Quelles sont les obligations de l'AI Act pour les entreprises ?

Le règlement EU AI Act (2024/1689) définit quatre niveaux de risque. Risque inacceptable (article 5) : pratiques interdites. Haut risque (articles 6 et Annexe III) : obligations renforcées. Risque limité : obligations de transparence. Risque minimal : pas d'obligation contraignante.

Pour un déployeur de système à haut risque, les obligations principales sont définies à l'article 26 : utiliser le système conformément aux instructions du fournisseur, assurer la supervision humaine, surveiller le fonctionnement, signaler les incidents graves, tenir des journaux automatiques, informer les personnes affectées, et — dans certains cas — conduire une Évaluation d'Impact sur les Droits Fondamentaux (FRIA, article 27).

Pour un fournisseur de système à haut risque, les obligations sont plus lourdes (articles 9 à 21) : système de gestion des risques, gouvernance des données, documentation technique, registre d'activité automatique, transparence vis-à-vis des déployeurs, évaluation de conformité ex ante, marquage CE, enregistrement dans la base de données européenne, déclaration de conformité, surveillance post-marché.

Pour les systèmes à risque limité (chatbots, deepfakes, contenu généré par IA) : obligation de transparence (article 50) — l'utilisateur doit savoir qu'il interagit avec une IA ou que le contenu est généré. La priorité de préparation avant le 2 août 2026 : cartographier vos systèmes d'IA, classifier chacun selon l'Annexe III, identifier votre rôle pour chacun, prioriser la mise en conformité des systèmes à haut risque.