Règlement IA de l'UE : Tout ce que vous devez savoir en 2026

Le règlement IA de l'UE (Règlement 2024/1689) est la première loi complète au monde régulant l'intelligence artificielle. Il classe les systèmes d'IA en quatre niveaux de risque — interdit, à haut risque, à risque limité et à risque minimal — et impose des obligations obligatoires aux fournisseurs et déployeurs opérant sur le marché de l'UE. L'application complète des exigences relatives aux IA à haut risque débute le 2 août 2026, avec des amendes allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial en cas de violation. Selon une enquête PwC, début 2026, plus de 70 % des organisations européennes utilisant l'IA n'ont pas encore achevé leurs préparatifs de conformité.

Ce résumé couvre tout ce que les DSI, responsables de la conformité et DPO doivent savoir : à qui s'applique le règlement, comment fonctionnent les niveaux de risque, quelles sont les échéances, à quoi ressemblent les sanctions et quelles mesures prendre dès maintenant.

Effectuez l'évaluation gratuite de préparation à l'IA Act pour évaluer la position actuelle de votre organisation.

Qu'est-ce que le règlement IA de l'UE ?

Le règlement IA de l'UE est un règlement — pas une directive — ce qui signifie qu'il s'applique directement dans les 27 États membres de l'UE sans transposition nationale. Il a été signé le 13 juin 2024, publié au Journal officiel le 12 juillet 2024 et est entré en vigueur le 1er août 2024.

Ses objectifs fondamentaux :

1. Garantir la sécurité des systèmes d'IA mis sur le marché de l'UE et respecter les droits fondamentaux
2. Offrir une sécurité juridique pour l'investissement et l'innovation dans l'IA
3. Renforcer la gouvernance et l'application des réglementations sur l'IA dans l'UE
4. Faciliter un marché unique pour une IA légale, sûre et fiable

Le règlement suit une approche fondée sur les risques : plus le risque posé par un système d'IA pour la santé, la sécurité ou les droits fondamentaux est élevé, plus les obligations sont strictes.

Chiffres clés

Qui doit se conformer ?

Le règlement IA s'applique à l'ensemble de la chaîne de valeur de l'IA, quel que soit le siège des organisations :

Fournisseurs (développeurs)

• Entreprises développant des systèmes d'IA mis sur le marché de l'UE
• Fournisseurs de modèles d'IA à usage général (GPAI), y compris les développeurs de modèles de fondation
• Entreprises non-UE dont les résultats d'IA sont utilisés dans l'UE
• Fabricants de produits intégrant l'IA dans des produits réglementés
• Organisations adaptant ou affinant des modèles d'IA tiers

Déployeurs (utilisateurs)

• Organisations utilisant des systèmes d'IA à haut risque au sein de l'UE
• Institutions financières utilisant l'IA pour le scoring de crédit ou la tarification des assurances
• Employeurs utilisant l'IA pour le recrutement, l'évaluation des performances ou la gestion des effectifs
• Prestataires de soins de santé utilisant des systèmes de diagnostic IA
• Organismes du secteur public utilisant l'IA pour la prestation de services ou la prise de décision

Obligations universelles

Toutes les organisations utilisant l'IA dans l'UE doivent garantir la culture IA de leur personnel (Art. 4), quelle que soit la classification de risque de leur système d'IA. Cette obligation est en vigueur depuis le 2 février 2025.

La Commission européenne estime que le règlement IA affectera plus de 6 000 fournisseurs et des dizaines de milliers de déployeurs dans l'UE.

Les quatre niveaux de risque

1. Pratiques d'IA interdites (Art. 5) — Interdiction totale

Ces utilisations de l'IA sont illégales dans l'UE. Les violations entraînent les amendes les plus élevées : 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

• Notation sociale par les autorités publiques
• Identification biométrique à distance en temps réel dans les espaces publics (avec étroites exceptions pour les forces de l'ordre)
• Techniques de manipulation subliminale causant un préjudice
• Exploitation de vulnérabilités liées à l'âge, au handicap ou à la situation économique
• Reconnaissance des émotions sur les lieux de travail et dans les établissements scolaires (avec exceptions limitées)
• Collecte non ciblée d'images de visages sur internet ou via la vidéosurveillance
• Catégorisation biométrique selon des attributs sensibles (race, religion, orientation sexuelle)
• Police prédictive basée uniquement sur le profilage

Date d'application : 2 février 2025 (déjà en vigueur)

2. Systèmes d'IA à haut risque (Art. 6, Annexe III) — Obligations les plus strictes

Les systèmes d'IA à haut risque doivent répondre à 14 exigences obligatoires en vertu des Art. 9–15 avant d'être mis sur le marché. L'Annexe III définit 8 catégories :

Obligations des fournisseurs pour l'IA à haut risque :

• Système de gestion des risques (Art. 9)
• Gouvernance des données (Art. 10)
• Documentation technique (Art. 11)
• Journalisation automatique des événements (Art. 12)
• Transparence envers les déployeurs (Art. 13)
• Conception pour la supervision humaine (Art. 14)
• Exactitude, robustesse et cybersécurité (Art. 15)
• Système de management de la qualité (Art. 17)
• Évaluation de la conformité (Art. 43)
• Enregistrement dans la base de données de l'UE (Art. 49)

Date d'application : 2 août 2026

3. IA à risque limité (Art. 50) — Obligations de transparence

Ces systèmes d'IA doivent divulguer leur nature IA aux utilisateurs :

• Les chatbots doivent informer les utilisateurs qu'ils interagissent avec une IA
• Les deepfakes et les contenus générés par l'IA doivent être étiquetés
• Les systèmes de reconnaissance des émotions doivent informer les personnes concernées
• Les systèmes de catégorisation biométrique doivent divulguer leur fonction

Date d'application : 2 août 2026

4. IA à risque minimal — Pas d'obligations spécifiques

Tous les autres systèmes d'IA (filtres anti-spam, jeux alimentés par l'IA, gestion des stocks) n'ont pas d'obligations spécifiques au-delà de l'exigence universelle de culture IA. La Commission européenne estime que cela couvre environ 85 % de tous les systèmes d'IA dans l'UE.

Modèles d'IA à usage général (GPAI)

Le règlement IA introduit des obligations spécifiques pour les modèles GPAI (Art. 53–55), reconnaissant les défis uniques posés par les modèles de fondation comme GPT, Claude et Gemini :

Tous les fournisseurs GPAI doivent :

• Préparer et maintenir la documentation technique
• Fournir des informations aux fournisseurs en aval intégrant leurs modèles
• Respecter les obligations de droit d'auteur
• Publier un résumé des données d'entraînement

Les modèles GPAI présentant un risque systémique (basé sur un calcul cumulatif dépassant 10^25 FLOPs ou désignation de la Commission) doivent en outre :

• Mener des évaluations de modèles pour les risques systémiques
• Effectuer des tests adversariaux (red-teaming)
• Signaler les incidents graves au Bureau européen de l'IA
• Garantir des protections adéquates en matière de cybersécurité

Date d'application : 2 août 2025 (déjà en vigueur)

Échéances clés

Sanctions

Le règlement IA établit l'un des régimes de sanctions les plus importants de l'UE :

Pour comparaison, l'amende maximale du RGPD est de 20 M€ ou 4 % du chiffre d'affaires. Le niveau supérieur du règlement IA (7 %) est l'amende proportionnelle la plus élevée dans la réglementation numérique de l'UE.

Autorités d'application :

• Bureau européen de l'IA — supervise directement les fournisseurs de modèles GPAI
• Autorités nationales compétentes — appliquent dans chaque État membre
• Autorités de surveillance du marché — enquêtent et imposent des mesures correctives

Comment se préparer : Feuille de route de conformité en 6 étapes

Étape 1 : Inventaire des systèmes d'IA

Créez un inventaire complet de tous les systèmes d'IA utilisés ou développés par votre organisation. Documentez l'objectif, les données d'entrée, le contexte de déploiement et la portée décisionnelle de chaque système. Selon Gartner, 40 % des organisations ne peuvent pas répertorier avec précision tous les systèmes d'IA qu'elles exploitent.

Étape 2 : Classification des risques

Classifiez chaque système d'IA selon l'Art. 5 (interdit), l'Art. 6 et l'Annexe III (haut risque), et l'Art. 50 (risque limité). Pour les cas limites, appliquez les critères d'exemption de l'Art. 6(3). Cette classification détermine l'ensemble de vos obligations de conformité.

Étape 3 : Analyse des écarts

Pour chaque système à haut risque, évaluez les pratiques actuelles par rapport aux exigences des Art. 9–15. Identifiez les lacunes en matière de gestion des risques, gouvernance des données, documentation, journalisation, transparence, supervision humaine et exactitude/robustesse. Priorisez par risque et complexité de mise en œuvre.

Étape 4 : Mise en place des contrôles

Comblez les lacunes identifiées : construire des systèmes de gestion des risques (Art. 9), établir la gouvernance des données (Art. 10), créer la documentation technique (Art. 11), mettre en place la journalisation (Art. 12) et concevoir des mécanismes de supervision humaine (Art. 14). Une analyse McKinsey estime que cette phase prend 3 à 6 mois pour la plupart des organisations.

Étape 5 : Évaluation de la conformité

Préparez l'évaluation de la conformité en vertu de l'Art. 43. La plupart des systèmes à haut risque suivent la voie de l'auto-évaluation (Annexe VI). Les systèmes d'identification biométrique pour les forces de l'ordre nécessitent une évaluation tierce par un organisme notifié (Annexe VII). Préparez la Déclaration UE de conformité (Annexe V) et la documentation du marquage CE.

Étape 6 : Enregistrement et surveillance

Enregistrez les systèmes à haut risque dans la base de données de l'UE (Art. 49). Mettez en place la surveillance post-commercialisation (Art. 72), le signalement des incidents graves (Art. 73) et les processus de conformité continus. Intégrez les obligations du règlement IA dans votre cadre GRC existant.

Matproof automatise les étapes 2 à 6 avec une classification des risques alimentée par l'IA, une génération automatisée de documentation et une surveillance continue de la conformité — demandez une démo pour voir comment cela fonctionne.

Foire aux questions

Qu'est-ce que le règlement IA de l'UE en termes simples ?

Le règlement IA de l'UE est une loi qui réglemente la façon dont les systèmes d'IA peuvent être développés et utilisés en Europe. Elle catégorise l'IA par niveau de risque — certaines utilisations sont totalement interdites, les utilisations à haut risque font face à des exigences strictes, et la plupart des IA du quotidien n'ont pas d'obligations spécifiques. Pensez-y comme au RGPD, mais pour l'intelligence artificielle.

Le règlement IA de l'UE s'applique-t-il en dehors de l'UE ?

Oui. Comme le RGPD, le règlement IA a une portée extraterritoriale. Si le résultat de votre système d'IA est utilisé dans l'UE, ou si vous placez des systèmes d'IA sur le marché de l'UE, vous devez vous conformer — quel que soit le siège de votre entreprise (Art. 2).

Quelle est la différence entre le règlement IA de l'UE et le RGPD ?

Le RGPD protège les données personnelles ; le règlement IA régule les systèmes d'IA. Ils se chevauchent lorsque l'IA traite des données personnelles (ce qui est le cas de la plupart des IA). Différences clés : le règlement IA utilise un système de classification basé sur les risques, exige des évaluations de conformité pour l'IA à haut risque et prévoit des amendes maximales plus élevées (7 % contre 4 % du chiffre d'affaires). La plupart des organisations doivent se conformer aux deux.

Combien coûte la conformité au règlement IA de l'UE ?

Les coûts varient considérablement selon la taille de l'organisation et le portefeuille d'IA. La Commission européenne estime les coûts de conformité à 6 000–7 000 € pour un système de gestion des risques IA et 3 000–7 500 € pour l'évaluation de conformité par système à haut risque. Les organisations disposant de nombreux systèmes d'IA font face à des coûts proportionnellement plus élevés, bien que des outils comme Matproof puissent réduire le coût de 60 à 80 % grâce à l'automatisation.

L'IA open source est-elle exemptée du règlement IA de l'UE ?

Partiellement. Les modèles d'IA open source sont exemptés de la plupart des obligations des fournisseurs, mais doivent toujours se conformer à l'Art. 5 (pratiques interdites) et doivent publier un résumé des données d'entraînement. Si un modèle open source est utilisé dans une application à haut risque, le déployeur supporte les obligations de conformité.

Que se passe-t-il si je ne suis pas conforme au 2 août 2026 ?

Les autorités nationales de surveillance du marché peuvent mener des enquêtes, imposer des amendes (jusqu'à 35 M€/7 % du chiffre d'affaires), ordonner le retrait de systèmes d'IA du marché ou restreindre leur utilisation. Au-delà des sanctions financières, la non-conformité risque d'endommager la réputation et de faire perdre la confiance des clients.