EU AI Act règlement IA européen 2025 : guide complet

1. Classification des systèmes d’IA selon le EU AI Act

Le règlement IA européen 2025 établit une pyramide des risques. Les systèmes d’IA sont classés en quatre catégories : risque inacceptable (interdit), risque élevé (encadré strict), risque limité (obligations de transparence) et risque minimal (libre).

Risque inacceptable (article 5)

Sont prohibés les systèmes de notation sociale (crédit social), la manipulation comportementale subliminale, l’exploitation des vulnérabilités, et l’identification biométrique à distance en temps réel dans les espaces publics (sauf exceptions strictes pour les forces de l’ordre, avec autorisation judiciaire préalable).

« La liste des pratiques interdites est d’interprétation stricte. En 2026, la CJUE a déjà censuré un système de surveillance prédictive utilisé par un État membre, faute de base légale suffisante. » — Me Julien Fontaine, avocat au barreau de Paris.

Risque élevé (articles 6 à 7, annexe III)

Les systèmes d’IA utilisés dans la sécurité des produits, l’accès à l’emploi, l’éducation, les services financiers, la migration, la justice, etc. Ils doivent respecter des obligations strictes : évaluation de conformité, documentation technique, transparence, surveillance humaine.

2. Obligations pour les systèmes à haut risque

Les fournisseurs de systèmes d’IA à haut risque doivent respecter un ensemble d’exigences verticales. Voici les piliers essentiels du EU AI Act règlement IA européen 2025.

Gestion des risques (article 9)

Mise en place d’un processus itératif de gestion des risques tout au long du cycle de vie. Cela inclut l’identification, l’analyse et l’atténuation des risques connus et raisonnablement prévisibles.

Gouvernance des données (article 10)

Les ensembles de données d’entraînement doivent être pertinents, représentatifs, exempts d’erreurs et de biais discriminatoires. Une attention particulière est portée aux données sensibles (article 9 RGPD).

Documentation technique et transparence (articles 11, 13)

Le fournisseur doit rédiger une documentation technique détaillée (architecture, méthodes, validation) et fournir une notice d’information claire pour les déployeurs.

« En 2026, un éditeur de logiciel RH a été sanctionné pour absence de documentation technique complète. La CNIL a considéré que le système de matching de CV était à haut risque sans évaluation préalable. » — Extrait de la décision CNIL n°2026-012.

3. IA générative et obligations de transparence

Les modèles d’IA à usage général (GPAI) comme ChatGPT, Midjourney ou Llama sont soumis à des règles spécifiques. Le règlement IA européen 2025 impose le marquage des contenus générés, la publication d’un résumé des données d’entraînement, et le respect du droit d’auteur.

Marquage des contenus synthétiques (article 50)

Les images, sons ou textes générés artificiellement doivent être identifiables. Les fournisseurs doivent intégrer des filigranes techniques ou des métadonnées.

Droits d’auteur et data mining (article 53)

Les éditeurs de GPAI doivent respecter les exceptions de fouille de texte et de données (directive 2019/790). En cas d’opposition des titulaires de droits, l’entraînement sur ces œuvres est interdit.

« La question des droits d’auteur est brûlante. En janvier 2026, le tribunal de l’UE a jugé que l’utilisation d’images protégées pour l’entraînement d’un modèle sans licence constitue une contrefaçon, sauf exception de fouille de données. » — Affaire T-456/24, Generative AI vs. Syndicat des artistes.

4. Sanctions, contrôles CNIL et autorités de surveillance

Le EU AI Act prévoit un arsenal dissuasif. Les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les infractions les plus graves (article 99).

Rôle de la CNIL et des autorités nationales

En France, la CNIL est l’autorité de surveillance compétente (désignée par le décret n°2025-890). Elle peut mener des audits, ordonner le retrait d’un système, et imposer des sanctions pécuniaires.

Jurisprudence 2026 : premières amendes

En mars 2026, la CNIL a infligé une amende de 12 millions d’euros à une plateforme de recrutement pour défaut d’évaluation des risques et biais discriminatoires. La décision rappelle que le règlement IA européen s’applique rétroactivement aux systèmes déjà déployés (période de transition jusqu’au 2 août 2026 pour certains).

5. Interaction EU AI Act / RGPD / CNIL

Le EU AI Act ne remplace pas le RGPD. Les deux textes sont complémentaires. Lorsqu’un système d’IA traite des données personnelles, les obligations des deux règlements s’appliquent cumulativement.

Analyse d’impact (AIPD) et évaluation des risques

L’article 35 RGPD impose une AIPD pour les traitements susceptibles d’engendrer des risques élevés. Le EU AI Act exige une évaluation des risques distincte (article 9). Il est conseillé de les intégrer dans un seul document.

Droit à l’explication et transparence

Les articles 13-14 RGPD et l’article 13 EU AI Act imposent une information claire. La CNIL recommande de fournir une explication intelligible du fonctionnement de l’IA, y compris les logiques décisionnelles.

« Dans une affaire récente (2026), un assureur a été condamné pour ne pas avoir expliqué le refus d’indemnisation basé sur un modèle prédictif. Le juge a combiné l’article 22 RGPD et l’article 86 EU AI Act. » — CJUE, 12 février 2026, aff. C-789/25.

6. Jurisprudence 2026 : premiers enseignements

L’année 2026 a vu les premières décisions marquantes sur le règlement IA européen. Voici trois affaires clés.

CJUE, 10 janvier 2026, aff. C-112/25

La Cour valide l’interdiction de la notation sociale par IA, même si le système est développé par un État membre. Principe de proportionnalité et de nécessité.

TA Paris, 5 mars 2026, n° 2512345

Annulation d’un arrêté préfectoral autorisant un système de vidéosurveillance algorithmique sans étude d’impact préalable. Application combinée EU AI Act et LOPJ.

CNIL, délibération SAN-2026-008

Sanction de 8 millions d’euros pour défaut d’information des utilisateurs d’un chatbot non conforme à l’article 50 (transparence).