L'EU AI Act (Règlement (UE) 2024/1689) est la première loi européenne horizontale, complète et fondée sur les risques régissant l'intelligence artificielle, largement citée comme la première réglementation de ce type au monde. Adopté en 2024 et applicable progressivement entre 2025, 2026 et 2027, il fixe des règles contraignantes pour les systèmes d'IA mis sur le marché de l'UE ou dont la sortie est utilisée dans l'UE, indépendamment du lieu d'établissement du fournisseur. L'échéance du 2 août 2026 est opérationnellement significative pour la plupart des organisations : elle déclenche l'essentiel des obligations, y compris les règles sur les systèmes à haut risque de l'Annexe III. Le régime de classification de l'article 6(1) pour l'IA à haut risque intégrée dans des produits sous la législation d'harmonisation de l'UE est reporté au 2 août 2027.
Ce guide expose les quatre niveaux de risque, qui est concerné, le calendrier d'application échelonné, les sanctions, l'articulation avec ISO/IEC 42001, et comment construire une feuille de route de conformité qui résiste à l'audit. Il s'adresse aux responsables de la gouvernance IA, RSSI, responsables conformité, chefs de produit et équipes juridiques dans l'UE, au Royaume-Uni et en Suisse.
Chez Abilene Academy, nous formons les praticiens de la gouvernance IA aux certifications PECB ISO 42001 Lead Implementer, Lead Auditor, et Lead AI Risk Manager. Les pages qui suivent reflètent ce que nos formateurs observent sur le terrain : quelles clauses sont mal lues, là où ISO 42001 aide et là où elle n'aide pas, et ce qui distingue une conformité sur le papier d'une conformité prête à l'audit avant août 2026.
Date d'application clé de l'EU AI Act
Le 2 août 2026 déclenche l'essentiel des obligations dans les 27 États membres de l'UE, y compris les règles sur les systèmes à haut risque de l'Annexe III. Le régime de l'article 6(1), qui capture l'IA à haut risque intégrée dans des produits couverts par la législation d'harmonisation de l'UE, est reporté au 2 août 2027. Source : Règlement (UE) 2024/1689, article 113.
Sanction maximale sous l'EU AI Act
35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. L'amende administrative maximale pour les violations des pratiques d'IA interdites à l'article 5. Source : Règlement (UE) 2024/1689, article 99.
Qu'est-ce que l'EU AI Act ?
L'EU AI Act en bref
Règlement (UE) 2024/1689 du Parlement européen et du Conseil, établissant des règles harmonisées concernant l'intelligence artificielle. Le règlement est entré en vigueur le 1er août 2024 et s'applique par étapes entre le 2 février 2025 et le 2 août 2027. En tant que règlement (et non directive), il s'applique directement dans les 27 États membres de l'UE sans transposition nationale.
L'EU AI Act est une réglementation horizontale et fondée sur les risques de l'intelligence artificielle. Plutôt que de cibler des secteurs ou cas d'usage spécifiques, il classe les systèmes d'IA selon le risque qu'ils posent pour les droits fondamentaux, la sécurité et la société, et impose des obligations proportionnelles à ce risque. Le règlement couvre l'ensemble de la chaîne de valeur de l'IA : fournisseurs (ceux qui développent ou mettent des systèmes d'IA sur le marché), déployeurs (ceux qui les utilisent dans un contexte professionnel), importateurs, distributeurs et mandataires. Il s'applique indépendamment du lieu d'établissement du fournisseur dès lors que le système d'IA est mis sur le marché de l'UE ou que sa sortie est utilisée dans l'UE.
Le règlement s'inscrit dans la stratégie numérique plus large de l'UE qui comprend le RGPD, le Digital Services Act, le Digital Markets Act, NIS 2 et DORA. Il coexiste avec les réglementations sectorielles (dispositifs médicaux, sécurité automobile, services financiers) plutôt que de les remplacer. Les systèmes d'IA intégrés dans des produits réglementés héritent des obligations des deux régimes.
L'approche fondée sur les risques : quatre niveaux
Diagramme en pyramide de la classification à quatre niveaux de l'EU AI Act : risque inacceptable (interdit), haut risque (obligations étendues), risque limité (obligations de transparence), risque minimal (aucune obligation spécifique).
Échéances de conformité EU AI Act : le calendrier échelonné
L'EU AI Act s'applique par étapes, pas en une seule fois. L'article 113 du règlement fixe quatre dates d'application clés réparties entre 2025, 2026 et 2027. Chacune marque l'entrée en vigueur d'un ensemble différent d'obligations. Les organisations doivent cartographier leur inventaire IA contre ce calendrier pour comprendre quelles obligations s'appliquent et quand.
Chronologie verticale des dates d'application de l'EU AI Act, du 1er août 2024 (entrée en vigueur) au 2 août 2027 (IA à haut risque dans les produits réglementés) : 1er août 2024 entrée en vigueur, 2 février 2025 pratiques interdites et alphabétisation IA, 2 août 2025 obligations GPAI et gouvernance, 2 août 2026 date d'application principale, 2 août 2027 produits réglementés.
Pour la plupart des organisations, le 2 août 2026 est l'échéance d'application majeure. Les pratiques interdites sont applicables depuis février 2025 ; les règles applicables aux fournisseurs d'IA à usage général depuis août 2025. Août 2026 apporte le régime opérationnel pour les systèmes à haut risque de l'Annexe III : gestion des risques, gouvernance des données, documentation technique, tenue des registres, transparence, supervision humaine, exactitude, robustesse et cybersécurité, ainsi que les obligations d'évaluation de conformité, de déclaration UE de conformité, de marquage CE et de surveillance post-commercialisation. Le régime de classification de l'article 6(1), qui capture l'IA à haut risque intégrée dans des produits couverts par la législation d'harmonisation de l'UE, est reporté au 2 août 2027.
À qui s'applique l'EU AI Act ?
Le règlement couvre six catégories d'acteurs tout au long de la chaîne de valeur de l'IA :
- Fournisseurs : entités qui développent un système d'IA ou le font développer et le mettent sur le marché de l'UE ou en service sous leur propre nom. Portent les obligations les plus lourdes, en particulier pour les systèmes à haut risque.
- Déployeurs (utilisateurs) : entités qui utilisent un système d'IA dans un contexte professionnel au sein de l'UE. Portent des obligations sur la conformité à l'usage prévu, la supervision humaine, les données d'entrée, la conservation des journaux et l'évaluation d'impact pour certains usages à haut risque.
- Importateurs : entités établies dans l'UE qui mettent sur le marché un système d'IA portant le nom d'un fournisseur hors UE. Doivent vérifier la documentation de conformité du fournisseur avant la mise sur le marché.
- Distributeurs : entités de la chaîne d'approvisionnement qui mettent un système d'IA à disposition sur le marché de l'UE, autres que le fournisseur ou l'importateur. Doivent vérifier le marquage CE et la documentation associée.
- Fabricants : entités mettant un système d'IA sur le marché en même temps qu'un produit qu'elles fabriquent, sous leur propre nom.
- Mandataires : représentants établis dans l'UE désignés par les fournisseurs hors UE. Détiennent une copie de la documentation technique et de la déclaration UE de conformité, et coopèrent avec les autorités au nom du fournisseur.
Portée extraterritoriale : Royaume-Uni, États-Unis et Suisse dans le champ d'application
L'article 2 fixe un champ d'application territorial inhabituellement large. Le règlement s'applique aux fournisseurs et déployeurs établis hors UE lorsque la sortie produite par le système d'IA est utilisée dans l'UE. Un éditeur SaaS américain dont l'IA évalue des CV pour un employeur de l'UE entre dans le champ d'application. Une FinTech britannique utilisant un moteur de décision de crédit IA sur des clients de l'UE entre dans le champ d'application. Un fabricant suisse de dispositifs médicaux mettant un dispositif de diagnostic intégrant de l'IA sur le marché de l'UE entre dans le champ d'application. Il n'existe pas de mécanisme d'« adéquation » comparable au RGPD ; le règlement s'applique tout simplement.
L'approche britannique : fondée sur des principes, non horizontale
Le Royaume-Uni développe son propre cadre de réglementation de l'IA basé sur une supervision fondée sur des principes par les régulateurs existants (ICO, CMA, FCA, MHRA, Ofcom). Le Cyber Security and Resilience Bill et le UK AI Bill plus large (toujours en consultation en 2026) devraient introduire des obligations sectorielles plutôt qu'une loi horizontale. Les entreprises britanniques ayant des clients de l'UE doivent se conformer à l'EU AI Act indépendamment de la réglementation nationale britannique ; les deux régimes coexisteront probablement.
Systèmes d'IA à haut risque : le cœur opérationnel du règlement
La plupart du travail opérationnel de conformité porte sur les systèmes d'IA à haut risque. Le règlement définit le haut risque de deux manières. Premièrement, les systèmes d'IA utilisés comme composants de sécurité dans des produits couverts par la législation d'harmonisation de l'UE listée à l'Annexe I (dispositifs médicaux, automobile, machines, jouets, ascenseurs, etc.) héritent du statut haut risque de la réglementation produit sous-jacente. Deuxièmement, les systèmes d'IA utilisés dans les huit domaines listés à l'Annexe III sont à haut risque par défaut :
- Identification et catégorisation biométriques (là où elles ne sont pas déjà interdites par l'article 5)
- Gestion des infrastructures critiques (trafic routier, eau, gaz, électricité, infrastructures numériques)
- Éducation et formation professionnelle (admission, évaluation, surveillance comportementale)
- Emploi, gestion des travailleurs et accès au travail indépendant (recrutement, tri de CV, attribution des tâches, évaluation des performances, licenciement)
- Accès aux services privés et publics essentiels (solvabilité, prestations publiques, traitement des appels d'urgence, tarification d'assurance santé et vie)
- Application de la loi (évaluation des risques, polygraphes, fiabilité des preuves, profilage, police prédictive)
- Gestion de la migration, de l'asile et du contrôle aux frontières
- Administration de la justice et processus démocratiques
Piège fréquent : sous-catégoriser le haut risque
L'échec de conformité le plus courant est de ne pas classer les systèmes à haut risque comme tels. Les organisations sous-estiment le champ d'application parce qu'elles pensent que « haut risque » implique dangereux, alors qu'il capture l'IA d'entreprise quotidienne : outils de tri de CV, scores de crédit client, logiciels de surveillance des employés, évaluations de recrutement assistées par IA. Un inventaire des systèmes d'IA cartographié contre l'Annexe III est la première étape la plus importante.
Les sept obligations pour les fournisseurs d'IA à haut risque
- 1. Système de gestion des risques (article 9) : processus documenté et itératif identifiant et atténuant les risques raisonnablement prévisibles pour la santé, la sécurité et les droits fondamentaux tout au long du cycle de vie du système d'IA.
- 2. Gouvernance des données (article 10) : les données d'entraînement, de validation et de test doivent être pertinentes, suffisamment représentatives, exemptes d'erreurs et complètes. Examinées contre les biais pouvant entraîner de la discrimination.
- 3. Documentation technique (article 11) : documentation complète permettant aux autorités d'évaluer la conformité. Comprend l'architecture du système, les données d'entraînement, les méthodes de validation, les indicateurs de performance.
- 4. Tenue de registres (article 12) : journalisation automatique des événements pendant le fonctionnement pour assurer la traçabilité et la surveillance post-commercialisation.
- 5. Transparence et information aux déployeurs (article 13) : instructions d'utilisation claires, comprenant les capacités du système, ses limites, le niveau d'exactitude attendu et les mesures de supervision humaine.
- 6. Supervision humaine (article 14) : conception du système permettant une supervision humaine effective par des personnes physiques, y compris la capacité d'annuler, arrêter ou inverser les sorties du système.
- 7. Exactitude, robustesse et cybersécurité (article 15) : niveau de performance approprié, résilience face aux erreurs, défauts ou incohérences, et protection contre les tentatives d'altération de l'utilisation ou des performances par accès non autorisé.
Obligations des déployeurs : plus légères mais réelles
Les déployeurs, c'est-à-dire les organisations utilisant des systèmes d'IA à titre professionnel, portent des obligations plus légères mais réelles au titre de l'article 26. Ils doivent utiliser les systèmes d'IA à haut risque conformément aux instructions d'utilisation du fournisseur, attribuer la supervision humaine à des personnes compétentes, s'assurer que les données d'entrée sont pertinentes pour l'objectif visé, surveiller le fonctionnement et notifier au fournisseur tout incident grave, conserver les journaux pendant au moins six mois, et informer les représentants des travailleurs et les travailleurs concernés avant de déployer un système à haut risque sur le lieu de travail. Les déployeurs du secteur public et les déployeurs bancaires et assurantiels sont soumis à une obligation supplémentaire d'analyse d'impact sur les droits fondamentaux au titre de l'article 27.
IA à usage général : un régime à part
Les modèles d'IA à usage général (GPAI), les modèles de fondation derrière des systèmes comme ChatGPT, Claude, Gemini, et leurs alternatives open-source, sont réglementés sous un régime distinct (Chapitre V, articles 51 à 56) devenu applicable le 2 août 2025. Tous les fournisseurs de GPAI doivent maintenir une documentation technique, fournir des informations aux fournisseurs aval intégrant le modèle, établir une politique de conformité au droit d'auteur, et publier un résumé suffisamment détaillé des données d'entraînement. Les fournisseurs de modèles GPAI classés comme présentant un risque systémique (actuellement déclenché par une puissance de calcul d'entraînement supérieure à 10^25 FLOPs) portent des obligations supplémentaires : évaluation du modèle, évaluation des risques systémiques, signalement des incidents graves à l'AI Office, et mesures de cybersécurité adéquates.
Êtes-vous déployeur ou fournisseur GPAI ?
Les organisations utilisant des GPAI via des API commerciales (OpenAI, Anthropic, Google) sont des déployeurs aval, pas des fournisseurs. Mais les organisations qui fine-tunent des modèles GPAI open-source pour leurs propres produits peuvent devenir fournisseurs elles-mêmes au titre du règlement, avec toutes les obligations associées. La qualification juridique dépend du fait que le fine-tuning modifie ou non substantiellement le modèle.
Sanctions : parmi les plus élevées de la réglementation européenne
L'EU AI Act prévoit certaines des amendes administratives les plus élevées de la réglementation européenne, dépassant même les plafonds du RGPD. L'article 99 établit trois niveaux de sanction en fonction du type de violation :
Amendes administratives EU AI Act par catégorie de violation (article 99)
Catégorie de violation: Pratiques d'IA interdites (article 5)
Catégorie de violation: Autres violations d'obligations
Catégorie de violation: Informations incorrectes/incomplètes/trompeuses aux autorités
Catégorie de violation: PME et start-ups
L'application est nationale. Chaque État membre désigne une ou plusieurs autorités de surveillance du marché pour appliquer le règlement sur son territoire, l'AI Office au niveau européen supervisant les fournisseurs GPAI et coordonnant les affaires transfrontalières. L'attribution des autorités diffère selon les États membres et est encore en cours de finalisation dans plusieurs juridictions en 2026 ; les organisations doivent vérifier l'autorité compétente pour leur établissement avant de s'appuyer sur un point de contact spécifique. Le Comité européen de l'intelligence artificielle assure une application cohérente à l'échelle de l'Union.
EU AI Act et ISO 42001 : le chemin d'opérationnalisation
ISO/IEC 42001:2023 est la norme internationale pour les systèmes de management de l'IA, et elle fournit le chemin le plus direct pour opérationnaliser la conformité à l'EU AI Act. La structure de la norme s'aligne étroitement sur les obligations des fournisseurs d'IA à haut risque du Chapitre III du règlement, tout en ajoutant des contrôles de système de management familiers à quiconque s'est formé sur ISO 27001 ou ISO 9001.
Mapping entre obligations EU AI Act haut risque et contrôles ISO 42001
Obligation EU AI Act: Gestion des risques (art. 9)
Obligation EU AI Act: Gouvernance des données (art. 10)
Obligation EU AI Act: Documentation technique (art. 11)
Obligation EU AI Act: Tenue de registres (art. 12)
Obligation EU AI Act: Transparence (art. 13)
Obligation EU AI Act: Supervision humaine (art. 14)
Obligation EU AI Act: Exactitude/robustesse/cybersécurité (art. 15)
ISO 42001 n'est pas un raccourci de conformité ; la certification ne substitue pas aux obligations spécifiques d'évaluation de conformité, de marquage CE et de surveillance post-commercialisation de l'AI Act. Mais elle fournit des preuves prêtes à être auditées pour la plupart des obligations applicables aux systèmes à haut risque, structure la documentation que les autorités demanderont, et démontre un engagement managerial qui atténue les sanctions en cas de violation. Pour les organisations partant de zéro, ISO 42001 est le cadre le plus efficace pour structurer un programme de gouvernance IA. Les plateformes GRC unifiées comme Acuna opérationnalisent cet alignement en consolidant les contrôles EU AI Act, ISO 42001 et ISO 27001 dans un référentiel auditable unique.
Construire la feuille de route de conformité EU AI Act
Avec août 2026 à moins de trois mois, la fenêtre de conformité est étroite. Une feuille de route défendable comporte six étapes, chacune produisant des livrables concrets qui résistent à l'audit.
- 1. Inventaire IA : identifier chaque système d'IA en développement ou en production, y compris l'IA tierce intégrée dans vos produits ou workflows. Sans inventaire, pas de conformité.
- 2. Classification : cartographier chaque système contre les quatre niveaux de risque et les catégories de l'Annexe III. Documenter la justification ; ce sera la première chose que les autorités demanderont.
- 3. Gap analysis : pour les systèmes à haut risque, évaluer l'état actuel contre les articles 9 à 15. Pour les déployeurs, contre l'article 26. Pour les utilisateurs de GPAI, contre les obligations aval.
- 4. Gouvernance : nommer des responsables redevables (responsable gouvernance IA, AI risk officer), définir les voies d'escalade, intégrer le risque IA dans les cadres de gestion des risques d'entreprise existants.
- 5. Mise en œuvre : déployer le système de gestion des risques, les contrôles de gouvernance des données, la documentation technique, la journalisation, les mécanismes de transparence, les procédures de supervision humaine et les mesures de cybersécurité.
- 6. Évaluation de conformité et surveillance : compléter la procédure d'évaluation de conformité appropriée (auto-évaluation ou organisme notifié selon le type de système), préparer la déclaration UE de conformité, apposer le marquage CE là où il est requis, établir la surveillance post-commercialisation.
Les organisations déjà certifiées ISO 27001 ou exploitant des programmes RGPD matures partent avec une longueur d'avance ; les contrôles de gouvernance des données, documentation, contrôle d'accès et réponse aux incidents se recoupent largement. Les organisations partant de zéro ont besoin de 12 à 18 mois pour un programme de conformité crédible ; avec trois mois jusqu'à août 2026, la stratégie pratique est de trier par risque et criticité de conformité.
Formation et certification : les parcours praticiens EU AI Act
Trois parcours de certification PECB couvrent les compétences opérationnelles que l'EU AI Act exige. Ils répondent à des rôles distincts et convergent vers un objectif commun : construire des organisations capables de démontrer, et non simplement de revendiquer, leur gouvernance IA.
ISO 42001 Lead Implementer (5 jours)
La certification ISO 42001 Lead Implementer est la référence pour les professionnels responsables de la conception, du déploiement et de la gestion d'un système de management de l'IA aligné sur ISO 42001:2023. C'est le parcours qui se convertit directement en préparation opérationnelle à l'EU AI Act : les clauses de système de management structurent les obligations haut risque, et les contrôles de l'Annexe A produisent la documentation que les autorités inspecteront. Pour les responsables gouvernance IA, RSSI prenant une scope IA, et responsables conformité dans les secteurs réglementés.
ISO 42001 Lead Auditor (5 jours)
La certification ISO 42001 Lead Auditor forme les professionnels à planifier, conduire et rendre compte d'audits de première, seconde et tierce partie de systèmes de management de l'IA. Avec l'EU AI Act introduisant des évaluations de conformité par organisme notifié pour certains systèmes à haut risque, les Lead Auditors ISO 42001 qualifiés sont rares dans l'UE et au Royaume-Uni. Adapté aux auditeurs internes, consultants et professionnels construisant une crédibilité d'audit indépendante.
Lead AI Risk Manager (5 jours)
La certification Lead AI Risk Manager se concentre sur la méthodologie de risque spécifique à l'IA exigée par l'EU AI Act au titre de l'article 9. Elle couvre l'identification, la classification, l'évaluation, l'atténuation et la surveillance des risques IA sur l'ensemble du cycle de vie de l'IA. La méthodologie s'intègre aux cadres de gestion des risques d'entreprise ISO 31000 tout en adressant les dimensions spécifiques à l'IA : dérive du modèle, biais des données d'entraînement, robustesse adverse, explicabilité et comportements émergents. Adapté aux risk officers, responsables éthique IA et praticiens construisant une pratique de gouvernance IA centrée sur le risque.
Abilene Academy est le seul Partenaire PECB Titanium en Suisse, avec un taux de réussite aux examens PECB de 99 % et plus de 2 500 professionnels formés dans 120 pays. Les trois certifications sont disponibles en présentiel, en classe virtuelle, en e-learning et en auto-formation, en français et en anglais. Pour situer la gouvernance IA dans le paysage réglementaire plus large, consultez également notre guide complet de la directive NIS 2 et notre guide complet de conformité DORA.
Vue terrain par Alexis Hirschhorn, Formateur principal, Abilene Academy
« L'échéance d'août 2026 ne bouge pas. Ce que nous observons chez nos clients est un schéma constant : le travail technique de conformité est réalisable en trois à six mois une fois l'inventaire honnête. Ce qui tue les calendriers, c'est l'inventaire lui-même ; la plupart des organisations ne savent pas combien de systèmes d'IA elles exploitent réellement, qui en sont propriétaires, ni quelles données d'entraînement y transitent. Construisez d'abord l'inventaire ; le reste est de l'exécution. »
Sources et références
- Règlement (UE) 2024/1689 : EU AI Act (EUR-Lex, Parlement européen et Conseil, 13 juin 2024).
- Page AI Act de la Commission européenne (DG CONNECT, suivi officiel de la mise en œuvre et orientations).
- AI Office européen (supervision UE des fournisseurs GPAI, coordination des autorités nationales).
- ISO/IEC 42001:2023 (Organisation internationale de normalisation, norme systèmes de management de l'IA).
- Suite de certification PECB ISO 42001 (PECB, référence officielle pour ISO 42001 Lead Implementer et Lead Auditor).
