L’Union européenne est la première à encadrer l’intelligence artificielle par une loi d’ensemble, l’AI Act. Ce qu’il interdit, ce qu’il impose et à qui, le calendrier tel que modifié en 2026, les investissements et ce que montrent les chiffres d’usage.
Le règlement classe les usages de l’IA selon leur niveau de risque. Quelques pratiques sont interdites (art. 5). Les systèmes « à haut risque » (art. 6, annexes I et III) doivent respecter des exigences de gestion des risques, de qualité des données, de documentation, de contrôle humain, d’exactitude et de cybersécurité avant leur mise sur le marché. D’autres systèmes n’ont que des obligations de transparence (art. 50). Le reste n’est pas encadré par le texte, hormis un devoir général de culture de l’IA (art. 4). Les modèles d’IA à usage général relèvent d’un régime propre (chapitre V).
1
Interdit
Article 5 · depuis le 2 février 2025
5(1)(a)Techniques subliminales, manipulatrices ou trompeuses qui altèrent sensiblement le comportement et risquent de causer un préjudice important.
5(1)(b)Exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation sociale ou économique pour altérer le comportement de façon préjudiciable.
5(1)(c)Notation sociale entraînant un traitement défavorable injustifié ou sans rapport avec le contexte d’origine des données.
5(1)(d)Prédiction du risque qu’une personne commette une infraction sur la seule base du profilage ou de traits de personnalité.
5(1)(e)Constitution de bases de reconnaissance faciale par moissonnage non ciblé d’images sur internet ou de vidéosurveillance.
5(1)(f)Reconnaissance des émotions au travail et dans l’enseignement, sauf raisons médicales ou de sécurité.
5(1)(g)Catégorisation biométrique visant à déduire l’origine, les opinions politiques, l’appartenance syndicale, la religion, la vie ou l’orientation sexuelle.
5(1)(h)Identification biométrique à distance en temps réel dans l’espace public à des fins répressives, sauf exceptions étroites (victimes et personnes disparues, menace imminente ou terroriste, suspects d’infractions graves) avec autorisation préalable judiciaire ou indépendante (art. 5(2) à 5(7)).
5(1)(ba) (ajouté en 2026)Systèmes d’IA générant ou modifiant des images, vidéos ou sons intimes ou sexuellement explicites réalistes d’une personne identifiable sans son consentement explicite (applis de « dénudage »). Applicable au 2 décembre 2026.
5(1)(bb) (ajouté en 2026)Systèmes d’IA générant des contenus pédocriminels. Applicable au 2 décembre 2026. L’art. 5(1a) limite l’interdiction, côté fournisseurs, aux systèmes conçus pour cela ou dont la conception rend ce résultat prévisible sans garde-fous suffisants.
2
Haut risque
Article 6 et annexes I et III · exigences avant mise sur le marché
Deux voies (art. 6). (1) Annexe I : le système est un produit, ou un composant de sécurité d’un produit, couvert par une législation européenne de sécurité des produits imposant une évaluation par un tiers. (2) Annexe III : le système est utilisé dans l’un des huit domaines listés. Un système de l’annexe III peut échapper au statut haut risque s’il ne présente pas de risque important (art. 6(3)), mais le fournisseur doit documenter et enregistrer cette évaluation (art. 49(2)) ; l’Omnibus a maintenu cet enregistrement sous forme simplifiée.
Les 8 domaines de l’annexe III
Biométrie (identification à distance, catégorisation, reconnaissance des émotions) lorsque autorisée
Éducation et formation professionnelle (admission, évaluation, surveillance des examens)
Emploi et gestion des travailleurs (recrutement, promotion, licenciement, répartition des tâches, surveillance)
Accès aux services essentiels publics et privés (prestations sociales, solvabilité, tarification assurance vie et santé, tri des appels d’urgence)
Répression (police) lorsque autorisée
Migration, asile et contrôle aux frontières lorsque autorisés
Administration de la justice et processus démocratiques (dont l’influence sur les élections)
3
Transparence
Article 50 · à partir du 2 août 2026
Quatre obligations. (1) Les chatbots et systèmes qui dialoguent avec des personnes doivent signaler qu’il s’agit d’une IA, sauf évidence. (2) Les fournisseurs de systèmes générant du son, de l’image, de la vidéo ou du texte synthétiques doivent marquer les contenus de façon lisible par machine et détectable. (3) Les utilisateurs professionnels de reconnaissance des émotions ou de catégorisation biométrique doivent en informer les personnes exposées. (4) Ceux qui publient des hypertrucages (deepfakes), ou des textes générés par IA pour informer le public sur des sujets d’intérêt général, doivent le signaler (règles allégées pour les œuvres artistiques ou satiriques ; exception si le texte a été relu sous responsabilité éditoriale). Applicable au 2 août 2026 ; pour les systèmes génératifs déjà sur le marché avant cette date, le marquage de l’art. 50(2) est dû au 2 décembre 2026 (règl. 2026/1744). Un code de bonnes pratiques volontaire sur la transparence des contenus générés par IA a été finalisé le 10 juin 2026.
4
Risque minimal
Tout le reste
La grande majorité des usages (filtres anti-spam, jeux vidéo, recommandations simples…) ne relève d’aucune obligation spécifique du règlement, en dehors du devoir général de culture de l’IA (article 4), assoupli en 2026.
À part : les modèles d’IA à usage général (chapitre V)
Tous les fournisseurs
Tous les fournisseurs de modèles d’IA à usage général (art. 53) : tenir une documentation technique (annexe XI) ; fournir aux intégrateurs les informations nécessaires (annexe XII) ; adopter une politique de respect du droit d’auteur, y compris des refus de fouille de textes et de données ; publier un résumé suffisamment détaillé des données d’entraînement selon le modèle du Bureau de l’IA. Les modèles open source sont en partie exemptés, sauf risque systémique (art. 53(2)).
Modèles à risque systémique
Un modèle est présumé avoir des « capacités à fort impact », donc un risque systémique, lorsque la puissance de calcul cumulée utilisée pour l’entraîner dépasse 10^25 opérations en virgule flottante (art. 51(2)). La Commission peut aussi désigner un modèle selon d’autres critères (annexe XIII) et modifier ce seuil par acte délégué (art. 51(3)). Le fournisseur doit la notifier sous deux semaines (art. 52(1)). Obligations supplémentaires pour les modèles à risque systémique (art. 55) : évaluations à l’état de l’art, y compris tests adverses ; évaluation et atténuation des risques systémiques au niveau de l’UE ; suivi et signalement des incidents graves au Bureau de l’IA ; cybersécurité adéquate du modèle et de son infrastructure. Les codes de bonnes pratiques peuvent servir à démontrer la conformité en attendant des normes harmonisées (art. 55(2)).
Amendes maximales (article 99)
Pratiques interdites (art. 5)
35 M€ ou 7 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu
La plupart des autres obligations des opérateurs (fournisseurs, importateurs, distributeurs, déployeurs, organismes notifiés, transparence art. 50)
15 M€ ou 3 %, le montant le plus élevé étant retenu
Informations inexactes, incomplètes ou trompeuses fournies aux autorités
7,5 M€ ou 1 %, le montant le plus élevé étant retenu
Fournisseurs de modèles d’IA à usage général (amendes infligées par la Commission)
15 M€ ou 3 %, le montant le plus élevé étant retenu
Le règlement s’applique par étapes. En juillet 2026, l’« Omnibus numérique sur l’IA » (règlement 2026/1744) a repoussé les obligations des systèmes à haut risque et ajouté deux interdictions.
En vigueur
Publication de l’AI Act (règlement 2024/1689) au Journal officiel.
Entrée en vigueur de l’AI Act (aucune obligation encore applicable).
S’applique
Application des chapitres I et II : interdictions de l’art. 5 et obligation de culture de l’IA (art. 4). Lignes directrices de la Commission sur les pratiques interdites publiées le 4 février 2025.
S’applique
Publication du code de bonnes pratiques pour l’IA à usage général (volontaire).
Application des règles sur les modèles d’IA à usage général (chapitre V), de la gouvernance (chapitre VII), des sanctions (chapitre XII, sauf amendes de l’art. 101), des organismes notifiés et de la confidentialité. Date limite pour que les États désignent et rendent publiques leurs autorités (art. 70(2)).
Proposition
La Commission propose l’« Omnibus numérique sur l’IA » (COM(2025) 836) : lier l’entrée en application des règles haut risque à la disponibilité des normes, avec un délai maximal de 16 mois.
Proposition
Orientation générale du Conseil sur l’Omnibus IA ; position du Parlement adoptée en plénière fin mars 2026.
Entrée en vigueur de l’Omnibus (3e jour après publication). Les articles 102 à 110 (modifications d’autres textes) s’appliquent dès cette date.
S’applique
Date générale d’application de l’AI Act : notamment obligations de transparence (art. 50), pouvoirs de contrôle, amendes de la Commission contre les fournisseurs de modèles (art. 101). Les règles haut risque (chapitre III, sections 1 à 3) sont, elles, reportées.
À venir
Nouvelles interdictions (contenus intimes non consentis, pédocriminalité) applicables. Date limite de marquage (art. 50(2)) pour les systèmes génératifs mis sur le marché avant le 2 août 2026.
À venir
Les modèles d’IA à usage général mis sur le marché avant le 2 août 2025 doivent être conformes. Échéance (repoussée d’un an) pour qu’au moins un bac à sable réglementaire national soit opérationnel dans chaque État.
À venir
Application des règles haut risque pour les systèmes de l’annexe III (biométrie, éducation, emploi, crédit, police, migration, justice...). Initialement prévu au 2 août 2026.
À venir
Application des règles haut risque pour les systèmes intégrés à des produits de l’annexe I (jouets, ascenseurs, dispositifs médicaux...). Initialement prévu au 2 août 2027.
À venir
Mise en conformité des systèmes d’IA intégrés aux grands systèmes d’information de l’UE (annexe X, ex. Schengen, Eurodac).
Qui fait quoi
Bureau de l’IA
Créé par décision de la Commission du 24 janvier 2024 (C/2024/1459, JO C du 14.2.2024), en vigueur le 21 février 2024, avant même l’adoption du règlement. Il est rattaché à la DG CONNECT (Réseaux de communication, contenu et technologies). Selon la Commission, il compte six unités (excellence en IA et robotique ; réglementation et conformité ; sûreté de l’IA ; innovation et coordination ; IA pour le bien commun ; IA en santé et sciences du vivant), un conseiller scientifique principal, un conseiller aux affaires internationales, et plus de 125 agents. Il fait appliquer les règles sur les modèles d’IA à usage général et dispose de pouvoirs accrus depuis le règlement 2026/1744.
Comité européen de l’intelligence artificielle : un représentant par État membre, présidé par un État membre, secrétariat assuré par le Bureau de l’IA ; le CEPD et les pays AELE-EEE sont observateurs. Première réunion le 10 septembre 2024. Il coordonne les autorités nationales et conseille sur la mise en œuvre ; sous-groupes notamment sur l’articulation avec les règles sur les dispositifs médicaux et sur les normes.
Groupe scientifique
Groupe scientifique d’experts indépendants (art. 68), institué par le règlement d’exécution (UE) 2025/454 de la Commission du 7 mars 2025 (60 experts maximum, mandats de deux ans). La Commission a annoncé la nomination de 60 experts dans une actualité datée du 1er juin 2026. Le groupe peut lancer des « alertes qualifiées » sur les modèles à risque systémique. Une réunion spéciale sur la sûreté de l’IA de pointe a été annoncée le 5 octobre 2026.
Forum consultatif (art. 67) : parties prenantes de l’industrie, des start-up, des PME, du monde académique et de la société civile ; l’Agence des droits fondamentaux, l’ENISA et les organismes européens de normalisation y siègent en permanence. Nommé en même temps que le groupe scientifique. Nombre de membres non indiqué.
Autorités nationales
Chaque État doit désigner au moins une autorité de surveillance du marché et une autorité de notification, et publier leurs coordonnées au plus tard le 2 août 2025 (art. 70). Selon la liste de la Commission mise à jour le 7 septembre 2026 : 9 États ont un point de contact unique désigné (Danemark, Finlande, Grèce, Irlande, Italie, Lettonie, Lituanie, Malte, Pologne), 12 ont une désignation en attente d’adoption nationale définitive (Allemagne [Bundesnetzagentur], Chypre, Espagne [AESIA], Estonie, France [DGCCRF], Luxembourg, Pays-Bas, Portugal, Roumanie, Slovénie, Suède, Tchéquie) et 6 n’apparaissent pas (Autriche, Belgique, Bulgarie, Croatie, Hongrie, Slovaquie).
Bacs à sable réglementaires
Chaque État doit disposer d’au moins un bac à sable réglementaire de l’IA (environnement d’essai supervisé). Échéance initiale : 2 août 2026 (art. 57(1)) ; repoussée au 2 août 2027 par le règlement 2026/1744, qui permet aussi au Bureau de l’IA d’en gérer un au niveau européen et au CEPD d’en ouvrir un pour les institutions de l’UE.
Le code de bonnes pratiques pour l’IA à usage général
Publié le 10 juillet 2025, volontaire. Volontaire. La signature offre une voie reconnue pour démontrer la conformité aux art. 53 et 55 ; les non-signataires doivent la prouver par d’autres moyens adéquats.
A refusé de signer : Meta (18 juillet 2025) : Estime que le code crée de l’insécurité juridique et va au-delà du champ de l’AI Act ; parle d’excès de réglementation.
Les montants annoncés ne sont pas des dépenses : chaque ligne indique s’il s’agit d’un objectif, d’un financement engagé ou d’une proposition.
InvestAIAnnoncé (objectif)
Objectif : mobiliser 200 Md€, dont 50 Md€ annoncés par l’UE et 150 Md€ promis par des entreprises privées ; inclut un fonds de 20 Md€ pour les gigafactories d’IA.
11 février 2025
Usines d’IA (EuroHPC)Engagé
19 usines d’IA et 13 antennes sélectionnées ; environ 10 Md€ de soutien, cofinancé par l’UE et les États.
Appel d’offres ouvert le 30 juillet 2026 : jusqu’à 7 sites, jusqu’à 10 Md€ de fonds publics européens et nationaux, au moins 20 Md€ privés attendus ; clôture le 12 novembre 2026, attribution prévue début 2027. Aucun site retenu à ce jour.
30 juillet 2026
Stratégie « Apply AI »Engagé
Environ 1 Md€ mobilisé pour l’usage de l’IA dans l’industrie et les services publics.
En 2025, Eurostat a ajouté une technologie à la liste (IA générant images, vidéos ou sons) : une partie de la hausse par rapport à 2024 tient à cet élargissement. Trait vertical : moyenne de l’UE. Eurostat isoc_eb_ai
Personnes ayant utilisé un outil d’IA générative au cours des 3 derniers mois, 2025
16-74 ans. UE : 32,7 % · 16-24 ans 63,8 % · 55-74 ans 12,0 %
Danemark48,4 %
Estonie46,6 %
Malte46,5 %
Finlande46,3 %
Irlande44,9 %
Pays-Bas44,7 %
Chypre44,2 %
Grèce44,1 %
Luxembourg42,5 %
Belgique42,0 %
Suède42,0 %
Autriche39,4 %
Portugal38,7 %
Espagne37,9 %
Slovénie37,6 %
France37,5 %
Lituanie36,9 %
Tchéquie35,4 %
Lettonie33,4 %
Allemagne32,3 %
Slovaquie30,8 %
Hongrie29,6 %
Croatie27,5 %
Pologne22,7 %
Bulgarie22,5 %
Italie19,9 %
Roumanie17,8 %
Première mesure, pas encore de série. Trait vertical : moyenne de l’UE. Eurostat isoc_ai_iaiu
Le débat
Les principales positions publiques sur le règlement et sa simplification, résumées et attribuées à leurs auteurs. Elles ne sont pas des faits établis.
Entreprises
EU AI Champions Initiative (45 à 50 dirigeants d’entreprises européennes, dont Mistral, Airbus, ASML, Siemens Energy, Publicis)
Lettre ouverte demandant aux dirigeants européens un « arrêt de l’horloge » de deux ans sur l’AI Act, au nom de la compétitivité et de la sécurité juridique, et une simplification des règles sur les modèles à usage général et le haut risque. Le nombre exact de signataires varie selon les sources.
Mario Draghi (auteur du rapport de 2024 sur la compétitivité européenne)
Un an après son rapport, il juge que les premières règles sont entrées en vigueur sans heurts majeurs, mais que la phase haut risque devrait être suspendue tant que ses effets ne sont pas mieux compris ; il voit dans le texte une source d’incertitude.
EDRi (European Digital Rights, réseau d’associations de défense des droits numériques)
A qualifié l’Omnibus de « recul majeur » des protections numériques (19 nov. 2025). Après l’accord de mai 2026, estime qu’il retarde des protections clés, affaiblit la transparence et crée un précédent, et appelle Parlement et Conseil à le rejeter (11 juin 2026). Co-initiateur d’une lettre ouverte de 41 organisations et experts (15 avril 2026).
19 novembre 2025, 15 avril 2026, 11 juin 2026 · edri.org
Consommateurs
BEUC (Bureau européen des unions de consommateurs)
Note pour le trilogue : garder un AI Act horizontal ; s’opposer au report général et aux périodes de grâce ; reports inconditionnels et non renouvelables, transparence applicable dès novembre 2026 ; rétablir l’enregistrement public des systèmes auto-exemptés ; refuser l’extension des avantages PME aux ETI ; maintenir l’obligation de culture de l’IA ; soutenir l’interdiction du « dénudage » en évaluant ses effets sur les modèles open source.
Danemark
Finlande
Suède
Belgique
Luxembourg
Pays-Bas
Autriche
Estonie
Slovénie
Malte
Lituanie
Irlande
Slovaquie
Tchéquie
Croatie
Lettonie
Portugal
Hongrie
Chypre
Grèce
Bulgarie
Roumanie