Le règlement européen sur l’IA (AI Act), expliqué.

Ce qu’est l’AI Act (et ce qu’il n’est pas)

L’AI Act est un règlement de type sécurité des produits pour les systèmes d’IA mis sur le marché de l’UE ou dont la sortie est utilisée dans l’UE. Il ne réglemente pas « l’IA » en tant que technologie — il réglemente des usages précis selon le risque. Plus le risque pour la santé, la sécurité ou les droits fondamentaux est élevé, plus les obligations sont lourdes. La plupart des IA du quotidien (filtres anti-spam, widgets de recommandation, correcteurs orthographiques, fonctions d’IA des outils de productivité) relèvent du risque minimal et ne reçoivent aucune nouvelle obligation.

Les quatre niveaux de risque

Tout le règlement repose sur cette classification :

• Risque inacceptable — interdit purement et simplement depuis le 2 février 2025 : notation sociale, techniques d’exploitation ou de manipulation, extraction non ciblée d’images faciales, reconnaissance des émotions au travail et à l’école (rares exceptions de sécurité), catégorisation biométrique visant à déduire des attributs sensibles, et identification biométrique à distance en temps réel dans les espaces publics à des fins répressives (exceptions limitées). À partir du 2 décembre 2026, l’amendement de 2026 interdit aussi explicitement les systèmes d’IA générant des images intimes non consenties ou du contenu pédopornographique (CSAM).
• Haut risque — autorisé mais strictement encadré : l’IA utilisée comme composant de sécurité de produits réglementés (annexe I — machines, dispositifs médicaux, ascenseurs…) ou dans des cas d’usage sensibles (annexe III — recrutement et gestion des travailleurs, notation dans l’éducation, scoring de crédit, services essentiels, forces de l’ordre, migration, justice). Les obligations incluent la gestion des risques, la gouvernance des données, la documentation technique, la journalisation, le contrôle humain, des tests d’exactitude et de robustesse et l’enregistrement dans une base de données de l’UE.
• Risque limité — obligations de transparence (article 50) : informer les personnes lorsqu’elles interagissent avec un système d’IA (chatbots), étiqueter les contenus image/audio/vidéo générés ou manipulés par IA (deepfakes), marquer les contenus synthétiques de manière lisible par machine, et signaler les textes générés par IA publiés pour informer le public sur des questions d’intérêt public.
• Risque minimal — tout le reste : aucune nouvelle obligation, codes de conduite volontaires encouragés.

Le calendrier en 2026 — mis à jour après le Digital Omnibus

Le règlement est entré en vigueur le 1er août 2024 et devait s’appliquer presque intégralement le 2 août 2026. En novembre 2025, la Commission a proposé le « Digital Omnibus sur l’IA » pour simplifier et échelonner tout cela ; le Parlement l’a approuvé le 16 juin 2026 et le Conseil a donné son accord final le 29 juin 2026. Les dates clés désormais :

• 2 février 2025 — application des interdictions des pratiques à risque inacceptable et des obligations de maîtrise de l’IA.
• 2 août 2025 — obligations pour les fournisseurs de modèles d’IA à usage général (GPAI) (documentation technique, politique de droit d’auteur, résumés des données d’entraînement ; obligations supplémentaires pour les modèles à risque systémique), plus le Bureau européen de l’IA (EU AI Office) et les structures de gouvernance.
• 2 août 2026 — le règlement devient applicable de manière générale : obligations de transparence (article 50), sanctions et la plupart des dispositions restantes. Le marquage lisible par machine des contenus synthétiques bénéficie d’un délai de grâce jusqu’au 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août 2026.
• 2 décembre 2026 — application des nouvelles interdictions visant l’IA générant des images intimes non consenties et du CSAM.
• 2 décembre 2027 — obligations haut risque pour les cas d’usage de l’annexe III (recrutement, scoring de crédit, éducation…) — reportées de 16 mois par rapport à la date initiale d’août 2026.
• 2 août 2028 — obligations haut risque pour l’IA intégrée aux produits de l’annexe I (dispositifs médicaux, machines…) — reportées d’un an par rapport à août 2027. Les bacs à sable réglementaires nationaux sont attendus pour le 2 août 2027.

Qui doit se conformer

Les obligations s’attachent aux rôles dans la chaîne de valeur : les fournisseurs (qui développent un système d’IA ou le mettent sur le marché de l’UE sous leur propre nom), les déployeurs (qui utilisent un système d’IA à titre professionnel), plus les importateurs et distributeurs. La portée est extraterritoriale — un SaaS américain ou britannique dont la sortie d’IA est utilisée dans l’UE est concerné. Les PME bénéficient d’allègements : documentation simplifiée, accès prioritaire aux bacs à sable, et amendes plafonnées au plus bas des deux montants plutôt qu’au plus élevé.

Ce que l’AI Act signifie pour votre site web

Pour la plupart des entreprises, les premiers vrais points de contact sont les règles de transparence applicables à partir d’août 2026 — elles concernent ce que les visiteurs voient sur votre site :

• Les chatbots et assistants IA de votre site doivent indiquer clairement que le visiteur parle à une machine (sauf si c’est évident d’après le contexte).
• Les images, sons et vidéos générés ou manipulés par IA (deepfakes) que vous publiez doivent être visiblement étiquetés comme générés ou manipulés artificiellement.
• Les médias synthétiques devraient porter un marquage lisible par machine (p. ex. métadonnées/filigrane) — l’obligation de marquage pour les systèmes antérieurs à août 2026 s’applique à partir du 2 décembre 2026.
• Les textes rédigés par IA publiés pour informer le public sur des questions d’intérêt public doivent être signalés comme générés par IA, sauf s’ils sont passés par une relecture éditoriale humaine avec prise de responsabilité.
• Si vous utilisez l’IA pour le recrutement, le crédit ou d’autres cas d’usage de l’annexe III, préparez-vous au régime haut risque applicable à partir du 2 décembre 2027.
• Maîtrise de l’IA : les organisations utilisant l’IA à titre professionnel doivent prendre des mesures pour que le personnel comprenne les systèmes qu’il exploite.

Les sanctions

La structure des amendes est délibérément calquée sur le RGPD : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu) pour les pratiques interdites ; jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres infractions, y compris les obligations haut risque et GPAI ; jusqu’à 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes ou trompeuses aux autorités. Pour les PME, chaque plafond correspond au plus bas des deux montants. L’application est partagée entre les autorités nationales de surveillance du marché et, pour les modèles GPAI, le Bureau européen de l’IA.

Comment Beacon s’inscrit dans tout cela

Beacon analyse déjà ce que les moteurs de recherche et les robots d’IA voient réellement sur votre site — politiques robots.txt, contenu rendu, données structurées et mentions de transparence. Nous bâtissons sur cette base un scan de préparation à l’AI Act : une vérification automatisée des signaux de transparence visibles par vos visiteurs (divulgation des chatbots, étiquetage des contenus IA, marquage lisible par machine et métadonnées associées) avec une liste de correctifs priorisée. Ce ne sera pas un conseil juridique — mais cela vous montrera, concrètement, ce que votre site expose aujourd’hui et ce qu’il faut corriger en premier.