Le calendrier de l'AI Act
Adopté en mars 2024, l'AI Act européen entre en application par phases :
- Février 2025 : interdictions des systèmes à risque inacceptable
- Août 2025 : obligations pour les modèles à usage général (GPAI)
- Août 2026 : obligations complètes pour les systèmes à haut risque
Nous sommes en avril 2026. La majorité des dispositions sont désormais applicables. Qu'est-ce que ça change concrètement ?
Les interdictions : ce qui est désormais illégal
Manipulation subliminale
Les systèmes IA conçus pour manipuler les comportements de manière subconsciente sont interdits. Concrètement : les algorithmes de recommandation exploitant les biais cognitifs de manière délibérée.
Exemple interdit : une IA de casino en ligne qui détecte quand un joueur est vulnérable pour le pousser à jouer plus.
Scoring social
Pas de système de crédit social à la chinoise en Europe. Toute notation généralisée des citoyens basée sur leur comportement social est prohibée.
Reconnaissance faciale de masse
La reconnaissance biométrique en temps réel dans l'espace public est interdite, sauf exceptions strictement encadrées (terrorisme, crimes graves, avec autorisation judiciaire).
Impact : les entreprises de vidéosurveillance "intelligente" ont dû revoir leurs offres.
Exploitation des vulnérabilités
Interdit de cibler spécifiquement les personnes vulnérables (enfants, personnes handicapées) avec des systèmes IA manipulateurs.
Les systèmes à haut risque : obligations renforcées
La liste des domaines concernés
L'AI Act définit des "secteurs à haut risque" où les systèmes IA doivent respecter des obligations strictes :
- Recrutement et RH : les outils de tri de CV, d'évaluation des candidats
- Éducation : notation automatique, orientation scolaire
- Services essentiels : scoring crédit, assurance, accès aux services publics
- Justice et police : aide à la décision judiciaire, profilage
- Migration : traitement des demandes d'asile
- Infrastructure critique : transport, énergie, eau
Les obligations concrètes
Pour ces systèmes à haut risque :
1. Évaluation de conformité Avant mise sur le marché, audit obligatoire (interne ou par organisme notifié selon les cas).
2. Documentation technique Tout doit être documenté : données d'entraînement, architecture, tests, biais identifiés, mesures correctives.
3. Transparence Les utilisateurs doivent savoir qu'ils interagissent avec une IA et comprendre la logique de décision.
4. Supervision humaine Un humain doit pouvoir superviser et corriger les décisions de l'IA.
5. Gestion des données Les données d'entraînement doivent être représentatives, sans biais discriminatoires.
6. Robustesse et cybersécurité Protection contre les attaques adversariales et les manipulations.
Les modèles à usage général (GPAI) : obligations spécifiques
Ce qui concerne GPT, Claude, Mistral...
Les "foundation models" comme GPT-4, Claude, ou Mistral Large sont classés GPAI (General Purpose AI). Ils ont des obligations spécifiques depuis août 2025 :
Pour tous les GPAI :
- Documentation technique détaillée
- Politique de respect du droit d'auteur
- Résumé des données d'entraînement
Pour les GPAI "à risque systémique" (> 10^25 FLOPS d'entraînement) :
- Évaluation des risques systémiques
- Tests adversariaux
- Reporting des incidents graves
- Mesures de cybersécurité renforcées
L'impact sur OpenAI, Anthropic, Google
Ces entreprises américaines ont dû créer des entités européennes, nommer des représentants, et adapter leurs pratiques. Le coût de compliance est significatif, mais le marché européen reste attractif.
Mistral, en tant qu'entreprise française, bénéficie d'un avantage : connaissance native du cadre réglementaire.
Les sanctions : des amendes dissuasives
Le barème
- Pratiques interdites : jusqu'à 35 millions € ou 7% du CA mondial
- Non-conformité : jusqu'à 15 millions € ou 3% du CA mondial
- Fausses informations : jusqu'à 7,5 millions € ou 1,5% du CA mondial
Pour un géant comme Google ou Meta, 7% du CA mondial représente des milliards d'euros. L'AI Act a des dents.
Les premières enquêtes
La Commission européenne a ouvert plusieurs enquêtes préliminaires depuis début 2026. Aucune amende massive encore, mais le message est clair : la période de grâce est terminée.
Ce que ça change pour les entreprises françaises
Les PME et startups
L'AI Act prévoit des allégements pour les PME :
- Accès aux "bacs à sable réglementaires" pour tester sans risque
- Certaines exemptions de documentation
- Délais d'adaptation étendus
Mais attention : si votre IA est déployée dans un domaine à haut risque, les obligations s'appliquent quelle que soit votre taille.
Les grandes entreprises
Pour les grands groupes, la compliance AI Act rejoint le RGPD comme chantier prioritaire. Les directions juridiques ont embauché des spécialistes, les DSI ont mis en place des registres d'IA.
Le nouveau processus :
- Inventaire des systèmes IA utilisés
- Classification par niveau de risque
- Mise en conformité ou abandon
- Documentation continue
- Audits réguliers
L'impact global : l'effet Bruxelles
L'Europe comme standard mondial
Comme pour le RGPD, l'AI Act devient un standard de facto mondial. Les entreprises qui veulent servir le marché européen (500 millions de consommateurs) doivent s'y conformer.
Résultat : beaucoup appliquent les standards AI Act partout, plutôt que de maintenir des versions différentes par région.
La critique américaine
Washington critique une "sur-régulation" qui freinerait l'innovation. Les entreprises US se plaignent de la charge administrative. Mais elles se conforment quand même : le marché européen est trop important.
La réponse chinoise
La Chine développe sa propre réglementation IA, différente dans l'approche mais convergeant sur certains points (transparence des algorithmes, encadrement des deepfakes).
Mon analyse
L'AI Act est un pari européen : être le premier bloc à réguler sérieusement l'IA, en espérant que les standards s'exportent.
Les avantages :
- Protection réelle des citoyens contre les abus
- Cadre juridique clair pour les entreprises
- Avantage concurrentiel pour les acteurs "propres"
Les risques :
- Complexité administrative
- Ralentissement de l'innovation en Europe
- Fuite des talents et capitaux vers des juridictions plus souples
Mon verdict : la direction est bonne, l'exécution sera déterminante. L'Europe doit accompagner les entreprises, pas seulement les sanctionner.
Conseils pratiques
Pour les entreprises utilisant de l'IA :
- Faites l'inventaire de tous vos systèmes IA, même les plus anodins
- Classifiez par niveau de risque selon les critères AI Act
- Documentez vos pratiques dès maintenant
- Formez vos équipes aux nouvelles obligations
- Anticipez : les exigences vont se durcir, pas s'assouplir
L'AI Act n'est pas une contrainte, c'est le nouveau cadre du jeu. Autant le maîtriser.