AI Act : quelles entreprises sont concernées et à partir de quand ? Par Morgan Jamet et Haia El Zufari, Avocats.

L’AI Act est un règlement européen (texte de loi directement applicable dans tous les pays de l’Union européenne) entré en vigueur le 1er août 2024, qui encadre l’utilisation des systèmes d’intelligence artificielle (IA). Contrairement à une directive, il ne nécessite pas de transposition par les États membres. Un règlement omnibus numérique sur l’IA (entré en vigueur le 27 juillet 2026) a ensuite modifié certaines obligations, comme le report de certaines échéances ou l’ajout de deux nouvelles pratiques interdites. L’AI Act s’applique de manière progressive : certaines règles sont déjà en vigueur depuis le 2 février 2025, d’autres depuis le 2 août 2025, et la plupart des obligations générales le seront à partir du 2 août 2026. Les systèmes d’IA à haut risque bénéficient de délais plus longs, jusqu’au 2 décembre 2027 ou 2 août 2028 selon leur nature.

L’AI Act ne cible pas les entreprises en fonction de leur taille ou secteur, mais selon leur rôle dans l’utilisation ou la mise sur le marché d’un système d’IA. Six catégories principales sont identifiées : les déployeurs (utilisateurs professionnels), les fournisseurs (qui mettent un système sur le marché sous leur nom), les fabricants (intégrant un système dans un produit), les fournisseurs de modèles d’IA à usage général, les importateurs (entreprises introduisant un système étranger dans l’UE) et les distributeurs. Une même entreprise peut cumuler plusieurs rôles. Par exemple, une entreprise utilisant un outil d’IA pour ses processus internes est un déployeur, tandis qu’une société commercialisant un logiciel d’IA sous sa marque est un fournisseur.

Un déployeur est une entreprise utilisant un système d’IA sous son autorité dans un cadre professionnel. Ses obligations varient selon le niveau de risque du système. Pour tous les systèmes, il doit : maîtriser l’IA en formant ses équipes (depuis le 2 février 2025), éviter les pratiques interdites (comme les techniques manipulatrices ou la notation sociale des individus, depuis le 2 février 2025), et respecter les règles de transparence (identifier les deepfakes ou contenus générés par IA depuis le 2 août 2026). Pour les systèmes à haut risque (par exemple dans l’emploi, la justice ou la santé), il doit aussi : utiliser le système selon les instructions du fournisseur, assurer un contrôle humain compétent, surveiller son fonctionnement, informer les personnes concernées par ses décisions, conserver les journaux d’utilisation pendant au moins 6 mois, et réaliser une analyse d’impact sur les droits fondamentaux dans certains cas.

Un fournisseur est une entreprise qui met sur le marché ou en service un système d’IA sous son nom ou sa marque, qu’elle l’ait développé elle-même ou sous-traité. Ses obligations dépendent du niveau de risque du système. Pour les systèmes à haut risque (par exemple, un logiciel de tri de CV ou un outil intégré à un dispositif médical), il doit : garantir la conformité du système avant sa mise sur le marché, mettre en place une gestion des risques, une gouvernance des données, une documentation technique complète, des mesures de robustesse et de cybersécurité, un contrôle humain adapté, et procéder à une évaluation de conformité avec marquage CE. Pour les autres systèmes, il doit respecter les obligations de transparence (identifier les contenus générés par IA). Les systèmes déjà sur le marché avant le 2 août 2025 ont jusqu’au 2 août 2027 pour se conformer.

Les fabricants sont des entreprises intégrant un système d’IA à haut risque dans un produit soumis à une réglementation sectorielle européenne (comme les dispositifs médicaux ou les équipements de protection individuelle). Ils sont assimilés à des fournisseurs pour le système d’IA intégré et doivent respecter les mêmes obligations, en coordination avec la réglementation sectorielle. Les fournisseurs de modèles d’IA à usage général (comme les grands modèles de langage) ont un régime spécifique : ils doivent établir une documentation technique, publier un résumé de leurs données d’entraînement, respecter les obligations de transparence et, pour les modèles à risque systémique, mettre en œuvre des mesures renforcées (évaluations, gestion des risques, notifications d’incidents). Les nouveaux modèles doivent se conformer depuis le 2 août 2025, tandis que les modèles existants ont jusqu’au 2 août 2027.

Les importateurs sont des entreprises établies dans l’UE qui mettent sur le marché européen un système d’IA conçu hors de l’UE. Ils doivent vérifier que le fournisseur étranger a respecté ses obligations (comme le marquage CE ou la documentation technique), conserver une copie de la déclaration UE de conformité pendant 10 ans, et assurer la traçabilité du système. En cas de non-conformité, ils doivent prendre des mesures correctives et coopérer avec les autorités. Les obligations des importateurs concernent principalement les systèmes à haut risque et suivent leur calendrier d’application (à partir du 2 décembre 2027). Les distributeurs (revendeurs) ne sont pas explicitement mentionnés dans l’article, mais ils pourraient être soumis à des obligations similaires en tant qu’intermédiaires dans la chaîne de valeur.

L’application de l’AI Act est progressive, avec des dates clés réparties entre 2025 et 2028. Depuis le 2 février 2025, les obligations de maîtrise de l’IA et l’interdiction des pratiques interdites (dont les deux nouvelles ajoutées en 2026) s’appliquent. Depuis le 2 août 2025, les règles sur les modèles d’IA à usage général sont en vigueur. Le 2 août 2026 marque l’entrée en application générale du règlement, avec les obligations de transparence pour tous les systèmes. Pour les systèmes à haut risque, les échéances sont plus tardives : 2 décembre 2027 pour ceux liés à une finalité sensible (emploi, justice, etc.) et 2 août 2028 pour ceux intégrés à un produit (dispositifs médicaux, machines, etc.). Les modèles d’IA à usage général existants avant le 2 août 2025 ont jusqu’au 2 août 2027 pour se conformer.