Guide conformité AI Act Startups & Entreprises
Conformité AI Act : sécurisez vos systèmes d'IA dès le premier jour.
Règlement (UE) 2024/1689 : qualification fournisseur ou déployeur, classement des risques, documentation technique, marquage CE, GPAI, Code de bonnes pratiques du 10 juillet 2025, articulation RGPD, droit du numérique et propriété intellectuelle.
INFLUXIO audite, met en conformité et défend startups, scale-ups, éditeurs SaaS et entreprises utilisatrices à Paris et Bruxelles. Réponse confidentielle sous 24 heures.
accompagnés
médias
Éclairages
En savoir plus sur ce domaine.
L'essentiel sur l'AI Act et votre conformité.
Le Règlement (UE) 2024/1689 du 13 juin 2024, dit AI Act, est entré en vigueur le 1er août 2024 et s'applique progressivement jusqu'en août 2027.
Première législation horizontale au monde sur l'intelligence artificielle, il impose des obligations strictes aux fournisseurs et aux déployeurs de systèmes d'IA mis sur le marché ou utilisés dans l'Union européenne, y compris lorsqu'ils sont établis hors UE.
INFLUXIO accompagne startups, scale-ups, éditeurs SaaS et entreprises utilisatrices dans leur mise en conformité, leur documentation technique et leur défense en cas de contrôle, à Paris et à Bruxelles, avec une réponse sous 24 heures.
Pourquoi l'AI Act concerne votre startup.
L'AI Act s'applique dès qu'un système d'IA est mis sur le marché, mis en service ou utilisé dans l'Union, quelle que soit la localisation du fournisseur. Une startup américaine commercialisant un grand modèle de langage accessible à des utilisateurs européens est concernée. Une scale-up française intégrant un modèle tiers dans son produit l'est également.
Trois cas d'usage déclenchent l'application : la mise sur le marché, la mise en service, et la production de résultats utilisés dans l'Union.
L'enjeu n'est pas seulement réglementaire : la conformité conditionne l'accès aux marchés publics européens, la confiance des investisseurs lors des levées de fonds, la souscription d'assurance cyber et la signature de contrats avec des grands comptes eux-mêmes soumis au règlement.
Une non-conformité peut entraîner des amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, en retenant le plus élevé des deux montants.
Les quatre catégories de risque.
L'AI Act repose sur une approche par les risques. Chaque système d'IA est classé dans l'une des quatre catégories suivantes, déterminant le niveau d'obligations applicable.
- ✓Risque inacceptable (article 5) : pratiques interdites depuis le 2 février 2025. Notation sociale, manipulation cognitive, exploitation de vulnérabilités, identification biométrique à distance en temps réel dans l'espace public sauf exceptions, reconnaissance des émotions au travail ou à l'école.
- ✓Haut risque (article 6 et annexe III) : systèmes utilisés dans l'éducation, l'emploi, les services essentiels, le maintien de l'ordre, la migration, la justice ou les processus démocratiques. Soumis à l'ensemble des obligations des articles 8 à 22.
- ✓Risque limité (article 50) : chatbots, deepfakes, contenus générés par IA. Obligations de transparence (information de l'utilisateur, étiquetage des contenus synthétiques).
- ✓Risque minimal : la grande majorité des systèmes d'IA (filtres anti-spam, IA dans les jeux vidéo). Aucune obligation contraignante, codes de conduite encouragés.
Êtes-vous fournisseur ou déployeur ?
La qualification conditionne l'intégralité de vos obligations. Le fournisseur est celui qui développe un système d'IA ou le fait développer en vue de sa mise sur le marché ou de sa mise en service sous son nom ou sa marque. Le déployeur (anciennement utilisateur) est toute personne physique ou morale utilisant un système d'IA dans le cadre de son activité professionnelle.
Attention au basculement de qualification : un déployeur qui modifie substantiellement un système d'IA haut risque, le commercialise sous son propre nom ou modifie sa finalité initialement prévue est requalifié en fournisseur (article 25) et hérite de toutes les obligations correspondantes.
Ce mécanisme touche particulièrement les éditeurs SaaS qui intègrent et personnalisent des modèles tiers, et constitue l'un des angles morts les plus fréquents lors d'un audit AI Act.
Obligations des fournisseurs d'IA haut risque.
Les fournisseurs de systèmes d'IA haut risque supportent un socle d'obligations détaillé aux articles 8 à 22, 47, 48 et 49 du règlement. Notre cabinet rédige la documentation, structure la gouvernance et prépare le marquage CE.
- ✓Système de gestion des risques (article 9) : processus continu, itératif et documenté sur tout le cycle de vie.
- ✓Gouvernance des données (article 10) : qualité, représentativité, absence de biais, traçabilité des jeux d'entraînement, de validation et de test.
- ✓Documentation technique (article 11 et annexe IV) : description du système, choix de conception, performances, limites et mesures de supervision humaine.
- ✓Tenue de journaux (article 12) : enregistrement automatique des événements pertinents pendant le fonctionnement.
- ✓Transparence et information (article 13) : notice d'utilisation claire, concise et complète à destination des déployeurs.
- ✓Contrôle humain (article 14) : mesures techniques et organisationnelles permettant une supervision effective.
- ✓Exactitude, robustesse et cybersécurité (article 15) : niveau approprié de précision, résilience face aux erreurs et aux tentatives d'attaque (data poisoning, model evasion, adversarial inputs).
- ✓Marquage CE et déclaration de conformité (articles 47 et 48) avant mise sur le marché, et enregistrement dans la base européenne (article 49).
Obligations des déployeurs.
L'article 26 impose aux déployeurs d'utiliser les systèmes d'IA haut risque conformément à la notice d'utilisation, d'assurer une supervision humaine effective, de surveiller le fonctionnement et de signaler tout incident grave au fournisseur et à l'autorité compétente.
Les déployeurs publics et certains acteurs privés doivent réaliser une analyse d'impact sur les droits fondamentaux (article 27) avant la première utilisation. Les personnes physiques exposées à un système d'IA haut risque doivent être informées. Les décisions individuelles produisant des effets juridiques doivent pouvoir être expliquées (article 86).
L'articulation avec le RGPD est constante : l'AI Act ne se substitue pas aux obligations de licéité du traitement, de base légale, d'information et de droits des personnes prévues par le règlement général sur la protection des données.
GPAI et modèles de fondation : un régime spécifique.
Les modèles d'IA à usage général (General Purpose AI, articles 51 à 55) sont soumis à un régime spécifique applicable depuis le 2 août 2025. Tout fournisseur de GPAI doit publier un résumé du contenu utilisé pour l'entraînement, respecter le droit d'auteur de l'Union et tenir une documentation technique à jour.
Les modèles présentant un risque systémique, présumés au-delà du seuil de 10^25 opérations en virgule flottante (FLOPs), supportent des obligations renforcées : évaluation des risques systémiques, tests contradictoires, signalement des incidents graves au Bureau européen de l'IA, et garanties de cybersécurité.
Le Code de bonnes pratiques sur l'IA à usage général, publié le 10 juillet 2025 et articulé en trois chapitres (transparence, droit d'auteur, sûreté et sécurité), constitue le mode de conformité présumée jusqu'à l'adoption de normes harmonisées. Les fournisseurs non-signataires devront démontrer une conformité équivalente, s'exposant à un risque contentieux plus élevé.
Transparence de l'IA générative et watermarking.
L'article 50 impose l'étiquetage clair des contenus générés ou modifiés par IA : deepfakes, contenus synthétiques audio, image, vidéo ou texte produits en quantité et publiés. Les fournisseurs doivent prévoir des solutions techniques de marquage (watermarking, métadonnées C2PA) lisibles par machine. Les déployeurs doivent porter cette information à la connaissance du public.
Cette obligation se combine avec les régimes parallèles du droit d'auteur (opt-out TDM de la directive 2019/790), du droit à l'image, du droit pénal de l'usurpation d'identité, et des dispositions de la loi française du 21 mai 2024 sur les contenus à caractère pornographique générés par IA.
INFLUXIO traite ces problématiques de manière intégrée avec son pôle propriété intellectuelle et e-réputation.
Calendrier d'application 2024-2027.
L'AI Act s'applique progressivement, par paliers, ce qui impose d'anticiper chaque jalon dans la feuille de route produit et juridique de l'entreprise.
- ✓1er août 2024 : entrée en vigueur du règlement.
- ✓2 février 2025 : interdictions de l'article 5 et obligations de littératie en IA (article 4).
- ✓2 août 2025 : règles GPAI, gouvernance, désignation des autorités nationales, sanctions.
- ✓2 août 2026 : application générale, dont systèmes haut risque de l'annexe III.
- ✓2 août 2027 : systèmes haut risque intégrés à des produits couverts par les législations sectorielles.
Sanctions et risque financier.
Le régime de sanctions, parmi les plus sévères du droit européen, repose sur des plafonds modulés selon la gravité du manquement.
- ✓Violation des pratiques interdites (article 5) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.
- ✓Non-respect des autres obligations applicables aux fournisseurs et déployeurs : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires.
- ✓Fourniture d'informations inexactes aux autorités : jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires.
- ✓PME et startups : application du montant le moins élevé entre les deux barèmes.
Articulation avec les autres textes européens.
L'AI Act s'inscrit dans un paysage normatif dense.
Il se combine avec le RGPD (traitement des données personnelles), le Digital Services Act (modération de contenus et systèmes de recommandation), le Digital Markets Act (gatekeepers), le Data Act (accès aux données générées par les objets connectés et les services cloud) et la directive révisée sur la responsabilité du fait des produits défectueux (directive (UE) 2024/2853), qui couvre désormais expressément les logiciels et les systèmes d'IA.
La proposition de directive spécifique sur la responsabilité civile en matière d'IA (AI Liability Directive) a, pour sa part, été retirée par la Commission européenne en 2025, faute d'accord ; la réparation des dommages causés par l'IA relève donc du régime rénové de responsabilité du fait des produits et des droits nationaux de la responsabilité civile.
INFLUXIO conduit des audits transversaux pour éviter les contradictions et exploiter les synergies entre ces régimes.
Checklist de conformité en 10 points.
Une feuille de route opérationnelle, déclinable en chantiers internes ou pilotée avec notre cabinet, pour transformer l'obligation réglementaire en avantage compétitif.
- ✓Cartographier l'ensemble des systèmes d'IA développés, intégrés ou utilisés.
- ✓Qualifier le rôle de l'entreprise (fournisseur, déployeur, distributeur, importateur) pour chaque système.
- ✓Classer chaque système dans une catégorie de risque AI Act.
- ✓Vérifier l'absence de pratique interdite par l'article 5.
- ✓Pour chaque système haut risque, mettre en place un système de gestion des risques documenté.
- ✓Constituer la documentation technique de l'annexe IV.
- ✓Définir et tester les mesures de supervision humaine.
- ✓Former les équipes à la littératie en IA (article 4).
- ✓Préparer la déclaration de conformité, le marquage CE et l'enregistrement européen.
- ✓Mettre en place un dispositif de signalement des incidents graves et un point de contact autorité.
Contentieux AI Act : contrôles, recours et défense.
Les autorités nationales compétentes désignées par la France à compter du 2 août 2025 disposent de pouvoirs d'enquête étendus : demandes d'accès à la documentation, audits, sanctions administratives.
La CNIL s'est vu confier, par modification de la loi Informatique et Libertés du 6 janvier 1978, un rôle d'autorité de surveillance du marché pour plusieurs systèmes d'IA haut risque (biométrie, ressources humaines, scoring) ainsi que pour les traitements de données personnelles.
D'autres régulateurs sectoriels interviennent selon les domaines : la DGCCRF (notamment pour les pratiques interdites de l'article 5), l'ARCOM (audiovisuel), l'ACPR (finance), la HAS et l'ANSM (santé) ou le ministère du Travail. La Direction générale des entreprises (DGE) assure la coordination stratégique. Le Bureau européen de l'IA supervise les GPAI au niveau européen.
Les recours s'exercent devant les juridictions administratives. Les actions civiles en réparation peuvent être engagées devant le tribunal judiciaire ou le tribunal des activités économiques de Paris selon la qualité des parties.
Lorsque la violation de l'AI Act se double d'une infraction (escroquerie, abus de confiance, atteintes aux systèmes de traitement automatisé de données), notre pôle pénal des affaires intervient en coordination avec l'équipe contentieux des affaires.
L'accompagnement INFLUXIO sur l'AI Act.
Notre cabinet intervient à chaque étape du cycle de conformité, du premier audit jusqu'à la défense devant l'autorité de contrôle ou la juridiction compétente.
Audit de qualification AI Act.
Cartographie des systèmes, classification des risques, identification des obligations applicables et restitution sous forme de plan d'action priorisé.
Mise en conformité opérationnelle.
Rédaction de la documentation technique de l'annexe IV, des politiques de gouvernance des données et des procédures de supervision humaine, intégrées aux processus produit et qualité.
Conformité GPAI et IA générative.
Adhésion au Code de bonnes pratiques du 10 juillet 2025, résumé d'entraînement, gestion du droit d'auteur et de l'opt-out TDM, déploiement du watermarking et des métadonnées C2PA.
Articulation RGPD, DSA et propriété intellectuelle.
Audits transversaux et avis juridiques pour articuler AI Act, RGPD, Digital Services Act, Data Act et droits voisins, en évitant les doublons et les contradictions.
Formation à la littératie en IA.
Sessions sur mesure pour les équipes produit, data, juridique et conformité, en exécution de l'obligation de l'article 4.
Défense en contrôle et contentieux.
Réponse coordonnée aux notifications d'autorités, recours administratifs, actions civiles en réparation et défense pénale lorsque la violation se double d'une infraction.
Contact
Contacter INFLUXIO.
Vous souhaitez prendre rendez-vous ou obtenir un devis ?
Nous vous répondons en 24 heures.
FAQ
Questions fréquentes.
Oui. L'article 2 du Règlement (UE) 2024/1689 retient un critère de marché : dès qu'un système d'IA est mis sur le marché, mis en service ou que ses résultats sont utilisés dans l'Union, le règlement s'applique, quelle que soit la localisation du fournisseur.
Le RGPD encadre le traitement des données personnelles ; l'AI Act encadre la mise sur le marché et l'usage des systèmes d'IA, qu'ils traitent ou non des données personnelles. Les deux régimes se cumulent : un système d'IA haut risque traitant des données personnelles doit respecter à la fois les obligations RGPD (base légale, AIPD, droits des personnes) et les obligations AI Act.
Le 2 août 2026 pour la grande majorité des obligations, dont les systèmes haut risque de l'annexe III. Certaines dispositions s'appliquent dès le 2 février 2025 (interdictions de l'article 5 et littératie en IA) et le 2 août 2025 (GPAI, gouvernance, sanctions). Les systèmes haut risque intégrés à des produits sectoriels relèvent du 2 août 2027.
Oui, à plusieurs titres. Le fournisseur (OpenAI) est soumis aux obligations GPAI. L'entreprise qui utilise ChatGPT est déployeur d'un système à risque limité (transparence sur l'IA générative). Si elle l'intègre dans un produit haut risque ou en modifie substantiellement la finalité, elle peut basculer en qualification de fournisseur au sens de l'article 25.
Un modèle d'IA à usage général dont la puissance de calcul d'entraînement dépasse 10^25 opérations en virgule flottante (FLOPs) est présumé présenter un risque systémique. Il supporte alors des obligations renforcées d'évaluation, de tests contradictoires, de cybersécurité et de signalement des incidents graves au Bureau européen de l'IA.
La France a retenu une architecture décentralisée, en cours de finalisation depuis août 2025. La CNIL est autorité de surveillance pour plusieurs systèmes d'IA haut risque (biométrie, ressources humaines, scoring). D'autres régulateurs interviennent selon les domaines : DGCCRF (pratiques interdites), ARCOM (audiovisuel), ACPR (finance), HAS et ANSM (santé), ministère du Travail.
La DGE assure la coordination stratégique et le Bureau européen de l'IA supervise les GPAI.
L'AI Act ne crée pas un poste équivalent au DPO. En revanche, l'article 4 impose une obligation de littératie en IA pour le personnel concerné, et la documentation technique suppose une fonction de pilotage interne. La désignation d'un responsable conformité IA est une bonne pratique recommandée.
Oui, avec nuances. L'article 2 exclut partiellement les systèmes d'IA publiés sous licence libre et ouverte, sauf lorsqu'ils sont haut risque, interdits, soumis aux obligations de transparence de l'article 50 ou GPAI avec risque systémique. La distribution sous licence open source ne dispense pas des obligations de transparence sur les données d'entraînement.
Les fournisseurs de GPAI doivent respecter l'opt-out TDM prévu par l'article 4 de la directive 2019/790 et publier un résumé suffisamment détaillé des contenus utilisés pour l'entraînement. La preuve du respect de ces obligations devient un enjeu contentieux majeur, en particulier en lien avec la propriété intellectuelle.
Préserver la confidentialité, documenter chaque échange, organiser une réponse coordonnée par l'avocat. INFLUXIO assiste ses clients dès la réception du courrier de notification jusqu'à la décision finale et, le cas échéant, devant la juridiction administrative.
Oui. Vous devez conserver la notice d'utilisation du fournisseur, documenter votre supervision humaine, vos journaux et, le cas échéant, votre analyse d'impact sur les droits fondamentaux (article 27).
Oui. L'AI Act étant un règlement européen d'application directe, nous accompagnons des structures établies dans toute l'Union et hors UE dès lors qu'elles servent des utilisateurs européens, en coordination avec nos bureaux de Paris et Bruxelles.
Publications liées
