EU AI Act
Pourquoi c’est important
En profondeur
La loi est entrée en vigueur en août 2024 mais s'applique par phases plutôt que d'un coup. Les interdictions visant les pratiques à risque inacceptable, ainsi qu'une exigence générale de littératie en IA, ont pris effet à partir de février 2025. Les obligations pour les modèles d'IA à usage général ont suivi en août 2025, et l'essentiel du régime à haut risque devait arriver en août 2026 jusqu'à ce que l'omnibus numérique, en vigueur depuis juillet 2026, le repousse au 2 décembre 2027, l'IA intégrée à des produits déjà réglementés (dispositifs médicaux, machinerie, véhicules) ayant jusqu'au 2 août 2028. Il en résulte un calendrier de conformité échelonné que les équipes juridiques et d'ingénierie suivent aux côtés des efforts plus larges de réglementation de l'IA dans le monde, et c'est devenu le document d'ancrage de la plupart des programmes de gouvernance de l'IA en entreprise.
Les quatre paliers de risque
La loi trie les systèmes d'IA en quatre paliers. Les usages à risque inacceptable sont interdits d'emblée : la notation sociale par les gouvernements, les techniques manipulatrices qui exploitent des vulnérabilités, le moissonnage non ciblé d'images faciales pour bâtir des bases de reconnaissance, la reconnaissance des émotions en milieu de travail et à l'école, et la plupart des identifications biométriques à distance en temps réel par les forces de l'ordre dans les espaces publics. Les usages à haut risque — tri des candidatures et promotions, notation de crédit, admissions scolaires, infrastructures critiques, identification biométrique et IA servant de composante de sécurité de produits réglementés — sont légaux mais portent de lourdes obligations : un système de gestion des risques, des contrôles de gouvernance des données pour attraper les biais dans les données d'entraînement, une documentation technique, de la journalisation, une supervision humaine et une inscription dans une base de données de l'UE avant le déploiement. Les systèmes à risque limité doivent surtout de la transparence : les agents conversationnels doivent divulguer qu'ils sont de l'IA, et le contenu synthétique comme les deepfakes doit être étiqueté. Tout le reste — filtres antipourriel, IA de jeu vidéo, la plupart des ajustements de recommandation — est à risque minimal et ne fait face à aucune nouvelle obligation.
Les règles pour l'IA à usage général
Un chapitre dédié couvre les modèles d'IA à usage général (GPAI) — les modèles de fondation et les grands modèles de langage de pointe sur lesquels les produits en aval sont bâtis. Les fournisseurs doivent tenir une documentation technique, publier un résumé suffisamment détaillé du contenu d'entraînement et adopter une politique de respect du droit d'auteur européen, pour que les entreprises qui ajustent ou bâtissent sur le modèle aient l'information nécessaire pour se conformer elles-mêmes, un peu comme une fiche de modèle normalisée dotée d'une force juridique. Les modèles entraînés avec plus de 10^25 FLOPS cumulés sont présumés porter un risque systémique et font face à une seconde couche : des évaluations de modèle incluant des tests adverses et du red teaming, le signalement des incidents graves au Bureau européen de l'IA, et des exigences de cybersécurité. Les modèles publiés sous licence libre et à code source ouvert obtiennent des exemptions partielles des devoirs de documentation — mais plus une fois franchi le seuil de risque systémique, une exception qui compte pour l'écosystème des poids ouverts.
Ce n'est pas un bureau de permis d'IA
Une idée fausse répandue veut que la loi exige une approbation gouvernementale avant qu'un système d'IA puisse être livré en Europe. Ce n'est pas le cas. L'écrasante majorité des applications d'IA tombent dans le palier à risque minimal et ne portent aucune nouvelle obligation. Même pour les systèmes à haut risque, la conformité est surtout autoévaluée : le fournisseur mène une évaluation de la conformité, la documente, appose un marquage de type CE et inscrit le système — il n'y a pas de file d'attente de licences préalables à la mise en marché chez un régulateur. Seule la courte liste des pratiques interdites est carrément bannie, et seuls les modèles à usage général à risque systémique interagissent directement avec le Bureau européen de l'IA avant et après leur publication. La loi laisse aussi largement hors de sa portée la recherche pure, l'usage personnel non commercial et une bonne part du développement à code source ouvert.
L'application et la suite
L'application est partagée : le Bureau de l'IA de la Commission européenne supervise les modèles à usage général et à risque systémique, tandis que les autorités nationales de surveillance du marché de chaque État membre encadrent tout le reste. Les sanctions varient selon l'infraction — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 3 % pour la plupart des autres violations — calculées sur les revenus mondiaux, et c'est pourquoi même des entreprises non européennes y prêtent attention. Les jalons restants s'échelonnent maintenant jusqu'en 2027 et 2028 à mesure que le régime à haut risque se met en place, que les normes harmonisées se finalisent et que les codes de bonnes pratiques pour les fournisseurs de GPAI s'installent dans les attentes quotidiennes. Comme réécrire des produits pour chaque juridiction coûte cher, bien des fournisseurs normalisent mondialement sur les exigences de la loi, ce qui lui donne une influence bien au-delà des frontières de l'Europe.