Qu'est-ce que l'AI Act ?
Qu'est-ce que l'AI Act ?
Le règlement européen sur l'intelligence artificielle expliqué aux décideurs IT et EA
Le règlement européen sur l'intelligence artificielle expliqué aux décideurs IT et EA
Premier cadre réglementaire au monde dédié à l'intelligence artificielle, le règlement européen sur l'IA redéfinit les règles du jeu pour toutes les entreprises qui développent, déploient ou utilisent des systèmes d'IA dans l'Union européenne.
Premier cadre réglementaire au monde dédié à l'intelligence artificielle, le règlement européen sur l'IA redéfinit les règles du jeu pour toutes les entreprises qui développent, déploient ou utilisent des systèmes d'IA dans l'Union européenne.
Ce que vous trouverez
Ce que vous trouverez
dans ce guide
dans ce guide
Ce guide couvre six chapitres essentiels : contexte et objectifs du règlement, champ d'application, enjeux pour votre organisation, calendrier des obligations, classification des risques et plan d'action en 7 étapes. Voici ce que vous devez savoir pour poser le cadre, le reste est dans le guide.
Ce guide couvre six chapitres essentiels : contexte et objectifs du règlement, champ d'application, enjeux pour votre organisation, calendrier des obligations, classification des risques et plan d'action en 7 étapes. Voici ce que vous devez savoir pour poser le cadre, le reste est dans le guide.
Qu'est-ce que l'AI Act
et quels sont ses objectifs ?
Qu'est-ce que l'AI Act
et quels sont ses objectifs ?
Adopté par le Parlement européen le 13 juin 2024 et publié au Journal officiel de l'Union européenne le 12 juillet 2024, l'AI Act (ou Artificial Intelligence Act) est entré en vigueur le 1er août 2024. C'est le premier règlement européen dédié à encadrer l'usage de l'IA.
Les objectifs de l’AI Act sont doubles : garantir la sécurité et la protection des droits fondamentaux des personnes exposées aux systèmes d'IA, tout en préservant la compétitivité et l'innovation technologique de l'Europe dans un contexte mondial.
Cette réglementation visant à rendre l'intelligence artificielle en Europe digne de confiance s'inscrit dans une approche fondée sur la confiance. Elle ne vise pas à interdire l'IA, mais à en encadrer les usages en fonction de leur niveau de risque.
Sa portée dépasse les frontières de l'Union : toute organisation dont les systèmes d'IA produisent des effets sur des utilisateurs situés en Europe est concernée, quelle que soit sa localisation géographique. Le texte est publié et consultable sur EUR-Lex, le portail du droit de l'Union européenne.
Pour comprendre comment ce texte s'articule avec le RGPD, consultez notre article sur l'AI Governance Act et le RGPD.
Ce qui distingue l'AI Act du RGPD
Le RGPD encadre le traitement des données personnelles à l'échelle de l'entreprise.
L'AI Act s'applique système par système, usage par usage. Ainsi, une même organisation peut avoir des obligations très différentes selon les outils qu'elle déploie.
Les deux réglementations se cumulent dès qu'un système d'IA traite des données personnelles. La protection des données reste régie par le RGPD ; la transparence et la confiance dans les systèmes IA relèvent de l'AI Act.
L'AI Act prévoit également des dispositions relatives au droit d'auteur applicables aux modèles d'IA générative.
Si votre organisation est déjà conforme au RGPD, le registre des traitements constitue une base réutilisable pour l'AI Act, mais elle ne suffit pas.
Ce qui distingue l'AI Act
Le RGPD encadre le traitement des données personnelles à l'échelle de l'entreprise.
L'AI Act s'applique système par système, usage par usage. Ainsi, une même organisation peut avoir des obligations très différentes selon les outils qu'elle déploie.
Les deux réglementations se cumulent dès qu'un système d'IA traite des données personnelles. La protection des données reste régie par le RGPD ; la transparence et la confiance dans les systèmes IA relèvent de l'AI Act.
L'AI Act prévoit également des dispositions relatives au droit d'auteur applicables aux modèles d'IA générative.
Si votre organisation est déjà conforme au RGPD, le registre des traitements constitue une base réutilisable pour l'AI Act, mais elle ne suffit pas.
Quelles entreprises sont concernées ?
Quelles entreprises sont concernées ?
Fournisseur
Développe ou met sur
le marché un système d'IA
Développe ou met sur
le marché un système d'IA
Responsable de la conformité de son système tout au long de son cycle de vie. Les obligations pour les fournisseurs comprennent la documentation technique, les exigences de qualité des données d'entraînement et l'enregistrement auprès
des autorités nationales compétentes.
Responsable de la conformité de son système tout au long de son cycle de vie. Les obligations pour les fournisseurs comprennent la documentation technique, les exigences de qualité des données d'entraînement et l'enregistrement auprès
des autorités nationales compétentes.
Déployeur
Utilise un système d'IA en contexte professionnel
Utilise un système d'IA en contexte professionnel
Y compris via un outil SaaS tiers. Les obligations pour les entreprises déployeuses couvrent la qualification du risque, la documentation technique
et la supervision humaine. Cela inclut les outils d'apprentissage automatique intégrés dans des produits ou services existants.
Y compris via un outil SaaS tiers. Les obligations pour les entreprises déployeuses couvrent la qualification du risque, la documentation technique
et la supervision humaine. Cela inclut les outils d'apprentissage automatique intégrés dans des produits ou services existants.
Importateur / Distributeur
Commercialise des solutions IA (non-UE)
Commercialise des solutions IA (non-UE)
Cas fréquent pour les DSI qui intègrent des modèles de langage développés hors de l'Union européenne. Les obligations GPAI s'appliquent depuis août 2025.
Cas fréquent pour les DSI qui intègrent des modèles de langage développés hors de l'Union européenne. Les obligations GPAI s'appliquent depuis août 2025.
Attention : La DSI ne peut pas déléguer sa conformité AI Act à ses fournisseurs. Même en achetant une solution tierce, elle reste responsable de son déploiement, de la qualification du risque à la supervision humaine.
Attention : La DSI ne peut pas déléguer sa conformité AI Act à ses fournisseurs. Même en achetant une solution tierce, elle reste responsable de son déploiement, de la qualification du risque à la supervision humaine.
Votre organisation est-elle prête pour l'AI Act ?
Votre organisation est-elle prête pour l'AI Act ?
Notre guide pratique détaille ce que chaque profil (fournisseur, déployeur, importateur) doit mettre en place concrètement, et une checklist actionnable pour ne rien oublier.
Notre guide pratique détaille ce que chaque profil (fournisseur, déployeur, importateur) doit mettre en place concrètement, et une checklist actionnable pour ne rien oublier.
Quels sont les enjeux de l'AI Act pour les entreprises ?
Quels sont les enjeux de l'AI Act pour les entreprises ?
L'impact de l'AI Act dépasse largement la question de la conformité réglementaire. Il révèle un problème de gouvernance que beaucoup d'organisations connaissent déjà : l'IA se déploie plus vite que la capacité à la piloter.
Concrètement, les enjeux de l'AI Act pour les entreprises sont au nombre de trois.
Un enjeu de visibilité : la plupart des organisations ne savent pas exactement quels systèmes d'IA opèrent dans leur SI, sur quelles données, avec quel niveau d'autonomie décisionnelle.
Un enjeu de responsabilité : le règlement européen introduit une logique de responsabilité explicite, système par système.
Un enjeu de compétitivité : les organisations qui structurent leur cadre réglementaire aujourd'hui construisent un avantage durable dans le développement et l'utilisation de l'IA. Les entreprises conformes bénéficieront notamment d'un meilleur accès aux marchés publics et aux appels d'offres européens.
70%
70%
des responsables estiment que les métiers adoptent plus d'applications SaaS que ce dont l'IT a conscience.
des responsables estiment que les métiers adoptent plus d'applications SaaS que ce dont l'IT a conscience.
Les questions auxquelles tout CIO
doit pouvoir répondre
Les questions auxquelles tout CIO
doit pouvoir répondre
Quels cas d'usage IA sont actifs dans mon SI ?
Quels cas d'usage IA sont actifs dans mon SI ?
Sur quelles données ? Avec quel niveau d'autonomie ?
Sur quelles données ? Avec quel niveau d'autonomie ?
Qui en est responsable dans l'organisation ?
Qui en est responsable dans l'organisation ?
Sont-ils supervisés humainement, et comment ?
Sont-ils supervisés humainement, et comment ?
Leur environnement de stockage et leurs paramètres de cybersécurité sont-ils documentés ?
Leur environnement de stockage et leurs paramètres de cybersécurité sont-ils documentés ?
Quand l'AI Act entre-t-il en vigueur ? Le calendrier complet des obligations
Quand l'AI Act entre-t-il en vigueur ? Le calendrier complet des obligations
La mise en œuvre de la loi sur l'intelligence artificielle est progressive. Le calendrier de l'AI Act monte en charge par vagues successives jusqu'en décembre 2027. Cette progressivité est une opportunité - à condition de ne pas la confondre avec un délai supplémentaire pour ne rien faire.
Les étapes de cartographie, de qualification des systèmes d'IA et de mise en place de la documentation technique prennent en moyenne 4 à 6 mois dans une organisation structurée.
Les organisations qui commencent maintenant seront conformes sereinement. Celles qui attendent prendront le risque d'une course finale.
Les organisations qui commencent maintenant seront conformes sereinement. Celles qui attendent prendront le risque d'une course finale.
1er août 2024
Entrée en vigueur
Entrée en vigueur
Le règlement devient loi dans toute l'Union européenne.
Le règlement devient loi dans toute l'Union européenne.
2 févr. 2025
Interdictions risque inacceptable (Art. 5)
Interdictions risque inacceptable (Art. 5)
Notation sociale, manipulation subliminale, reconnaissance faciale dans l'espace public : interdits. Obligation de culture IA applicable.
Notation sociale, manipulation subliminale, reconnaissance faciale dans l'espace public : interdits. Obligation de culture IA applicable.
2 août 2025
Obligations GPAI - modèles à usage général
Obligations GPAI - modèles à usage général
Vérifier et formaliser contractuellement la conformité des fournisseurs (OpenAI, Google, Mistral, Anthropic...). Ces obligations sont également liées aux exigences de transparence prévues pour les modèles d'IA à finalité générale.
Vérifier et formaliser contractuellement la conformité des fournisseurs (OpenAI, Google, Mistral, Anthropic...). Ces obligations sont également liées aux exigences de transparence prévues pour les modèles d'IA à finalité générale.
2 août 2026
Pleine applicabilité - transparence (Art. 50)
Pleine applicabilité - transparence (Art. 50)
Tout utilisateur interagissant avec un chatbot ou assistant IA doit en être informé. Cette mesure s'applique à tous les services et produits digitaux déployés sur le territoire de l'Union.
Tout utilisateur interagissant avec un chatbot ou assistant IA doit en être informé. Cette mesure s'applique à tous les services et produits digitaux déployés sur le territoire de l'Union.
2 déc. 2026
Watermarking des contenus synthétiques
Watermarking des contenus synthétiques
Images, vidéos, audio générés par IA : marquage obligatoire.
Images, vidéos, audio générés par IA : marquage obligatoire.
2 déc. 2027
Systèmes haut risque standalone (Annexe III)
Systèmes haut risque standalone (Annexe III)
Conformité complète. Sanctions : jusqu'à 15 M€ ou 3 %
du chiffre d'affaires mondial.
Conformité complète. Sanctions : jusqu'à 15 M€ ou 3 %
du chiffre d'affaires mondial.
Prêt pour chaque échéance ?
Prêt pour chaque échéance ?
Ce calendrier vous indique quand agir. Notre guide vous indique comment, avec, pour chaque échéance, la liste des actions concrètes à engager, les documents à produire et les erreurs d'interprétation les plus courantes observées sur le terrain.
Ce calendrier vous indique quand agir. Notre guide vous indique comment, avec, pour chaque échéance, la liste des actions concrètes à engager, les documents à produire et les erreurs d'interprétation les plus courantes observées sur le terrain.
Quels risques couvre l'AI Act ? Les 4 niveaux de risque expliqués
Quels risques couvre l'AI Act ? Les 4 niveaux de risque expliqués
L'AI Act calibre les obligations selon le niveau de risque de chaque usage : une approche fondée sur la proportionnalité, pas une réglementation uniforme. Identifier la bonne catégorie est la première exigence opérationnelle.
Risque inacceptable : interdit depuis févr. 2025
Risque inacceptable : interdit
depuis févr. 2025
Notation sociale, manipulation subliminale, reconnaissance faciale dans l'espace public
Notation sociale, manipulation subliminale, reconnaissance faciale dans l'espace public
Usages purement prohibés par l'article 5 du règlement. Le risque inacceptable concerne peu d'entreprises directement, mais certains systèmes de profilage comportemental ou de surveillance peuvent s'en approcher plus qu'il n'y paraît. Il est nécessaire de vérifier l'ensemble de vos activités impliquant de l'IA, y compris les expérimentations en cours.
Usages purement prohibés par l'article 5 du règlement. Le risque inacceptable concerne peu d'entreprises directement, mais certains systèmes de profilage comportemental ou de surveillance peuvent s'en approcher plus qu'il n'y paraît. Il est nécessaire de vérifier l'ensemble de vos activités impliquant de l'IA, y compris les expérimentations en cours.
Haut risque : le cœur des obligations (annexe III)
Haut risque : le cœur des
obligations (annexe III)
Tri de CV, scoring crédit, diagnostic médical assisté, infrastructures critiques, contrôle aux frontières
Tri de CV, scoring crédit, diagnostic médical assisté, infrastructures critiques, contrôle aux frontières
8 domaines identifiés à l'Annexe III du règlement. Les systèmes d'IA à haut risque sont soumis à un système de gestion des risques documenté (Art. 9), une documentation technique conforme, une supervision humaine intégrée by design (Art. 14) et un marquage CE. Sanctions : jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial.
8 domaines identifiés à l'Annexe III du règlement. Les systèmes d'IA à haut risque sont soumis à un système de gestion des risques documenté (Art. 9), une documentation technique conforme, une supervision humaine intégrée by design (Art. 14) et un marquage CE. Sanctions : jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial.
Risque limité : obligation de transparence
Risque limité : obligation
de transparence
Chatbots, assistants IA, deepfakes, contenus génératifs
Chatbots, assistants IA, deepfakes, contenus génératifs
Pas d'exigences documentaires lourdes, mais une obligation de transparence forte à partir du 2 août 2026 : tout utilisateur interagissant avec un système d'IA doit en être informé. Le watermarking des contenus synthétiques entre en vigueur en décembre 2026.
Pas d'exigences documentaires lourdes, mais une obligation de transparence forte à partir du 2 août 2026 : tout utilisateur interagissant avec un système d'IA doit en être informé. Le watermarking des contenus synthétiques entre en vigueur en décembre 2026.
Risque minimal : pas d’obligation spécifique
Risque minimal : pas
d’obligation spécifique
Filtres anti-spam, IA dans les jeux vidéo, recommandation non décisionnelle
Filtres anti-spam, IA dans les jeux vidéo, recommandation non décisionnelle
Codes de conduite volontaires encouragés. Vigilance néanmoins : un outil de recommandation qui influence une décision RH ou commerciale peut changer de catégorie.
Codes de conduite volontaires encouragés. Vigilance néanmoins : un outil de recommandation qui influence une décision RH ou commerciale peut changer de catégorie.
Rappelez-vous que vous ne qualifiez pas des logiciels, mais des cas d'usage.
Rappelez-vous que vous ne qualifiez pas des logiciels, mais des cas d'usage.
La traçabilité de la démarche de qualification est en elle-même un élément de conformité.
Documenter pourquoi un système a été classé dans telle catégorie vaut autant que la classification.
La traçabilité de la démarche de qualification est en elle-même un élément de conformité.
Documenter pourquoi un système a été classé dans telle catégorie vaut autant que la classification.
Vous ne savez pas exactement quels systèmes d'IA opèrent dans votre SI ?
Vous ne savez pas exactement quels systèmes d'IA opèrent dans votre SI ?
C'est le point de départ obligatoire, et c'est avant tout un problème de gouvernance - pas seulement de conformité réglementaire. Notre guide détaille comment conduire cet inventaire, étape par étape.
C'est le point de départ obligatoire, et c'est avant tout un problème de gouvernance - pas seulement de conformité réglementaire. Notre guide détaille comment conduire cet inventaire, étape par étape.
Comment se conformer à l'AI Act ? Votre plan d'action en 7 étapes
Comment se conformer à l'AI Act ? Votre plan d'action en 7 étapes
Se conformer à l'AI Act n'est pas un projet ponctuel avec une date de fin. C'est une capacité à construire, avec la même rigueur qu'un portefeuille de projets complexes. Pour les systèmes d'IA à haut risque standalone, les quatre premières étapes prennent en moyenne 4 à 6 mois dans une organisation structurée.
Vous trouverez ici les grandes étapes de votre plan d’action.
Vous trouverez ici les grandes étapes de votre plan d’action.
Envie de découvrir les pièges à éviter, les variables précises à documenter pour chaque système recensé, ou encore les éléments que doit couvrir votre documentation technique Annexe IV ? Rendez-vous dans notre guide complet.
Envie de découvrir les pièges à éviter, les variables précises à documenter pour chaque système recensé, ou encore les éléments que doit couvrir votre documentation technique Annexe IV ? Rendez-vous dans notre guide complet.
1
1
Constituer l'équipe et poser
la gouvernance
Constituer l'équipe et poser
la gouvernance
Désignez un responsable conformité IA avec mandat clair. Constituez un comité transversal : DSI, DPO, Juridique, Sécurité, directions métiers. Ce pilotage doit être relié aux instances de gouvernance existantes (COMEX, comité de direction IT) et ne pas rester cantonné à une cellule administrative isolée.
Désignez un responsable conformité IA avec mandat clair. Constituez un comité transversal : DSI, DPO, Juridique, Sécurité, directions métiers. Ce pilotage doit être relié aux instances de gouvernance existantes (COMEX, comité de direction IT) et ne pas rester cantonné à une cellule administrative isolée.
2
2
Cartographier exhaustivement les systèmes d'IA
Cartographier exhaustivement les systèmes d'IA
Systèmes internes, SaaS, applications tierces, projets en développement. Combinez audit IA DSI, sondage métiers et analyse du portefeuille applicatif.
Systèmes internes, SaaS, applications tierces, projets en développement. Combinez audit IA DSI, sondage métiers et analyse du portefeuille applicatif.
3
Qualifier le niveau de risque de chaque usage
Usage par usage. Documentez et justifiez chaque qualification : la traçabilité est en elle-même
une exigence réglementaire. N'oubliez pas
les nouveaux outils adoptés récemment par
les équipes métiers sans validation DSI.
3
Qualifier le niveau de risque de chaque usage
Usage par usage. Documentez et justifiez chaque qualification : la traçabilité est en elle-même
une exigence réglementaire. N'oubliez pas
les nouveaux outils adoptés récemment par
les équipes métiers sans validation DSI.
4
Produire la documentation technique (Annexe IV)
Pour chaque système haut risque, la documentation technique est la pièce maîtresse. Toute modification substantielle déclenche une mise à jour obligatoire. Ce résultat doit être opposable aux autorités de surveillance : construisez-le comme tel dès l'origine.
4
Produire la documentation technique (Annexe IV)
Pour chaque système haut risque, la documentation technique est la pièce maîtresse. Toute modification substantielle déclenche une mise à jour obligatoire. Ce résultat doit être opposable aux autorités de surveillance : construisez-le comme tel dès l'origine.
5
5
Mettre en place la gestion des risques (Art. 9)
Mettre en place la gestion des risques (Art. 9)
Déployez un processus continu, pas une évaluation ponctuelle. Capitalisez sur les processus de gestion des risques IT existants.
Déployez un processus continu, pas une évaluation ponctuelle. Capitalisez sur les processus de gestion des risques IT existants.
6
Formaliser la supervision humaine (Art. 14)
Identifiez qui supervise, avec quelle fréquence, selon quels critères. By design, pas en post-production.
6
Formaliser la supervision humaine (Art. 14)
Identifiez qui supervise, avec quelle fréquence, selon quels critères. By design, pas en post-production.
7
Construire un pilotage continu
Tableaux de bord, revues régulières du portefeuille, intégration dans le cycle de vie de chaque nouveau projet. Un système déployé sans qualification préalable est un problème réglementaire certain. Intégrez également une ligne de reporting relative à la conformité IA dans vos instances de gouvernance nationales et groupe.
7
Construire un pilotage continu
Tableaux de bord, revues régulières du portefeuille, intégration dans le cycle de vie de chaque nouveau projet. Un système déployé sans qualification préalable est un problème réglementaire certain. Intégrez également une ligne de reporting relative à la conformité IA dans vos instances de gouvernance nationales et groupe.
Comment vous mettre en conformité avec l'AI Act ?
Comment vous mettre en conformité avec l'AI Act ?
Un must-read de 32 pages rédigées par des experts en gouvernance IT et conformité réglementaire. Vous y trouverez notamment les éléments obligatoires de votre documentation technique Annexe IV, les piliers d'une gouvernance IA opérationnelle, et la checklist complète de conformité en 20 points.
Un must-read de 32 pages rédigées par des experts en gouvernance IT et conformité réglementaire. Vous y trouverez notamment les éléments obligatoires de votre documentation technique Annexe IV, les piliers d'une gouvernance IA opérationnelle, et la checklist complète de conformité en 20 points.
Comment l'AI Act impacte-t-il les entreprises au-delà de la conformité ?
Comment l'AI Act impacte-t-il les entreprises au-delà de la conformité ?
La mise en conformité à l'AI Act n'est pas un projet parallèle
à la gouvernance IT existante : elle s'appuie sur elle, ou elle en révèle les lacunes. Les organisations qui ont déjà structuré leur portefeuille applicatif partent avec 6 à 12 mois d'avance. Investir dans un référentiel de gouvernance IA n'est pas un coût de conformité : c'est un actif stratégique.
C'est aussi, dans un contexte de transformation digitale accélérée,
un levier de confiance vis-à-vis des clients, des partenaires
et des autorités de régulation.
La mise en conformité à l'AI Act n'est pas un projet parallèle à la gouvernance IT existante : elle s'appuie sur elle, ou elle en révèle les lacunes. Les organisations qui ont déjà structuré leur portefeuille applicatif partent avec 6 à 12 mois d'avance. Investir dans un référentiel de gouvernance IA n'est pas un coût de conformité : c'est un actif stratégique.
C'est aussi, dans un contexte de transformation digitale accélérée, un levier de confiance vis-à-vis des clients, des partenaires et des autorités de régulation.
Registre des usages IA
Recensement centralisé et continu de tous les systèmes d'IA actifs par département, avec contexte applicatif, données mobilisées, responsable désigné et niveau de risque qualifié.
Recensement centralisé et continu de tous les systèmes d'IA actifs par département, avec contexte applicatif, données mobilisées, responsable désigné et niveau de risque qualifié.
>80%
>80%
de couverture
du SI cartographié
de couverture
du SI cartographié
AI Value Stream Map
Cartographie visuelle des agents IA dans l'écosystème business et IT. La réponse directe aux exigences de documentation technique et de supervision humaine de l'AI Act.
-30%
de risque de non-conformité
avant production
AI Value Stream Map
Cartographie visuelle des agents IA dans l'écosystème business et IT. La réponse directe aux exigences de documentation technique et de supervision humaine de l'AI Act.
-30%
de risque de non-conformité
avant production
Epic Cards & pilotage continu
Cadrage structuré de chaque initiative IA dès l'origine. La base documentaire de l'Annexe IV, construite au fil du cadrage, pas reconstituée sous pression avant une échéance réglementaire.
-40%
de délai de réaction
face aux imprévus
Epic Cards & pilotage continu
Cadrage structuré de chaque initiative IA dès l'origine. La base documentaire de l'Annexe IV, construite au fil du cadrage, pas reconstituée sous pression avant une échéance réglementaire.
-40%
de délai de réaction
face aux imprévus
La conformité ne s'improvise pas : elle se pilote.
Smoteo centralise dans une plateforme unique tout ce que l'AI Act exige : registre des usages, cartographie des agents, documentation technique et pilotage continu.
La conformité ne s'improvise pas : elle se pilote.
Smoteo centralise dans une plateforme unique tout ce que l'AI Act exige : registre des usages, cartographie des agents, documentation technique et pilotage continu.