AI Act : le guide du règlement européen sur l'IA

AI Act : classification des risques, calendrier d'application, sanctions jusqu'à 35 M€ et impact concret sur les entreprises et les ingénieurs français.

On sort un peu de nos sentiers battus aujourd'hui — et c'est pour la bonne cause.

Chez Astinge, on vous parle habituellement de concours, de stratégies d'admission, de grandes écoles et de voies universitaires. Mais il nous semblait impossible d'ignorer un texte qui va changer profondément la manière dont l'intelligence artificielle est développée, déployée et réglementée en Europe — et donc le monde dans lequel vous allez travailler dans quelques années.

L'AI Act, c'est le règlement européen sur l'IA. Et si vous êtes en train de préparer votre entrée dans une grande école d'ingénieurs, vous allez vivre de plein fouet ce que ce texte implique. On vous explique tout. Et à la fin, on remet les pieds sur terre : pourquoi ce contexte rend votre projet de grandes écoles plus pertinent que jamais.

1. Contexte : la première loi mondiale sur l'intelligence artificielle

Le Règlement (UE) 2024/1689, dit AI Act, est le premier cadre législatif global au monde dédié à l'intelligence artificielle. Il a été adopté par le Parlement européen le 13 mars 2024 (523 voix pour, 46 contre), publié au Journal officiel de l'Union européenne le 12 juillet 2024, et est entré en vigueur le 1er août 2024.

Son ambition est double : protéger les droits fondamentaux et la sécurité des citoyens, tout en favorisant l'innovation responsable dans le marché unique européen.

Date	Étape
Avril 2021	Proposition initiale de la Commission européenne
Décembre 2023	Accord politique au sein du trilogue
13 mars 2024	Vote du Parlement européen
12 juillet 2024	Publication au Journal officiel de l'UE
1er août 2024	Entrée en vigueur
2 février 2025	Application des interdictions (risque inacceptable)
2 août 2025	Obligations pour les modèles d'IA à usage général
2 août 2026	Application intégrale du règlement

Source officielle : Règlement (UE) 2024/1689 — EUR-Lex

2. Qui est concerné ?

L'AI Act s'applique à toute entité qui met sur le marché, met en service ou utilise un système d'IA dans l'Union européenne — quel que soit son pays d'établissement. Trois acteurs principaux sont définis :

Le fournisseur : développe ou fait développer un système d'IA en vue de sa mise sur le marché. Il assume les obligations de conception, de documentation technique et de marquage CE.
Le déployeur : utilise un système d'IA dans un contexte professionnel. Il doit superviser l'usage, tenir un registre et former ses équipes.
L'importateur / distributeur : doit vérifier que le fournisseur est en conformité avant toute mise sur le marché.

Exclusions : usage militaire ou défense nationale, recherche fondamentale, usages personnels non professionnels.

3. La classification par niveaux de risque : le cœur du dispositif

L'AI Act repose sur une approche basée sur le risque (risk-based approach). Quatre niveaux définissent les obligations applicables.

3.1 Risque inacceptable — Interdictions totales (Article 5)

Applicables depuis le 2 février 2025, ces pratiques sont totalement prohibées dans l'UE :

Notation sociale (social scoring) par les pouvoirs publics
Manipulation comportementale subliminale exploitant des vulnérabilités psychologiques
Identification biométrique à distance en temps réel dans les espaces publics (sauf exceptions terrorisme / enfants disparus strictement encadrées)
Systèmes d'inférence d'émotions dans les milieux professionnels et éducatifs
Catégorisation biométrique déduisant des opinions politiques, religion ou orientation sexuelle
Bases de données faciales constituées par scraping non ciblé

3.2 Risque élevé — Conformité stricte obligatoire (Articles 6-51)

Les systèmes à haut risque sont ceux appartenant aux domaines de l'Annexe III du règlement :

Domaine	Exemples
Biométrie	Identification, vérification d'identité
Infrastructures critiques	Eau, gaz, électricité, transport
Éducation et formation	Attribution de places, évaluation d'étudiants
Emploi et RH	Recrutement automatisé, scoring de CV
Services essentiels	Crédit bancaire, assurance, prestations sociales
Application de la loi	Évaluation de preuves, profiling
Gestion des frontières	Contrôle des visas, évaluation des risques migratoires
Administration de la justice	Aide à la décision judiciaire

Obligations cumulatives pour ces systèmes :

Système de gestion des risques documenté (Art. 9)
Gouvernance des données d'entraînement — représentativité, biais (Art. 10)
Documentation technique et journaux d'événements (Art. 11-12)
Supervision humaine effective (Art. 14)
Robustesse, précision et cybersécurité (Art. 15)
Enregistrement dans la base de données européenne de l'AI Office avant mise sur le marché
Évaluation de conformité et marquage CE

3.3 Risque limité — Obligations de transparence (Article 50)

Les chatbots doivent signaler qu'il s'agit d'une IA
Les deepfakes (images, audio, vidéo synthétiques) doivent être clairement étiquetés
Les systèmes de détection d'émotions dans l'espace public doivent informer les personnes concernées

3.4 Risque minimal — Autorégulation

Filtres anti-spam, IA dans les jeux vidéo, recommandations de contenu sans impact sur les droits fondamentaux : aucune obligation réglementaire spécifique. La Commission encourage l'adhésion volontaire à des codes de conduite.

4. Le régime GPAI : les grands modèles d'IA sous surveillance (Articles 51-55)

L'une des innovations majeures de l'AI Act est la création d'un cadre dédié aux modèles d'IA à usage général (GPAI) — GPT-4, Gemini, Mistral, Llama, Claude... Ces obligations sont entrées en vigueur le 2 août 2025.

Seuil de risque systémique

Un modèle GPAI devient à risque systémique lorsque sa puissance de calcul d'entraînement dépasse 10²⁵ FLOP (seuil révisable par acte délégué).

Obligations (Article 53)

Tous les fournisseurs GPAI :

Publier une documentation technique détaillée
Respecter la législation sur le droit d'auteur et publier un résumé des données d'entraînement
S'engager dans le Code de pratiques GPAI publié par l'AI Office le 10 juillet 2025

Fournisseurs à risque systémique (Art. 54-55) : évaluation adversariale obligatoire, notification des incidents graves à l'AI Office, maintien de la cybersécurité renforcée.

5. Calendrier complet d'application

1er août 2024  ──► Entrée en vigueur du règlement

2 février 2025 ──► Interdictions (Art. 5) + Littératie en IA (Art. 4)

2 août 2025    ──► Obligations GPAI (Art. 51-55)
                   + AI Office opérationnel
                   + Conseil européen de l'IA constitué
                   + Autorités nationales désignées

2 août 2026    ──► APPLICATION INTÉGRALE
                   + Systèmes à haut risque (Annexe III)
                   + Obligations déployeurs
                   + Début des contrôles et sanctions pleins

2 août 2027    ──► Systèmes haut risque couverts par l'Annexe I
                   (dispositifs médicaux, véhicules, machines...)

6. Gouvernance : qui contrôle quoi ?

Au niveau européen

AI Office (Bureau européen de l'IA) : opérationnel depuis le 21 février 2024. Supervise les modèles GPAI, rédige les actes délégués, gère la base de données des systèmes à haut risque.
Conseil européen de l'IA : un représentant par État membre, coordonne les autorités nationales.

Source : Gouvernance AI Act — Commission européenne

En France

La CNIL est désignée autorité nationale de référence pour l'AI Act. Le dispositif français associe :

Autorité	Périmètre
CNIL	Coordinatrice nationale, droits fondamentaux et données personnelles
DGCCRF	Pratiques commerciales déloyales liées à l'IA
ARCOM	Deepfakes, contenus générés par IA dans les médias
ACPR	IA dans la banque et l'assurance
ANSM / HAS	IA en santé et dispositifs médicaux
ANSSI	Cybersécurité des systèmes d'IA

Sources : CNIL — Questions-réponses AI Act | DGE — Autorités compétentes France

7. Sanctions : jusqu'à 35 millions d'euros (Article 99)

Type de violation	Amende maximale
Violation des interdictions (Art. 5 — risque inacceptable)	35 000 000 € ou 7% du CA mondial annuel
Non-conformité haut risque ou GPAI	15 000 000 € ou 3% du CA mondial annuel
Informations incorrectes aux autorités	7 500 000 € ou 1% du CA mondial annuel

C'est le montant le plus élevé entre la somme absolue et le pourcentage du chiffre d'affaires mondial qui s'applique — sauf pour les PME et startups, pour lesquelles c'est le montant le plus bas qui est retenu (disposition protectrice explicite du règlement).

Les violations touchant des données personnelles peuvent entraîner un cumul avec les amendes RGPD (jusqu'à 20M€ ou 4% du CA).

Référence légale : Article 99 — AI Act Explorer | AI Act Service Desk

8. AI Act vs USA vs Chine : trois visions du monde

L'AI Act vise à imposer un standard mondial par effet de rayonnement réglementaire (Brussels Effect), mais il se distingue radicalement des approches américaine et chinoise.

Critère	UE (AI Act)	USA	Chine
Approche	Droits fondamentaux + risque	Innovation-first + sectoriel	Contrôle étatique + sectoriel
Portée	Horizontale et globale	Fragmentée (patchwork d'États)	Par domaine
Sanctions	Jusqu'à 35M€ / 7% CA	Variable selon agence	Non publiées uniformément
Modèles GPAI	Cadre dédié (Art. 51-55)	Déclaration volontaire (NIST)	Enregistrement obligatoire
Droits des personnes	Centraux	Secondaires	Absents

Côté américain, le président Trump a abrogé en janvier 2025 l'Executive Order de Biden sur l'IA, optant pour une dérégulation totale au niveau fédéral. Les États prennent le relais : Californie (SB 53), New York (Local Law 144), Texas, Illinois...

Côté chinois, l'approche par domaine spécifique (IA générative, algorithmes, deepfakes) depuis 2021-2023 est complétée par une Cybersecurity Law amendée en vigueur au 1er janvier 2026, exigeant des audits de sécurité IA et une localisation des données.

Sources : Anecdotes.ai — AI Regulations 2025 | CACM — Three Rulebooks

9. Ce que ça change pour les entreprises françaises dès maintenant

À faire avant le 2 août 2026 :

Pour les fournisseurs :

Cartographier tous les systèmes d'IA développés et évaluer leur niveau de risque
Constituer la documentation technique (Art. 11) pour chaque système à haut risque
Mettre en place un système de gestion des risques (Art. 9)
Enregistrer les systèmes à haut risque dans la base de données EU
Obtenir marquage CE si applicable

Pour les déployeurs :

Inventorier tous les systèmes d'IA utilisés, y compris via des SaaS tiers
Former les équipes — l'obligation de littératie en IA (Art. 4) est applicable depuis février 2025
Tenir un registre des usages à haut risque
Vérifier que les fournisseurs tiers sont en conformité

L'articulation avec le RGPD est confirmée par la CNIL : les deux régimes se cumulent. Une même IA traitant des données personnelles doit satisfaire à la fois le RGPD (DPIA, base légale, droits des personnes) et l'AI Act (documentation technique, supervision humaine, transparence).

10. De l'AI Act à votre avenir : pourquoi tout ça vous concerne directement

On arrive au cœur de ce qu'on voulait vous dire.

L'AI Act n'est pas qu'un texte juridique réservé aux juristes et aux DSI. C'est le signal le plus fort que l'Europe ait envoyé depuis le RGPD sur la direction qu'elle entend donner au numérique. Et ce signal dit ceci : l'intelligence artificielle va être partout, dans tous les secteurs, mais elle ne sera pas déployée n'importe comment.

Résultat ? Les entreprises vont avoir un besoin massif de profils capables de comprendre à la fois la technique de l'IA et ses implications réglementaires, éthiques et stratégiques. Des ingénieurs qui savent coder un modèle et qui comprennent pourquoi il doit être auditable. Des experts qui conçoivent des systèmes robustes, documentés, supervisables — pas juste des modèles qui "marchent en démo".

Ce profil, c'est exactement ce que forment les grandes écoles d'ingénieurs françaises : CentraleSupélec, l'École des Ponts, Arts et Métiers, ENSAE, AgroParisTech, l'X, les Centrale... Des formations qui mêlent rigueur mathématique, informatique avancée, et capacité d'analyse systémique.

Et la bonne nouvelle, c'est que vous n'avez pas besoin d'une prépa pour y entrer.

Les voies universitaires — GEI Univ, CUEC, AST — permettent à des étudiants issus de la fac (licence, BUT, BUT info, BUT GEII...) d'intégrer ces mêmes grandes écoles par des concours spécifiques, dans des conditions adaptées à leur parcours. C'est précisément ce sur quoi Astinge vous accompagne.

Préparer ces concours, c'est se donner les moyens de devenir un acteur de l'IA — pas un observateur. Pas quelqu'un qui subit les règlements comme l'AI Act, mais quelqu'un qui conçoit les systèmes conformes, qui pilote les projets, qui prend les décisions techniques et stratégiques qui engagent l'avenir des organisations.