes : évaluation de conformité, documentation technique, gestion des risques, transparence, supervision humaine.

2.3 Risque limité

Obligations de transparence : les utilisateurs doivent être informés qu'ils interagissent avec une IA (chatbots, deepfakes).

2.4 Risque minimal

Libre utilisation, mais soumis aux codes de conduite volontaires.

3. Systèmes d'IA à haut risque : mise en conformité

La mise en conformité avec le EU AI Act règlement IA européen en français pour les systèmes à haut risque implique plusieurs étapes obligatoires :

• Évaluation de conformité : auto-évaluation pour la plupart des systèmes, mais intervention d'un organisme notifié pour certains (biométrie, sécurité).
• Documentation technique : description détaillée de l'architecture, des données d'entraînement, des performances.
• Gestion des risques : processus itératif d'identification et d'atténuation des risques.
• Transparence : enregistrement dans la base de données européenne.
• Supervision humaine : mesures permettant aux opérateurs de contrôler et d'arrêter le système.

« L'absence de documentation technique complète est l'une des premières causes de sanction. En 2025, la CNIL a infligé une amende de 4 millions d'euros à une société française pour ce seul motif. » — Retour d'expérience.

4. IA à usage général (GPAI) : transparence et droits d'auteur

Les modèles d'IA à usage général (comme les grands modèles de langage) sont soumis à des règles spécifiques depuis août 2025. Les fournisseurs doivent :

• Publier un résumé suffisamment détaillé des données d'entraînement.
• Respecter le droit d'auteur (opt-out des ayants droit).
• Mettre en place une politique de respect de la législation sur les données.

Les modèles présentant un risque systémique (plus de 10²⁵ FLOPs) sont soumis à des obligations renforcées : évaluation des risques, tests contradictoires, reporting d'incidents.

« La question des droits d'auteur est explosive. En mars 2026, le tribunal de l'UE a jugé que l'utilisation d'œuvres protégées sans autorisation pour l'entraînement constitue une violation, sauf exception de fouille de textes et de données (text and data mining). » — Affaire T-123/25.

5. Gouvernance : autorités nationales et européennes

Le EU AI Act règlement IA européen en français crée une architecture de gouvernance à plusieurs niveaux :

• Bureau européen de l'IA (au sein de la Commission) : supervise les GPAI et coordonne les autorités nationales.
• Comité européen de l'IA (AI Board) : composé des représentants des États membres, assure une application cohérente.
• Autorités nationales compétentes : en France, la CNIL est désignée comme autorité de surveillance (depuis le décret n°2025-789).
• Organismes notifiés : évaluent la conformité des systèmes à haut risque.

Les entreprises doivent désigner un point de contact unique pour les autorités. La CNIL a déjà publié des lignes directrices sur les modalités de contrôle.

« La CNIL a annoncé en janvier 2026 la création d'une brigade IA dédiée, avec des pouvoirs d'inspection renforcés. Attendez-vous à des contrôles inopinés dès le second semestre 2026. » — Actualité réglementaire.

6. Sanctions, voies de recours et jurisprudence 2026

Les sanctions sont dissuasives :

• Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les violations des pratiques interdites.
• Jusqu'à 15 millions d'euros ou 3 % du CA pour les manquements aux obligations des systèmes à haut risque.
• Jusqu'à 7,5 millions d'euros ou 1,5 % du CA pour les informations inexactes.

Les citoyens disposent d'un droit de recours effectif. La jurisprudence de 2026 a précisé plusieurs points :

• CJUE 12 janvier 2026, aff. C-456/25 : le scoring social inclut les algorithmes de tarification dynamique basés sur le profil comportemental.
• TPIUE 8 mars 2026, aff. T-123/25 : le droit d'auteur prime sur l'entraînement des IA, sauf exception de fouille de textes.
• Conseil d'État, 15 février 2026, n° 478965 : la CNIL peut ordonner la suspension immédiate d'un système d'IA à haut risque non conforme.

7. Calendrier d'application et obligations immédiates

Le EU AI Act règlement IA européen en français s'applique de manière progressive :

• 1er août 2024 : entrée en vigueur.
• 2 février 2025 : application des règles sur les pratiques interdites.
• 2 août 2025 : application des règles pour les GPAI.
• 2 août 2026 : application des règles pour les systèmes à haut risque (annexe III).
• 2 août 2027 : application pour les systèmes à haut risque de l'annexe II (jouets, dispositifs médicaux).

En 2026, les entreprises doivent avoir finalisé leur cartographie des systèmes d'IA et engagé les procédures de conformité pour les systèmes à haut risque. Les fournisseurs de GPAI doivent déjà être en conformité depuis août 2025.

« Ne tardez pas : les délais sont courts. La CNIL recommande de commencer par un registre des traitements IA, comme pour le RGPD. » — Recommandation officielle.

8. Impact sur le RGPD et la protection des données

Le EU AI Act règlement IA européen en français ne remplace pas le RGPD mais le complète. Les systèmes d'IA traitant des données personnelles doivent respecter les deux textes. Points de vigilance :

• Les évaluations d'impact sur la protection des données (EIPD) sont souvent requises pour les systèmes à haut risque.
• Le droit d'explication (art. 86 EU AI Act) s'ajoute au droit à l'information du RGPD.
• Les transferts de données vers des pays tiers doivent être sécurisés (notamment pour l'entraînement).
• La minimisation des données est renforcée pour les systèmes biométriques.