AI Act pour les organisations : vue d'ensemble

Que régit l’AI Act ?

Le règlement sur l’IA (règlement (UE) 2024/1689, en anglais « AI Act ») s’applique directement dans tous les États membres de l’UE. Il ne régit pas la technique, mais l’usage : plus le risque pour la santé, la sécurité et les droits fondamentaux est élevé, plus les obligations sont nombreuses. Il concerne les entreprises comme les administrations, les hôpitaux et les associations.

Niveau	Exemples	Ce qui s’applique
Interdit (art. 5)	notation sociale, reconnaissance des émotions sur le lieu de travail, techniques manipulatrices	ne doit pas être utilisé
Haut risque (art. 6, annexes I et III)	sélection des candidatures, décision sur des prestations sociales, IA en tant que dispositif médical	obligations étendues pour les fournisseurs et les déployeurs
Transparence (art. 50)	chatbots, images et vidéos générées, textes publiés sur des sujets d’intérêt public	obligations d’information et de marquage
Autres IA	rédiger, résumer, traduire des textes, répondre à des questions	maîtrise de l’IA (art. 4)

Quel rôle a votre organisation ?

Le règlement distingue surtout deux rôles :

• Fournisseur (art. 3, point 3) : développe un système d’IA ou le fait développer et le met sur le marché ou en service sous son propre nom, y compris pour son propre usage.
• Déployeur (art. 3, point 4) : utilise un système d’IA sous sa propre autorité, par exemple un hôpital qui utilise un assistant IA pour les lettres médicales.

La plupart des organisations sont des déployeurs. Celui qui développe ses propres applications d’IA ou réaffecte un système à une finalité à haut risque peut devenir fournisseur. Le guide Nos propres apps d’IA font-elles de nous un fournisseur ? l’explique.

Quelles échéances s’appliquent après l’omnibus numérique ?

Avec le règlement (UE) 2026/1744 (« omnibus numérique sur l’IA »), publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, l’UE a reporté plusieurs échéances. État au 11 octobre 2026 :

Depuis ou à partir du	Ce qui s’applique
2 février 2025	interdictions (art. 5) et maîtrise de l’IA (art. 4)
2 août 2025	obligations des fournisseurs de modèles d’IA à usage général, sanctions
27 juillet 2026	nouvelle rédaction de l’art. 4 : mesures pour favoriser la maîtrise de l’IA
2 août 2026	obligations de transparence (art. 50)
2 décembre 2026	nouvelles interdictions concernant les hypertrucages (deepfakes) à caractère sexuel ; marquage pour les systèmes mis sur le marché avant le 2 août 2026 (art. 111, paragraphe 4)
2 décembre 2027	IA à haut risque de l’annexe III (art. 113)
2 août 2028	IA à haut risque de l’annexe I, par exemple l’IA dans les dispositifs médicaux
2 août 2030	systèmes à haut risque des autorités publiques déjà utilisés auparavant (art. 111, paragraphe 2)

La Commission a publié en mai 2026 un projet de lignes directrices sur la classification comme système à haut risque. Avant toute décision importante, vérifiez si la version définitive est parue entre-temps.

Que devez-vous faire dès aujourd’hui ?

1. Recenser les systèmes d’IA : quels systèmes sont utilisés, pour quoi, avec quelles données ?
2. Favoriser la maîtrise de l’IA : formation et documentation selon l’art. 4. Détails dans le guide Maîtrise de l’IA selon l’art. 4.
3. Exclure les pratiques interdites : aucun usage relevant de l’art. 5.
4. Vérifier la transparence : chatbots pour les citoyens, les patients ou les clients, images générées, textes publiés. Voir Obligation de transparence selon l’art. 50.
5. Repérer les usages à haut risque : il reste du temps jusqu’en décembre 2027, mais les achats et la préparation demandent du délai. Voir Identifier une IA à haut risque.

Le RGPD, le secret professionnel et la consultation du CSE ou des représentants du personnel continuent de s’appliquer.

Quelles amendes s’appliquent ?

L’art. 99 prévoit jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, et jusqu’à 15 millions d’euros ou 3 % pour les manquements à d’autres obligations, par exemple celles des déployeurs ou de l’art. 50. Pour les petites et moyennes entreprises, c’est le montant le plus bas qui s’applique. Chaque État décide si et comment les autorités publiques paient des amendes : en Allemagne, les administrations et organismes publics en sont exemptés selon le § 17, al. 2, KI-MIG. Le règlement ne prévoit pas d’amende spécifique pour l’art. 4.

Comment cela fonctionne-t-il avec basebox ?

basebox est une plateforme, pas un système à haut risque. Vos obligations dépendent de l’usage. Pour l’AI Act, vous recevez des formations, des journaux et un registre des modèles : le développeur, la version et la licence de chaque modèle sont documentés, le journal d’audit enregistre qui a utilisé quel assistant et quel connecteur, et les actions d’écriture des agents nécessitent la validation d’une personne. Les formations réservées couvrent aussi la maîtrise de l’IA selon l’art. 4. Détails sous Sécurité.

Pas un conseil juridique : cette vue d’ensemble reflète l’état au 11 octobre 2026. Le règlement sur l’IA est complété en permanence par des lignes directrices, des normes et des lois nationales. Faites vérifier votre usage par votre conseil juridique ou votre délégué à la protection des données.