AI Act : quelles entreprises sont concernées et à partir de quand ? Par Morgan Jamet et Haia El Zufari, Avocats.
L’AI Act, nouveau cadre réglementaire européen sur l’intelligence artificielle entré en vigueur le 1er août 2024, redéfinit les obligations des entreprises en fonction de leur rôle dans l’écosystème de l’IA. Contrairement à une approche sectorielle ou dimensionnelle, le règlement s’appuie sur la qualification des acteurs — déployeur, fournisseur, importateur — et le niveau de risque des systèmes, introduisant ainsi une logique de responsabilité différenciée mais progressive. Son application étalée jusqu’en 2028 révèle une stratégie délibérée pour concilier innovation et protection des droits fondamentaux, tout en laissant planer des zones d’ombre sur son effectivité réelle.
Comment l’AI Act distingue-t-il les entreprises concernées, et pourquoi cette approche est-elle inédite ?
L’AI Act ne cible pas les entreprises en fonction de leur taille ou de leur secteur, mais selon leur rôle vis-à-vis du système d’IA et le niveau de risque de ce dernier. Une même entreprise peut ainsi cumuler plusieurs statuts (déployeur, fournisseur, importateur) et être soumise à des obligations distinctes. Cette approche, centrée sur la responsabilité opérationnelle plutôt que sur des critères économiques, marque une rupture avec les régulations sectorielles traditionnelles, comme le RGPD, et introduit une logique de chaîne de valeur où chaque acteur porte une part de conformité.
Quels sont les reports majeurs introduits par le règlement omnibus numérique sur l’IA (8 juillet 2026), et quel impact ont-ils sur les entreprises ?
Le règlement omnibus numérique, entré en vigueur le 27 juillet 2026, simplifie certaines obligations et en ajoute deux nouvelles (interdiction de générer ou manipuler du matériel intime non consenti et du matériel représentant des abus sexuels sur enfants), mais surtout décale les échéances clés. Les obligations de transparence, initialement prévues pour août 2025, sont reportées au 2 août 2026, tandis que les règles pour les systèmes à haut risque sont repoussées au 2 décembre 2027 (finalité) ou au 2 août 2028 (intégration à un produit réglementé). Ces ajustements, bien que perçus comme un assouplissement, risquent de créer une asymétrie temporelle entre acteurs, certains devant se conformer plus tôt que d’autres.
Quelles entreprises sont les plus exposées aux obligations renforcées, et pourquoi ces dernières sont-elles considérées comme critiques ?
Les entreprises déployant des systèmes d’IA à haut risque — que ce soit en raison de leur finalité (emploi, justice, santé) ou de leur intégration à un produit réglementé (dispositifs médicaux, machines) — sont les plus exposées. Elles doivent non seulement assurer un contrôle humain compétent, une surveillance active et une transparence renforcée, mais aussi, pour les organismes publics ou les acteurs de l’assurance, réaliser une analyse d’impact sur les droits fondamentaux. Ces obligations, reportées à fin 2027 ou 2028, reflètent la volonté de l’UE de concilier innovation et protection des libertés individuelles, mais leur complexité administrative pourrait freiner l’adoption de ces technologies.
Pourquoi le statut de fournisseur d’un modèle d’IA à usage général est-il particulier, et quelles entreprises sont concernées ?
Les modèles d’IA à usage général (comme les grands modèles de langage) échappent à la logique de risque sectoriel pour adopter un régime spécifique, car leurs usages multiples les rendent difficiles à réguler a priori. Les entreprises qui les développent ou les commercialisent doivent publier une documentation technique détaillée, un résumé des données d’entraînement (sous réserve des droits de propriété intellectuelle) et se soumettre à des obligations de transparence. Les nouveaux modèles doivent être conformes dès le 2 août 2025, tandis que les modèles existants ont jusqu’au 2 août 2027 pour se mettre en règle. Cette catégorie, souvent associée aux géants tech, illustre la tension entre innovation et transparence dans l’écosystème IA.
Ce que ça pourrait changer
L’AI Act pourrait accélérer une fragmentation réglementaire entre l’UE et d’autres juridictions, poussant les entreprises à adapter leurs modèles économiques pour se conformer aux normes européennes, même hors territoire de l’UE. La complexité des obligations, couplée à des échéances étalées, risque aussi de creuser un décalage concurrentiel entre les acteurs capables de mutualiser les coûts de conformité et les PME. Enfin, l’accent mis sur la transparence et le contrôle humain pourrait redéfinir les standards éthiques de l’IA à l’échelle mondiale, même si leur effectivité dépendra largement des mécanismes de contrôle et des sanctions prévues.
