Conformité AI Act : le guide pas à pas du règlement européen sur l'IA

Le règlement sur l'intelligence artificielle a été adopté le 13 juin 2024 par le Parlement européen et le Conseil, publié au Journal officiel de l'Union européenne le 12 juillet 2024 et il est entré en vigueur le 1er août 2024. C'est un règlement, comme le RGPD : il s'applique tel quel dans chaque État membre, sans loi de transposition. Seuls quelques points sont laissés aux États, comme la désignation des autorités de contrôle et le régime national des sanctions.

Le texte ne réglemente pas une technologie, mais des usages. Le même modèle de langage peut être sans enjeu dans un outil d'aide à la rédaction et relever du haut risque dans un logiciel qui trie des candidatures. C'est pourquoi la mise en conformité part toujours de la destination d'un système, c'est-à-dire l'usage prévu par son fournisseur, et du contexte dans lequel on l'utilise.

Qui est concerné ?

L'article 2 vise les fournisseurs qui mettent sur le marché ou en service des systèmes d'IA ou des modèles d'IA à usage général dans l'Union, où qu'ils soient établis ; les déployeurs établis dans l'Union ; les fournisseurs et déployeurs établis hors de l'Union quand les résultats du système sont utilisés dans l'Union ; les importateurs, distributeurs, fabricants de produits et mandataires. Une entreprise qui ne développe aucune IA est donc concernée dès qu'elle en utilise une dans un cadre professionnel : elle est alors déployeur.

Sont exclus, notamment, les systèmes utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ceux développés et mis en service à la seule fin de recherche scientifique, les travaux de recherche et de développement avant la mise sur le marché, et l'usage purement personnel et non professionnel. Le chapitre système d'IA et inventaire détaille ce périmètre.

Le règlement s'applique par étapes. Son article 113, tel que modifié par l'omnibus numérique sur l'IA, fixe aujourd'hui les dates suivantes :

L'omnibus : ce qui est adopté, et depuis quand

Proposé par la Commission le 19 novembre 2025, l'omnibus numérique sur l'IA a fait l'objet d'un accord politique entre le Parlement et le Conseil le 7 mai 2026. Il a ensuite été voté par le Parlement européen le 16 juin 2026, adopté par le Conseil le 29 juin, signé le 8 juillet et publié au Journal officiel le 24 juillet 2026 sous le numéro (UE) 2026/1744. Il est entré en vigueur le 27 juillet 2026, quelques jours avant l'échéance du 2 août 2026 qu'il venait déplacer pour le haut risque.

Les nouvelles dates ne sont donc plus un projet : ce sont celles du texte en vigueur, que la Commission a reportées dans le texte consolidé et dans le calendrier de son service d'assistance sur l'AI Act. L'omnibus apporte aussi d'autres changements, présentés dans les chapitres concernés : maîtrise de l'IA reformulée, deux interdictions nouvelles, enregistrement simplifié des systèmes que leur fournisseur estime hors du haut risque, allègements étendus aux petites entreprises à moyenne capitalisation, compétences du Bureau de l'IA précisées pour les systèmes fondés sur des modèles d'IA à usage général.

Le règlement ne prescrit pas de méthode de mise en conformité. Les chapitres de ce guide suivent l'ordre logique dans lequel les questions se posent : on ne peut savoir quelles exigences s'appliquent qu'après avoir classé un système, et on ne peut le classer qu'après l'avoir repéré.

1. Étape 1 Inventorier les systèmes d'IA Ce qu'est un système d'IA au sens de l'article 3, ce qui sort du champ, et comment recenser les usages.
2. Étape 2 Classer par niveau de risque Pratiques interdites, haut risque (annexes I et III), transparence, risque minimal, modèles d'IA à usage général.
3. Étape 3 Identifier son rôle Fournisseur, déployeur, importateur, distributeur : les obligations de chacun et les cas de bascule.
4. Étape 4 Satisfaire aux exigences du haut risque Articles 9 à 15, système de gestion de la qualité, évaluation de la conformité, marquage CE et enregistrement.
5. Étape 5 Gouverner et former Maîtrise de l'IA (article 4), comité et règles d'usage, articulation avec le RGPD et le droit du travail.
6. Étape 6 Surveiller et rendre des comptes Suivi en service, incidents graves, autorités de contrôle en France et sanctions.

Pour une vue d'ensemble plus courte du texte, lisez notre article AI Act : ce que le règlement européen sur l'IA change pour vous. Les définitions des termes employés sont réunies dans le glossaire.

Pour rendre chaque étape concrète, ce guide suit une entreprise fictive. Le recrutement s'y prête bien : l'annexe III du règlement range parmi les usages à haut risque les systèmes destinés au recrutement ou à la sélection de personnes, notamment pour analyser et filtrer les candidatures et évaluer les candidats. La CNIL cite d'ailleurs le tri automatique de CV comme exemple d'usage concerné à la fois par l'AI Act et par le RGPD.

Une démarche AI Act réutilise beaucoup de briques existantes : la gouvernance, la gestion des risques et la conformité, les analyses de risques, l'AIPD du RGPD et l'évaluation des fournisseurs. Pour ceux qui veulent un cadre de management certifiable, la norme ISO 42001 organise la gouvernance de l'IA sur le modèle d'ISO 27001.