L’AI Act est aujourd’hui le texte de référence pour encadrer l’intelligence artificielle en Europe, et donc en France. Son entrée en vigueur date du 1er août 2024, mais ses obligations s’appliquent par étapes selon le type de système concerné, ce qui change profondément le calendrier de conformité pour les entreprises.
En résumé :
Le calendrier de l’AI Act est progressif, anticipez dès maintenant pour répartir vos efforts de conformité et limiter vos risques opérationnels.
- Cartographiez vos systèmes par catégorie (risque minimal, limité, haut risque, pratiques interdites) pour prioriser les actions.
- Ne confondez pas la date d’entrée en vigueur 1er août 2024 avec les dates d’application, elles s’étalent jusqu’en 2028 et varient selon les cas.
- Pour les éditeurs de GPAI, appliquez les obligations spécifiques en vigueur depuis le 2 août 2025 et documentez les mesures de transparence.
- Constituez dès maintenant la documentation, le registre de gestion des risques, les preuves d’audit et prévoyez le marquage CE pour les systèmes concernés à partir du 2 août 2026.
- Contactez les autorités compétentes (CNIL, ANSSI) via les canaux officiels et mettez en place une veille réglementaire jusqu’en 2028 pour suivre les reports et précisions.
Calendrier de mise en œuvre du règlement IA en France
Le règlement européen sur l’IA ne fonctionne pas comme une règle unique qui s’imposerait à tout le monde au même moment. Il repose au contraire sur une logique progressive, avec des échéances distinctes selon le niveau de risque, la nature du système et, dans certains cas, son intégration dans un produit réglementé.
En France, ce cadre s’applique dans une architecture européenne. Il ne s’agit pas d’une loi IA française autonome, mais d’un règlement de l’Union européenne qui structure le droit applicable et que les autorités nationales doivent accompagner et contrôler.
Une entrée en vigueur en 2024, puis des dates d’application successives
Le point de départ officiel est fixé au 1er août 2024. Cette date marque l’entrée en vigueur du texte, mais pas l’entrée en application de l’ensemble de ses obligations. C’est une nuance importante, car beaucoup d’acteurs confondent encore ces deux notions.
Les premières interdictions sont devenues applicables le 2 février 2025. Les règles visant les modèles d’IA à usage général, ou GPAI, s’appliquent depuis le 2 août 2025. Pour les systèmes d’IA à haut risque, la mise en conformité s’étale ensuite à partir du 2 août 2026, avec des délais plus longs pour certains produits réglementés.
| Échéance | Catégorie concernée | Effet principal |
|---|---|---|
| 1er août 2024 | AI Act | Entrée en vigueur du règlement |
| 2 février 2025 | Pratiques interdites | Application des interdictions |
| 2 août 2025 | GPAI | Obligations spécifiques pour les modèles à usage général |
| 2 août 2026 | Systèmes à haut risque | Première vague d’obligations renforcées |
| 2 août 2027 à 2 août 2028 | Certains produits réglementés | Transition prolongée selon les cas |
Cette progression peut encore évoluer selon les ajustements réglementaires. Certaines synthèses font état de délais complémentaires, notamment dans le cadre du Digital Omnibus, avec un report de certaines obligations de transparence au 2 décembre 2026 et des délais supplémentaires pour certains systèmes à haut risque jusqu’en 2027 ou 2028.
Un calendrier à lire selon la catégorie d’IA
Le cœur du sujet réside dans la différence entre le calendrier général du règlement et les dates d’application réelles. Une entreprise qui développe un chatbot, un éditeur de GPAI et un fabricant de dispositif biométrique ne suivent pas les mêmes échéances ni les mêmes obligations.
Il faut donc raisonner par catégorie. Les interdictions s’appliquent d’abord, puis viennent les obligations de transparence, ensuite les exigences renforcées pour les systèmes à haut risque. Cette logique évite de traiter tous les usages de l’IA comme s’ils relevaient du même niveau de surveillance.
Les différentes catégories de risques et les acteurs concernés
L’AI Act repose sur une classification des systèmes d’IA selon leur niveau de risque. Ce choix détermine le niveau d’encadrement, les obligations de documentation et la charge de conformité pour les opérateurs. La logique est simple, mais ses effets sont très concrets pour les entreprises.
On distingue ainsi quatre grands ensembles, du plus léger au plus contraignant, avec des exemples qui permettent de mieux situer chaque usage.
Risque minimal, risque limité, haut risque et pratiques interdites
Les systèmes à risque minimal ne créent pas de nouvelles obligations spécifiques. On y retrouve par exemple certains jeux vidéo ou des filtres anti-spam. Dans ces cas, l’outil peut être utilisé sans régime supplémentaire dédié par l’AI Act.
Les systèmes à risque limité entraînent surtout des obligations de transparence. Les chatbots et les deepfakes entrent souvent dans cette catégorie, car l’utilisateur doit savoir qu’il interagit avec une machine ou avec un contenu artificiellement généré.
Les systèmes à haut risque sont soumis à des exigences renforcées. Ils concernent notamment le recrutement automatisé, le scoring de crédit ou la vidéosurveillance biométrique. Les conséquences potentielles sur les droits, l’accès à un service ou une décision administrative sont alors jugées beaucoup plus sensibles.
Enfin, certaines pratiques interdites sont totalement prohibées. Il s’agit de cas considérés comme inacceptables au regard des droits fondamentaux, ce qui place ces usages hors du champ de déploiement possible.
Les secteurs les plus exposés au haut risque
Le haut risque vise plusieurs secteurs identifiés comme particulièrement sensibles. La biométrie figure en première ligne, tout comme les infrastructures critiques, l’éducation, l’emploi et la justice. Dans ces domaines, un système d’IA peut avoir un impact direct sur la sécurité, l’égalité de traitement ou les droits des personnes.
Les entreprises concernées sont celles qui développent, présentent ou intègrent des produits contenant de l’IA à haut risque. Les éditeurs de GPAI sont aussi visés, avec des règles spécifiques applicables depuis août 2025. Le point commun de tous ces acteurs est le même, ils doivent anticiper la conformité dès la conception du système.
Les principales obligations pour les systèmes d’IA à haut risque
À partir du 2 août 2026, les systèmes d’IA à haut risque doivent répondre à un ensemble d’exigences plus strictes avant leur introduction sur le marché ou leur mise en service. L’enjeu n’est pas seulement juridique, il est aussi opérationnel, car la conformité doit être intégrée au cycle de développement.
Ces exigences reposent sur la traçabilité, la maîtrise du risque et la capacité à démontrer, à tout moment, que le système peut être contrôlé et audité.
Les obligations peuvent se résumer dans le tableau suivant, qui met en évidence les principaux points de préparation pour les acteurs concernés.
| Obligation | Objectif |
|---|---|
| Inscription dans la base de données de l’Union européenne | Identifier les systèmes concernés et assurer leur suivi |
| Marquage CE | Autoriser la commercialisation dans le cadre européen |
| Système de gestion des risques documenté | Recenser, évaluer et mettre à jour les risques |
| Documentation complète | Comprendre le fonctionnement, garantir la transparence et la traçabilité |
| Contrôle humain obligatoire | Permettre une supervision effective et une intervention humaine |
Le système de gestion des risques doit être vivant, c’est-à-dire révisé au fil des évolutions du modèle ou de ses usages. La documentation, elle, doit permettre de reconstituer les choix techniques, les limites du système et les conditions dans lesquelles il peut être utilisé.
Le contrôle humain n’est pas une simple clause de principe. Il suppose un mécanisme de supervision réel, avec une information claire donnée à la personne chargée du contrôle et des moyens concrets pour orienter ou interrompre le fonctionnement du système si nécessaire.
Des échéances différentes selon les produits
Les délais ne sont pas identiques selon qu’il s’agit d’un système autonome ou d’un système intégré dans un produit réglementé. C’est l’une des raisons pour lesquelles les calendriers de conformité doivent être lus avec prudence, notamment pour les fabricants de matériels ou de solutions embarquées.
Pour certains produits déjà présents sur le marché, la période transitoire peut aller jusqu’au 2 août 2028. Dans d’autres cas, les obligations de transparence ou certaines exigences haut risque peuvent aussi bénéficier d’un décalage, ce qui impose une veille réglementaire continue.
Mise en œuvre, autorités et supervision en France
La France applique l’AI Act dans le cadre de l’Union européenne, avec des autorités nationales chargées d’accompagner les entreprises et de contrôler l’application des règles. Le dispositif n’est donc pas centralisé sur une seule administration, mais réparti entre plusieurs acteurs selon la nature du sujet traité.
Cette organisation permet d’articuler droit de l’IA, protection des données, cybersécurité et doctrine juridique, tout en conservant une lecture commune du règlement européen.
Le rôle des autorités françaises
La CNIL intervient sur les questions liées aux données personnelles et aux décisions automatisées. Son rôle est déterminant lorsque l’IA traite des informations sensibles, prend part à un processus de sélection ou influence une décision individuelle.
L’ANSSI est mobilisée sur la cybersécurité des systèmes d’IA. Son apport concerne la robustesse technique, la protection contre les attaques et la sécurité des environnements dans lesquels ces outils sont déployés.
Le Conseil d’État intervient davantage sur la doctrine juridique et éthique, avec une fonction d’analyse et d’avis. Son regard compte pour la structuration des interprétations administratives et la cohérence du cadre français.
Les contacts officiels à connaître
Pour les démarches ou les questions réglementaires, les coordonnées officielles communiquées par l’administration française sont [email protected] et [email protected]. Ces adresses sont utiles pour obtenir une orientation fiable sur le calendrier ou sur les obligations applicables.
Dans un contexte encore mouvant, il est recommandé de s’appuyer en priorité sur les communications institutionnelles. Les sites officiels restent la source la plus solide pour suivre les évolutions du texte, les précisions d’application et les éventuels ajustements de calendrier.
Points de vigilance et erreurs fréquentes à éviter
Les entreprises qui s’intéressent au règlement IA commettent souvent les mêmes erreurs. La première consiste à confondre l’entrée en vigueur du texte avec sa pleine application. Or, l’AI Act est entré en vigueur en 2024, mais ses obligations s’étalent jusqu’en 2028 selon les catégories.
La seconde erreur est de traiter tous les systèmes d’IA comme s’ils relevaient d’un même régime. En réalité, les pratiques interdites, les GPAI, les systèmes à haut risque et les produits réglementés n’obéissent pas au même calendrier ni aux mêmes exigences.
Il faut aussi éviter de croire qu’une seule date de conformité suffit pour l’ensemble du marché. Certaines obligations peuvent être repoussées, notamment pour les systèmes déjà commercialisés ou pour des obligations de transparence avec une échéance au 2 décembre 2026 dans certaines synthèses réglementaires.
Autre point de vigilance, l’expression de “loi IA française” est trompeuse. Le cadre applicable en France est d’abord celui du règlement européen AI Act, avec une mise en œuvre nationale par les autorités compétentes, et non une loi nationale indépendante équivalente.
Enfin, la préparation documentaire ne doit pas être sous-estimée. Auditabilité, traçabilité et supervision humaine demandent des processus adaptés, souvent dès la phase de conception. Plus l’anticipation est tardive, plus la mise en conformité devient lourde.
En pratique, la bonne lecture du calendrier IA en France repose sur une idée simple, le texte européen est commun, mais les obligations arrivent par étapes. C’est ce découpage qui permet d’organiser la conformité sans confondre les catégories ni les délais.