Règlement IA de l'UE : le guide complet de la conformité (2026)

Le règlement IA est une loi fondée sur le risque. Plutôt que de traiter toute l'IA de la même manière, il classe les systèmes par catégories et impose des obligations proportionnées au risque que chacun présente pour la santé, la sécurité et les droits fondamentaux. Il est extraterritorial : si des personnes dans l'UE utilisent votre système d'IA, ou si sa sortie y est utilisée, vous êtes concerné même établi hors de l'UE.

Chaque système d'IA relève de l'une des quatre catégories :

• Interdit (art. 5) — pratiques prohibées telles que la notation sociale ou certaines applications manipulatrices.
• Haut risque (annexe III) — systèmes utilisés dans des domaines comme l'emploi, l'éducation, les services essentiels, la répression et la biométrie. Ils portent les obligations les plus lourdes.
• Risque limité (art. 50) — les systèmes qui interagissent avec des personnes (agents conversationnels) ou génèrent des contenus synthétiques sont soumis à des obligations de transparence.
• Risque minimal — tout le reste, sans obligation contraignante.

Les obligations dépendent de votre rôle : fournisseur (art. 16), déployeur (art. 26), importateur (art. 23) ou distributeur (art. 24). Quiconque commercialise un système à haut risque sous son propre nom ou le modifie substantiellement devient fournisseur (art. 25) — avec l'ensemble des obligations, y compris l'évaluation de la conformité.

Les fournisseurs d'IA à haut risque doivent notamment assurer :

• un système de gestion des risques (art. 9)
• la gouvernance des données et le contrôle des biais (art. 10)
• la documentation technique — annexe IV (art. 11)
• la journalisation (art. 12)
• la surveillance humaine (art. 14)
• l'exactitude, la robustesse et la cybersécurité (art. 15)
• l'évaluation de la conformité (art. 43), le marquage CE (art. 48) et l'enregistrement dans la base de données de l'UE (art. 49)

Le règlement s'applique par étapes :

• 2 février 2025 — interdiction des pratiques prohibées + maîtrise de l'IA (art. 4)
• 2 août 2025 — obligations pour les fournisseurs de modèles d'IA à usage général (GPAI)
• 2 août 2026 — la plupart des obligations à haut risque (annexe III) et de transparence (art. 50)
• 2 août 2027 — systèmes à haut risque qui sont des composants de sécurité de produits réglementés

Le règlement prévoit des amendes graduées : jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel mondial pour les violations des pratiques interdites (art. 5), et jusqu'à 15 M€ ou 3 % pour la plupart des autres manquements. Pour les PME et les jeunes pousses, c'est le plus faible des deux montants qui s'applique.