AI Act : ce que la loi européenne change pour vous

Vous posez une question au service client d’un site marchand, et la réponse arrive en trois secondes. Depuis le 2 août 2026, ce site doit vous indiquer que vous échangez avec une IA. Vous tombez ensuite sur la vidéo d’un homme politique qui tient des propos surprenants. Si une IA l’a fabriquée, son diffuseur doit le signaler. Ces deux obligations viennent du même texte : le règlement européen sur l’intelligence artificielle, plus connu sous son nom anglais d’AI Act.

Cet article explique la loi à tous ceux qui utilisent l’IA ou qui la subissent, sans être juristes. Si vous dirigez une entreprise, notre guide de l’AI Act pour les PME détaille vos obligations et la checklist de mise en conformité.

L’AI Act en bref

L’AI Act (règlement (UE) 2024/1689) est la première loi au monde qui encadre l’intelligence artificielle dans son ensemble. Entré en vigueur le 1er août 2024, il s’applique directement dans les 27 pays de l’Union, sans transposition nationale. Toute organisation qui propose ou utilise un système d’IA en Europe doit le respecter, même si elle est installée aux États-Unis ou en Chine.

Le texte ne réglemente pas la technologie en elle-même, mais ses usages. Il les classe selon le risque qu’ils font peser sur la santé, la sécurité et les droits fondamentaux des personnes. Plus le risque est élevé, plus les règles sont strictes.

La grande majorité des outils que vous utilisez au quotidien relèvent du risque minimal ou limité. Rédiger un courrier avec ChatGPT ou retoucher une photo avec une IA ne vous impose aucune démarche.

Ce que l’AI Act interdit

Depuis le 2 février 2025, l’Union européenne interdit les usages de l’IA jugés contraires à ses valeurs. Les entreprises comme les administrations doivent renoncer aux pratiques suivantes :

• Classer des personnes selon leur comportement social ou leur personnalité (notation sociale) est interdit dès que cela les pénalise dans d’autres domaines de leur vie.
• Toute manipulation par des techniques subliminales ou trompeuses est bannie, tout comme l’exploitation de la vulnérabilité liée à l’âge, au handicap ou à la situation sociale.
• Au travail et à l’école, la reconnaissance des émotions est proscrite, sauf pour des raisons médicales ou de sécurité.
• Personne ne peut constituer une base de reconnaissance faciale en collectant en masse des visages sur Internet ou dans des vidéos de surveillance.
• Évaluer le risque qu’une personne commette une infraction à partir de son seul profil (police prédictive) n’est plus permis.
• Un système ne peut pas déduire l’origine, les opinions politiques, la religion ou l’orientation sexuelle d’une personne à partir de ses données biométriques (catégorisation biométrique).
• Enfin, la police ne peut utiliser l’identification biométrique en temps réel dans l’espace public que dans des cas très encadrés, comme la recherche d’une victime d’enlèvement.

Le règlement omnibus adopté en juillet 2026 ajoute deux interdictions à partir du 2 décembre 2026. Elles visent les systèmes qui génèrent des images intimes réalistes d’une personne sans son consentement. Les outils qui produisent des contenus pédocriminels sont aussi concernés.

Ce que la loi change pour vous au quotidien

Les chatbots doivent se présenter comme des IA

Depuis le 2 août 2026, un système conçu pour dialoguer avec vous doit vous indiquer que vous parlez à une machine. Seul un contexte qui rend la chose évidente l’en dispense. Cette règle vaut pour les assistants des sites marchands, les agents vocaux des centres d’appel et les compagnons virtuels. Un système qui reconnaît vos émotions ou qui vous classe à partir de données biométriques doit aussi vous en informer.

Les contenus truqués doivent être signalés

Premiers concernés, les deepfakes imitent des personnes ou des lieux réels avec des images, des sons ou des vidéos fabriqués par IA. Celui qui les diffuse doit les signaler comme tels. Un texte généré par IA et publié pour informer le public sur un sujet d’intérêt général doit également être signalé. Cette obligation tombe si une personne responsable de la publication l’a relu et validé. Les œuvres manifestement artistiques, satiriques ou de fiction bénéficient d’un régime allégé.

De leur côté, les générateurs d’images, de vidéos et de sons doivent marquer leurs contenus de façon détectable par une machine, par exemple avec un filigrane invisible. Les outils mis sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour s’y conformer. La Commission a publié le 20 juillet 2026 ses lignes directrices sur ces règles, accompagnées d’un code de bonnes pratiques. Si vous publiez des contenus sur un site, notre article sur la déclaration de l’IA sur un site web détaille les mentions à prévoir.

Les décisions qui vous concernent seront mieux encadrées

Quand une IA intervient dans une décision importante pour votre vie, le règlement la classe à haut risque. Il s’agit notamment du tri des candidatures, de l’accès au crédit, de certaines assurances, de l’orientation scolaire ou de l’accès aux aides sociales. Les fournisseurs de ces systèmes devront les documenter et les tester contre les biais. Des humains capables de corriger leurs résultats devront aussi les surveiller. Vous aurez aussi le droit d’obtenir une explication claire du rôle joué par l’IA dans une décision qui vous affecte. Ces règles s’appliqueront à partir du 2 décembre 2027, après le report voté en 2026.

Les grands modèles d’IA doivent rendre des comptes

Depuis le 2 août 2025, les éditeurs de modèles d’IA à usage général doivent publier un résumé des données qui ont servi à entraîner leurs modèles. OpenAI, Anthropic, Google et Mistral sont notamment concernés. Ils doivent aussi respecter le droit d’auteur, notamment le refus des auteurs qui s’opposent à l’utilisation de leurs œuvres. Les modèles les plus puissants, dits « à risque systémique », doivent en plus évaluer leurs risques et signaler les incidents graves. Depuis le 2 août 2026, la Commission dispose de pouvoirs de sanction contre ces éditeurs. Notre article sur le débat entre l’IA et les artistes montre ce qui se joue sur le droit d’auteur.

Vos recours en cas de problème

Toute personne qui estime qu’un système d’IA enfreint le règlement peut déposer une réclamation auprès de l’autorité de surveillance de son pays. En France, la désignation de ces autorités n’est pas encore définitive. Adopté par le Sénat le 18 février 2026, le projet de loi confie un rôle central à la CNIL, notamment pour les pratiques interdites et la transparence. Ce texte attend encore son examen par l’Assemblée nationale.

Par ailleurs, le RGPD continue de s’appliquer dès qu’une IA traite vos données personnelles. Il vous donne déjà le droit d’accéder à vos données, de vous opposer à leur traitement et de contester une décision entièrement automatisée. La CNIL reste compétente pour ces questions, comme l’explique notre article sur l’IA et le RGPD.

Le calendrier d’application après l’omnibus

L’AI Act s’applique par étapes. Le règlement omnibus (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026, a décalé plusieurs échéances.

Les sanctions prévues

Le montant des amendes rappelle celui du RGPD. L’utilisation d’une pratique interdite peut coûter jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Les autres manquements, comme l’absence de transparence, sont plafonnés à 15 millions d’euros ou 3 % du chiffre d’affaires. La fourniture d’informations inexactes aux autorités peut atteindre 7,5 millions d’euros ou 1 %. Pour les PME, le plafond retenu est le plus bas des deux montants.

Ce qui coince encore

Les normes techniques manquent. Il revient aux organismes européens de normalisation CEN et CENELEC de rédiger les normes qui expliquent concrètement comment respecter le texte. À la fin juin 2026, aucune n’était encore publiée, et les premières sont attendues pour la fin de l’année.

Le report divise. Au nom de la compétitivité, le règlement omnibus a décalé le haut risque de plus d’un an et allégé plusieurs obligations. Le BEUC, qui fédère les associations de consommateurs européennes, a dénoncé un affaiblissement de la protection des citoyens. L’association de défense des libertés numériques EDRi partage cette critique. Les entreprises y voient au contraire un délai bienvenu pour se préparer.

L’application reste inégale. Chaque État doit désigner ses autorités de contrôle, et plusieurs pays, dont la France, n’ont pas encore finalisé ce dispositif.

Notre avis

L’AI Act protège d’abord les citoyens contre les usages les plus intrusifs de l’IA, comme la notation sociale ou la surveillance des émotions. Pour l’utilisateur, ses effets les plus visibles sont la transparence des chatbots et le signalement des contenus truqués, qui s’appliquent déjà. Le report du haut risque retarde en revanche les protections les plus utiles au quotidien, comme celles qui encadrent l’embauche ou le crédit. Imparfait et appliqué avec retard, ce texte pose pourtant une règle claire : une décision importante prise avec l’IA doit rester explicable et contestable.