AI Act : ce que risquent les sites qui ne signalent pas l'IA

Le règlement européen sur l'intelligence artificielle, l'AI Act, est entré pleinement en application le 2 août 2026 pour une large partie de ses obligations de transparence. Concrètement, tout éditeur de chatbot, tout service générant du texte, de l'image, de l'audio ou de la vidéo par intelligence artificielle doit désormais le signaler clairement à l'utilisateur. Ce guide fait le point sur ce que change cette date pour les entreprises, les développeurs et les particuliers, à partir du texte du règlement (UE) 2024/1689 et des décryptages officiels publiés ces derniers mois.

Ce que dit le règlement depuis le 2 août 2026

Le règlement (UE) 2024/1689, publié au Journal officiel de l'Union européenne le 12 juillet 2024 et entré en vigueur le 1er août 2024, s'applique par étapes jusqu'en 2027, selon l'Agence nationale de la cohésion des territoires (ANCT). Le 2 août 2026 marque une étape charnière : la pleine applicabilité du texte pour les systèmes d'IA à haut risque identifiés, avec la mise en place de bacs à sable réglementaires, indique le site entreprendre.service-public.gouv.fr.

Depuis cette date, trois pictogrammes européens doivent accompagner les contenus concernés, selon service-public.gouv.fr : l'icône de base « IA » quand une intelligence artificielle est utilisée pour générer ou modifier un contenu, l'icône « généré par IA » quand le contenu est produit intégralement par une machine sans intervention humaine, et l'icône « partiellement modifié par IA » quand un contenu humain préexistant a été transformé.

Les chatbots directement visés

Les chatbots relèvent de la catégorie dite de « risque limité ». La règle est simple : si un utilisateur parle à un assistant conversationnel, celui-ci doit l'informer qu'il s'agit d'une machine, rappelle une ressource publiée par l'ANCT en juin 2026. Cette obligation de transparence ne concerne pas seulement les chatbots commerciaux grand public, elle s'applique à tout système conçu pour interagir avec des personnes physiques, quel que soit le secteur.

Les neuf pratiques interdites depuis février 2025

Avant même l'échéance du 2 août 2026, l'AI Act avait déjà banni certaines pratiques jugées inacceptables. Depuis le 2 février 2025, selon le Service public fédéral belge de l'Économie, les systèmes suivants sont interdits dans l'Union européenne :

• la manipulation ou la tromperie nuisible fondée sur l'IA ;
• l'exploitation nuisible de vulnérabilités liées à l'âge, au handicap ou à la situation sociale ;
• la notation sociale des citoyens par les pouvoirs publics ou les entreprises ;
• l'évaluation ou la prédiction du risque qu'une personne commette une infraction pénale ;
• l'extraction non ciblée d'images issues d'internet ou de vidéosurveillance pour constituer des bases de reconnaissance faciale ;
• la reconnaissance des émotions sur le lieu de travail et dans les établissements scolaires ;
• la catégorisation biométrique visant à déduire certaines caractéristiques protégées ;
• l'identification biométrique à distance en temps réel dans l'espace public à des fins répressives ;
• la génération de contenus sexuels non consentis ou d'images pédopornographiques, y compris par des applications de « nudification », une interdiction qui entrera en vigueur en décembre 2026 selon service-public.gouv.fr.

Le calendrier complet jusqu'en 2027

L'AI Act ne s'applique pas d'un seul coup. Les règles sur les pratiques interdites sont effectives depuis février 2025, les obligations de transparence depuis août 2026, et des dispositions spécifiques sur l'IA à haut risque, dans des domaines sensibles comme la santé ou la sécurité, entreront en vigueur à partir de 2027, précise service-public.gouv.fr.

Qui est concerné par ces nouvelles obligations

Le texte distingue plusieurs catégories d'acteurs responsables, selon le Service public fédéral belge de l'Économie : les fournisseurs, c'est-à-dire les développeurs d'un système d'IA ou d'un modèle d'IA à usage général, les déployeurs qui utilisent ces systèmes dans un cadre professionnel, ainsi que les importateurs, distributeurs et fabricants de produits intégrant de l'intelligence artificielle. À l'inverse, l'AI Act ne s'applique pas à l'IA utilisée dans le cadre de la recherche scientifique, à des fins militaires et de défense, ni dans le cadre d'une activité strictement personnelle et non professionnelle.

Le champ d'application est territorial autant que sectoriel. L'Autorité de contrôle prudentiel et de résolution (ACPR) précise que le règlement s'applique aux fournisseurs et déployeurs européens comme non européens, dès lors qu'un système d'IA ou ses résultats sont disponibles pour des utilisateurs situés dans l'Union européenne.

Les quatre niveaux de risque

L'architecture du texte repose sur une classification par niveau de risque, et non par technologie. Plus un système présente de danger pour les personnes, plus les obligations qui pèsent sur lui sont lourdes.

Les systèmes à haut risque, prochaine étape de 2027

Les systèmes à haut risque sont définis principalement en fonction de leur finalité, au sein d'une liste de huit domaines sensibles fixée par l'annexe III du règlement, notamment la biométrie et l'emploi, détaille l'ACPR. Leurs fournisseurs devront réaliser une auto-évaluation de conformité, tenir une documentation technique à jour, garantir la traçabilité et l'auditabilité de leurs systèmes via un mécanisme d'enregistrement automatique, et présenter des garanties de précision, de robustesse et de cybersécurité tout au long du cycle de vie du produit.

Les sanctions prévues en cas de non-conformité

Le règlement prévoit un barème d'amendes à plusieurs niveaux, calculé en montant fixe ou en pourcentage du chiffre d'affaires mondial de l'entreprise, le montant le plus élevé étant retenu. Selon le cabinet Deloitte, qui cite l'article 99 du règlement, les violations des pratiques interdites de l'article 5 peuvent coûter jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. Les manquements aux obligations générales de conformité, comme la documentation, l'évaluation des risques ou la transparence, sont sanctionnés jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial. La fourniture d'informations inexactes, incomplètes ou trompeuses aux autorités est punie jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial.

Pour les institutions et organismes de l'Union européenne eux-mêmes, qui relèvent également du champ d'application du texte, le plafond est fixé à 750 000 euros, précise service-public.gouv.fr. Les petites et moyennes entreprises bénéficient d'un principe de proportionnalité dans l'application de ces sanctions.

Qui contrôle l'application du texte

En France, ce sont les autorités nationales de surveillance du marché qui veillent au respect des règles de transparence, aux côtés du Bureau européen de l'IA et du Contrôleur européen de la protection des données (CEPD), selon service-public.gouv.fr. Le CEPD agit spécifiquement en tant qu'autorité compétente pour la supervision des institutions, organes et agences de l'Union européenne qui développent ou utilisent des systèmes d'IA, et il est habilité à leur imposer des amendes administratives en cas de non-respect du règlement.

Pourquoi ce texte compte dans le débat innovation contre régulation

L'AI Act est présenté par la Commission européenne comme le premier cadre législatif au monde consacré spécifiquement à l'intelligence artificielle. Son objectif affiché est double : répondre aux risques pour la sécurité, la santé et les droits fondamentaux des citoyens, et créer un marché unique européen de l'« IA de confiance », selon l'ACPR. Le texte avait été proposé par la Commission en avril 2021, puis négocié jusqu'à un accord entre le Parlement européen et le Conseil en décembre 2023, avant une adoption formelle le 13 mars 2024.

Guillaume Avrin, coordonnateur national pour l'intelligence artificielle, avait détaillé ce texte dès son adoption pour le gouvernement français, soulignant qu'il s'agit d'une « réglementation produit » qui vise à encadrer les produits d'IA commercialisés sur le marché européen plutôt que la technologie elle-même. Les systèmes autorisés obtiennent un marquage CE, à l'image des autres produits régulés dans l'Union, comme les jouets ou les dispositifs médicaux.

Pour les géants américains du numérique, du côté des entreprises qui développent des modèles d'IA à usage général, le texte impose des obligations spécifiques depuis l'entrée en application du volet GPAI, douze mois après l'entrée en vigueur du règlement, selon la Commission européenne. Ce calendrier place l'Union européenne dans une position singulière face aux États-Unis, où aucune régulation fédérale équivalente n'existe à ce jour, nourrissant un débat permanent entre protection des citoyens et compétitivité des entreprises européennes face aux acteurs américains et chinois.

Questions frequentes

Qu'est-ce que l'AI Act exactement ?

C'est le règlement (UE) 2024/1689, adopté le 13 mars 2024 par le Parlement européen, publié au Journal officiel le 12 juillet 2024 et entré en vigueur le 1er août 2024. Il s'agit du premier cadre juridique au monde à encadrer de façon large et contraignante le développement, la mise sur le marché et l'utilisation des systèmes d'intelligence artificielle dans l'Union européenne.

Que change concrètement le 2 août 2026 pour les chatbots ?

Depuis cette date, tout service conversationnel basé sur l'IA doit informer clairement l'utilisateur qu'il échange avec une machine. Les contenus générés ou modifiés par IA, texte, image, audio ou vidéo, doivent en outre porter l'un des trois pictogrammes européens prévus par le règlement.

Quelles sanctions risquent les entreprises qui ne respectent pas le texte ?

Les amendes vont de 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial pour les informations trompeuses, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites les plus graves, selon l'article 99 du règlement cité par Deloitte.

Qui doit respecter l'AI Act ?

Les fournisseurs et développeurs de systèmes d'IA, les déployeurs professionnels qui les utilisent, ainsi que les importateurs et distributeurs, qu'ils soient établis dans l'Union européenne ou non, dès lors que leurs systèmes ou leurs résultats sont accessibles à des utilisateurs européens. L'usage strictement personnel, la recherche scientifique et les usages militaires sont exclus du champ d'application.

Quelles sont les prochaines échéances après 2026 ?

L'interdiction des applications de « nudification » et des contenus sexuels non consentis générés par IA entrera en vigueur en décembre 2026. Des dispositions spécifiques sur l'IA à haut risque, dans des secteurs comme la santé, l'éducation ou la sécurité, prendront effet à partir de 2027, complétant progressivement le dispositif.