Règlement européen sur l'IA — Questions fréquentes

Le Règlement européen sur l'IA (Règlement (UE) 2024/1689) est le premier cadre juridique complet au monde pour l'intelligence artificielle. Il classe les systèmes d'IA par niveau de risque et impose des exigences de gouvernance, de documentation et de surveillance aux entreprises opérant dans l'Union européenne. Il est entré en vigueur le 1er août 2024 et s'applique pleinement à partir du 2 août 2026.

Le Règlement IA s'applique à toute entreprise qui développe, déploie ou utilise des systèmes d'IA affectant des utilisateurs dans l'UE — quel que soit le siège de l'entreprise. Cela inclut les startups, les PME et les grandes entreprises en Europe et à l'international.

Les amendes vont de 7,5 millions d'euros (ou 1,5 % du chiffre d'affaires annuel mondial) pour les violations mineures, jusqu'à 35 millions d'euros (ou 7 % du chiffre d'affaires annuel mondial) pour les infractions les plus graves, y compris l'utilisation de pratiques d'IA interdites.

Le Règlement IA classe les systèmes d'IA en quatre catégories : (1) Interdit — banni totalement, comme les systèmes de notation sociale ; (2) Haut risque — soumis à des obligations strictes incluant la documentation technique et l'évaluation de la conformité ; (3) Risque limité — obligations de transparence uniquement ; (4) Risque minimal — aucune exigence obligatoire.

Les systèmes d'IA à haut risque incluent ceux utilisés dans le recrutement et les décisions RH, le scoring crédit et les services financiers, le diagnostic médical, l'identification biométrique et dans les infrastructures critiques. La liste complète est définie à l'Article 6 et à l'Annexe III du Règlement IA.

Le règlement complet s'applique à partir du 2 août 2026. Les interdictions sur l'IA à risque inacceptable (Article 5) sont applicables depuis le 2 février 2025. Les systèmes d'IA déjà sur le marché avant le 2 août 2026 doivent être conformes avant le 2 août 2027.

Oui. Si votre entreprise déploie des fonctionnalités ou produits alimentés par l'IA auprès d'utilisateurs dans l'UE, vous êtes le « déployeur » au sens du Règlement IA — quel que soit le modèle sous-jacent fourni par un tiers. Vos obligations de conformité sont basées sur la catégorie de risque de votre cas d'usage.

Verumt livre une conformité prête pour l'audit en 12 semaines. Les grands cabinets d'avocats nécessitent généralement 6 à 18 mois pour un travail équivalent. Le délai dépend du nombre de systèmes d'IA et de leur classification des risques.

Les packages de conformité Verumt commencent à €2.500 pour un seul système d'IA (plan Starter) et €5.900 pour jusqu'à cinq systèmes d'IA (plan Professional). Les grands cabinets d'avocats facturent €50.000 ou plus pour un périmètre comparable.

Oui. L'Article 55 du Règlement IA comprend des dispositions spécifiques pour les PME et les startups, notamment un accès prioritaire aux bacs à sable réglementaires et des frais d'évaluation de la conformité réduits. Cependant, les obligations fondamentales de conformité s'appliquent toujours — les accommodements réduisent les coûts et les frictions, pas les exigences sous-jacentes.

L'évaluation de la conformité est le processus par lequel une entreprise vérifie qu'un système d'IA à haut risque satisfait aux exigences du Règlement IA. Pour la plupart des systèmes à haut risque, il s'agit d'une auto-évaluation documentée dans le dossier technique. Certaines catégories — comme l'identification biométrique en temps réel — nécessitent une évaluation par un organisme notifié tiers.

Le RGPD régit comment les données personnelles sont collectées, stockées et traitées. Le Règlement IA régit comment les systèmes d'IA sont conçus, testés, documentés et supervisés. Les deux règlements se chevauchent considérablement pour les systèmes d'IA qui traitent des données personnelles, et les programmes de conformité devraient traiter les deux simultanément.