Suis-je concerné par l'AI Act ? Le test en quatre questions

Dernière mise à jour : novembre 2026 · Temps de lecture : 6 minutes

---

En bref. Si votre organisation utilise un outil d'IA dans un cadre professionnel, même un assistant comme ChatGPT ou Copilot, vous êtes très probablement concerné par l'AI Act. La vraie question n'est pas de savoir si le règlement s'applique, mais quelles obligations il vous impose. Elles dépendent de quatre paramètres.

Le règlement (UE) 2024/1689 ne vise pas un secteur. Il vise des systèmes, des rôles et des usages. Une TPE, une collectivité ou une start-up peuvent donc y être soumises au même titre qu'un grand groupe.

Question 1. Utilisez-vous un système d'IA au sens du règlement ?

L'article 3 définit le système d'IA comme un système automatisé qui fonctionne avec un certain degré d'autonomie et qui déduit, à partir des données qu'il reçoit, comment produire des prédictions, des contenus, des recommandations ou des décisions. Le mot clé est l'inférence.

Généralement un système d'IA	Généralement hors définition
Assistant conversationnel (ChatGPT, Copilot, Mistral Le Chat)	Formule de tableur ou macro
Chatbot de service client basé sur un LLM	Moteur de règles métier figées écrites par un humain
Tri automatique de CV ou d'e-mails	Statistiques descriptives et tableaux de bord classiques
Extraction de données par OCR couplé à un LLM	Simple recherche par mots clés
Outil de scoring ou de détection de fraude par apprentissage	Calcul déterministe selon un barème fixe

Les lignes directrices de la Commission sur la définition, publiées en février 2025, confirment que les systèmes fondés uniquement sur des règles définies par l'humain restent en dehors. Dans le doute, partez du principe que l'outil est un système d'IA.

Question 2. Quel est votre rôle ?

L'AI Act répartit les obligations entre plusieurs opérateurs. Une même organisation peut cumuler plusieurs rôles selon les outils.

• Fournisseur. Vous développez un système d'IA, ou le faites développer, et le mettez sur le marché ou en service sous votre nom. C'est le rôle le plus chargé.
• Déployeur. Vous utilisez un système d'IA sous votre autorité dans un cadre professionnel. C'est le cas de la grande majorité des entreprises et des administrations.
• Importateur et distributeur. Vous mettez sur le marché européen un système conçu hors UE, ou vous le revendez.

Attention au basculement de rôle prévu par l'article 25. Un déployeur devient fournisseur d'un système à haut risque s'il y appose son nom, s'il le modifie substantiellement ou s'il change sa finalité de sorte qu'il devienne à haut risque. Une entreprise qui construit son propre chatbot sur l'API d'un modèle et le met en ligne sous sa marque est, elle, fournisseur de ce chatbot.

Question 3. Êtes-vous dans le champ territorial ?

L'AI Act s'applique aux fournisseurs qui mettent un système sur le marché de l'UE, où qu'ils soient établis, et aux déployeurs établis ou situés dans l'UE. Il vise aussi les acteurs hors UE lorsque les résultats produits par le système sont utilisés dans l'Union.

Quelques usages sortent du champ.

• L'usage purement personnel et non professionnel par une personne physique.
• Les usages militaires, de défense et de sécurité nationale.
• La recherche scientifique menée dans ce seul but, et les phases de recherche et de test avant mise sur le marché, hors tests en conditions réelles.
• Les systèmes publiés sous licence libre, sauf s'ils sont interdits, à haut risque ou soumis aux obligations de transparence.

Question 4. Quel est le niveau de risque de votre usage ?

Le niveau de risque dépend de l'usage, pas de la technologie. Le même modèle peut servir à rédiger un e-mail ou à trier des candidats.

Niveau	Exemples	Ce que cela implique
Interdit (article 5)	Notation sociale, reconnaissance des émotions au travail, manipulation exploitant des vulnérabilités	Interdiction depuis le 2 février 2025
Haut risque (annexes I et III)	Recrutement, évaluation des salariés, crédit, éducation, accès aux prestations publiques	Obligations renforcées au 2 décembre 2027 ou au 2 août 2028
Transparence (article 50)	Chatbot, deepfake, texte généré publié pour informer le public	Information des personnes depuis le 2 août 2026
Risque minimal	Aide à la rédaction interne, traduction, filtre anti spam	Pas d'obligation spécifique au système

Un usage listé à l'annexe III peut échapper au haut risque s'il ne présente pas de risque important et se limite par exemple à une tâche procédurale étroite, à l'amélioration d'un travail humain déjà réalisé ou à une tâche préparatoire, selon l'article 6, paragraphe 3. Cette exception doit être documentée et ne s'applique jamais au profilage de personnes.

Ce qui s'applique à tout le monde

Quel que soit le niveau de risque, deux obligations concernent déjà tous les fournisseurs et déployeurs.

• Ne pas recourir aux pratiques interdites de l'article 5.
• Soutenir la littératie IA de vos équipes (article 4). Depuis le Digital Omnibus, il s'agit d'une obligation de moyens. Vous devez prendre des mesures de formation adaptées aux outils et aux usages, et pouvoir les démontrer.

Trois profils types

Profil	Rôle	Obligations principales aujourd'hui
Cabinet de 12 personnes qui utilise ChatGPT pour rédiger	Déployeur, risque minimal	Littératie IA, absence de pratiques interdites
E-commerce qui a intégré son propre chatbot sur une API de LLM	Fournisseur et déployeur du chatbot	Informer les visiteurs qu'ils parlent à une IA, plus les obligations communes
Collectivité qui teste un outil d'aide à l'instruction des aides sociales	Déployeur, probable haut risque	Obligations communes aujourd'hui, FRIA et contrôle humain avant décembre 2027

Que risquez-vous ?

Les amendes atteignent 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et 15 millions d'euros ou 3 % pour la plupart des autres manquements. Pour les PME, et depuis le Digital Omnibus pour les petites entreprises à moyenne capitalisation, c'est le montant le plus bas des deux qui sert de plafond. Le risque réel tient aussi aux contrats, à la réputation et aux appels d'offres, où la conformité est de plus en plus demandée.

FAQ

Une TPE est-elle concernée par l'AI Act ?

Oui dès qu'elle utilise un système d'IA dans son activité. Il n'existe pas de seuil de taille. Les PME bénéficient seulement d'allègements de forme et de sanctions plafonnées plus bas.

Un salarié qui utilise ChatGPT gratuitement fait-il de l'entreprise un déployeur ?

Si l'usage a lieu pour le compte de l'entreprise et sous son autorité, l'entreprise est déployeur. Un usage non autorisé pose une question plus délicate, mais il expose quand même l'organisation sur le plan du RGPD et de la confidentialité.

Mon entreprise est établie hors de l'UE, suis-je concerné ?

Oui si vous mettez un système sur le marché européen ou si ses résultats sont utilisés dans l'UE.

Le RGPD suffit-il ?

Non. Le RGPD protège les données personnelles. L'AI Act encadre les systèmes eux-mêmes, même quand ils ne traitent aucune donnée personnelle. Les deux textes s'appliquent ensemble.

À lire aussi

• Digital Omnibus IA, ce que l'été 2026 a vraiment changé dans l'AI Act
• IA agentique ou IA générative classique, ce qui change pour votre conformité
• OCR, LLM et AI Act, dois-je informer mon client ?

Et maintenant ?

L'audit gratuit DILAIG reprend ces quatre questions avec un moteur déterministe, sans IA générative. Il vous donne votre rôle, le niveau de risque et vos obligations article par article. Pour un premier tri en deux minutes et sans compte, testez aussi nos outils gratuits Mon IA est-elle interdite ? et Suis-je fournisseur de modèle d'IA à usage général ?

Combien d'outils d'IA votre organisation utilise-t-elle réellement aujourd'hui, selon vous ?

Sources

• Règlement (UE) 2024/1689 sur EUR-Lex
• Règlement (UE) 2026/1744 sur EUR-Lex
• AI Act Service Desk de la Commission européenne