AI Act : ce que le règlement européen sur l'IA change, et à quelles dates

Le règlement (UE) 2024/1689, que tout le monde appelle AI Act, est le texte qui encadre l'intelligence artificielle dans toute l'Union européenne. Il ne s'applique pas d'un bloc : chaque famille de règles a sa date, et un second règlement, l'omnibus numérique sur l'IA (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026), a repoussé une partie du calendrier. Ce choix d'encadrer ne fait pas l'unanimité : au sommet de New Delhi, Emmanuel Macron a défendu la régulation quand Washington rejetait toute gouvernance mondiale de l'IA.

Ce guide fait le point sur ce qui s'applique déjà, ce qui arrive, et ce que cela change concrètement pour un particulier et pour une petite entreprise qui utilise des outils d'IA.

Le calendrier, date par date

Le texte est entré en vigueur le 1er août 2024. Ses obligations s'échelonnent de 2025 à 2030. Le tableau ci-dessous intègre les reports décidés par l'omnibus de juillet 2026.

Deux échéances plus lointaines complètent le tableau : chaque État doit ouvrir un « bac à sable » réglementaire, où les entreprises testent leurs systèmes sous surveillance, au plus tard le 2 août 2027, et les systèmes à haut risque utilisés par les autorités publiques doivent être en règle au plus tard le 2 août 2030.

Ce qui est interdit

L'article 5 du règlement interdit, depuis le 2 février 2025, de mettre sur le marché ou d'utiliser une IA pour :

• manipuler une personne par des techniques subliminales ou trompeuses, ou exploiter sa vulnérabilité (âge, handicap, situation sociale ou économique), au point de lui causer un préjudice important ;
• attribuer une « note sociale » qui entraîne un traitement défavorable sans rapport avec le contexte ou disproportionné ;
• prédire qu'une personne va commettre une infraction sur la seule base de son profil ou de sa personnalité ;
• constituer des bases de reconnaissance faciale en aspirant sans cible des photos sur internet ou des images de vidéosurveillance ;
• déduire les émotions d'une personne au travail ou à l'école, sauf pour des raisons médicales ou de sécurité ;
• classer les personnes d'après leurs données biométriques pour en déduire leur origine, leurs opinions, leur religion ou leur orientation sexuelle ;
• identifier les gens en temps réel dans l'espace public à des fins policières, sauf exceptions strictes (recherche de victimes, menace terroriste imminente, suspects d'infractions graves).

L'omnibus ajoute deux interdictions à partir du 2 décembre 2026 : les outils qui génèrent des images, vidéos ou sons réalistes montrant une personne identifiable nue ou dans une scène sexuelle sans son consentement explicite, et ceux qui produisent des contenus pédocriminels. Pour un fournisseur, l'interdiction joue quand c'est la destination de l'outil, ou quand il le permet facilement sans garde-fou fiable ; pour un utilisateur, quand il s'en sert dans ce but.

Ce qui change pour vous

Le règlement ne vous impose rien si vous utilisez une IA à titre personnel : la définition de « déployeur », celui qui doit respecter les règles en tant qu'utilisateur, exclut expressément l'activité personnelle à caractère non professionnel. En revanche, il vous donne des garanties.

• Savoir que vous parlez à une machine. Depuis le 2 août 2026, un chatbot ou un assistant vocal doit être conçu pour vous informer qu'il s'agit d'une IA, au plus tard à la première interaction, sauf si c'est évident dans le contexte.
• Repérer les contenus truqués. Celui qui diffuse un hypertrucage (deepfake) dans un cadre professionnel doit indiquer qu'il a été généré ou manipulé par une IA ; une œuvre manifestement artistique ou satirique peut le signaler de façon discrète. Un texte généré qui informe le public sur une question d'intérêt général doit aussi être signalé, sauf s'il a été relu par une rédaction qui en assume la responsabilité. Ces garde-fous visent des usages comme la fausse vidéo de Ronaldo utilisée pour une escroquerie ou les deepfakes de l'affaire Epstein.
• Des contenus marqués à la source. Les fournisseurs d'outils qui génèrent images, vidéos, sons ou textes doivent les marquer dans un format lisible par machine. Les outils déjà sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026. Pour vérifier une image vous-même, voir notre guide image ou vidéo créée par IA : comment la reconnaître.
• Demander des explications. À partir du 2 décembre 2027, une personne visée par une décision importante prise à l'aide d'une IA à haut risque (refus de crédit, tri de candidatures…) pourra exiger des explications claires sur le rôle de l'IA dans cette décision. Elle devra aussi être informée qu'un tel système est utilisé.

Petite entreprise : ce que le texte demande

Une entreprise qui se sert de ChatGPT, de Copilot ou d'un chatbot sur son site est « déployeur » au sens du règlement. Pour la plupart des usages de bureau (rédaction, résumé, traduction), les obligations se limitent à la formation et à la transparence. Les règles lourdes visent les usages à haut risque, et elles n'arrivent qu'en décembre 2027.

Les PME ont un accès prioritaire aux bacs à sable réglementaires. Elles bénéficient aussi, comme désormais les petites entreprises à moyenne capitalisation, d'amendes plafonnées plus bas (voir ci-dessous).

Qui contrôle en France, et quelles sanctions

Au 25 octobre 2026, aucune loi n'a encore désigné les autorités françaises chargées d'appliquer le règlement. Le projet de loi d'adaptation au droit de l'Union européenne, adopté par le Sénat le 18 février 2026, est en première lecture à l'Assemblée nationale depuis le 20 février. Dans la version votée par le Sénat :

• la CNIL contrôle la plupart des pratiques interdites (notation sociale, prédiction d'infractions, reconnaissance faciale, émotions, biométrie), la plupart des systèmes à haut risque de l'annexe III et la transparence des systèmes de reconnaissance des émotions ;
• la DGCCRF contrôle les manipulations, l'exploitation des vulnérabilités et la notation sociale, ainsi que la transparence des chatbots, le marquage des contenus générés et l'étiquetage des hypertrucages ;
• l'Arcom est saisie par la CNIL quand un système touche aux plateformes en ligne, à l'audiovisuel, au pluralisme ou aux élections.

Ce schéma peut encore changer à l'Assemblée. Les montants maximaux, eux, sont fixés par le règlement : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour une pratique interdite, 15 millions ou 3 % pour les autres obligations (dont la transparence), 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. C'est le montant le plus élevé qui s'applique, sauf pour les PME et les petites entreprises à moyenne capitalisation, pour qui c'est le plus faible.