AI Act — Le guide de conformité complet pour 2026

Résumé exécutif

L'AI Act classe les systèmes IA en 4 niveaux de risque : inacceptable, élevé, limité, minimal.
Les modèles GPAI (GPT-4, Claude, Mistral Large) ont des obligations spécifiques depuis août 2025.
Les systèmes à haut risque doivent être conformes au 2 août 2027 — l'évaluation prend 6 à 12 mois.
Sanctions jusqu'à 35 M€ ou 7% du CA mondial — plus dur que le RGPD.

Section 01

Périmètre : à qui s'applique l'AI Act ?

L'AI Act s'applique à tout fournisseur, déployeur, importateur ou distributeur d'un système IA mis sur le marché ou utilisé dans l'UE — peu importe le lieu d'établissement. Une PME française qui utilise ChatGPT pour son support est un 'déployeur' au sens du règlement.

Section 02

Classification par risque

Le cœur de l'AI Act est une pyramide de risques. Identifier sa catégorie est le premier travail de conformité.

Niveau	Exemples	Obligation
Inacceptable	Notation sociale, manipulation cognitive, scraping biométrique	Interdit
Haut risque	RH (CV), crédit, éducation, infrastructures critiques	Conformité totale (Annexe III)
Limité	Chatbots, deepfakes, contenu IA générique	Transparence (étiquetage)
Minimal	Filtres anti-spam, IA jeux vidéo	Aucune obligation

Section 03

Modèles GPAI : règles spécifiques

Les modèles à usage général (General Purpose AI) — GPT-4o, Claude Sonnet 4, Mistral Large 2, Gemini 1.5 Pro — sont soumis depuis août 2025 à : documentation technique, résumé des données d'entraînement, politique de copyright, marquage du contenu généré.

Modèles 'à risque systémique' (>10^25 FLOPs) : évaluation de modèle obligatoire, red-teaming, reporting incidents
Open weight : exemptions partielles (sauf risque systémique)
Tout déploiement EU : le déployeur hérite de certaines obligations downstream

Section 04

Calendrier d'application

L'AI Act entre en vigueur progressivement.

Date	Ce qui s'applique
2 février 2025	Interdiction des usages 'inacceptables' + obligations littératie IA
2 août 2025	Règles GPAI + gouvernance (AI Office, comité européen)
2 août 2026	Sanctions pleinement applicables sur GPAI
2 août 2027	Obligations 'haut risque' Annexe III pleinement applicables

Section 05

Mise en conformité opérationnelle

Une démarche de conformité AI Act se déroule en 6 étapes pragmatiques.

Inventaire des systèmes IA utilisés (interne + fournisseurs)
Classification de chacun selon les 4 niveaux de risque
Pour chaque système 'haut risque' : DPIA + AIA (AI Impact Assessment)
Documentation technique + journalisation des décisions
Formation littératie IA des équipes (obligation depuis 2/2/2025)
Désignation d'un point de contact AI Act (souvent le DPO)

Pour les PME : commencer par la cartographie. 80% des systèmes utilisés tombent dans 'limité' ou 'minimal' — le travail réel concerne 1 à 3 systèmes maximum.

Checklist opérationnelle

Avant de passer en production

Cartographie complète des systèmes IA utilisés réalisée
Classification par niveau de risque documentée
DPIA + AIA conduits pour tout système haut risque
Documentation technique des fournisseurs GPAI collectée
Formation littératie IA dispensée aux utilisateurs
Point de contact AI Act désigné
Procédure de marquage des contenus IA en place
Veille réglementaire AI Office activée

Questions fréquentes

FAQ

L'AI Act s'applique-t-il aux startups ?+

Oui, sans seuil de taille. Mais les PME bénéficient de bacs à sable réglementaires (sandboxes) et de tarifs réduits pour les évaluations.

Quel lien avec le RGPD ?+

Les deux se cumulent. Une IA traitant des données personnelles à haut risque doit satisfaire RGPD ET AI Act. La DPIA RGPD ne remplace pas l'AIA.

Et si j'utilise ChatGPT pour mon support ?+

Vous êtes 'déployeur' d'un GPAI. Obligations : transparence (informer les utilisateurs qu'ils parlent à une IA), littératie IA des équipes, vérification des conditions du fournisseur.

Glossaire IA

Termes clés

LLM: Large Language Model — modèle de langage de grande taille (GPT-4, Claude, Mistral).
RAG: Retrieval-Augmented Generation — injecte des documents externes dans le prompt.
Agent IA: Système autonome combinant un LLM, une mémoire et des outils pour exécuter des tâches.
Fine-tuning: Ré-entraînement d'un modèle existant sur un dataset spécifique.
Prompt: Instruction textuelle donnée à un modèle pour obtenir une réponse.
GPAI: General Purpose AI — modèle IA à usage général comme GPT-4 ou Claude.
AIA: AI Impact Assessment — évaluation d'impact spécifique AI Act.
AI Office: Bureau européen de l'IA, autorité de supervision des GPAI.

Passer à l'action

Auditer votre conformité AI Act

Audit complet AI Act + AIA livrés sous 15 jours.

Demander l'audit AI Act