Les AI Act obligations sont devenues un sujet incontournable pour les entreprises qui développent, commercialisent ou utilisent des systèmes d’intelligence artificielle dans l’Union européenne. Le règlement européen sur l’intelligence artificielle, officiellement appelé AI Act (règlement (UE) 2024/1689), établit un cadre fondé sur les risques (des règles de classification graduées) et répartit les responsabilités entre les différents acteurs de la chaîne de valeur de l’IA.
Mais qui est réellement concerné par les AI Act obligations ? Et quelles sont les obligations d’un fournisseur, d’un déployeur, d’un importateur ou encore d’un distributeur ?
AI Act obligations : quels acteurs sont concernés ?
L’AI Act ne s’adresse pas uniquement aux entreprises qui développent des modèles d’intelligence artificielle.
Le règlement concerne notamment :
- les fournisseurs de systèmes d’IA ;
- les déployeurs, c’est-à-dire les entreprises qui utilisent des systèmes d’IA dans le cadre de leurs activités ;
- les importateurs de systèmes d’IA ;
- les distributeurs ;
- les fabricants de produits intégrant un système d’IA ;
- les représentants autorisés de certains fournisseurs établis hors de l’Union européenne.
Le règlement définit d’ailleurs le déployeur comme toute personne physique ou morale, autorité publique, agence ou autre organisme utilisant un système d’IA sous sa propre autorité. Il peut également s’appliquer à certains acteurs établis en dehors de l’Union européenne lorsque les résultats produits par leurs systèmes d’IA sont utilisés dans l’Union.
Il est donc essentiel pour une organisation de déterminer son rôle au regard de l’AI Act avant d’identifier les obligations qui lui sont applicables.
1. Les obligations des fournisseurs de systèmes d’IA
Le fournisseur est l’acteur qui développe, ou fait développer, un système d’IA et le met sur le marché ou le met en service sous son propre nom ou sa propre marque.
Ses obligations dépendent principalement du niveau de risque associé au système.
Pour les systèmes d’IA à haut risque (high risk AI systems), les exigences sont particulièrement importantes.
Le fournisseur doit notamment mettre en place :
- un système de gestion des risques ;
- une gouvernance et une qualité appropriées des données ;
- une documentation technique ;
- une traçabilité du fonctionnement du système ;
- des mesures de transparence ;
- une surveillance humaine appropriée ;
- des exigences en matière d’exactitude, de robustesse et de cybersécurité ;
- une procédure d’évaluation de la conformité.
Avant de commercialiser ou de mettre en service un système d’IA à haut risque, le fournisseur doit vérifier qu’il respecte les exigences du règlement en réalisant une évaluation de conformité dans certains cas.
Une fois le système mis sur le marché, ses obligations ne s’arrêtent pas là. Le fournisseur doit continuer à surveiller son fonctionnement pendant toute sa durée de vie. Cette surveillance, appelée surveillance après commercialisation (post-market monitoring), permet notamment d’identifier d’éventuels risques, incidents ou problèmes de conformité.
Si un problème est détecté, le fournisseur doit alors prendre les mesures nécessaires pour le corriger et, lorsque cela est requis, en informer les autorités compétentes.
Une obligation importante : la documentation
La documentation constitue un élément central de l’AI Act. Elle permet notamment de démontrer aux autorités que le système respecte les exigences réglementaires applicables. Elle facilite également sa surveillance tout au long de son cycle de vie.
2. Les obligations des déployeurs
Le déployeur est l’entreprise ou l’organisation qui utilise un système d’IA sous son autorité dans le cadre d’une activité professionnelle.
Cette catégorie concerne donc un très grand nombre d’entreprises : ressources humaines, banques, assurances, industrie, marketing, service client, santé, recrutement ou encore secteur public.
Pour les systèmes d’IA à haut risque, les déployeurs doivent notamment :
- utiliser le système conformément aux instructions fournies ;
- mettre en place une surveillance humaine appropriée ;
- assurer la compétence et la formation des personnes chargées de cette surveillance ;
- surveiller le fonctionnement du système ;
- agir en cas de risques ou d’incidents graves ;
- conserver certains éléments et informations nécessaires à la conformité ;
- utiliser les données d’entrée pertinentes et représentatives lorsque cela relève de leur responsabilité.
Le règlement prévoit notamment que la surveillance humaine doit être confiée à des personnes disposant des compétences, de la formation et de l’autorité nécessaires. Certains déployeurs doivent en outre réaliser une analyse d’impact sur les droits fondamentaux (FRIA) avant la mise en service.
En pratique, l’AI Act impose donc aux entreprises utilisatrices de ne pas considérer l’IA comme une technologie autonome sans contrôle.
3. Les obligations des importateurs
Les importateurs jouent également un rôle dans la conformité des systèmes d’IA mis sur le marché européen.
Avant de mettre un système d’IA à haut risque à disposition sur le marché, l’importateur doit notamment vérifier que le fournisseur a réalisé les démarches de conformité nécessaires. Il doit également s’assurer que les informations réglementaires et l’identification du fournisseur sont correctement disponibles.
L’importateur doit par ailleurs coopérer avec les autorités compétentes lorsqu'une demande de contrôle ou d'information intervient.
Cette responsabilité est particulièrement importante pour les entreprises européennes qui commercialisent des solutions d’IA développées par des fournisseurs établis en dehors de l’Union européenne.
4. Les obligations des distributeurs
Le distributeur est un acteur de la chaîne d’approvisionnement qui met un système d’IA à disposition sur le marché européen sans être son fournisseur ou son importateur.
Ses responsabilités comprennent notamment la vérification de certains éléments de conformité avant la mise à disposition du système. Pour les systèmes à haut risque, le distributeur doit notamment vérifier que les éléments réglementaires requis sont présents et coopérer avec les autorités compétentes.
Il doit également prendre les mesures nécessaires lorsqu’il identifie une non-conformité ou lorsqu’un risque lié au système est porté à sa connaissance.
5. Les obligations liées à l’IA générative et aux modèles GPAI
L’AI Act prévoit également des obligations spécifiques pour les modèles d’IA à usage général, également appelés GPAI (general-purpose AI, GPAI models). Ces obligations applicables aux fournisseurs de ces modèles, s’appliquent depuis le 2 août 2025.
Les fournisseurs de modèles GPAI sont notamment soumis à des obligations concernant :
- la documentation technique ;
- la transmission d’informations aux fournisseurs situés en aval ;
- le respect du droit d’auteur ;
- la publication d’un résumé suffisamment détaillé des contenus utilisés pour l’entraînement du modèle.
Pour faciliter la mise en œuvre effective de ces règles, un code de bonne pratique dédié aux GPAI a été publié en juillet 2025, sous l’égide du Bureau de l’IA.
Des obligations supplémentaires s’appliquent aux modèles GPAI présentant un risque systémique, notamment en matière d’évaluation et d’atténuation des risques, de signalement des incidents et de cybersécurité. Cette partie de l’AI Act est particulièrement importante pour les fournisseurs de grands modèles d’IA générative.
6. Les obligations de transparence de l’AI Act
La transparence constitue un autre pilier des AI Act obligations. Depuis le 2 août 2026, certaines obligations de transparence prévues par l’article 50 s’appliquent notamment aux systèmes d’IA interactifs ou génératifs concernés.
Par exemple, lorsqu'une personne interagit directement avec un système d’IA, elle doit, dans les cas prévus par le règlement, être informée qu’elle interagit avec une IA. Les fournisseurs de systèmes d’IA générant des contenus de synthèse doivent également mettre en place des mécanismes permettant de détecter les contenus générés ou manipulés artificiellement.
De leur côté, certains déployeurs doivent informer les personnes lorsqu’elles sont exposées à des systèmes de reconnaissance des émotions ou de catégorisation biométrique. Des règles spécifiques concernent également les deepfakes et certains contenus générés ou manipulés artificiellement.
7. L’AI Act impose-t-il les mêmes obligations à toutes les entreprises ?
Non. C’est un point essentiel à comprendre.
L’AI Act repose sur une logique de classification par niveau de risque (classification rules). Les obligations varient donc selon :
- le type de système d’IA ;
- son niveau de risque (inacceptable, haut risque, risque limité, minimal) ;
- le rôle de l’entreprise dans la chaîne de valeur ;
- le contexte dans lequel le système est utilisé ;
- les caractéristiques du modèle ou du système concerné.
Une entreprise qui utilise un simple outil d’IA générative pour rédiger des textes n’a donc pas nécessairement les mêmes obligations qu’un fournisseur développant un système d’IA à haut risque utilisé dans le recrutement ou dans un domaine critique.
8. Comment se mettre en conformité avec l’AI Act ?
Pour une entreprise, la première étape consiste à réaliser une cartographie des usages de l’IA. Cette démarche peut être structurée en plusieurs étapes.
Étape 1 : identifier les systèmes d’IA utilisés. L’entreprise doit recenser les outils et systèmes d’IA utilisés par ses collaborateurs ou intégrés à ses produits et services. Un registre des systèmes d’IA est ici indispensable.
Étape 2 : identifier son rôle. Il faut ensuite déterminer si l’entreprise agit comme fournisseur, déployeur, importateur, distributeur, fabricant de produit ou autre acteur concerné par le règlement.
Étape 3 : classifier les risques. Chaque système doit être analysé afin de déterminer les règles de l’AI Act qui lui sont applicables. Le calendrier d’application de l’AI Act aide à prioriser selon les échéances.
Étape 4 : identifier les obligations. L’entreprise peut ensuite établir une matrice de conformité recensant, pour chaque système : les obligations applicables ; le responsable interne ; les documents nécessaires ; les mesures techniques à mettre en œuvre ; les mesures organisationnelles ; les contrôles à effectuer ; les échéances réglementaires.
Étape 5 : mettre en place une gouvernance IA. La conformité AI Act ne doit pas être limitée au service juridique. Elle nécessite généralement une collaboration entre les équipes juridique et conformité, informatique, cybersécurité, protection des données, ressources humaines, achats, métiers et direction. Une plateforme de gouvernance de l’IA permet de structurer cette démarche et de garantir une mise en œuvre effective de l’AI Act.
AI Act obligations : ce qu’il faut retenir
Les obligations concernent l’ensemble de la chaîne de valeur de l’intelligence artificielle. Les responsabilités ne sont pas les mêmes pour un fournisseur, un déployeur, un importateur ou un distributeur. Elles dépendent également du niveau de risque du système et de la nature du modèle utilisé. En cas de manquement, les sanctions de l’AI Act peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial.
Pour les entreprises, l’enjeu principal est donc de ne pas seulement se demander « utilisons-nous de l’IA ? », mais plutôt : « Quel est notre rôle dans la chaîne de valeur de l’IA, quels systèmes utilisons-nous et quelles obligations de l’AI Act s’appliquent à chacun d’eux ? »
Une démarche de conformité efficace repose ainsi sur trois piliers : cartographier les usages de l’IA, classifier les risques et mettre en place les contrôles et responsabilités adaptés au service d’un développement responsable (responsible development) de l’intelligence artificielle.
L’AI Act devient ainsi non seulement un sujet réglementaire, mais également un enjeu de gouvernance, de gestion des risques et de responsabilité des entreprises.