Règlement européen sur l'IA : niveaux de risque, échéances et amendes

Le règlement européen sur l'IA est un texte de l'Union européenne qui classe les systèmes d'intelligence artificielle selon le risque qu'ils présentent et fixe des règles adaptées à chaque catégorie. Il est entré en vigueur le 1er août 2024 et sa mise en application s'échelonne sur plusieurs années. Les interdictions, l'obligation de maîtrise de l'IA et les règles applicables aux modèles d'IA à usage général (GPAI) sont déjà en vigueur. Les règles relatives aux systèmes à haut risque ont été repoussées à décembre 2027 et août 2028 par un amendement connu sous le nom de Digital Omnibus, adopté en 2026.

Ce guide reflète la situation au mois d'octobre 2026. Certains détails du calendrier révisé sont encore en cours de clarification. Avant de prendre des décisions de mise en conformité, consultez le texte publié au Journal officiel et les pages consacrées à l'IA Act sur le site de la Commission européenne.

Qu'est-ce que le règlement européen sur l'IA ?

L'AI Act est un règlement et non une directive. Il s'applique donc directement dans tous les États membres, sans que les gouvernements nationaux aient besoin de le transposer dans leur droit. Sa référence officielle est le règlement (UE) 2024/1689, publié en juillet 2024. Le service de recherche du Parlement européen a indiqué qu'il avait été conçu pour prendre au moins trois ans avant de s'appliquer pleinement.

Il est largement présenté comme le premier cadre juridique global et horizontal consacré à l'IA, c'est-à-dire qu'il transcende les secteurs au lieu de viser une seule industrie. Les systèmes d'IA sont encadrés en fonction du risque, tandis que les modèles à usage général le sont en fonction de leurs capacités. Des lignes directrices, des normes harmonisées et des codes de bonnes pratiques volontaires apportent le détail technique.

Quelles sont les catégories de risque de l'AI Act ?

Le texte de la loi définit quatre niveaux de risque pour les systèmes d'IA, ainsi qu'un volet distinct pour les modèles à usage général. Le résumé ci-dessous suit la structure du texte. Les frontières exactes sont définies à l'article 5, à l'article 6, aux annexes I et III, et à l'article 50.

Risque inacceptable (interdit) : cette catégorie couvre la notation sociale et les IA qui manipulent les personnes ou exploitent leurs vulnérabilités. La collecte non ciblée d'images faciales est interdite, de même que la reconnaissance des émotions au travail et à l'école, sauf exceptions. La catégorisation biométrique de certains types, la police prédictive fondée uniquement sur le profilage et l'identification biométrique à distance en temps réel dans les espaces publics à des fins répressives (avec des exceptions étroites) sont également interdites.

Haut risque : il existe deux types. L'annexe I couvre les IA servant de composant de sécurité dans des produits déjà régis par la législation européenne sur les produits, comme les machines, les dispositifs médicaux ou les jouets. L'annexe III couvre les systèmes autonomes utilisés dans des domaines sensibles, notamment la biométrie, les infrastructures critiques, l'éducation, l'emploi, les services essentiels et le crédit, le maintien de l'ordre, la migration et le contrôle des frontières, ainsi que la justice et les processus démocratiques.

Les fournisseurs de systèmes à haut risque doivent mettre en place une gestion des risques, une gouvernance des données et une documentation technique. Ils doivent aussi assurer la journalisation, la supervision humaine, ainsi qu'une précision et une robustesse adéquates. S'y ajoutent une évaluation de conformité, le marquage CE et l'enregistrement dans une base de données de l'UE.

Risque limité (transparence, article 50) : les personnes doivent être informées lorsqu'elles interagissent avec un chatbot, et les deepfakes doivent être signalés comme tels. Les contenus générés par IA doivent également comporter un marquage lisible par machine. Risque minimal : les outils du quotidien, comme les filtres anti-spam ou les jeux vidéo, n'entraînent aucune nouvelle obligation.

Modèles d'IA à usage général : chaque fournisseur de modèle GPAI doit tenir une documentation et disposer d'une politique en matière de droit d'auteur. Les modèles considérés comme présentant un « risque systémique » sont soumis à des obligations supplémentaires. Le texte présume un risque systémique au-delà d'un seuil de calcul d'entraînement de 10^25 FLOPS.

Quand le règlement européen sur l'IA s'applique-t-il ? Le calendrier actuel

Selon le calendrier initial, les interdictions et les obligations de maîtrise de l'IA sont entrées en vigueur le 2 février 2025. Les règles GPAI, les dispositions de gouvernance et les sanctions ont suivi le 2 août 2025. La plupart des dispositions restantes, dont les règles relatives aux systèmes à haut risque de l'annexe III, devaient s'appliquer le 2 août 2026. Les règles relatives aux systèmes à haut risque de l'annexe I étaient fixées au 2 août 2027.

Ce plan a changé. Le 19 novembre 2025, la Commission a proposé le « Digital Omnibus sur l'IA », en partie en réponse aux inquiétudes concernant la complexité réglementaire soulevées dans le rapport Draghi de 2024. Le Parlement et le Conseil sont parvenus à un accord provisoire le 7 mai 2026. Le Parlement a donné son approbation finale le 16 juin, et le Conseil a adopté le texte le 29 juin. Il a été signé le 8 juillet et est entré en vigueur à sa publication au Journal officiel, le 27 juillet 2026.

Selon les nouvelles dates, les règles relatives aux systèmes autonomes à haut risque de l'annexe III s'appliquent désormais à partir du 2 décembre 2027. Les règles de l'annexe I, pour les IA intégrées à des produits réglementés, débutent en août 2028. Selon l'analyse de Formalize, les interdictions générales et les règles GPAI n'ont pas été reportées.

Certains points restent en suspens. Il s'agit notamment de la date exacte, après l'Omnibus, des obligations de transparence et de filigrane de l'article 50, de l'ajout éventuel de nouvelles interdictions et de la portée précise des allègements pour les petites entreprises. Les normes harmonisées auraient également pris du retard. Vérifiez ces points dans le texte officiel.

À qui le règlement européen sur l'IA s'applique-t-il ?

Selon l'article du texte relatif à son champ d'application, il couvre les fournisseurs qui mettent des systèmes d'IA sur le marché de l'UE, où qu'ils soient établis. Il vise aussi les déployeurs (organisations utilisant l'IA) établis dans l'UE, ainsi que les importateurs, distributeurs et fabricants de produits. Les fournisseurs et déployeurs situés hors de l'UE sont également concernés lorsque le résultat de leur système est utilisé dans l'UE.

Cette portée extraterritoriale fonctionne un peu comme le RGPD. Une entreprise située en Türkiye, aux États-Unis ou ailleurs, qui commercialise des IA dans l'UE, ou dont les résultats d'IA y sont utilisés, peut entrer dans le champ d'application. Les fournisseurs non européens de systèmes à haut risque et de modèles GPAI doivent désigner un représentant autorisé dans l'UE.

Certains usages sont exclus : les activités militaires, de défense et de sécurité nationale, les IA utilisées uniquement pour la recherche scientifique, et l'usage purement personnel et non professionnel. La plupart des logiciels libres et open source sont également hors du champ d'application, à quelques exceptions près.

Quelles sont les amendes prévues par le règlement européen sur l'IA ?

L'article 99 prévoit trois niveaux d'amendes. La violation des interdictions peut coûter jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. La plupart des autres obligations des opérateurs sont passibles d'amendes allant jusqu'à 15 millions d'euros ou 3 %. Fournir des informations incorrectes ou trompeuses aux autorités peut entraîner des amendes allant jusqu'à 7,5 millions d'euros ou 1 %.

Pour les PME et les startups, le montant le plus faible des deux s'applique (article 99, paragraphe 6). L'Omnibus étendrait, selon certaines informations, ce traitement aux « petites entreprises de taille intermédiaire ». Les États membres fixent les règles nationales détaillées en matière de sanctions, et l'article 99 s'applique depuis le 2 août 2025. Les fournisseurs GPAI peuvent être sanctionnés par la Commission, à hauteur de 15 millions d'euros ou 3 %.

Les niveaux de sanction liés à des obligations reportées ne s'appliquent qu'une fois ces obligations entrées en vigueur. Certains anciens articles indiquent encore que les sanctions relatives au haut risque débutent le 2 août 2026. Ce n'est plus exact.

Que doivent faire les organisations dès maintenant ?

Le report n'est pas une raison de cesser de se préparer, car les interdictions, l'obligation de maîtrise de l'IA et les règles GPAI sont déjà applicables. Une première étape pratique consiste à recenser les systèmes d'IA que vous développez, achetez ou vendez, et à attribuer chacun à un niveau de risque.

Pour les fournisseurs de systèmes à haut risque, la constitution de la documentation, la mise en place de la gouvernance des données et des processus de supervision humaine demandent du temps. Décembre 2027 est donc plus proche qu'il n'y paraît. Pour des informations fiables, référez-vous à EUR-Lex, aux pages de la Commission consacrées à l'AI Act et au Bureau de l'IA, plutôt qu'à des résumés secondaires.