Résumé de haut niveau de la loi sur l'IA

Mis à jour le 31 août 2026 conformément aux modifications apportées à la loi sur l'IA adoptées dans le cadre du « Digital Omnibus » sur l'IA.

Dans cet article, nous vous proposons un résumé de haut niveau de la loi sur l'IA, en sélectionnant les parties les plus susceptibles de vous concerner, qui que vous soyez. Le cas échéant, nous fournissons des liens vers le document original afin que vous puissiez toujours vous référer au texte de la loi.

Pour explorer vous-même le texte intégral de la loi sur l'IA, utilisez notre Explorateur de la loi sur l'IA. Si vous souhaitez savoir quelles sont les parties du texte qui vous concernent le plus, vous pouvez également utiliser notre vérificateur de conformité.

Systèmes d'IA interdits(chapitre II, article 5)

Les types de systèmes d'IA suivants sont "interdits" en vertu de la loi sur l'IA.

Systèmes d'IA :

• le recours à des techniques subliminales, manipulatrices ou trompeuses ayant pour objectif ou pour effet de fausser le comportement en entravant la prise de décision en connaissance de cause, causant ainsi un préjudice grave ou susceptible de le causer.
• exploiter des vulnérabilités liées à l’âge, au handicap ou à la situation socio-économique dans le but, ou avec pour effet, de fausser le comportement, de causer ou de risquer raisonnablement de causer un préjudice grave.
• les systèmes de catégorisation biométrique déduisant des attributs sensibles (race, opinions politiques, appartenance syndicale, croyances religieuses ou philosophiques, vie sexuelle ou orientation sexuelle), à l'exception de l'étiquetage ou du filtrage d'ensembles de données biométriques acquis légalement ou lorsque les forces de l'ordre catégorisent des données biométriques.
• la production d'images intimes non consensuelles et de matériel pédopornographique (CSAM)
• la notation sociale, c'est-à-dire l'évaluation ou la classification d'individus ou de groupes sur la base de leur comportement social ou de leurs traits de personnalité, entraînant un traitement préjudiciable ou défavorable à l'égard de ces personnes dans des contextes sociaux sans rapport avec celui de la collecte des données et/ou lorsque l'effet est disproportionné.
• l'évaluation du risque qu'une personne commette des infractions pénales sur la seule base d'un profilage ou de traits de personnalité, sauf lorsqu'elle est utilisée pour compléter des évaluations humaines fondées sur des faits objectifs et vérifiables directement liés à l'activité criminelle.
• la constitution de bases de données de reconnaissance faciale par l'extraction non ciblée d'images faciales sur l'internet ou d'images de vidéosurveillance.
• la déduction des émotions sur le lieu de travail ou dans les établissements d'enseignement, sauf pour des raisons médicales ou de sécurité.
• l’identification biométrique à distance (RBI) « en temps réel » dans les lieux accessibles au public à des fins répressives, sauf lorsque :

• la recherche de personnes disparues, de victimes d'enlèvement et de personnes victimes de la traite des êtres humains ou de l'exploitation sexuelle ;
• prévenir une menace grave et imminente pour la vie ou l'intégrité physique de personnes physiques, ou un attentat terroriste prévisible ; ou
• l'identification des suspects dans des affaires de crimes graves (par exemple : meurtres, viols, vols à main armée, trafic illicite de stupéfiants et d'armes, criminalité organisée et criminalité environnementale, etc.).

Remarques sur l'identification biométrique à distance en temps réel :

L'utilisation d'un système de reconnaissance faciale en temps réel basé sur l'IA n'est autorisée que dans le but de confirmer l'identité de la personne spécifiquement visée et doit tenir compte des préjudices causés par la non-utilisation du système, ainsi que des droits et libertés des personnes concernées.

Avant le déploiement, la police doit réaliser une évaluation de l'impact sur les droits fondamentaux et enregistrer le système dans la base de données de l'UE. Toutefois, dans des cas d'urgence dûment justifiés, le déploiement peut commencer sans enregistrement, à condition qu'il soit enregistré ultérieurement sans retard injustifié.

Avant le déploiement, ils doivent également obtenir l'autorisation d'une autorité judiciaire ou d'une autorité administrative indépendante[1] ; toutefois, dans des cas d'urgence dûment justifiés, le déploiement peut débuter sans autorisation, à condition que celle-ci soit demandée sans retard injustifié et, en tout état de cause, dans un délai de 24 heures. Si l'autorisation est refusée, le déploiement doit cesser immédiatement et toutes les données, tous les résultats et toutes les productions doivent être supprimés.

↲ [1] Les autorités administratives indépendantes peuvent être soumises à une influence politique plus forte que les autorités judiciaires (Hacker, 2024).

Systèmes d'IA à haut risque (chapitre III)

Certains systèmes d'IA sont considérés comme « à haut risque » au sens de la loi sur l'IA. Les fournisseurs de ces systèmes seront soumis à des exigences supplémentaires.

Règles de classification des systèmes d'IA à haut risque(article 6)

Les systèmes d'IA à haut risque sont les suivants :

• utilisé comme composant de sécurité ou comme produit couvert par les lois de l'UE de l'annexe I ET devant faire l'objet d'une évaluation de la conformité par un tiers en vertu de ces lois de l'annexe I; OU
• répertorié sous Annexe III (ci-dessous), sauf si :
  • le système d'IA exécute une tâche procédurale restreinte ;
  • améliore le résultat d'une activité humaine déjà réalisée ;
  • détecte des modèles de prise de décision ou des écarts par rapport à des modèles de prise de décision antérieurs et n'est pas destiné à remplacer ou à influencer l'évaluation humaine effectuée précédemment sans un examen humain approprié ; ou
  • effectue une tâche préparatoire à une évaluation pertinente aux fins des cas d'utilisation énumérés à l'annexe III.
• Les systèmes d'IA énumérés à l'annexe III sont toujours considérés comme présentant un risque élevé s'ils établissent des profils de personnes, c'est-à-dire s'ils traitent de manière automatisée des données à caractère personnel afin d'évaluer divers aspects de la vie d'une personne, tels que ses performances professionnelles, sa situation économique, sa santé, ses préférences, ses intérêts, sa fiabilité, son comportement, sa localisation ou ses déplacements.
• Les fournisseurs dont le système d'IA relève des cas d'utilisation visés à l'annexe III, mais qui estiment qu'il ne présente pas de risque élevé, doivent documenter cette évaluation avant de le mettre sur le marché ou de le mettre en service.

Exigences applicables aux fournisseurs de systèmes d’intelligence artificielle à haut risque (articles8 à 21)

Les fournisseurs d'IA à haut risque doivent :

• Mettre en place un système de gestion des risques couvrant l'ensemble du cycle de vie du système d'IA à haut risque.
• Assurer la gouvernance des données, en veillant à ce que les ensembles de données de formation, de validation et de test soient pertinents, suffisamment représentatifs et, dans la mesure du possible, exempts d'erreurs et complets conformément à l'objectif visé.
• Rédiger une documentation technique permettant de démontrer la conformité et de fournir aux autorités les informations nécessaires pour évaluer cette conformité, et la conserver avec la documentation relative aux modifications approuvées par les organismes notifiés ainsi qu’à leurs décisions éventuelles, et avec la déclaration de conformité de l’Union européenne. 
• Concevoir leur système d’IA à haut risque de manière à assurer la tenue de registres (journalisation) tout au long de son cycle de vie, afin de lui permettre d’enregistrer automatiquement les événements pertinents pour identifier un risque pour la santé ou la sécurité, ou pour les droits fondamentaux, lié au système d’IA, ainsi qu’une modification substantielle de ce dernier, et de faciliter la surveillance après mise sur le marché et le suivi du fonctionnement des systèmes d’IA à haut risque. Lorsque ces registres sont sous son contrôle, le fournisseur doit les conserver.
• Fournir des instructions d'utilisation aux responsables du déploiement afin de leur permettre de se conformer aux exigences.
• Concevoir leur système d'IA à haut risque de manière à permettre aux responsables du déploiement de mettre en place un contrôle humain.
• Concevoir leur système d'IA à haut risque de manière à atteindre des niveaux adéquats de précision, de robustesse et de cybersécurité.
• Mettre en place un système de gestion de la qualité afin de garantir la conformité et conserver la documentation y afférente.
• Soumettre leur système d’IA à haut risque à l’évaluation de conformité applicable, établir une déclaration de conformité de l’UE et apposer le marquage « CE » sur le système. Sur demande, démontrer la conformité de leur système à la loi. Si celui-ci n’est plus conforme, prendre les mesures correctives nécessaires.
• Enregistrer leur système d'IA à haut risque dans la base de données européenne dédiée aux systèmes d'IA à haut risque.
• Veillez à ce que leur système d'IA à haut risque soit conforme aux exigences en matière d'accessibilité.

IA à usage général (GPAI)

On entend par « modèle GPAI » un modèle d’IA — y compris lorsqu’il a été entraîné à grande échelle à l’aide d’une grande quantité de données en recourant à l’auto-supervision — qui présente une généralité significative, est capable d’exécuter avec compétence un large éventail de tâches distinctes, quelle que soit la manière dont il est mis sur le marché, et peut être intégré dans divers systèmes ou applications en aval. Cette définition ne couvre pas les modèles d’IA utilisés avant leur mise sur le marché dans le cadre d’activités de recherche, de développement et de prototypage.

On entend par « système GPAI » un système d'IA reposant sur un modèle d'IA à usage général, capable de répondre à divers besoins, tant pour une utilisation directe que pour une intégration dans d'autres systèmes d'IA.

Les systèmes GPAI peuvent être utilisés en tant que systèmes d’IA à haut risque ou y être intégrés. Les fournisseurs de systèmes GPAI devraient coopérer avec les fournisseurs de ces systèmes d’IA à haut risque afin de permettre à ces derniers de se conformer à la réglementation.

Tous les fournisseurs de modèles GPAI doivent

• Rédiger la documentation technique, y compris les procédures de formation et d'essai ainsi que les résultats d'évaluation.
• Élaborer des informations et une documentation destinées aux prestataires en aval qui ont l'intention d'intégrer le modèle GPAI dans leur propre système d'IA, afin que ces derniers puissent comprendre ses capacités et ses limites et se conformer à la loi.
• Mettre en place une politique visant à se conformer à la directive sur le droit d'auteur.
• Publier un résumé suffisamment détaillé du contenu utilisé pour la formation du modèle GPAI.

Les modèles GPAI sous licence libre et open source – dont les paramètres, y compris les poids, les informations relatives à l’architecture du modèle et à son utilisation, sont accessibles au public, ce qui permet l’accès, l’utilisation, la modification et la diffusion du modèle – ne doivent se conformer qu’aux deux dernières obligations susmentionnées, sauf si le modèle GPAI sous licence libre et open source présente un risque systémique.

Les modèles GPAI présentent des risques systémiques lorsque le volume cumulé de calcul utilisé pour leur apprentissage est supérieur à 10²⁵ opérations en virgule flottante (FLOP). Les prestataires doivent signaler sans délai à la Commission si leur modèle répond à ce critère, et en tout état de cause dans un délai de deux semaines. Le prestataire peut faire valoir que, bien qu’il réponde à ce critère, son modèle ne présente pas de risques systémiques. La Commission peut également décider, de sa propre initiative ou à la suite d’une alerte justifiée émanant du comité scientifique d’experts indépendants, qu’un modèle présente un risque systémique, même s’il n’atteint pas le seuil de puissance de calcul.

Outre les quatre obligations susmentionnées, les fournisseurs de modèles GPAI présentant un risque systémique doivent également

• Effectuer des évaluations de modèles, y compris mener et documenter des tests contradictoires afin d'identifier et d'atténuer le risque systémique.
• Évaluer et atténuer les risques systémiques éventuels, y compris leurs sources.
• Repérer, documenter et signaler les incidents graves et les éventuelles mesures correctives à l'Office AI et aux autorités nationales compétentes dans les meilleurs délais.
• Assurer un niveau adéquat de protection de la cybersécurité.

Tous les fournisseurs de modèles GPAI peuvent démontrer qu’ils respectent leurs obligations s’ils adhèrent volontairement au Code de bonnes pratiques à usage général jusqu’à la publication des normes européennes harmonisées. Les fournisseurs qui n’adhèrent pas au Code de bonnes pratiques doivent démontrer qu’ils disposent d’autres moyens adéquats pour se conformer à ces obligations.

Le code de bonnes pratiques à usage général

• Outil facultatif élaboré dans le cadre d’un processus multipartite, que les fournisseurs de modèles d’IA générique peuvent utiliser pour démontrer leur conformité aux obligations pertinentes de la loi sur l’IA. 
• Publié le 10 juillet 2025 et jugé conforme par la Commission européenne et le Conseil de l'IA le 1er août 2025. 
• Le code de bonnes pratiques comprend trois chapitres, consacrés respectivement à la transparence, au droit d'auteur et à la sûreté et à la sécurité, qui traitent des obligations de tous les fournisseurs de modèles GPAI, ainsi que des obligations applicables uniquement aux fournisseurs de modèles GPAI présentant un risque systémique.
• En août 2026, plus de 20 prestataires avaient adhéré au Code de bonnes pratiques. 
• Outre le code de bonnes pratiques, les fournisseurs s'appuient également sur les lignes directrices de la Commission relatives à l'étendue des obligations incombant aux fournisseurs de modèles d'IA à usage général en vertu de la loi sur l'IA.

Gouvernance

Comment la loi sur l'IA sera-t-elle mise en œuvre ?

• Le Bureau de l'IA, rattaché à la Commission, veille à la mise en œuvre effective et au respect des dispositions par les fournisseurs de modèles GPAI, ainsi que par les fournisseurs de systèmes d'IA reposant sur un modèle GPAI développé par ce même fournisseur (sauf exception) et par les systèmes d'IA qui constituent ou sont intégrés à une très grande plateforme en ligne ou à un très grand moteur de recherche en ligne au sens de la loi sur les services numériques (DSA).
• Les prestataires en aval peuvent déposer une plainte auprès du Bureau de l'IA concernant une violation de la loi sur l'IA par les prestataires en amont (modèle GPAI).
• L'Office AI peut procéder à des évaluations du modèle GPAI pour :
  • évaluer la conformité lorsque les informations recueillies dans le cadre de ses pouvoirs de demande d'informations s'avèrent insuffisantes
  • examiner les risques systémiques, notamment à la suite d'une alerte assortie de réserves émise par le groupe d'experts scientifiques indépendants.

Calendrier

• Depuis l'entrée en vigueur de la loi sur l'IA, le 1er août 2024, les dispositions de cette loi ont été et continuent d'être mises en œuvre progressivement.
• La plupart des interdictions relatives aux systèmes d'IA sont applicables depuis le 2 février 2025, tandis que celles concernant les systèmes d'IA générant des images intimes non consenties et du matériel pédopornographique (CSAM) entreront en vigueur le 2 décembre 2026. 
• Les obligations prévues par le modèle GPAI sont entrées en vigueur le 2 août 2025. Le Code de bonnes pratiques à usage général a été déclaré conforme le 1er août 2025. 
• Les pouvoirs de contrôle et d'exécution de l'AI Office pourront être exercés à compter du 2 août 2026.
• Les obligations de transparence prévues à l'article 50 s'appliquent à compter du 2 août 2026. Une période de grâce est prévue pour les systèmes d'IA mis sur le marché avant cette date, qui disposent d'un délai jusqu'au 2 décembre 2026 pour se conformer à l'article 50, paragraphe 2. 
• Les obligations relatives aux systèmes d'intelligence artificielle à haut risque prévues à l'article 6, paragraphe 2, et à l'annexe III de la loi sur l'intelligence artificielle entreront en vigueur le 2 décembre 2027.
• Les obligations applicables aux systèmes d'IA à haut risque, telles que prévues à l'article 6, paragraphe 1, et à l'annexe I de la loi sur l'IA, entreront en vigueur le 2 août 2028.

Consultez notre calendrier complet de mise en œuvre pour connaître toutes les étapes clés liées à la mise en œuvre de la loi sur l'IA.