AI Act : « Dès lors qu’un système d’IA (…) concerne des utilisateurs sur le territoire de l’Union européenne, certaines obligations s’appliquent, quelle que soit la localisation du fournisseur »

Journal Spécial des Sociétés : L’AI Act introduit progressivement de nouvelles obligations pour les entreprises. Pouvez-vous revenir sur la genèse de ce règlement, expliquer ce qu’il implique concrètement et, plus particulièrement, quelles obligations de transparence s’imposent aujourd’hui lorsqu’un utilisateur échange avec une intelligence artificielle ?

Alexandra Jouclard : La genèse du texte remonte à 2021, lorsque la Commission européenne a présenté sa première proposition de règlement. Trois ans plus tard, le 1er août 2024, l’AI Act entrait en vigueur, présenté comme la première réglementation globale consacrée à l’intelligence artificielle. Son entrée en application a été progressive : dès février 2025, les premières dispositions sont devenues applicables, notamment celles interdisant les systèmes d’IA présentant des risques jugés inacceptables. En août 2025, de nouvelles règles sont entrées en vigueur concernant les modèles d’IA à usage général et la mise en place d’autorités compétentes dans chaque État membre.

Le règlement repose sur une approche par niveaux de risque. Au sommet, les risques inacceptables – manipulation comportementale, techniques subliminales, exploitation des vulnérabilités, notation sociale – sont purement et simplement interdits. Viennent ensuite les systèmes à haut risque, susceptibles de porter atteinte à la sécurité ou aux droits fondamentaux : systèmes biométriques, outils de recrutement, applications répressives. Enfin, les systèmes à risque limité, dont les chatbots, sont principalement soumis à des obligations de transparence.

C’est précisément sur ce dernier point que le 2 août 2026 a marqué un tournant. Depuis cette date, les entreprises qui utilisent des chatbots doivent clairement informer leurs utilisateurs qu’ils échangent avec une intelligence artificielle et non avec un interlocuteur humain. La même logique s’applique aux deepfakes : les contenus générés ou manipulés par une IA doivent être identifiables comme tels. Il faut toutefois distinguer cette obligation de transparence du marquage technique des contenus, dont l’application n’interviendra qu’au 2 décembre 2026, les modalités précises restant encore à clarifier.

C’est autour de l’échéance d’août 2026 qu’est également intervenu le Digital Omnibus, un train de mesures présenté par la Commission européenne en novembre 2025 pour simplifier et adapter le calendrier d’application du règlement, après que plusieurs entreprises ont fait valoir leurs difficultés à être pleinement opérationnelles à temps. Sans supprimer les obligations de l’AI Act, ce texte en a revu certaines échéances notamment pour les systèmes à haut risque.

JSS : Justement, les entreprises devront-elles utiliser les dispositifs de marquage proposés par l’Union européenne, ou pourront-elles mettre en place leur propre système ?

A.J. : C’est encore assez flou. Au niveau européen, l’AI Office joue un rôle central dans la mise en œuvre du règlement, mais en France, la répartition des compétences entre les différentes autorités est encore en cours de définition. Quatre instances sont notamment concernées : la DGCCRF, l’Arcom, la CNIL et l’ACPR. Un projet de loi doit encore préciser leur rôle respectif et organiser concrètement le contrôle de l’AI Act en France.

Il faut aussi rappeler que l’AI Act est un règlement européen et non une directive. Il est donc directement applicable dans tous les États membres, sans transposition préalable dans le droit national. C’est le même principe que pour le RGPD, le règlement général sur la protection des données qui encadre depuis 2018 la collecte et le traitement des données personnelles des citoyens européens, même si sa mise en œuvre nécessite ensuite une organisation nationale du contrôle. La France fait aujourd’hui partie des États les plus avancés sur ce sujet, aux côtés de l’Allemagne et de l’Espagne, et la CNIL devrait jouer un rôle important dans l’accompagnement des entreprises.

JSS : Quelles sont les principales difficultés auxquelles les entreprises françaises, notamment les petites structures, risquent d’être confrontées pour se mettre en conformité ?

A.J. : La première difficulté tient au manque de visibilité sur le mode opératoire à suivre. Une entreprise qui souhaite anticiper les prochaines échéances peut avoir toute la bonne volonté du monde mais ne pas savoir à qui s’adresser ni quelles démarches engager concrètement notamment pour les systèmes à haut risque dont certaines obligations ont été reportées à 2027. On retrouve une situation assez comparable à celle du RGPD à ses débuts, où la CNIL avait progressivement construit un cadre d’accompagnement autour de dispositifs concrets comme le délégué à la protection des données. Pour l’AI Act, ce cadre reste encore à bâtir.

La deuxième difficulté concerne les autorités de contrôle elles-mêmes. Contrôler l’intelligence artificielle suppose de pouvoir comprendre et évaluer des technologies extrêmement complexes, ce qui implique de se doter d’outils techniques adaptés. C’est d’ailleurs l’une des raisons pour lesquelles le Digital Omnibus ne doit pas être lu uniquement comme un cadeau fait aux entreprises : il doit aussi permettre aux autorités de se préparer sérieusement. Sur la question des PME, le Digital Omnibus introduit une graduation des sanctions tenant compte de la taille de l’entreprise. C’est une avancée importante, compte tenu de l’ampleur des amendes prévues.

JSS : D’ailleurs, quelles sanctions sont prévues et représentent-elles un véritable risque économique ?

A.J. : Les sanctions sont très significatives. Pour les pratiques d’IA interdites au titre de l’article 5 du règlement, le plafond est fixé à 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Pour les manquements aux obligations de transparence, les amendes peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Le Digital Omnibus introduit par ailleurs une sanction spécifique pour les deepfakes intimes non consentis et les contenus pédopornographiques générés par IA, applicable dès le 2 décembre 2026, au même niveau maximal de 35 millions d’euros ou 7 % du chiffre d’affaires.

Ces montants doivent toutefois être replacés dans leur contexte procédural. Une sanction ne devrait pas intervenir immédiatement après la constatation d’un manquement : une procédure contradictoire doit permettre à l’entreprise de présenter ses observations et, selon les situations, de disposer d’un délai pour se corriger. C’est d’ailleurs l’un des points qui a suscité des critiques : certains observateurs auraient préféré un mécanisme de sanction plus immédiat.

JSS : Comment le droit européen peut-il imposer ses règles à des acteurs établis hors de l’Union ? Et si une grande plateforme étrangère choisissait simplement de payer les amendes, plutôt que de se conformer ?

A.J. : Ce n’est pas une question nouvelle pour le droit européen. Le RGPD a déjà démontré que l’Union pouvait imposer ses obligations à des entreprises établies hors de son territoire, dès lors qu’elles traitent les données de personnes situées sur le marché européen. Des acteurs américains et chinois ont ainsi dû intégrer les exigences européennes dans leurs pratiques. L’AI Act s’inscrit dans cette même logique : dès lors qu’un système d’IA entre sur le marché européen ou concerne des utilisateurs sur le territoire de l’Union, certaines obligations s’appliquent, quelle que soit la localisation du fournisseur.

Sur la question du « payer pour ne pas se conformer », c’est en réalité un rapport de force capitalistique. Certaines entreprises pourraient effectivement tenter d’absorber les premières sanctions plutôt que d’engager des investissements de mise en conformité. Mais la répétition des condamnations finit généralement par peser. On l’a vu avec la CNIL et Google, avec la Commission et Meta. Ce qui m’importe davantage, c’est la capacité réelle des autorités à cartographier les systèmes d’IA en circulation : c’est là que réside le vrai défi technique du contrôle. La CNIL, qui était en retrait avant 2018 et s’est considérablement renforcée avec le RGPD, devrait monter en puissance rapidement sur ce sujet. À condition de disposer des outils nécessaires.

JSS : Comment le droit européen, notamment à travers l’AI Act, peut-il imposer ses règles à des acteurs établis hors de l’Union européenne ? Jusqu’où va cette portée extraterritoriale, par exemple lorsqu’un créateur américain publie depuis les États-Unis un contenu généré ou modifié par une intelligence artificielle mais accessible au public français ?

A.J. : C’est une question à laquelle le droit européen a déjà apporté des réponses avec le droit d’auteur et surtout avec le RGPD. La directive sur le droit d’auteur a notamment imposé aux plateformes de respecter les droits des ayants droit dès lors que des contenus protégés sont accessibles sur le marché européen. On l’a notamment vu avec les droits voisins des éditeurs de presse et les relations entre Google Actualités et les éditeurs européens : Google étant une entreprise américaine, la réglementation européenne a pourtant bien eu vocation à s’appliquer à son activité en Europe.

Le RGPD a ensuite consacré cette logique dans le domaine des données personnelles. Il permet notamment d’imposer des obligations à des entreprises établies hors de l’Union européenne dès lors qu’elles traitent les données de personnes situées dans l’Union. Des acteurs américains, chinois ou d’autres nationalités ont ainsi dû intégrer les exigences européennes dans leurs pratiques. L’AI Act s’inscrit dans cette même logique : dès lors qu’un système d’intelligence artificielle entre sur le marché européen ou que son utilisation concerne le territoire de l’Union, certaines obligations du règlement peuvent s’appliquer, y compris lorsque le fournisseur est établi à l’étranger.

C’est aussi ce qui explique l’importance des sanctions prévues par le règlement. L’objectif est de faire en sorte qu’un acteur étranger ne puisse pas simplement se soustraire aux règles européennes en raison de sa localisation. On devrait donc retrouver, pour les entreprises européennes qui utilisent des systèmes d’IA fournis par des acteurs étrangers, une logique assez proche de celle du RGPD : identifier les outils utilisés, connaître leur fournisseur, savoir quelles données sont traitées et documenter les usages qui en sont faits. Le Digital Omnibus prend d’ailleurs davantage en compte la situation des petites et moyennes entreprises, qui peuvent utiliser des outils développés par des sociétés étrangères sans disposer des mêmes moyens de mise en conformité que les grands groupes.

JSS : Anthropic a justement choisi de jouer la transparence, notamment en développant un filigrane pour identifier les textes générés par ses modèles. Est-ce un premier pas intéressant ?

A.J. : Oui, clairement. La démarche d’Anthropic va dans le sens de ce que l’Europe cherche à instaurer. Pouvoir distinguer un contenu généré par une IA d’un contenu produit par un humain est utile pour les consommateurs, qu’il s’agisse de musique, d’images, de contenus journalistiques ou de productions à usage professionnel. Il existe toutefois un paradoxe : Anthropic a récemment été condamné aux États-Unis à verser 1,5 milliard de dollars pour utilisation de livres protégés par le droit d’auteur, tout en développant parallèlement ces outils de traçabilité.

Cela illustre aussi une différence fondamentale entre les deux rives de l’Atlantique : aux États-Unis, il n’existe pas de réglementation globale de l’IA comparable à l’AI Act. Le cadre repose sur des règles sectorielles et l’intervention des tribunaux. L’approche européenne est inverse : poser en amont un cadre commun, avec des obligations claires, avant que les contentieux ne s’accumulent.

JSS : Quelles sont désormais les prochaines échéances pour les entreprises ?

A.J. : Le calendrier s’étale jusqu’en 2030. La première échéance est immédiate : depuis le 2 août 2026, les obligations de transparence prévues par l’article 50 avec l’identification des chatbots, le signalement des deepfakes qui sont applicables. Le 2 décembre 2026, l’obligation de marquage technique des contenus générés par IA entrera à son tour en vigueur. Le 2 décembre 2027, ce sera au tour des systèmes d’IA à haut risque dits autonomes, visés par l’annexe 3 du règlement celui des domaines particulièrement sensibles pour les entreprises : ressources humaines, tri des CV, évaluation des performances, accès au crédit, biométrie.

Le 2 août 2027 marquera également l’obligation de mise en place des bacs à sable réglementaires, ces environnements de test encadrés qui permettent aux entreprises d’expérimenter leurs systèmes sous supervision des autorités avant mise en conformité complète. Pour les systèmes d’IA à haut risque intégrés dans des produits réglementés – dispositifs médicaux, véhicules autonomes, équipements de sécurité -, l’échéance est fixée au 2 août 2028. Enfin, les systèmes utilisés par les autorités publiques bénéficient du calendrier le plus éloigné : 2030.

Un délai très long au regard de la vitesse à laquelle progresse la technologie. Je serais très surprise que les échéances soient une nouvelle fois repoussées, les enjeux sont désormais trop visibles pour que l’Europe se permette de reculer encore.