EU AI Act : ce qui change pour les entreprises déployant de l'IA

L'EU AI Act (Règlement (UE) 2024/1689) est le premier règlement contraignant et global sur l'intelligence artificielle. Adopté en juillet 2024, il entre en vigueur progressivement de 2025 à 2027. À la différence des cadres volontaires (NIST AI RMF) ou certifiables (ISO 42001), c'est une obligation juridique avec des sanctions allant jusqu'à 35M€ ou 7% du CA mondial. Pour toute entreprise opérant dans l'UE — ou exportant vers l'UE des systèmes IA — la mise en conformité est non-négociable. En 2026, les obligations GPAI sont actives et les obligations haut-risque deviennent applicables.

Cet article documente le calendrier, les 4 catégories de risque, la distinction provider/deployer, les obligations clés, les sanctions, et un plan de mise en conformité 2026-2027. Pour le pendant ISO 42001 (certification) : ISO 42001 AIMS. Pour NIST AI RMF (cadre opérationnel) : NIST AI RMF guide.

Calendrier d'entrée en vigueur

En avril 2026 (date de référence de cet article) :

• Les interdictions Article 5 sont actives depuis 14 mois.
• Les obligations GPAI sont actives depuis 8 mois.
• Les obligations haut-risque deviendront applicables dans 4 mois.

Info — Texte officiel : Règlement (UE) 2024/1689 du Parlement européen et du Conseil. Disponible sur EUR-Lex et site officiel europa.eu/ai-act.

Quatre catégories de risque

L'EU AI Act adopte une approche risk-based : les obligations sont proportionnelles au risque que pose le système.

Catégorie 1 — Risque inacceptable (Article 5)

Interdites. Sanctions jusqu'à 35M€ ou 7% CA mondial.

Catégorie 2 — Haut risque (Article 6 + Annexe III)

Autorisé sous conditions strictes. Sanctions jusqu'à 15M€ ou 3% CA mondial.

L'Annexe III liste les domaines à haut risque :

1. Biométrie (post hoc, catégorisation).
2. Infrastructures critiques (énergie, transport, eau, etc.).
3. Éducation (admission, évaluation, surveillance étudiants).
4. Emploi et travailleurs (recrutement, évaluation, allocation tâches).
5. Accès aux services essentiels (crédit, services publics, urgence).
6. Application de la loi (police, justice).
7. Migration, asile, contrôle frontières.
8. Justice et processus démocratiques.

Tip — Si votre système IA prend des décisions ou influence des décisions importantes pour des personnes dans l'un de ces 8 domaines : probablement haut risque. Documenter l'analyse dans un Risk Assessment formel.

Catégorie 3 — Risque limité (Article 50 — transparence)

Obligations de transparence uniquement.

Cas typiques :

• Chatbots et assistants conversationnels grand public.
• Génération de contenu (deepfakes : devoir d'étiquetage).
• Reconnaissance d'émotions ou catégorisation biométrique (hors haut risque).

Obligation principale : informer l'utilisateur qu'il interagit avec une IA.

Catégorie 4 — Risque minimal

Pas d'obligation spécifique.

Cas typiques : jeux vidéo, filtres anti-spam, IA dans applications grand public sans impact.

Info — Estimation EU Commission : ~85% des systèmes IA en marché entrent en catégorie 4 (minimal), ~10% en risque limité, ~5% en haut risque, < 1% en inacceptable.

Provider vs Deployer : qui fait quoi

Distinction clé pour identifier ses obligations.

Important : une entreprise peut être les deux — provider d'un système qu'elle a développé, deployer d'un autre qu'elle achète. Pour chaque système IA, identifier le rôle.

Cas type : entreprise européenne utilisant un LLM US

Système : Chatbot RH B2B basé sur GPT-4o (OpenAI) + RAG custom
 
Rôles :
- OpenAI (US) :        provider du modèle GPT-4o (GPAI)
- Importer EU :        distributeur officiel OpenAI EU
- Acme Corp (FR) :     deployer (utilise GPT-4o + ajoute couche RAG)
                       AUSSI provider de la couche custom au-dessus
 
Obligations Acme Corp :
- En tant que deployer GPT-4o : Articles 26-27
- En tant que provider du chatbot RAG (haut risque RH) :
  Articles 8-15 + 16-22
 
Obligations OpenAI :
- En tant que provider GPAI : Articles 53-55
- Si modèle "à risque systémique" : Articles 55-56 (renforcés)

Obligations clés pour systèmes à haut risque

Cible des entreprises deployers ou providers de systèmes haut-risque (Annexe III).

Article 9 — Système de gestion des risques

Obligation continue :

• Identifier les risques (raisonnables et prévisibles).
• Estimer leur impact.
• Mitiger via mesures techniques et organisationnelles.
• Tester l'efficacité des mitigations.
• Mettre à jour tout au long du cycle de vie.

Article 10 — Gouvernance des données

Pour les datasets d'entraînement, validation, test :

• Pratiques de gestion appropriées.
• Examen de la représentativité (biais).
• Pertinence statistique.
• Détection et correction de biais.
• Identification de lacunes ou erreurs.

Article 11 — Documentation technique

Documentation avant mise sur le marché. Inclut :

• Description générale du système IA.
• Conception du système.
• Information sur le monitoring, le fonctionnement, le contrôle.
• Description des mesures pour les risques.
• Performance et tests.
• Conformity assessment.

Article 12 — Record-keeping (logs)

Capacité d'enregistrement automatique d'événements pendant la vie du système :

• Logs structurés conservés selon prescriptions.
• Permettent traçabilité des décisions.
• Facilitent post-market monitoring.

Article 13 — Transparence et information aux deployers

Le provider fournit aux deployers :

• Instructions d'utilisation claires.
• Caractéristiques, capacités et limites.
• Niveau de précision attendu.
• Spécification des inputs.
• Périodicité de re-test.

Article 14 — Surveillance humaine

Mesures pour permettre aux humains de :

• Comprendre le fonctionnement du système.
• Identifier les anomalies / dysfonctionnements.
• Refuser ou ignorer la sortie du système.
• Intervenir / arrêter le système si nécessaire.

Pattern HITL obligatoire pour les décisions critiques.

Article 15 — Robustesse, exactitude, cybersécurité

• Robustesse : résistance aux erreurs, défaillances, conditions inattendues.
• Exactitude : niveau et métriques déclarés et mesurés.
• Cybersécurité : résistance aux attaques (incluant prompt injection, model poisoning, etc.).

Tip — Article 15 est directement aligné avec MITRE ATLAS et OWASP LLM/Agentic Top 10. Référencer ces frameworks dans la documentation technique simplifie l'audit.

Article 27 — FRIA (Fundamental Rights Impact Assessment)

Pour les deployers de certains systèmes haut-risque (notamment dans le secteur public, banque, assurance) :

• Évaluation d'impact sur les droits fondamentaux.
• Avant le déploiement.
• Documenter les groupes affectés, risques spécifiques, mitigations.

Distinct du DPIA (RGPD Article 35) — souvent à réaliser conjointement.

Obligations GPAI (modèles à finalité générale)

Articles 53-55 — actives depuis août 2025.

Tous les GPAI (Article 53)

• Documentation technique du modèle.
• Information aux providers downstream qui utilisent le modèle.
• Politique de respect du droit d'auteur (training data).
• Résumé public du contenu d'entraînement.

GPAI à risque systémique (Articles 55-56)

Modèles dépassant un seuil de capacité (typiquement > 10²⁵ FLOPS d'entraînement, mis à jour par EU Commission) :

• Évaluations adversariales documentées.
• Évaluations de risques systémiques (incluant cybersécurité, biais, désinformation).
• Mesures de cybersécurité renforcées.
• Reporting des incidents graves aux autorités EU AI Office.

GPT-4, Claude Opus, Gemini Ultra, Llama 3 405B sont concernés (selon évaluation continue).

Sanctions détaillées

Pour PME et startups : montants réduits ("le plus bas" au lieu de "le plus élevé").

Comparaison RGPD : RGPD = 20M€ ou 4% CA. EU AI Act Art. 5 = 35M€ ou 7% (significativement plus élevé).

Application : autorités nationales désignées (France : CNIL coordonne, ARCOM pour audiovisuel, ANSM pour santé, etc.). Surveillance harmonisée par EU AI Office (DG CONNECT).

Plan de mise en conformité 2026-2027

Étape 1 — Inventaire (mois 1)

Recenser tous les systèmes IA utilisés ou développés :

# inventory/eu-ai-act-compliance.yml
ai_systems:
  - id: AS-001
    name: "Chatbot support clients"
    role: "deployer"  # GPT-4o utilisé via API
    base_model_provider: "OpenAI"
    risk_category: "limited"  # info FAQ standard
    article_5_check: false  # pas de pratique interdite
    obligations: ["transparency"]  # Article 50
  
  - id: AS-002
    name: "Outil sélection candidats"
    role: "deployer"  # SaaS RH externe
    base_model_provider: "VendorRH"
    risk_category: "high_risk"  # Annexe III pt 4
    article_5_check: false
    obligations: ["Articles 26-27", "FRIA", "monitoring", "logs"]
  
  - id: AS-003
    name: "Modèle interne classification documents"
    role: "provider"  # développé en interne
    risk_category: "limited"  # pas dans Annexe III
    obligations: ["Article 50"]  # transparency vers users finaux

Étape 2 — Classification risque (mois 1-2)

Pour chaque système :

• Article 5 ? (interdiction)
• Annexe III ? (haut risque)
• Risque limité (transparence) ?
• Risque minimal ?

Documenter le raisonnement par système — auditable.

Étape 3 — Gap analysis (mois 2-3)

Pour les systèmes haut-risque :

# gap-analysis/AS-002.yml
system_id: AS-002
risk_category: high_risk
 
article_compliance:
  Article_9_risk_management:
    implemented: partial
    gap: "Threat model en place mais pas de monitoring continu"
    plan: "Déployer Langfuse + alertes SOC"
    deadline: "2026-06-15"
  
  Article_10_data_governance:
    implemented: yes
    notes: "Vendor a fourni data sheet"
  
  Article_11_technical_documentation:
    implemented: no
    gap: "Pas de documentation technique de notre intégration"
    plan: "Rédiger doc technique + threat model"
    deadline: "2026-05-30"
  
  Article_14_human_oversight:
    implemented: partial
    gap: "Pas de HITL pour décisions de rejet candidats"
    plan: "Implémenter approval flow recruteur"
    deadline: "2026-07-01"
  
  Article_15_robustness:
    implemented: partial
    gap: "Pas d'évaluation cybersécurité formelle"
    plan: "Audit pentest + ATLAS coverage"
    deadline: "2026-07-15"
  
  Article_27_FRIA:
    implemented: no
    gap: "FRIA non réalisée"
    plan: "FRIA avec DPO + RH + AI Risk Officer"
    deadline: "2026-06-30"

Étape 4 — Plan de mise en conformité (mois 3)

Consolidation des plans par système avec deadlines avant 2 août 2026.

Étape 5 — Implémentation (mois 4-7)

Exécution des plans. Documentation au fur et à mesure.

Étape 6 — Audit interne pré-2 août 2026 (mois 8)

Audit interne complet. Plan d'actions correctives finalisé.

Étape 7 — Conformité opérationnelle (août 2026)

Documents prêts. Processus en place. Auditeur externe ou autorité peuvent contrôler à partir de cette date.

Étape 8 — Post-market monitoring (continu)

Article 72 — système de surveillance après mise sur le marché. Logs continus, monitoring qualité, reporting incidents graves.

Mapping aux autres frameworks

EU AI Act ↔ NIST AI RMF

NIST AI RMF couvre 80-90% du chemin pour conformité haut-risque EU AI Act.

EU AI Act ↔ ISO 42001

ISO 42001 est explicitement alignée avec EU AI Act. Certification ISO 42001 = base solide pour conformité EU AI Act.

EU AI Act ↔ MITRE ATLAS

Article 15 (cybersécurité) référence implicitement les frameworks de threat modeling : MITRE ATLAS = catalogue d'attaques pertinent. OWASP LLM/Agentic Top 10 = référence usuelle.

EU AI Act ↔ RGPD

Coexistence :

• RGPD : protection des données personnelles.
• EU AI Act : règlementation des systèmes IA.

Recoupements :

• DPIA (RGPD Art. 35) ↔ FRIA (AI Act Art. 27) — souvent à faire ensemble.
• Droits des personnes RGPD applicables aux systèmes IA.
• Bases légales RGPD pour training/inférence.

Sanctions cumulables : un même incident peut violer RGPD + AI Act = doubles sanctions.

Outils et templates

EU Commission et autorités nationales (CNIL, autres autorités EU) publient progressivement des guidelines et templates officiels — surveiller les sites officiels.

Pièges fréquents

Stratégie cumulative recommandée

Pour une organisation IA-mature visant la conformité complète :

Année 1 :  RGPD + ISO 27001 (base sécurité info)
Année 1-2 : NIST AI RMF (cadre opérationnel pragmatique)
Année 2 :  ISO 42001 (certification AIMS)
Année 2 :  EU AI Act (conformité juridique pour systèmes haut-risque) ← deadline août 2026
Année 3 :  Audit externe combiné + alignement sectoriel
Continu :  Post-market monitoring + amélioration

NIST + ISO 42001 = 80-90% du chemin pour EU AI Act haut-risque, modulo CE marking, conformity assessment formel, registre européen.

Points clés à retenir

• EU AI Act (Règlement UE 2024/1689, juillet 2024) = premier règlement contraignant sur l'IA, avec sanctions jusqu'à 35M€ ou 7% CA mondial (Article 5, supérieur à RGPD).
• Calendrier : 2 février 2025 (interdictions), 2 août 2025 (GPAI), 2 août 2026 (haut risque), 2 août 2027 (produits régulés intégrés).
• 4 catégories de risque : inacceptable (interdit), haut risque (Annexe III, conditions strictes), risque limité (transparence), risque minimal (libre).
• Provider vs Deployer : identifier précisément son rôle pour chaque système. Une entreprise peut être les deux.
• Obligations clés haut-risque : Articles 8-15 (gestion risques, données, doc, logs, transparence, oversight humain, robustesse) + Article 27 (FRIA pour deployers).
• GPAI (Articles 53-55) actif depuis août 2025 : documentation modèle, droit auteur, résumé training data. Risque systémique (Articles 55-56) : évaluations adversariales + reporting incidents.
• Plan de mise en conformité 2026 : inventaire → classification → gap analysis → plan → implémentation → audit interne → opérationnel d'ici 2 août 2026.
• Mappings : NIST AI RMF couvre 80-90% du chemin ; ISO 42001 = base certifiable ; RGPD coexiste (FRIA distinct du DPIA).
• 6 pièges fréquents : sous-estimer son rôle, ignorer Annexe III, confondre RGPD/AI Act, doc rétroactive, pas de monitoring continu, cellule isolée.
• Stratégie cumulative recommandée : RGPD + 27001 → NIST AI RMF → ISO 42001 → EU AI Act → post-market continu.

L'EU AI Act n'est pas un "RGPD pour l'IA" — c'est plus structurant et plus contraignant. Pour les entreprises opérant en UE ou exportant vers l'UE, la mise en conformité est un programme, pas un projet ponctuel. Démarrer maintenant pour être prêt en août 2026 sur les obligations haut-risque, et pour entretenir la conformité dans la durée.