AI Act — Comprendre les règles, maîtriser les usages

Réf. : art. 3, 6 et 25.

Organisations publiques et privées : fournisseurs, utilisateurs sous leur autorité dans l’UE, acteurs hors UE dont les sorties sont utilisées dans l’UE, importateurs, distributeurs et certains fabricants.

Hors champ notamment. Usage strictement personnel, finalités exclusivement militaires, de défense ou de sécurité nationale, certaines activités de R&D. Les essais en conditions réelles ne sont pas exclus.

L’AI Act ne remplace pas les obligations en données personnelles, protection des consommateurs ou sécurité des produits.

Maîtrise de l’IA — art. 4 modifié en juillet 2026. Fournisseurs et déployeurs assurent des compétences adaptées aux usages, selon les connaissances et les personnes affectées. Les modalités de formation sont des bonnes pratiques, pas une liste d’obligations.

Réf. : art. 2 et 4.

Changement de rôle. Pas seulement en cas de modification substantielle : dans les conditions de l’article 25, aussi en cas de changement de destination ou de mise sur le marché sous son nom ou sa marque. Acheter une solution ne transfère pas toutes les responsabilités à l’éditeur.

Réf. : art. 3 et 25.

Les régimes ne s’excluent pas toujours : la transparence peut s’ajouter au haut risque. Fournisseur et déployeur n’ont pas les mêmes obligations. Les modèles d’IA à usage général relèvent d’obligations spécifiques.

• Interaction directe. Le fournisseur conçoit le système pour permettre d’informer la personne qu’elle interagit avec une IA, sauf exceptions.
• Contenus générés ou manipulés. Le fournisseur assure un marquage lisible par machine et la détectabilité, sous réserve des exceptions.
• Deepfakes. Le déployeur révèle le caractère artificiel ou manipulé. Modalités adaptées pour certaines œuvres.
• Textes d’intérêt public. Le déployeur signale certaines publications destinées à informer le public sur un sujet d’intérêt public, lorsqu’elles sont générées ou manipulées par IA. Exception encadrée, notamment en cas de contrôle humain ou éditorial, avec une responsabilité éditoriale identifiée.
• Émotions et catégorisation biométrique autorisées. Le déployeur informe les personnes exposées.

À retenir. Marquage technique et information visible du public sont deux obligations différentes. Information claire et accessible, au plus tard dès la première interaction ou exposition.

Réf. : art. 50. Lignes directrices de la Commission du 20 juillet 2026.

• Biométrie. Identification à distance, certaines catégorisations, reconnaissance des émotions autorisée.
• Infrastructures critiques. Composants de sécurité des infrastructures numériques, des transports et des réseaux essentiels.
• Éducation. Admission, évaluation des apprentissages, surveillance des examens.
• Emploi. Tri de candidatures, évaluation, promotion ou licenciement.
• Services essentiels. Solvabilité des personnes physiques, assurance vie et santé, prestations publiques, triage d'urgence.
• Activités répressives. Certains outils d'évaluation des preuves ou de profilage.
• Migration et frontières. Certains outils d'examen des demandes ou d'évaluation des risques.
• Justice et démocratie. Aide à la décision judiciaire, certains usages influençant les élections.

Exception encadrée. Certaines tâches limitées ou préparatoires peuvent être exemptées sous conditions, en l’absence de risque significatif. La qualification doit être documentée. Cette exception ne s’applique pas au profilage de personnes dans les usages de l’annexe III.

Réf. : art. 6 et annexe III.

1. 1Gestion des risques sur le cycle de vie.
2. 2Qualité et gouvernance des données.
3. 3Documentation technique.
4. 4Journalisation et traçabilité.
5. 5Informations permettant un usage approprié.
6. 6Contrôle humain effectif.
7. 7Exactitude, robustesse et cybersécurité.

Aussi : management de la qualité, évaluation de conformité, déclaration UE, marquage CE, enregistrement lorsque requis et mesures correctives.

Après la mise sur le marché : surveillance du système et notification des incidents graves.

Réf. : art. 8 à 17, 43 à 49, 72 et 73.

Selon les cas et le régime applicable.

• Utiliser le système conformément aux instructions.
• Confier le contrôle humain à des personnes disposant des compétences, de la formation, de l’autorité et du soutien nécessaires.
• Vérifier la pertinence et la représentativité suffisante des données d’entrée lorsqu’il les maîtrise.
• Surveiller le fonctionnement et suspendre l’usage en présence du risque visé par le règlement.
• Alerter immédiatement le fournisseur, puis les autres acteurs et autorités concernés, en cas d’incident grave.
• Conserver les journaux sous son contrôle au moins six mois, sauf disposition contraire.
• Informer les représentants des travailleurs et les salariés concernés avant un usage sur le lieu de travail.
• Informer les personnes concernées lorsqu’un système de l’annexe III prend ou assiste une décision les concernant.

Analyse d’impact sur les droits fondamentaux. L’article 27 définit les catégories de déployeurs et de systèmes concernés, avec des exceptions. Elle s’articule avec l’AIPD et ne vise pas tout déployeur d’un système à haut risque.

Droit à l’explication — sous conditions. Art. 86 : expliquer le rôle de l’IA et les principaux éléments de la décision. Ce n’est pas un droit général à l’explication de toute sortie d’IA.

Réf. : art. 26, 27 et 86.

Le fournisseur tient une documentation technique à jour, transmet les informations utiles aux intégrateurs, met en place une politique de respect du droit d’auteur et publie un résumé suffisamment détaillé du contenu utilisé pour l’entraînement.

L’open source n’est pas une exemption générale. En cas de risque systémique : tests adversariaux, réduction des risques, notification des incidents graves et cybersécurité du modèle.

Réf. : art. 53 et 55.

Vigilance. Le report du haut risque n’est pas un report général de l’AI Act.

Sources : Commission européenne, 3 août 2026 ; FAQ transparence du 24 juillet 2026.