AI Act
Vos équipes utilisent déjà ChatGPT au bureau ? Alors une loi européenne vous concerne, que vous le sachiez ou non. L'AI Act encadre l'intelligence artificielle dans toute l'Union, et depuis février 2025, son article 4 oblige les employeurs à garantir un minimum de maîtrise de l'IA à leurs salariés. Voici ce que dit vraiment ce texte, ce qu'il change pour votre entreprise et par où commencer pour être en règle.
L'AI Act est le règlement européen qui encadre le développement et l'usage de l'intelligence artificielle dans l'Union. Il classe les systèmes d'IA selon leur niveau de risque et impose des obligations aux entreprises. Depuis 2025, son article 4 exige que les salariés qui utilisent l'IA en aient une maîtrise suffisante.
L'AI Act, qu'est-ce que c'est exactement ?
L'AI Act (règlement UE 2024/1689) est la première loi complète au monde encadrant l'intelligence artificielle. Adopté par l'Union européenne en 2024, il fixe des règles pour concevoir, mettre sur le marché et utiliser des systèmes d'IA. Son principe : plus un usage de l'IA présente de risques pour les personnes, plus les obligations sont strictes. Il s'applique à toute organisation dont l'IA touche des utilisateurs européens.
Le nom officiel est « règlement sur l'intelligence artificielle ». On parle d'AI Act, de règlement IA ou de règlement européen sur l'IA : ce sont les mêmes textes.
Comme le RGPD l'a fait pour les données personnelles, l'AI Act pose un cadre commun à tous les pays de l'Union. Une même règle s'applique en France, en Belgique ou en Allemagne, ce qui évite un patchwork de lois nationales.
Le texte ne vise pas à freiner l'IA. Son objectif affiché est de créer un climat de confiance : protéger les droits fondamentaux tout en laissant les entreprises innover dans un cadre clair.
Comment l'AI Act classe-t-il les usages de l'IA ?
L'AI Act repose sur une pyramide de quatre niveaux de risque. Certains usages sont interdits, d'autres jugés à haut risque et fortement encadrés, d'autres soumis à des obligations de transparence, et la majorité présente un risque minimal, presque sans contrainte. C'est ce niveau de risque, et non la technologie elle-même, qui détermine les obligations d'une entreprise.
En haut de la pyramide, les pratiques interdites : notation sociale des citoyens, manipulation comportementale, ou certaines formes de surveillance biométrique. Ces usages sont bannis sur le sol européen.
Juste en dessous, les systèmes à haut risque : IA utilisée pour le recrutement, l'octroi de crédit, la santé ou la sécurité. Ils sont autorisés mais soumis à des contrôles stricts, de la documentation et une supervision humaine.
Enfin viennent les IA à risque limité, soumises à un simple devoir de transparence (prévenir qu'on parle à un robot, signaler un contenu généré), et les IA à risque minimal, comme un correcteur orthographique, qui restent libres d'usage.
- Risque inacceptable : usages interdits (notation sociale, manipulation)
- Haut risque : recrutement, crédit, santé, encadrement strict
- Risque limité : obligation de transparence (chatbots, contenus générés)
- Risque minimal : la grande majorité des outils, quasi sans contrainte
Que dit l'article 4 sur la maîtrise de l'IA ?
L'article 4 de l'AI Act impose aux entreprises de garantir un niveau suffisant de « maîtrise de l'IA » (AI literacy) à leur personnel qui conçoit ou utilise des systèmes d'IA. En clair : depuis le 2 février 2025, un employeur dont les salariés se servent de ChatGPT, Copilot ou d'un autre outil d'IA doit s'assurer qu'ils le font en connaissance de cause. C'est une obligation de formation, pas une simple recommandation.
Cette obligation vise tous les usages professionnels de l'IA, y compris les outils grand public installés spontanément par les équipes. Le fait que l'outil soit gratuit ou externe ne dispense pas l'employeur de sa responsabilité.
Concrètement, les collaborateurs doivent comprendre ce que fait l'IA, ses limites, ses risques (erreurs, données confidentielles, biais) et savoir l'utiliser de façon adaptée à leur poste. Le niveau attendu dépend du rôle de chacun.
Le texte ne fixe pas un format unique de formation. Il laisse l'entreprise choisir les moyens, mais lui demande de pouvoir démontrer qu'elle a bien mis en place cette montée en compétences.
Quel est le calendrier d'entrée en vigueur ?
L'AI Act est entré en vigueur en août 2024, mais ses obligations s'appliquent par étapes. Les interdictions et l'obligation de maîtrise de l'IA de l'article 4 sont effectives depuis février 2025. Les règles sur les modèles d'IA à usage général suivent en 2025, et l'essentiel des obligations sur les systèmes à haut risque s'applique en 2026 et 2027. Le déploiement est donc progressif.
Ce phasage laisse le temps aux entreprises de s'organiser, mais les échéances déjà passées, comme l'article 4, ne sont pas optionnelles pour autant.
Les usages interdits ont été les premiers concernés, dès février 2025, en même temps que l'obligation de former les équipes qui utilisent l'IA.
Les obligations les plus lourdes, celles qui pèsent sur les systèmes à haut risque, s'étalent jusqu'en 2027. Une entreprise qui déploie une IA de recrutement, par exemple, a intérêt à anticiper dès maintenant.
- Août 2024 : entrée en vigueur du règlement
- Février 2025 : usages interdits + obligation de maîtrise de l'IA (article 4)
- 2025 : règles sur les modèles d'IA à usage général
- 2026-2027 : obligations sur les systèmes à haut risque
Qui est concerné par l'AI Act en entreprise ?
L'AI Act concerne bien plus que les géants de la tech. Il distingue les fournisseurs, qui conçoivent ou mettent des systèmes d'IA sur le marché, et les déployeurs, c'est-à-dire toute organisation qui utilise l'IA dans son activité. Une PME qui fait rédiger ses e-mails par ChatGPT est un déployeur : elle est donc soumise, entre autres, à l'obligation de formation de l'article 4.
Beaucoup de dirigeants pensent que ce texte ne vise que les éditeurs de logiciels. C'est faux. Dès que vos salariés utilisent un outil d'IA pour travailler, votre entreprise entre dans le champ du règlement en tant que déployeur.
Les obligations varient selon le rôle et le niveau de risque. Un fournisseur d'IA de recrutement a des contraintes bien plus lourdes qu'une TPE qui se sert d'un assistant de rédaction.
Point clé souvent ignoré : le règlement s'applique aussi aux entreprises hors UE dès lors que leurs systèmes d'IA sont utilisés dans l'Union. La portée est extraterritoriale, comme pour le RGPD.
- Fournisseur : conçoit ou commercialise un système d'IA
- Déployeur : utilise l'IA dans son activité (la plupart des entreprises)
- Importateur / distributeur : met un système d'IA sur le marché européen
- Toute organisation dont l'IA touche des utilisateurs de l'Union
Un exemple concret : une PME qui utilise ChatGPT
Prenons une PME de 40 salariés dont les commerciaux, les RH et le marketing utilisent ChatGPT au quotidien. Aux yeux de l'AI Act, elle est déployeur d'IA à risque limité ou minimal. Ses principales obligations : former ses équipes à un usage maîtrisé (article 4), veiller à la protection des données et rester vigilante sur les contenus générés. Rien d'insurmontable, mais rien qu'on puisse ignorer.
Le risque n'est pas que théorique. Sans cadre, un collaborateur peut coller des données clients confidentielles dans un outil externe, diffuser une réponse erronée d'IA comme si elle était vérifiée, ou publier un texte biaisé. L'employeur en porte la responsabilité.
La bonne pratique consiste à poser une charte d'usage de l'IA, à choisir les outils autorisés et à former les équipes concernées. Ces trois actions couvrent l'essentiel de l'obligation de maîtrise pour une PME.
Cette mise en conformité a un double effet : elle sécurise l'entreprise sur le plan légal et améliore nettement la qualité des usages. Des équipes formées produisent de meilleurs résultats et évitent les erreurs coûteuses.
Quelles erreurs et idées reçues éviter sur l'AI Act ?
L'erreur la plus répandue est de croire que l'AI Act ne concerne que les grandes entreprises tech. La deuxième est de le confondre avec le RGPD, alors qu'ils se complètent sans se remplacer. La troisième est de reporter la mise en conformité, alors que l'obligation de formation est déjà effective. Enfin, beaucoup pensent qu'interdire l'IA suffit, alors que les équipes l'utilisent déjà, souvent sans cadre.
Confondre AI Act et RGPD est fréquent. Le RGPD protège les données personnelles ; l'AI Act encadre les systèmes d'IA eux-mêmes. Une entreprise doit respecter les deux, car un usage d'IA touche presque toujours à des données.
Interdire purement et simplement l'IA n'est pas une stratégie de conformité. Le « shadow AI », c'est-à-dire l'usage non déclaré d'outils par les salariés, se développe justement quand l'entreprise ne propose rien d'officiel. Le cadrer vaut mieux que le subir.
Enfin, penser que l'article 4 attendra est un pari risqué. L'obligation de garantir la maîtrise de l'IA est en vigueur depuis février 2025 : une entreprise qui n'a rien mis en place est déjà en retard.
- « Ça ne concerne que les GAFAM » : faux, tout déployeur est visé
- Confondre AI Act et RGPD : ils se complètent, se cumulent
- Reporter la formation : l'article 4 est déjà applicable
- Interdire l'IA : inefficace, favorise le shadow AI non maîtrisé
Quelles sanctions en cas de non-respect ?
L'AI Act prévoit des amendes dissuasives, calquées sur le modèle du RGPD. Les usages interdits peuvent coûter jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Le non-respect des autres obligations expose à des sanctions pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires. Le montant retenu est le plus élevé des deux, ce qui rend la conformité incontournable pour les grandes structures comme pour les PME.
Ces plafonds concernent surtout les manquements graves, mais ils marquent la volonté de l'Union de faire respecter le texte. La logique est la même que pour la protection des données : rendre le risque financier assez élevé pour pousser à la conformité.
Au-delà de l'amende, le risque réputationnel compte. Une entreprise épinglée pour un usage d'IA non conforme, notamment sur un sujet sensible comme le recrutement, s'expose à une perte de confiance de ses clients et partenaires.
Pour une PME, la priorité n'est pas de craindre l'amende maximale mais de couvrir les obligations de base : former les équipes, encadrer les usages et documenter sa démarche. C'est ce qui protège concrètement.
Quels termes sont liés à l'AI Act ?
Plusieurs notions gravitent autour de l'AI Act : le RGPD, avec lequel il se combine sur la question des données ; les systèmes à haut risque, catégorie la plus encadrée du règlement ; l'IA de confiance et l'IA responsable, qui traduisent son esprit dans les pratiques ; et la transparence, obligation clé pour les IA qui interagissent avec le public. Comprendre ces termes aide à situer l'AI Act dans une démarche globale.
Le RGPD reste la référence en matière de données personnelles. L'AI Act s'y ajoute sans l'annuler : un projet d'IA sérieux doit vérifier sa conformité aux deux textes.
Les notions d'IA responsable et d'IA de confiance décrivent la façon de mettre l'IA en œuvre de manière éthique et fiable. L'AI Act en fournit le socle réglementaire, ces approches en font une culture d'entreprise.
La transparence, enfin, est un fil rouge du règlement : signaler qu'un contenu est généré par IA, prévenir qu'on dialogue avec un robot. C'est l'une des obligations les plus visibles au quotidien.
- RGPD : la protection des données, à respecter en parallèle
- Système à haut risque : la catégorie la plus encadrée
- IA responsable / IA de confiance : l'esprit du texte en pratique
- Transparence : signaler les contenus et interactions générés par IA
Pourquoi l'AI Act est-il important pour votre entreprise ?
L'AI Act transforme la maîtrise de l'IA en obligation légale, pas en simple bonne pratique. Vos équipes utilisent déjà l'IA ; l'article 4 vous impose désormais de garantir qu'elles savent le faire correctement. Se mettre en conformité, c'est éviter un risque juridique, mais surtout structurer des usages qui font gagner du temps et sécurisent vos données. La contrainte réglementaire devient un levier de performance.
Le constat en formation est clair : la plupart des entreprises ont déjà l'IA en interne, mais sans cadre ni méthode. L'AI Act oblige à combler ce vide, ce qui tombe bien, car c'est aussi ce qui débloque la vraie valeur de l'IA.
Former ses équipes coche la case de l'article 4 tout en réduisant les erreurs, les fuites de données et les résultats médiocres. La conformité et la performance avancent ensemble.
Anticiper évite d'être pris de court par les échéances à venir sur les systèmes à haut risque. Une entreprise qui pose dès maintenant sa gouvernance de l'IA prend une longueur d'avance sur ses concurrents.
Questions fréquentes
L'AI Act, c'est quoi en une phrase ?
L'AI Act est le règlement européen qui encadre le développement et l'usage de l'intelligence artificielle dans l'Union. Il classe les systèmes d'IA selon leur niveau de risque et impose des obligations aux entreprises. Depuis 2025, son article 4 exige que les salariés qui utilisent l'IA en aient une maîtrise suffisante, ce qui en fait une obligation de formation pour l'employeur.
Mon entreprise est-elle concernée par l'AI Act ?
Si vos salariés utilisent un outil d'IA comme ChatGPT ou Copilot pour travailler, oui. L'AI Act considère toute organisation qui utilise l'IA comme un « déployeur », et pas seulement les éditeurs de logiciels. Une PME ou une TPE est donc concernée, notamment par l'obligation de former ses équipes prévue à l'article 4. Le règlement vise même les entreprises hors UE dès que leur IA est utilisée dans l'Union.
Que dit précisément l'article 4 de l'AI Act ?
L'article 4 impose aux entreprises de garantir un niveau suffisant de maîtrise de l'IA (AI literacy) à leur personnel qui conçoit ou utilise des systèmes d'IA. En pratique, depuis le 2 février 2025, un employeur doit s'assurer que ses salariés comprennent ce que fait l'IA, ses limites et ses risques, et savent l'utiliser correctement à leur poste. C'est une obligation de formation, pas une recommandation.
Depuis quand l'AI Act s'applique-t-il ?
Le règlement est entré en vigueur en août 2024, mais ses obligations s'appliquent par étapes. Les usages interdits et l'obligation de maîtrise de l'IA de l'article 4 sont effectifs depuis février 2025. Les règles sur les modèles à usage général suivent en 2025, et l'essentiel des obligations sur les systèmes à haut risque s'applique en 2026 et 2027.
Quelle différence entre l'AI Act et le RGPD ?
Le RGPD protège les données personnelles ; l'AI Act encadre les systèmes d'intelligence artificielle eux-mêmes. Les deux textes se complètent sans se remplacer : un usage d'IA touche presque toujours à des données, donc une entreprise doit respecter les deux à la fois. On peut voir l'AI Act comme le pendant du RGPD, mais appliqué à l'IA plutôt qu'aux seules données.
Quelles sont les sanctions prévues par l'AI Act ?
Les amendes sont calquées sur le modèle du RGPD. Les usages interdits peuvent coûter jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Le non-respect des autres obligations expose à des sanctions pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires. Le montant retenu est le plus élevé des deux, ce qui rend la conformité sérieuse pour toutes les tailles d'entreprise.
Que sont les systèmes d'IA à haut risque ?
Ce sont les usages d'IA jugés sensibles pour les droits ou la sécurité des personnes : recrutement, octroi de crédit, santé, éducation ou certaines infrastructures. L'AI Act les autorise mais les encadre fortement, avec documentation, supervision humaine et contrôles de qualité. Une entreprise qui déploie ce type d'IA a des obligations bien plus lourdes qu'un simple usage d'assistant de rédaction.
Interdire l'IA dans mon entreprise suffit-il à être en conformité ?
Non, et c'est souvent contre-productif. Interdire l'IA pousse les salariés à utiliser des outils en douce, sans cadre ni sécurité, ce qu'on appelle le shadow AI. La conformité passe plutôt par un usage encadré : charte, outils autorisés et formation des équipes. Cadrer l'IA protège mieux l'entreprise que tenter de la bannir alors qu'elle est déjà présente.
Comment se mettre en conformité avec l'article 4 concrètement ?
Trois actions couvrent l'essentiel pour une PME : former les équipes qui utilisent l'IA à un usage maîtrisé, poser une charte d'usage claire et documenter la démarche pour pouvoir la prouver. La formation est le cœur de l'obligation. Une sensibilisation adaptée aux différents métiers suffit dans la plupart des cas pour répondre à l'exigence de maîtrise de l'IA.
L'AI Act freine-t-il l'usage de l'IA en entreprise ?
Non, ce n'est pas son but. Le règlement vise à créer un climat de confiance, pas à bloquer l'innovation. La grande majorité des outils utilisés en entreprise relèvent du risque minimal ou limité, avec peu de contraintes. Bien menée, la mise en conformité améliore même les usages : des équipes formées produisent de meilleurs résultats et évitent les erreurs coûteuses.
Comment former mes équipes pour répondre à l'obligation de l'AI Act ?
Une formation de sensibilisation à l'IA donne à vos salariés le socle attendu par l'article 4 : comprendre ce que fait l'IA, ses limites, ses risques et le bon usage à leur poste. La formation « Sensibilisation à l'IA » d'Ewolis est certifiée Qualiopi et finançable par votre OPCO, jusqu'à 100 % pour les PME. Nous montons le dossier de financement avec vous et adaptons le contenu à vos métiers.
Mettez votre entreprise en conformité avec l'article 4 de l'AI Act
La formation « Sensibilisation à l'IA » d'Ewolis donne à vos équipes la maîtrise exigée par le règlement européen, tout en rendant leurs usages plus sûrs et plus efficaces. Certifiée Qualiopi, finançable OPCO / FNE jusqu'à 100 %. On monte le dossier avec vous.