Loi européenne sur l’IA (règlement (UE) 2024/1689) : Guide pratique 2026

Dernière mise à jour : 9 août 2026.

À compter du 2 août 2026, les règles de transparence de la loi européenne sur l'IA seront applicables. Les chatbots, les deepfakes, les systèmes de reconnaissance des émotions et les contenus générés par l'IA sont désormais soumis à des obligations de divulgation concrètes dans toute l'Union européenne. Cependant, les obligations les plus contraignantes – celles relatives aux IA à haut risque – ne sont plus attendues en août 2026. Suite à la loi omnibus sur l'IA et le numérique, leur entrée en vigueur est désormais prévue pour décembre 2027. Ce guide explique clairement les exigences de la loi européenne sur l'IA, les entités concernées, les dispositions applicables dès aujourd'hui et la manière dont les organisations doivent s'y préparer.

Le règlement (UE) 2024/1689, relatif à l'intelligence artificielle, est entré en vigueur le 1er août 2024 et s'applique progressivement. Il s'agit de la première loi européenne globale et horizontale sur l'intelligence artificielle et, à l'instar du RGPD, sa portée dépasse largement les frontières de l'UE. Si vos systèmes d'IA sont utilisés sur le marché européen, ce règlement vous concerne très certainement.

Qu’est-ce que la loi européenne sur l’IA ?

La loi européenne sur l'IA est une réglementation fondée sur les risques. Au lieu de traiter toutes les formes d'intelligence artificielle de manière identique, elle classe les systèmes en fonction des dommages qu'ils pourraient causer et impose des obligations plus strictes aux systèmes présentant un risque plus élevé. Son objectif est double : protéger la santé, la sécurité et les droits fondamentaux, et garantir aux entreprises une sécurité juridique permettant le développement et le déploiement d'une IA fiable sur l'ensemble du marché unique.

La loi définit un système d'IA de manière extensive, conformément à l'approche de l'OCDE : un système automatisé fonctionnant avec un certain degré d'autonomie, capable de s'adapter après son déploiement et qui, à partir des données qu'il reçoit, détermine comment générer des résultats tels que des prédictions, du contenu, des recommandations ou des décisions influençant des environnements physiques ou virtuels. Cette définition volontairement large englobe les modèles d'apprentissage automatique modernes, notamment l'IA générative et l'IA à usage général.

À qui s'applique la loi sur l'IA ?

La loi sur l'IA a une portée extraterritoriale. Elle s'applique lorsqu'un fournisseur met un système d'IA sur le marché de l'UE ou le met en service dans l'UE, et – point crucial – lorsqu'un fournisseur ou un déployeur est établi hors de l'UE mais que les résultats du système sont utilisés au sein de l'UE. Une entreprise américaine ou britannique proposant ses services à des utilisateurs européens peut donc être pleinement concernée.

La loi distingue plusieurs acteurs, chacun ayant des devoirs distincts :

• Fournisseurs — ceux qui développent un système d'IA (ou un modèle d'IA à usage général) et le commercialisent ou le mettent en service sous leur propre nom ou marque. Ce sont les fournisseurs qui supportent la plus lourde charge de conformité.
• Déployeurs — les personnes qui utilisent un système d'IA sous leur autorité dans un contexte professionnel (par exemple, un employeur utilisant un outil de recrutement basé sur l'IA). L'utilisation purement personnelle et non professionnelle n'est pas concernée par ces obligations.
• Importateurs et distributeurs — ceux qui introduisent un système tiers sur le marché de l’UE ou le rendent disponible tout au long de la chaîne d’approvisionnement, avec des responsabilités en matière de vérification et de tenue de registres.
• Fabricants de produitset, dans certains cas, des représentants autorisés, qui peuvent hériter des obligations au niveau du fournisseur.

Un déployeur peut également être requalifié en fournisseur — et hériter des obligations plus strictes — s'il modifie substantiellement un système à haut risque ou s'il y appose son propre nom.

Les quatre niveaux de risque

La loi sur l'IA est structurée autour de quatre niveaux de risque.

1. Risque inacceptable (interdit)

Certaines utilisations sont jugées incompatibles avec les valeurs de l'UE et sont formellement interdites en vertu de l'article 5. Il s'agit notamment des techniques de manipulation ou de tromperie qui modifient sensiblement les comportements et causent un préjudice ; de l'exploitation des vulnérabilités (âge, handicap, situation socio-économique) ; de la notation sociale par les autorités publiques ; du prélèvement non ciblé d'images faciales pour la constitution de bases de données de reconnaissance ; de la reconnaissance des émotions sur le lieu de travail et dans l'éducation (sauf pour des raisons médicales ou de sécurité) ; de certaines catégorisations biométriques révélant des caractéristiques sensibles ; et, sous réserve d'exceptions limitées et encadrées, de l'identification biométrique à distance en temps réel dans les espaces publics à des fins de maintien de l'ordre. En vertu de la directive Digital Omnibus, une interdiction supplémentaire vise l'utilisation de l'IA pour générer des images intimes non consensuelles et du matériel pédopornographique.

2. Risque élevé

Les systèmes à haut risque sont autorisés, mais strictement encadrés. Ils se répartissent en deux groupes. Le premier (Annexe I) concerne l'IA qui constitue un composant de sécurité d'un produit déjà réglementé par le droit d'harmonisation de l'UE, ou qui en est elle-même un produit : dispositifs médicaux, machines, ascenseurs, jouets, etc. Le second (Annexe III) recense les cas d'utilisation autonomes dans des domaines sensibles : biométrie, infrastructures critiques, éducation, emploi et gestion du personnel, accès aux services publics et privés essentiels, application de la loi, migration et contrôle des frontières, administration de la justice et des processus démocratiques. Ces systèmes doivent satisfaire aux exigences techniques et de gouvernance décrites ci-dessous.

3. Risque limité (transparence)

Certains systèmes, bien que ne présentant pas de risque élevé, peuvent induire les utilisateurs en erreur et sont donc soumis à des obligations de transparence en vertu de l'article 50. Les utilisateurs doivent être informés lorsqu'ils interagissent avec un chatbot ; les contenus audio, image, vidéo et textuel générés ou manipulés par l'IA (y compris les deepfakes) doivent être signalés et identifiés ; et les personnes doivent être informées lorsqu'elles sont soumises à des systèmes autorisés de reconnaissance des émotions ou de catégorisation biométrique. Ces obligations sont désormais en vigueur (voir le calendrier ci-dessous).

4. Risque minimal

La grande majorité des IA (filtres anti-spam, moteurs de recommandation, IA dans les jeux vidéo) relève de cette catégorie. Elles ne sont soumises à aucune obligation légale en vertu de la loi, même si l'adoption de codes de conduite volontaires est encouragée.

Qu’est-ce qui s’applique et quand : le calendrier mis à jour de la loi sur l’IA (après la loi omnibus numérique)

C’est au niveau du calendrier que la plupart des organisations se trompent concernant la loi sur l’IA, et c’est précisément sur ce point que la législation a récemment évolué. La loi s’appliquera par étapes à compter de son entrée en vigueur le 1er août 2024. Début mai 2026, le projet de loi omnibus sur l’IA a fait l’objet d’un accord politique provisoire, approuvé par les représentants des États membres le 13 mai 2026. L’adoption formelle et la publication au Journal officiel sont encore en attente, mais ce texte constitue désormais un cadre de planification réaliste et a permis de repousser les échéances critiques.

Les dates reportées mentionnées ci-dessus dépendent de l'adoption définitive de la loi omnibus. Les dates déjà fixées sont définitives.

Deux points pratiques. Premièrement, les obligations de transparence ne sont pas une préoccupation future : elles sont entrées en vigueur le 2 août 2026, il y a environ une semaine. Les fournisseurs de systèmes d’IA générative déjà commercialisés ont jusqu’au 2 décembre 2026 pour mettre leurs productions existantes en conformité avec les exigences de marquage et de tatouage numérique lisibles par machine. Deuxièmement, ce délai supplémentaire accordé aux IA à haut risque est certes bienvenu, mais il s’agit d’un report, et non d’une annulation : les obligations de fond restent inchangées, et il est préférable d’entamer dès maintenant les préparatifs.

Obligations par rôle

Les fournisseurs de systèmes à haut risque portent la responsabilité principale. Ils doivent mettre en place un système de gestion des risques tout au long du cycle de vie ; appliquer des mesures de gouvernance des données aux données de formation, de validation et de test ; élaborer une documentation technique détaillée et la tenir à jour ; concevoir des systèmes d’enregistrement automatique et de traçabilité ; garantir la transparence et des instructions d’utilisation claires ; permettre un contrôle humain efficace ; et atteindre un niveau approprié de précision, de robustesse et de cybersécurité. Avant la mise sur le marché, ils doivent réaliser l’évaluation de conformité requise, établir une déclaration de conformité UE, apposer le marquage CE et enregistrer le système dans la base de données de l’UE. Le suivi post-commercialisation et le signalement des incidents graves sont assurés par la suite.

Les déployeurs de systèmes à haut risque doivent utiliser le système conformément aux instructions du fournisseur, désigner un superviseur humain compétent, s'assurer de la pertinence des données saisies, surveiller son fonctionnement et tenir des registres, et informer les personnes concernées lorsque cela est nécessaire. Dans plusieurs contextes sensibles, les déployeurs doivent également réaliser une analyse d'impact sur les droits fondamentaux. Les employeurs déployant une IA ayant un impact sur les travailleurs ont des obligations d'information supplémentaires.

Les importateurs et les distributeurs doivent vérifier que le fournisseur a rempli ses obligations — évaluation de la conformité, documentation, marquage CE — avant de mettre un système à disposition, et doivent agir (et notifier les autorités) s'ils estiment qu'un système n'est pas conforme.

À tous les niveaux, l'obligation de formation en IA (art. 4) prévue par la loi impose aux organisations de veiller à ce que leur personnel utilisant l'IA possède un niveau de compréhension suffisant. La loi Omnibus a assoupli la formulation de cette obligation, mais l'exigence sous-jacente d'une utilisation compétente et éclairée demeure.

Exigences techniques et de gouvernance pour l'IA à haut risque

Les exigences relatives aux risques élevés traduisent les principes abstraits en pratiques d'ingénierie et de gouvernance. En résumé, les fournisseurs doivent être en mesure de démontrer : un processus de gestion des risques documenté et itératif ; une qualité et une gouvernance des données adaptées à l'objectif visé, avec une attention particulière aux biais et à la représentativité ; une documentation technique complète permettant aux autorités d'évaluer la conformité ; un enregistrement automatique des événements ; la transparence et des instructions claires ; une supervision humaine efficace intégrée au système ; et une exactitude, une robustesse et une cybersécurité démontrables. L'ensemble de ces éléments constitue la base de l'évaluation de la conformité et, en pratique, les documents que l'autorité de réglementation demandera à consulter en premier lieu.

Obligations relatives à l'IA à usage général (GPAI)

Les modèles d'IA à usage général — ces modèles vastes et polyvalents qui sous-tendent de nombreuses applications — sont soumis à un régime spécifique, défini aux articles 51 à 55 et applicable depuis le 2 août 2025. Tous les fournisseurs de modèles d'IA à usage général doivent maintenir une documentation technique, publier un résumé suffisamment détaillé du contenu de l'entraînement, mettre en place une politique de droits d'auteur et coopérer avec les acteurs de la chaîne de valeur qui développent à partir du modèle. Les modèles présentant un risque systémique sont soumis à des obligations renforcées : évaluation et tests d'attaques adverses, évaluation et atténuation des risques systémiques, suivi et signalement des incidents graves, et cybersécurité robuste. Le respect du code de bonnes pratiques officiel constitue une voie reconnue pour démontrer la conformité.

Obligations de transparence actuellement en vigueur (Article 50)

L’article 50 étant entré en vigueur le 2 août 2026, trois obligations requièrent une attention immédiate. Les chatbots et les agents conversationnels doivent clairement indiquer à l’utilisateur qu’il interagit avec une machine. Les contenus générés ou manipulés par l’IA – textes d’intérêt public, ainsi que contenus audio, image et vidéo de synthèse, y compris les deepfakes – doivent être signalés et marqués dans un format lisible par machine afin d’être identifiés comme artificiels. Les personnes exposées aux systèmes autorisés de reconnaissance des émotions ou de catégorisation biométrique doivent en être informées. Les organisations utilisant déjà des fonctionnalités d’IA générative doivent considérer le délai du 2 décembre 2026 pour le marquage des contenus existants comme une échéance interne impérative.

Sanctions et amendes

Les poursuites judiciaires entraînent de graves conséquences financières, les sanctions étant proportionnelles à la gravité de l'infraction :

• Pratiques interdites (Art. 5) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu.
• Manquements aux obligations à haut risque et à la plupart des autres obligations : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial.
• Fournir aux autorités des informations incorrectes, incomplètes ou trompeuses : jusqu'à 7.5 millions d'euros ou 1 % du chiffre d'affaires annuel mondial.

Pour les PME et les jeunes entreprises, l'amende correspond au montant le plus faible entre le montant fixe et le pourcentage applicable – une garantie de proportionnalité pour les petites structures. Les autorités nationales de surveillance du marché veillent à l'application de la loi, en coordination au niveau de l'UE, et d'autres recours peuvent être prévus par le droit national.

Comment la loi sur l'IA s'articule avec le RGPD et la NIS2

La loi sur l'IA ne fonctionne pas isolément. Lorsqu'un système d'IA traite des données personnelles, le RGPD s'applique pleinement : base juridique, limitation des finalités, droits des personnes concernées et, souvent, analyse d'impact relative à la protection des données (AIPD). L'AIPD et l'AIPD du RGPD se recoupent fréquemment et il est préférable de les mener conjointement. Lorsque l'IA soutient des services essentiels ou importants, la directive NIS2 ajoute des obligations de gestion des risques de cybersécurité et de notification des incidents, renforçant ainsi la robustesse et les exigences de sécurité de l'AI. Considérer ces régimes comme un programme de conformité unique et intégré, plutôt que comme trois projets parallèles, permet de gagner du temps et de réduire le risque de contrôles contradictoires.

Liste de contrôle de conformité à la loi sur l'IA

• Répertoriez tous les systèmes d'IA que vous fournissez ou déployez, y compris les outils embarqués et tiers.
• Classer chaque système selon un niveau de risque (inacceptable, élevé, limité, minimal).
• Confirmez votre rôle (fournisseur, déployeur, importateur ou distributeur) pour chaque système.
• Vérifiez le respect des interdictions prévues à l'article 5 et cessez immédiatement toute utilisation interdite.
• Appliquez dès maintenant des mesures de transparence pour les chatbots, les deepfakes et les contenus générés par l'IA, et prévoyez un marquage des productions avant le 2 décembre 2026.
• Identifier les obligations à haut risque et constituer le dossier technique, les dispositifs de gestion des risques et les contrôles humains avant l'échéance de décembre 2027.
• Respectez les obligations liées au GPAI si vous fournissez ou affinez des modèles à usage général.
• Dispenser une formation à la culture de l'IA au personnel concerné.
• Intégrez-vous au RGPD et à la norme NIS2 — harmonisez les analyses d'impact relatives à la protection des données (AIPD), les analyses d'impact et les contrôles de sécurité.
• Désignez une instance de gouvernance — responsabilité claire, documentation et suivi — et tenez des registres prêts pour l'audit.

Foire aux questions

La loi européenne sur l'IA est-elle déjà en vigueur ?

Oui. Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024 et s'applique progressivement. Les interdictions et les obligations de sensibilisation à l'IA sont applicables depuis le 2 février 2025, les règles de gouvernance et les principes directeurs de l'IA à compter du 2 août 2025, et les obligations de transparence depuis le 2 août 2026.

Quand les règles relatives aux situations à haut risque entrent-elles en vigueur ?

Suite à l'adoption de l'AI Digital Omnibus, les obligations à haut risque pour les systèmes de l'Annexe III sont désormais attendues le 2 décembre 2027 et pour l'IA intégrée dans les produits réglementés de l'Annexe I le 2 août 2028. Ces dates reportées dépendent de l'adoption définitive de l'Omnibus.

Les règles de transparence s'appliquent-elles à mon chatbot aujourd'hui ?

Oui. À compter du 2 août 2026, les utilisateurs devront être informés qu'ils interagissent avec une IA, et les contenus générés ou manipulés par l'IA devront être signalés et marqués. Les contenus générés par l'IA existante devront se conformer aux exigences de marquage d'ici le 2 décembre 2026.

Quels sont les montants maximums des amendes ?

Les amendes peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial en cas de pratiques interdites ; 15 millions d'euros ou 3 % en cas d'infractions à haut risque ; et 7.5 millions d'euros ou 1 % en cas d'informations incorrectes ou incomplètes. Les PME paient le montant le plus faible entre le montant fixe et le pourcentage.

La loi sur l'IA s'applique-t-elle aux entreprises non membres de l'UE ?

Oui, lorsqu'un système d'IA est mis sur le marché de l'UE ou que ses résultats sont utilisés dans l'UE, même si le fournisseur ou le déployeur est établi ailleurs.

Points clés à retenir

• La loi européenne sur l'IA est le règlement (UE) 2024/1689, en vigueur depuis le 1er août 2024 et applicable par phases.
• Les obligations de transparence (art. 50) sont applicables à compter du 2 août 2026 ; les résultats existants de l'IA générative doivent être marqués d'ici le 2 décembre 2026.
• Le Digital Omnibus a reporté les échéances à haut risque au 2 décembre 2027 (Annexe III) et au 2 août 2028 (Annexe I) — sous réserve d'adoption définitive.
• Les amendes peuvent atteindre 35 millions d'euros, soit 7 % du chiffre d'affaires mondial ; les PME paient le montant le plus faible.
• La loi fonctionne de pair avec le RGPD et la NIS2 — planifiez la conformité comme un programme intégré.

Obtenez un bilan de conformité à la loi sur l'IA

La loi sur l'IA récompense les organisations qui agissent rapidement, et ses règles de transparence sont déjà contraignantes. Les avocats spécialisés en technologies et en protection de la vie privée chez Law & More Aider les fournisseurs et les déployeurs à classifier leurs systèmes, à corriger les utilisations interdites ou non conformes, à respecter les obligations de transparence en temps réel et à construire une stratégie solide pour atteindre l'échéance de 2027 relative aux systèmes à haut risque, en pleine conformité avec le RGPD et la norme NIS2. Contact Law & More pour une analyse de préparation à la loi sur l'IA et pour transformer un objectif réglementaire évolutif en un plan d'action clair et priorisé.