IA Act : l’Europe entre dans l’ère de l’intelligence artificielle réglementée

L’intelligence artificielle n’est plus seulement un sujet technologique. Elle devient progressivement un sujet juridique à part entière.

Avec le règlement européen sur l’intelligence artificielle, plus connu sous le nom d’IA Act, l’Union européenne s’est dotée du règlement (UE) 2024/1689, un cadre général destiné à réglementer le développement et l’utilisation des systèmes d’IA.

Entré en vigueur le 1er août 2024, le texte prévoit une application progressive. Depuis le 2 août 2026, une grande partie de ses dispositions est applicable, même si certaines obligations continueront d’entrer en vigueur ultérieurement. Le texte lui-même a par ailleurs déjà évolué : sa version consolidée en vigueur date du 27 juillet 2026.

Réglementer en fonction du risque

La philosophie de l’IA Act est relativement simple : plus un système d’IA est susceptible d’avoir des conséquences importantes sur les personnes, plus son encadrement est strict.

Certaines pratiques considérées comme présentant un risque inacceptable sont interdites. D’autres systèmes sont qualifiés de « haut risque », notamment lorsqu’ils interviennent dans des domaines sensibles comme l’emploi, l’éducation, certains services essentiels, la justice, l’immigration ou la biométrie.

Ils peuvent alors être soumis à des exigences renforcées : gestion des risques, documentation, traçabilité, qualité des données, contrôle humain ou encore évaluation de conformité.

À l’inverse, de nombreux usages courants de l’IA restent autorisés avec des contraintes beaucoup plus limitées.

L’objectif européen n’est donc pas d’encadrer uniformément toutes les intelligences artificielles, mais de concentrer les obligations sur les usages présentant les risques les plus importants.

Depuis 2026, la transparence devient concrète

C’est probablement l’une des évolutions les plus visibles pour le grand public.

Depuis le 2 août 2026, les obligations de transparence prévues par l’IA Act sont applicables. Lorsqu’une personne interagit avec certains systèmes d’IA, comme un chatbot ou un agent conversationnel, elle doit notamment pouvoir comprendre qu’elle communique avec une intelligence artificielle, sauf lorsque cela ressort déjà clairement du contexte.

Le règlement prévoit également des exigences concernant l’identification de certains contenus synthétiques ou manipulés et encadre les deepfakes.

Derrière ces obligations apparaît un principe essentiel : l’utilisateur doit pouvoir identifier la présence de l’intelligence artificielle lorsqu’elle intervient dans son interaction avec un service ou dans certains contenus auxquels il est exposé.

ChatGPT, Mistral et les modèles généralistes sont également concernés

Les modèles d’IA à usage général, les GPAI, pour General-Purpose AI, disposent d’un régime spécifique.

Les fournisseurs de ces modèles sont notamment concernés par des obligations de documentation technique, d’information des entreprises qui les intègrent à leurs propres produits et par certaines exigences relatives au droit d’auteur. Des obligations supplémentaires peuvent concerner les modèles présentant des risques systémiques.

Cette distinction est importante : développer un modèle d’intelligence artificielle et construire un service utilisant un modèle existant ne donnent pas nécessairement naissance aux mêmes obligations.

Pour les entreprises européennes, l’une des premières difficultés consiste donc à déterminer leur place dans cette chaîne : fournisseur du modèle, fournisseur du système ou autre acteur prévu par le règlement.

La France : réguler, mais sans freiner l’innovation

La position française est particulièrement intéressante car elle repose sur un équilibre délicat.

La France soutient l’encadrement européen de l’intelligence artificielle et organise progressivement son application nationale. La CNIL conserve notamment ses compétences lorsqu’un système d’IA traite des données personnelles : l’IA Act ne remplace pas le RGPD, et les deux réglementations peuvent s’appliquer simultanément.

Mais la politique française ne consiste pas uniquement à ajouter des contraintes.

L’État défend parallèlement le développement d’un écosystème français et européen de l’IA et cherche à éviter qu’une réglementation trop complexe ne ralentisse l’innovation face aux acteurs internationaux.

Cette ligne comporte néanmoins un autre volet : renforcer la protection sur certains risques précis.

Lors du G7 d’Évian en juin 2026, Emmanuel Macron a ainsi déclaré vouloir pousser au niveau européen un meilleur encadrement de l’intelligence artificielle et de son marquage, en évoquant notamment les conséquences possibles de ces technologies sur les démocraties. Dans le même temps, il a rappelé l’importance de développer l’innovation, les capacités de calcul et les centres de données.

La position française peut donc se résumer autour de trois objectifs : faire appliquer effectivement l’IA Act, renforcer certaines protections lorsque de nouveaux risques apparaissent et simplifier suffisamment le cadre pour préserver la capacité d’innovation européenne.

Cette recherche d’équilibre sera probablement l’un des principaux débats réglementaires des prochaines années.

Une mise en œuvre plus complexe qu’il n’y paraît

Sur le papier, classer les systèmes selon leur niveau de risque semble relativement simple. Dans la pratique, les entreprises doivent répondre à une série de questions beaucoup plus complexes.

L’outil utilisé relève-t-il juridiquement de l’IA Act ? Quel est le rôle de l’entreprise ? Quel niveau de risque lui correspond ? Traite-t-il des données personnelles ? D’autres réglementations sectorielles s’appliquent-elles ?

Une même solution peut ainsi être concernée par l’IA Act, le RGPD, le droit de la consommation, le droit d’auteur ou différentes réglementations sectorielles.

La première étape d’une politique de conformité pourrait donc devenir la cartographie des usages de l’IA : quels systèmes sont utilisés, pour quelles finalités, avec quelles données, sous la responsabilité de qui et avec quelles conséquences potentielles pour les personnes ?

Cette gouvernance pourrait progressivement devenir aussi structurante pour les organisations que la protection des données ou la cybersécurité.

Des sanctions importantes

L’IA Act n’est pas un simple ensemble de recommandations.

Pour certaines violations particulièrement graves, le règlement prévoit des amendes administratives pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total de l’exercice précédent, selon les situations et les conditions prévues par le texte.

D’autres manquements disposent de plafonds différents et le règlement prévoit également des dispositions particulières concernant les entreprises, notamment les PME.

La conformité à l’IA devient donc progressivement un véritable sujet de gouvernance pour les entreprises.

Le calendrier n’est pas encore terminé

Même après août 2026, l’IA Act continue de se déployer progressivement.

Certaines dispositions disposent encore d’échéances ultérieures. La version actuelle du règlement prévoit notamment différentes dates d’application ou de transition jusqu’en 2027, 2028 et au-delà.

Cette progressivité traduit une difficulté fondamentale : transformer des principes juridiques en exigences suffisamment précises pour des technologies qui évoluent extrêmement rapidement.

Les normes techniques, lignes directrices européennes, décisions des autorités nationales et futures jurisprudences seront donc déterminantes pour comprendre comment certaines obligations devront réellement être appliquées.

Une contrainte… mais aussi un facteur de confiance

L’IA Act est souvent présenté sous l’angle des obligations qu’il impose. Il pourrait pourtant produire un autre effet : favoriser l’adoption de l’intelligence artificielle en instaurant un cadre de confiance commun.

Informer clairement qu’une IA est utilisée, documenter les systèmes, conserver un contrôle humain lorsque cela est nécessaire et expliquer les limites d’un outil peuvent également devenir des arguments de confiance pour les utilisateurs.

Pour les entreprises européennes, la conformité pourrait ainsi progressivement dépasser le simple exercice réglementaire et devenir un élément de différenciation.

Le droit face à une technologie en mouvement

L’IA Act ne marque probablement pas l’aboutissement de la réglementation de l’intelligence artificielle. Il en constitue plutôt le commencement.

Agents autonomes, modèles multimodaux, génération vidéo, IA embarquée ou systèmes capables d’effectuer des actions complexes : les usages évoluent déjà depuis l’adoption initiale du règlement.

L’Europe devra donc réussir un exercice particulièrement difficile : construire un droit suffisamment robuste pour protéger les personnes, mais suffisamment adaptable pour ne pas devenir obsolète face à une technologie qui évolue en permanence.

La France défend de son côté une ligne qui illustre parfaitement cette tension : protéger davantage lorsque les risques le justifient, tout en cherchant à préserver les conditions nécessaires à l’émergence d’une industrie européenne de l’intelligence artificielle.

Pour les citoyens comme pour les entreprises, une nouvelle période commence : celle d’une intelligence artificielle qui ne sera plus seulement jugée sur ses performances, mais aussi sur les conditions dans lesquelles elle est conçue et utilisée.