Le règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024. Il ne s'applique pas d'un bloc : ses obligations arrivent par vagues jusqu'en 2027, et deux d'entre elles sont déjà passées. Une organisation qui attend « la date d'application » attend une date qui n'existe pas.
Le calendrier, et où nous en sommes
| Échéance | Ce qui s'applique | |---|---| | 2 février 2025 | Interdiction des pratiques inacceptables, obligation de littératie IA | | 2 août 2025 | Modèles d'IA à usage général, gouvernance, sanctions | | 2 août 2026 | Systèmes à haut risque de l'annexe III, obligations de transparence | | 2 août 2027 | Systèmes à haut risque intégrés à des produits réglementés (annexe I) |
En février 2026, les deux premières vagues sont donc en vigueur, et la troisième est à six mois. C'est cette troisième qui concerne le plus grand nombre d'organisations, parce qu'elle couvre le recrutement, le crédit, l'éducation et l'accès aux services essentiels.
Quatre niveaux de risque, et un seul qui coûte cher
Le règlement classe les systèmes, pas les technologies. Le même modèle peut relever de deux catégories selon l'usage qu'on en fait.
Risque inacceptable. Interdit depuis février 2025 : notation sociale, exploitation de vulnérabilités liées à l'âge ou au handicap, reconnaissance des émotions au travail et en éducation, police prédictive fondée sur le seul profilage. La reconnaissance biométrique à distance en temps réel dans l'espace public est interdite, avec des exceptions strictement encadrées pour les autorités répressives.
Haut risque. L'essentiel de la charge de conformité. Deux voies d'entrée : les systèmes qui sont des composants de sécurité de produits déjà réglementés (annexe I), et huit domaines listés à l'annexe III, dont l'emploi, l'accès au crédit, l'éducation et les services publics essentiels.
Risque limité. Obligation de transparence : l'utilisateur doit savoir qu'il parle à une machine, et les contenus de synthèse doivent être marqués comme tels.
Risque minimal. Aucune obligation nouvelle. C'est la majorité des usages.
Vos obligations dépendent de votre rôle, pas de votre taille
Le règlement distingue le fournisseur, qui développe et met sur le marché, du déployeur, qui utilise le système sous sa propre autorité. Beaucoup d'organisations se croient déployeurs et sont fournisseurs sans le savoir.
Trois situations font basculer un déployeur au statut de fournisseur, avec l'intégralité des obligations qui va avec : apposer sa marque sur un système à haut risque, en modifier substantiellement la finalité, ou modifier un système existant au point d'en faire un système à haut risque.
Pour un système à haut risque, le fournisseur doit tenir un système de gestion des risques sur tout le cycle de vie, documenter la gouvernance des données d'entraînement, produire une documentation technique, assurer la journalisation, permettre un contrôle humain effectif, et passer une évaluation de conformité avant mise sur le marché.
Le déployeur, lui, doit utiliser le système conformément à sa notice, affecter le contrôle humain à des personnes compétentes, surveiller le fonctionnement et conserver les journaux. Les organismes publics et certains acteurs privés doivent en plus conduire une analyse d'impact sur les droits fondamentaux.
Sanctions
Trois plafonds, retenus au montant le plus élevé entre la somme fixe et le pourcentage du chiffre d'affaires mondial :
- pratiques interdites : 35 millions d'euros ou 7 % ;
- manquement aux autres obligations : 15 millions d'euros ou 3 % ;
- information incorrecte ou trompeuse fournie aux autorités : 7,5 millions d'euros ou 1 %.
Des plafonds réduits s'appliquent aux PME et aux jeunes entreprises.
Ce qu'il reste à faire avant août 2026
L'inventaire d'abord. Une organisation ne peut pas classer ce qu'elle ne connaît pas, et l'IA entre rarement par la porte du service informatique : elle arrive dans un module d'un logiciel de paie, dans une extension de navigateur, dans une fonction d'un CRM. Recenser suppose d'interroger les métiers, pas seulement les systèmes.
Vient la qualification par usage : pour chaque système, la finalité réelle et le rôle tenu. Puis l'analyse d'écart pour les systèmes classés à haut risque, et la documentation, qui est la partie la plus longue.
Le règlement croise deux autres textes que la plupart des organisations traitent séparément. Le RGPD, dès qu'un système traite des données personnelles, ce qui est le cas de tout ce qui touche au recrutement ou au crédit. Et NIS2, dont l'obligation de gestion des risques couvre aussi les systèmes d'IA quand ils servent une activité essentielle. Mener les trois chantiers en parallèle évite de documenter trois fois le même système.
Ce que Zaxyr apporte
Zaxyr tient l'inventaire des systèmes d'IA avec leur qualification par usage, produit l'analyse d'écart au regard des exigences des systèmes à haut risque, et rassemble les preuves attendues à l'évaluation de conformité. Le mapping vers le RGPD et NIS2 est fait sur le même référentiel de contrôles, de sorte qu'une preuve collectée une fois sert aux trois cadres.