L'AI Act, ou règlement européen sur l'intelligence artificielle, est le règlement (UE) 2024/1689. C'est le premier cadre juridique général sur l'IA adopté par une grande région économique. Il s'applique directement dans tous les États membres, dont la Belgique, sans loi de transposition, et fixe des obligations proportionnées au risque que présente chaque usage de l'IA.
Le calendrier
Le règlement a été publié au Journal officiel de l'Union européenne le 12 juillet 2024 et est entré en vigueur le 1er août 2024. Ses obligations s'appliquent par étapes, selon le texte publié :
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Interdiction des pratiques d'IA jugées inacceptables ; obligation de maîtrise de l'IA (article 4) |
| 2 août 2025 | Obligations des fournisseurs de modèles d'IA à usage général ; gouvernance et sanctions |
| 2 août 2026 | Application générale, dont les obligations de transparence de l'article 50 et la plupart des règles sur les systèmes à haut risque |
| 2 août 2027 | Règles sur les systèmes à haut risque intégrés à des produits déjà réglementés |
Des ajustements du calendrier de certaines obligations à haut risque ont été proposés par la Commission européenne. Vérifiez la version consolidée du texte sur EUR-Lex avant de vous fonder sur une date précise.
Une approche fondée sur le risque
Le règlement classe les usages de l'IA en quatre niveaux :
- Risque inacceptable : des pratiques interdites, comme la notation sociale des personnes par les pouvoirs publics ou certaines manipulations exploitant la vulnérabilité des personnes
- Haut risque : des systèmes utilisés dans des domaines sensibles, comme le recrutement, l'accès à l'éducation, le crédit ou certains services publics. Ils sont soumis à des exigences fortes : gestion des risques, qualité des données, documentation, contrôle humain
- Risque limité : des systèmes qui interagissent avec des personnes ou génèrent du contenu. Ils sont surtout soumis à des obligations de transparence
- Risque minimal : la grande majorité des usages, comme les filtres anti-spam, sans obligation spécifique
Un assistant IA qui répond aux visiteurs d'un site sur des questions pratiques relève en général du risque limité. Il en irait autrement s'il servait, par exemple, à trier des candidatures ou à décider de l'octroi d'un crédit.
Ce que l'AI Act demande à une PME qui utilise un assistant
Le règlement distingue le fournisseur, qui développe et met sur le marché un système d'IA, et le déployeur, qui l'utilise dans le cadre de son activité. Une PME qui installe un assistant sur son site est un déployeur. Pour un assistant conversationnel à risque limité, les obligations principales sont les suivantes :
- Informer les personnes qu'elles interagissent avec un système d'IA, au plus tard lors de la première interaction, sauf si c'est évident dans le contexte (article 50)
- Assurer un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ou supervisent le système pour l'organisation (article 4) : savoir ce que fait l'outil, ses limites et ses risques
- Respecter les autres règles qui continuent de s'appliquer, notamment le RGPD pour les données personnelles et le droit de la consommation pour les informations données aux clients
Dans la pratique, l'information du visiteur passe par un nom d'assistant sans ambiguïté et une mention claire dans la fenêtre de conversation. La maîtrise de l'IA passe par une courte formation de l'équipe qui lit et reprend les conversations.
Les modèles d'IA à usage général
Les entreprises qui développent les grands modèles de langage, comme ceux de Google, d'Anthropic ou d'OpenAI, ont leurs propres obligations depuis le 2 août 2025 : documentation technique, informations destinées aux entreprises qui intègrent leurs modèles, politique de respect du droit d'auteur, résumé des données d'entraînement. Les modèles qui présentent un risque systémique ont des obligations supplémentaires. Ces règles pèsent sur les fournisseurs de modèles, pas sur la PME qui les utilise à travers une plateforme.
Les sanctions
Le règlement prévoit des amendes administratives graduées. Pour les pratiques interdites, elles peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. Pour la plupart des autres manquements, 15 millions d'euros ou 3 %. Pour les PME, le texte prévoit que le montant le plus bas des deux s'applique. Chaque État membre désigne ses autorités de surveillance.
AI Act et RGPD : deux textes complémentaires
Le RGPD protège les données personnelles, quel que soit l'outil qui les traite. L'AI Act encadre les systèmes d'IA eux-mêmes, qu'ils traitent ou non des données personnelles. Un assistant de site doit respecter les deux : informer le visiteur qu'il parle à une IA (AI Act), et l'informer de ce qui est fait de ses données, avec une base légale et une durée de conservation (RGPD).
L'AI Act et KernChat
Les assistants KernChat se présentent comme des assistants dès l'accueil de la conversation, avec le nom choisi par l'organisation. La mise en place comprend une présentation à l'équipe de ce que fait l'assistant, de ses limites et de la reprise des conversations. KernChat ne sert pas aux usages à haut risque, comme le recrutement ou la notation de personnes.