La loi sur l'intelligence artificielle est en vigueur : si votre application utilise l'IA, voici vos nouvelles obligations

2 août 2026 : la majeure partie de la loi européenne sur l’intelligence artificielle (EU AI Act) est entrée en vigueur. Si votre application ou votre plateforme web comporte un chatbot, génère des images ou du texte, propose des produits, réalise une analyse faciale, attribue des scores aux utilisateurs ou invoque un modèle d’IA en arrière‑plan — et que vous avez des utilisateurs dans l’Union européenne — les obligations légales qui n’existaient pas en juillet sont désormais effectives.

Cet article n’est pas un résumé de la loi. C’est un guide pratique rédigé par les ingénieurs qui développent ces fonctionnalités, destiné aux entrepreneurs, propriétaires de produits et entreprises qui intègrent l’IA dans leurs logiciels. Il explique ce qui vous bloque aujourd’hui, ce qui est reporté, à quoi ressemblent les sanctions et ce que vous devez réellement changer dans votre produit.

Cet article a un caractère informatif général, il ne constitue pas un conseil juridique. Consultez un avocat spécialisé dans la législation technologique de l’UE pour votre situation particulière.

Mon entreprise n’est pas basée dans l’UE, cela m’intéresse‑t‑il ?

Si vous avez des utilisateurs dans l’UE, la réponse est presque toujours oui. L’AI Act suit le modèle GDPR/KVKK : dès qu’un résultat d’un système d’IA est utilisé dans l’UE, la réglementation s’applique également aux entreprises situées hors de l’UE. Un développeur turc, américain ou du Golfe qui propose son service téléchargeable en Allemagne est concerné. Ce n’est pas le siège juridique qui compte, mais la localisation de vos utilisateurs.

« Système d’intelligence artificielle » : une notion plus large que vous ne le pensez

La loi considère comme système d’IA toute machine qui, à partir d’entrées, produit une sortie — prédiction, contenu, recommandation ou décision. Les cas d’usage couverts sont, en pratique :

• Chatbots et assistants IA (incluant ceux basés sur OpenAI, Anthropic, Google ou des modèles open‑source)
• Fonctionnalités de génération d’images, de vidéos, de sons ou de texte
• Moteurs de recommandation (« Vous pourriez aussi aimer »)
• Analyses faciales, cutanées, typologie corporelle
• Scoring de fraude, scoring de crédit, scoring de risque
• Filtrage de CV et classement de candidats
• Assistants vocaux et transcription
• Toute caractéristique déterminée par un modèle plutôt que par une règle écrite par vous

Si vous envoyez un prompt à une API LLM et affichez le résultat à l’utilisateur, vous exploitez un système d’IA.

Ce qui est en vigueur aujourd’hui (septembre 2026)

Depuis février 2025 : pratiques interdites et alphabétisation à l’IA

Certaines utilisations sont totalement prohibées et les sanctions maximales de la loi s’appliquent. Les points les plus pertinents pour les applications commerciales :

• Techniques manipulatrices ou trompeuses qui déforment le comportement de l’utilisateur à des fins néfastes
• Exploitation des vulnérabilités de groupes spécifiques (âge, handicap, situation économique)
• Scoring social des individus
• Reconnaissance d’émotions dans les lieux de travail et les écoles
• Extraction de race, opinion politique, religion ou orientation sexuelle à partir de données biométriques
• Collecte massive de visages sur internet ou via caméras sans ciblage précis pour créer une base de données de reconnaissance faciale

Par ailleurs, chaque entreprise qui fournit ou utilise un système d’IA doit veiller à ce que ses employés possèdent une alphabétisation suffisante à l’IA. Il s’agit d’une responsabilité de l’employeur, pas du produit.

Depuis août 2025 : règles pour les fournisseurs de modèles à usage général

Ces obligations concernent les acteurs qui entraînent les grands modèles (OpenAI, Google, Meta, Mistral, etc.), pas ceux qui développent des produits dérivés. Si vous fine‑tunez un modèle existant pour votre produit, vous n’êtes généralement pas considéré comme un fournisseur GPAI — mais cela peut changer si vous allez très loin dans le développement.

Depuis le 2 août 2026 : obligations de transparence (article 50) — le vrai défi pour les applications

Quatre règles concrètes, toutes impactant les produits du quotidien :

1. L’utilisateur doit être informé qu’il converse avec une IA.
Si votre application propose un chatbot, un assistant ou toute fonctionnalité interagissant directement avec des humains, il doit être clair que l’interlocuteur est une machine (sauf si le contexte le rend évident). Un bot de support qui se présente comme « Elif du service client » sans préciser qu’il s’agit d’une IA constitue une non‑conformité.

2. Le contenu généré par l’IA doit être marqué de façon lisible par la machine.
Lorsque votre produit crée des images, vidéos, sons ou textes, le résultat doit porter une indication technique (métadonnées, filigrane ou équivalent) signalant son caractère synthétique. Cette obligation incombe au fournisseur du système générateur. Si vous avez développé la fonctionnalité, c’est à vous de l’implémenter ; si vous appelez une API tierce, vérifiez quels marquages elle ajoute et assurez‑vous que votre pipeline les conserve (redimensionnement, recodage ou capture d’écran suppriment souvent ces marques).

3. Les analyses émotionnelles ou biométriques doivent être explicitées.
Si votre application déduit des émotions à partir de visages, de voix ou de données corporelles, ou classe les personnes en catégories, les personnes concernées doivent être informées. Les applications beauté, bien‑être, fitness, rencontres et retail basées sur l’analyse caméra doivent porter une attention particulière à cet article.

4. Les deepfakes et les textes d’intérêt public générés par l’IA doivent être étiquetés.
Les utilisateurs (déployeurs) qui publient du contenu IA ressemblant à des personnes réelles, à des lieux ou à des événements doivent le signaler comme tel. Les textes IA diffusés dans un but d’information publique, s’ils n’ont pas été revus par un humain et ne comportent pas de responsabilité éditoriale, doivent également être clairement identifiés.

Date limite pour les produits existants : les systèmes déjà sur le marché avant le 2 août 2026 disposent jusqu’au 2 décembre 2026 pour se conformer à la règle de marquage du contenu. Les nouveaux systèmes doivent être conformes dès leur lancement.

Ce qui est reporté — et pourquoi vous devez tout de même vous en préoccuper

La partie la plus lourde de la loi — les systèmes d’IA à haut risque, avec le régime complet (gestion des risques, gouvernance des données, documentation technique, supervision humaine, évaluation de conformité) — a été différée dans le cadre du paquet « digital omnibus » 2025‑2026. Les dates actuelles sont :

• 2 décembre 2027 : Pour les catégories à haut risque répertoriées à l’annexe III — recrutement et RH, notation de crédit, tarification d’assurance, notation d’éducation et d’examen, accès aux services de base, identification biométrique, forces de l’ordre, immigration
• 2 août 2028 : Pour l’IA intégrée aux produits déjà soumis à la législation européenne sur la sécurité des produits (dispositifs médicaux, véhicules, machines, jouets)

Si votre produit fait l’une de ces choses, le report n’est pas une grâce, c’est un répit. La documentation exigée par ces obligations — source des données d’entraînement, journalisation, tests de biais, conception d’intervention humaine — prend des mois à être ajoutée à un système existant. Les équipes qui commencent maintenant ne dépenseront qu’une infime partie de ce que celles qui débuteront à la mi‑2027 devront dépenser.

Sanctions

• Pour les pratiques interdites : 35 millions € ou jusqu’à 7 % du chiffre d’affaires annuel mondial
• Pour la plupart des autres obligations, y compris les règles de transparence : 15 millions € ou jusqu’à 3 %
• Pour fournir de fausses informations aux autorités : 7,5 millions € ou jusqu’à 1 %

Pour les PME et les start‑ups, le montant le plus bas des deux s’applique. L’application des sanctions se fait auprès des autorités nationales de chaque État membre ; pour les modèles GPAI, directement auprès du Bureau européen de l’IA.

Fournisseur ou utilisateur ? Pourquoi la distinction est importante

La loi impose des responsabilités différentes selon votre rôle :

• Fournisseur (provider) : Vous avez développé (ou fait développer) le système d’IA et l’avez commercialisé sous votre nom. La plupart des obligations vous incombent.
• Utilisateur (deployer) : Vous utilisez un système d’IA dans un contexte professionnel sous votre propre responsabilité.

Une entreprise qui intègre un chatbot à son application est généralement le fournisseur du système de chatbot, même si le modèle provient d’un tiers. Une société qui utilise un outil de présélection RH déjà prêt est l’utilisatrice de cet outil. De nombreuses entreprises jouent les deux rôles selon les fonctionnalités. Identifier votre rôle pour chaque fonctionnalité est la première étape de toute évaluation de conformité.

Checklist pratique pour les éditeurs d’applications et les plateformes

À faire ce mois‑ci

• Dressez l’inventaire de chaque fonctionnalité d’IA de votre produit. Incluez les API et SDK tiers — un modèle fourni par un tiers compte s’il prend des décisions dans votre application.
• Décidez pour chaque fonctionnalité : sommes‑nous fournisseur ou utilisateur ?
• Vérifiez que chaque fonctionnalité de conversation comporte une mention claire « vous parlez à une IA ».
• Comparez votre produit à chaque catégorie d’usage interdit. Portez une attention particulière aux mécanismes d’interaction avec les mineurs et à toute extraction d’émotions ou de données biométriques.
• Assurez‑vous que votre équipe a suivi une formation documentée à la littératie de l’IA. Un court atelier interne avec un registre de présence suffit pour commencer.

À faire avant le 2 décembre 2026

• Appliquez un marquage lisible par machine à chaque fonctionnalité qui génère des images, du son, de la vidéo ou du texte (métadonnées C2PA, filigranes du fournisseur ou équivalent) et vérifiez que le marquage persiste tout au long de la chaîne de stockage et de diffusion.
• Ajoutez des étiquettes visibles aux endroits où un contenu deepfake ou généré par IA doit être indiqué.
• Mettez à jour votre politique de confidentialité et vos conditions d’utilisation pour y inclure les fonctionnalités d’IA, leurs finalités et les mentions ci‑dessus.

À planifier pour 2027

• Si une fonctionnalité relève de l’annexe III (recrutement, crédit, éducation, assurance, services de base, biométrie), commencez dès maintenant la documentation à haut risque : sources de données, évaluation du modèle, journalisation, conception de la supervision humaine.
• Désignez en interne un responsable de la conformité IA. La première question des régulateurs sera « Qui est le responsable ? »

Comment cela change notre façon de développer des fonctionnalités IA

Chez UmaySoftware, les exigences du AI Act font désormais partie intégrante de la phase de conception de chaque projet contenant de l’IA, et non un contrôle à la fin. Concrètement :

• L’explication et le marquage sont conçus dans l’interface dès le premier wireframe, pas ajoutés a posteriori.
• Le contenu généré est marqué dès sa création et le marquage est testé tout au long du pipeline de livraison.
• Chaque fonctionnalité IA est livrée avec un enregistrement d’une page : ce que fait le modèle, quelles données il voit, qui est le fournisseur, quelles obligations légales s’appliquent, comment un humain peut intervenir.
• Si le scénario d’usage d’un client s’approche d’une catégorie à haut risque, nous le signalons dès la phase d’exploration, avant même d’établir le budget.

Si vous avez déjà des fonctionnalités IA en production et que vous n’êtes pas sûr de votre position, nous proposons une revue des fonctionnalités AI Act : nous inventoriions vos composants IA, les classifions par rôle et niveau de risque, et vous remettons une liste d’actions à faire « corriger avant décembre » et « planifier pour 2027 ». Il s’agit d’une analyse technique, pas d’un avis juridique — mais le document que votre avocat vous demandera sera exactement celui‑ci.

Demandez une revue →

FAQ

Mon application ne fait qu’appeler l’API OpenAI / Anthropic / Gemini. Qui est responsable, moi ou eux ?
Les deux, à des degrés différents. Le fournisseur du modèle assume les obligations liées au modèle générique. Vous êtes responsable du système d’IA que vous avez construit autour de l’API : règles de transparence, contrôles des usages interdits et obligations de haut risque applicables à votre scénario d’utilisation.

Le moteur de recommandation d’une boutique en ligne est‑il concerné par le AI Act ?
Un système d’IA est soumis aux règles générales (interdictions, littératie IA). Les recommandations de produits standards ne sont pas à haut risque et n’activent pas l’article 50, car aucun utilisateur n’interagit avec elles comme avec un chatbot. En revanche, des recommandations qui exploitent des vulnérabilités — par ex. cibler des mineurs avec des messages manipulatoires — entrent dans la catégorie interdite.

Dois‑je étiqueter chaque image générée par IA dans mon application ?
Le marquage lisible par machine est obligatoire pour le contenu produit par votre système — dès le premier jour pour les nouveaux produits, et à partir du 2 décembre 2026 pour les produits existants. L’étiquette visible est obligatoire dans certains cas pour les utilisateurs (déployeur) — deepfake de personnes réelles ou d’événements et textes d’intérêt public rédigés par IA. Pour un producteur d’avatars IA, le marquage des métadonnées est obligatoire ; l’étiquette visible constitue une bonne pratique.

Nous sommes une société turque sans bureau dans l’UE. Peuvent‑ils réellement nous sanctionner ?
Si votre sortie est utilisée dans l’UE, la loi s’applique à vous et les autorités des États membres peuvent agir contre les fournisseurs hors UE — y compris via les boutiques d’applications et les distributeurs basés dans l’UE. La question de savoir si une sanction atteindra une petite entreprise est davantage une question de risque que juridique — mais « ils ne nous trouveront pas » n’est pas une stratégie durable dans le RGPD.

Une application de beauté qui analyse la peau ou la forme du visage constitue‑t‑elle une « catégorisation biométrique » ?
Tout dépend de ce qui est extrait. Déterminer le teint pour recommander un fond de teint n’est généralement pas une catégorisation des groupes protégés. Extraire l’origine ethnique, l’état de santé ou une émotion du visage relève d’un autre sujet et peut être restreint ou interdit. C’est le design complet de la fonctionnalité qui détermine la portée juridique.

Et si je développe une fonctionnalité IA et ne la propose qu’en dehors de l’UE ?
Alors la loi ne s’applique pas à cette fonctionnalité — à condition que la restriction géographique soit réelle (accessibilité du magasin, contrôles de région du compte), et non simplement mentionnée dans une clause des conditions d’utilisation.