← Journal

5 août 2026 · 9 min de lecture · Réglementation

L'AI Act expliqué simplement

L'algorithme qui vous propose une playlist le dimanche matin et celui qui décide si votre dossier de prêt passe ou non ne posent pas le même problème. Le premier, dans le pire des cas, vous fait écouter une chanson que vous n'aimez pas. Le second peut avoir un impact très significatif sur votre vie future.

C'est pour protéger la population de ce type d'impact néfaste que l'Europe s'est dotée de sa propre législation : l'AI Act, premier grand règlement au monde sur l'intelligence artificielle. Le texte fait des centaines de pages et se lit à peu près comme un mode d'emploi de chaudière. Voici ce qu'il dit réellement.

Le principe de départ : toutes les IA ne se valent pas

Le réflexe naturel, face à une technologie nouvelle, c'est de tout réglementer d'un bloc. L'Europe a fait l'inverse, et c'est ce qui rend ce texte intéressant.

Plutôt que de juger la technologie, le règlement regarde ce qu'elle peut abîmer. Il classe donc les usages selon leurs conséquences possibles sur vous, et fait varier les exigences en conséquence. Quatre niveaux, du plus verrouillé au plus libre.

Niveau 1 : ce qui est purement et simplement interdit

Il existe une courte liste d'usages que l'Europe a décidé de ne pas discuter. Pas « à encadrer », pas « sous conditions » : interdits.

Vous noter comme on note un fournisseur. Un système qui vous attribue un score global à partir de votre comportement — vos retards de paiement, vos fréquentations, vos publications — et qui conditionne ensuite votre accès à un logement ou à un service. On voit très bien à quoi sert ce genre d'outil, et ce n'est pas au bien commun.

Vous prendre là où vous êtes fragile. Une IA qui repère les personnes âgées isolées, ou les joueurs en difficulté financière, pour ajuster son discours au moment exact où ils craqueront. C'est de la manipulation industrialisée, et elle est hors la loi.

Lire vos émotions au bureau ou en formation. Le logiciel qui analyse les visages pendant une réunion d'équipe pour produire un « indice d'engagement » à destination de votre manager : terminé. Idem pour les caméras qui scrutent l'attention des stagiaires. Sauf raison médicale ou de sécurité, c'est non.

Constituer un fichier de visages en aspirant Internet. Ratisser les réseaux sociaux et les caméras de rue pour bâtir une base de reconnaissance faciale géante : interdit, même — et surtout — quand les photos étaient publiques. Le fait que vous ayez mis une photo en ligne ne signifie pas que vous avez accepté d'entrer dans un fichier.

Deviner ce qui ne se demande pas. Déduire de votre visage ou de votre démarche votre orientation sexuelle, vos convictions religieuses ou vos opinions politiques.

La police garde des exceptions, mais elles sont étroites et gardées : recherche d'une personne disparue, menace terroriste imminente, suspect d'un crime grave. Avec l'autorisation d'un juge avant d'appuyer sur le bouton, pas après.

Niveau 2 : le haut risque, autorisé mais sous dossier

Imaginez que vous envoyiez votre CV pour un poste qui vous correspond parfaitement. Vous ne recevrez jamais de réponse. Un logiciel vous a écarté en quatre centièmes de seconde, parce qu'un trou de dix-huit mois dans votre parcours ressemblait statistiquement à celui de salariés partis avant la fin de leur période d'essai. C'était votre congé parental.

Personne n'a pris cette décision. Personne ne peut vous l'expliquer. Personne ne l'a même vue passer.

C'est exactement ce niveau que le règlement cherche à reprendre en main. On n'y parle plus d'interdire, mais de prouver.

Vous y trouverez tous les systèmes qui interviennent aux moments où une vie bascule : le tri de votre candidature et l'évaluation de vos performances, l'accord ou le refus de votre crédit, le tarif de votre assurance santé, l'attribution d'une aide sociale, l'admission de votre enfant dans un établissement, l'aide au diagnostic de votre médecin, le pilotage du réseau électrique, la justice, les frontières.

Le point commun n'est pas la sophistication technique. C'est qu'en cas d'erreur, vous perdez un emploi, un logement, une place ou votre santé — et que vous ne saurez généralement jamais pourquoi.

Ce que le règlement exige alors ressemble beaucoup à ce qu'on demande depuis toujours à un ascenseur ou à un dispositif médical.

Savoir avec quoi la machine a appris. Un modèle entraîné sur quinze ans de recrutements dans une entreprise qui n'embauchait que des hommes reproduira fidèlement cette habitude, avec l'autorité tranquille des mathématiques. Les données d'entraînement doivent donc être vérifiées, représentatives, et purgées de leurs biais autant que faire se peut.

Pouvoir expliquer. Une documentation technique doit exister avant la mise en service, et non être rédigée dans l'urgence six mois plus tard, quand l'inspection du travail sonne à la porte.

Garder les traces. Le système enregistre automatiquement ce qu'il fait. C'est la boîte noire de l'avion : sans elle, après l'accident, on ne peut que spéculer.

Vous laisser un humain à qui parler. C'est le cœur du texte. Il ne suffit pas qu'un salarié valide les décisions en cliquant machinalement sur « OK » toute la journée. Le système doit être conçu pour qu'une personne comprenne ce qui est proposé, dispose du temps et des informations pour en juger, et puisse trancher dans l'autre sens sans avoir à se justifier auprès de la machine. C'est ce qui, dans l'histoire du CV, aurait tout changé.

Une nuance qui vaut de l'or en pratique : un outil qui se contente d'une tâche étroite et préparatoire, sans se substituer au jugement humain, peut sortir de cette catégorie. Un correcteur qui reformule une offre d'emploi n'est pas un système de recrutement. Mais l'exemption ne tombe pas du ciel : encore faut-il avoir fait l'analyse, et l'avoir écrite.

Niveau 3 : dire ce que l'on est

Une seule idée, et elle tient en une phrase : une machine n'a pas le droit de se faire passer pour un humain, et un contenu fabriqué n'a pas le droit de se faire passer pour un contenu authentique.

Le robot du service client doit vous annoncer qu'il est un robot dès le premier message, et non vous laisser vous énerver pendant dix minutes contre ce que vous croyez être un conseiller. Les images, vidéos et voix générées portent un marquage détectable. Les deepfakes s'affichent comme tels.

Rien d'insurmontable, sauf que ces règles s'appliquent depuis le 2 août 2026 et qu'elles touchent bien plus d'organisations que les précédentes. Si votre entreprise a branché un chatbot sur son site ou publie des visuels générés, elle est concernée. C'est le niveau où le réveil sera le plus brutal.

Niveau 4 : tout le reste, et c'est l'immense majorité

Filtres anti-spam, recommandations, correcteurs orthographiques, adversaires dans les jeux vidéo, optimisation de tournées de livraison. Aucune obligation particulière.

Ce point se perd systématiquement dans les commentaires catastrophistes sur le règlement : la quasi-totalité des IA que vous croisez chaque jour n'est pas concernée. Le texte vise quelques usages précis, pas la technologie en bloc.

Qui doit rendre des comptes

Deux rôles, et les confondre est l'erreur la plus courante.

Le fournisseur construit le système et le met sur le marché. Il porte l'essentiel du fardeau.

Le déployeur, c'est celui qui s'en sert : le service RH qui installe l'outil de présélection, la clinique qui adopte le logiciel de diagnostic. Ses obligations sont plus légères, mais bien réelles — respecter la notice, assurer la supervision humaine promise, informer les personnes concernées, conserver les journaux.

Le piège est là, et il vous concerne si vous travaillez côté entreprise : en modifiant substantiellement un outil, ou en le revendant sous votre propre marque, vous devenez fournisseur. Vous héritez alors du dossier complet, avec le sourire crispé qui accompagne généralement cette découverte.

Et il ne sert à rien d'être installé ailleurs : le règlement s'applique dès que le système est proposé en Europe ou que ses résultats y sont utilisés. Un siège social à Wilmington ne protège de rien.

Une idée reçue : « de toute façon, mon IA ne sort pas de mes murs »

C'est l'objection la plus fréquente en entreprise, et elle ne tient pas.

Le règlement se déclenche sur la mise sur le marché ou la mise en service d'un système dans l'Union. Installer un outil sur vos propres serveurs, sans la moindre connexion sortante, c'est précisément le mettre en service. Aucun article du texte ne parle de cloud, d'hébergement ou de connectivité : ce qui compte, c'est l'usage qui est fait du système, pas l'endroit où tournent les calculs. Un modèle installé en local pour trier des candidatures reste un système de recrutement, avec exactement les mêmes obligations que son équivalent en ligne.

Cela dit, le déploiement local change autre chose, et ce n'est pas rien. Il simplifie considérablement le volet données personnelles : pas de transfert hors d'Europe, pas de sous-traitant à encadrer, aucun doute sur la réutilisation de vos données par un éditeur tiers. Il facilite aussi la traçabilité et la documentation technique, puisque tout se passe sur un périmètre que vous maîtrisez, sans dépendre des réponses d'un fournisseur lointain.

Il rend donc la conformité nettement plus simple à atteindre. Il ne l'efface pas.

Les grands modèles, cette catégorie à part

Les modèles qui font tourner les assistants conversationnels que vous utilisez ne servent pas à une tâche : ils servent à mille, et ce sont d'autres entreprises qui décideront lesquelles. Un peu comme un moteur, qu'on conçoit sans savoir s'il finira dans un utilitaire ou dans un bateau.

Leurs fournisseurs doivent donc documenter honnêtement ce que le modèle sait faire, ce qu'il fait mal, avec quoi il a été entraîné, et adopter une politique de respect du droit d'auteur. L'objectif : que celui qui l'intègre ensuite dans le produit que vous aurez entre les mains sache exactement ce qu'il manipule.

Pour la poignée de modèles les plus puissants de la planète, ceux dont l'entraînement se compte en centaines de millions d'euros, il y a une couche supplémentaire. Leurs créateurs doivent les attaquer eux-mêmes, méthodiquement, pour découvrir les failles avant que quelqu'un de moins bien intentionné ne s'en charge. On ne certifie pas un casque de moto en le regardant : on tape dessus.

Ce qui se passe si tout cela est ignoré

Un Bureau européen de l'IA supervise l'ensemble depuis Bruxelles, épaulé par des autorités nationales. En France, l'architecture n'est d'ailleurs pas encore complètement fixée : une quinzaine de régulateurs sectoriels existants se répartissent le travail.

Le plafond des amendes est de 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, le plus élevé des deux l'emportant. Pour les plus grands acteurs, cela se chiffre en milliards. Et depuis le 2 août 2026, ce n'est plus théorique : les autorités ont effectivement le pouvoir de sanctionner.

Le calendrier, parce que rien n'arrive d'un coup

Les deux dernières échéances ont reculé de seize mois à l'été 2026, la Commission ayant constaté que ni les normes techniques ni les autorités nationales n'étaient prêtes. Un report, précisons-le, n'est pas une dispense : le rendez-vous est décalé, pas annulé.

En une phrase

Le règlement ne dit pas que l'intelligence artificielle est dangereuse. Il dit quelque chose de plus simple et de plus ancien :

plus une machine pèse sur votre vie, plus vous êtes en droit d'exiger de savoir comment elle fonctionne, et plus un humain doit pouvoir la contredire.

C'est le raisonnement qu'on applique depuis un siècle aux médicaments, aux voitures et à ce que vous mettez dans votre assiette. Aucun n'a été interdit. On a juste fini par admettre que quelqu'un devait vérifier avant, plutôt que de compter les dégâts après.

Reste à savoir si, la prochaine fois, votre CV recevra une réponse.

Pour aller plus loin

Article à jour au 5 août 2026.

Vous vous demandez où en est votre entreprise ?

Vingt minutes au téléphone suffisent à faire le point sur vos usages et à savoir si le sujet vous concerne. Sans engagement.

Prendre rendez-vous