Le règlement européen sur l’IA et la régulation des technologies pour les entreprises en France

Les entreprises qui utilisent ou développent de l’IA en France doivent se conformer au règlement européen sur l’intelligence artificielle (règlement (UE) 2024/1689). Il classe les systèmes d’IA selon quatre niveaux de risque (inacceptable, élevé, limité, minimal), soumet les modèles d’IA à usage général à un régime propre, et se superpose au RGPD et aux règles françaises du numérique.

Les entreprises qui déploient de l’IA, et pas seulement celles qui la développent, sont soumises à des obligations. Ce guide explique le cadre fondé sur les risques, son calendrier d’application — remanié à l’été 2026 par le règlement « Digital Omnibus » — et ses conséquences concrètes pour les entreprises opérant en France. Il est à jour au 2 novembre 2026.

Les niveaux de risque du règlement sur l’IA en un coup d’œil

Hors pyramide : l’IA à usage général. Les modèles d’IA à usage général (GPAI), tels que GPT, Claude, Gemini ou Mistral, ne constituent pas un cinquième niveau de risque. Ils relèvent d’un régime transversal (chapitre V du règlement) qui s’applique au modèle lui-même, quel que soit l’usage qui en est fait. Un même modèle peut ainsi alimenter des systèmes de n’importe quel niveau de risque.

À qui s’applique le règlement sur l’IA ?

Le règlement s’applique aux fournisseurs qui développent des systèmes d’IA et aux déployeurs qui les utilisent dans un cadre professionnel. Il vise aussi les fournisseurs et déployeurs établis hors de l’Union européenne lorsque les résultats produits par le système sont utilisés dans l’Union.

Une entreprise française qui utilise un outil d’IA tiers est donc un déployeur assujetti, et pas seulement le développeur de l’outil. Les rôles et responsabilités doivent être cartographiés tout au long de la chaîne d’approvisionnement.

Comment fonctionne l’approche fondée sur les risques ?

Le règlement classe les systèmes d’IA selon le risque qu’ils présentent.

• Risque inacceptable : des pratiques prohibées, telles que la notation sociale, certaines formes de manipulation ou d’exploitation des vulnérabilités, ou la reconnaissance des émotions sur le lieu de travail. L’Omnibus y ajoute, à compter du 2 décembre 2026, les systèmes générant des contenus intimes non consentis ou des contenus pédocriminels.
• Risque élevé : l’IA utilisée dans des domaines tels que le recrutement, le crédit, l’assurance vie et santé, la biométrie, l’éducation ou les infrastructures critiques, soumise à des contrôles stricts.
• Risque limité : des obligations de transparence, par exemple informer les utilisateurs qu’ils interagissent avec une IA ou signaler les contenus générés artificiellement.
• Risque minimal : la majorité des usages courants de l’IA, avec peu ou pas de réglementation supplémentaire.

Les modèles d’IA à usage général suivent leur propre régime, indépendant de ce classement.

Quelles obligations pour les systèmes à haut risque et l’IA à usage général ?

Fournisseurs de systèmes à haut risque. Ils doivent mettre en place une gestion des risques, une gouvernance des données, une documentation technique, un contrôle humain, des garanties d’exactitude et de robustesse, ainsi que des démarches d’enregistrement et d’évaluation de la conformité.

Fournisseurs de modèles d’IA à usage général. Ils sont soumis à des obligations de transparence et de documentation, dont la publication d’un résumé suffisamment détaillé des données d’entraînement. Les modèles présentant un risque systémique — présumé au-delà d’un seuil de puissance de calcul d’entraînement de 10²⁵ FLOP — sont soumis à des obligations renforcées d’évaluation, de cybersécurité et de gestion des risques.

Déployeurs de systèmes à haut risque. Ils doivent utiliser les systèmes conformément à leur notice, en confier le contrôle humain à des personnes formées, conserver les journaux générés et, pour les employeurs, informer les représentants du personnel et les salariés avant la mise en service (art. 26).

L’analyse d’impact sur les droits fondamentaux (FRIA)

L’article 27 impose à certains déployeurs de systèmes à haut risque de réaliser, avant la première utilisation, une analyse d’impact sur les droits fondamentaux (« FRIA », pour Fundamental Rights Impact Assessment). C’est l’obligation propre aux déployeurs la plus structurante du règlement.

Qui est concerné ?

• les organismes de droit public ;
• les entités privées qui fournissent des services publics ;
• les déployeurs de systèmes d’évaluation de la solvabilité ou de notation de crédit des personnes physiques (Annexe III, point 5 b) ;
• les déployeurs de systèmes d’évaluation des risques et de tarification en assurance vie et santé (Annexe III, point 5 c).

Banques, établissements de crédit et assureurs sont donc directement visés, même lorsqu’ils utilisent un outil développé par un tiers.

Que contient-elle ? Une description des processus dans lesquels le système est utilisé, sa durée et sa fréquence d’utilisation, les catégories de personnes concernées, les risques spécifiques de préjudice, les mesures de contrôle humain, et les mesures prévues si ces risques se réalisent, y compris la gouvernance interne et les voies de réclamation. Le déployeur notifie les résultats à l’autorité de surveillance du marché.

FRIA et AIPD. La FRIA se distingue de l’analyse d’impact relative à la protection des données (AIPD, art. 35 du RGPD) : l’AIPD porte sur les risques liés aux données personnelles, la FRIA sur l’ensemble des droits fondamentaux, dont la non-discrimination et l’accès aux services essentiels. Lorsqu’une AIPD couvre déjà certains éléments, la FRIA vient la compléter (art. 27, § 4).

Quand ? La FRIA suit le calendrier de l’Annexe III : elle s’applique à compter du 2 décembre 2027. La Commission doit mettre à disposition un modèle de questionnaire pour faciliter l’exercice (art. 27, § 5) ; sa date de publication n’est pas encore connue.

Le calendrier d’application

Le règlement est entré en vigueur le 1er août 2024, mais ses obligations s’appliquent selon un calendrier échelonné. Ce calendrier a été remanié par le règlement « Digital Omnibus » (UE) 2026/1744, entré en vigueur le 27 juillet 2026, qui a notamment reporté l’ensemble du volet haut risque.

À retenir : les entreprises gagnent du temps sur le haut risque, mais les interdictions, la culture IA, les obligations GPAI et la transparence sont déjà opposables. Depuis l’Omnibus, l’obligation de culture IA consiste à prendre des mesures pour en soutenir le développement, sans garantir un niveau déterminé pour chaque personne. Chaque obligation doit être rattachée à son échéance.

Quelles autorités de contrôle en France ?

La répartition des compétences entre autorités françaises n’est pas encore fixée par la loi. Le schéma annoncé par le Gouvernement le 9 septembre 2025 doit être consacré par le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (DDADUE). Adopté par le Sénat le 18 février 2026, ce texte est toujours en cours d’examen à l’Assemblée nationale à la date de cet article.

Les hypertrucages mobilisent ainsi trois autorités : la DGCCRF et l’Arcom pour l’obligation de signalement, la CNIL dès lors que des données personnelles sont en jeu.

Le règlement étant d’application directe, ses obligations s’imposent aux entreprises indépendamment de l’adoption du DDADUE. Le régime national de sanctions reste en revanche suspendu à ce texte.

Comment ce texte s’articule-t-il avec le RGPD et les règles françaises ?

• Le RGPD demeure applicable : toute donnée personnelle traitée par l’IA doit reposer sur une base légale et respecter les droits des personnes.
• Contrôle de la CNIL : le régulateur français examine attentivement les IA traitant des données personnelles, et l’AIPD reste exigée lorsque le traitement présente un risque élevé.
• Propriété intellectuelle et confidentialité : les données d’entraînement et les résultats produits soulèvent des questions de titularité.
• Règles sectorielles : la finance, la santé et d’autres secteurs ajoutent leurs propres exigences.

Fournisseur et déployeur au sens du règlement sur l’IA