- Caractère
- Obligatoire si vous mettez sur le marché ou utilisez un système d'IA dans l'Union
- Statut
- Applicable par étapes : règlement (UE) 2024/1689, modifié par l'omnibus 2026/1744
- Échéances
- Haut risque de l'annexe III : 2 décembre 2027. Haut risque de l'annexe I : 2 août 2028. Transparence (article 50) : 2 août 2026
- Mis à jour
- 6 novembre 2026
Qu'est-ce que l'AI Act ?
L'AI Act est le règlement européen (UE) 2024/1689 sur l'intelligence artificielle. Il fixe des obligations selon le niveau de risque du système d'IA et selon votre rôle : fournisseur, qui développe et met sur le marché sous son nom, ou déployeur, qui l'utilise.
L'omnibus 2026/1744 a reporté les obligations des systèmes à haut risque. Les dates de cette page sont celles du texte modifié.
Êtes-vous concerné ?
Votre produit intègre de l'IA, il est utilisé dans l'Union, et au moins une de ces situations vous correspond :
- vous mettez le système sur le marché sous votre nom, même si le modèle vient d'un tiers
- votre système est un composant de sécurité d'un produit couvert par l'annexe I, ou ce produit lui-même, et il passe par une évaluation de conformité par un tiers (article 6) : le MDR figure à cette annexe
- votre usage figure à l'annexe III
- votre système dialogue avec des personnes : elles doivent savoir qu'elles parlent à une IA, sauf si cela se voit (article 50)
- vous utilisez dans vos propres services un système fourni par un tiers : vous êtes déployeur
Vérifier pour votre produit avec Estime → · Savoir quels textes s'appliquent avec Sonar Express →
Que demande-t-il à votre produit ?
Pour un système à haut risque, les exigences se lisent dans le code et dans l'exploitation. Ce sont elles qui occupent vos équipes de développement, de données et d'exploitation.
| Équipe | Ce que le texte demande |
|---|---|
| Développement | Journalisation (article 12) : le système enregistre ses événements de façon automatique pendant toute sa durée de vie · contrôle humain (article 14) : les interfaces permettent à une personne de contrôler le système pendant son utilisation |
| Données | Gouvernance des données (article 10) : origine et préparation des jeux d'entraînement, de validation et de test, examen et correction des biais, lacunes repérées |
| Exploitation | Exactitude, robustesse et cybersécurité (article 15) : un niveau approprié, tenu sur tout le cycle de vie · tenue des journaux |
| Direction | Documentation technique (article 11), établie avant la mise sur le marché et tenue à jour · système de gestion de la qualité · évaluation de la conformité (article 16) |
| Produit | Accessibilité du système (article 16) · information des personnes qui dialoguent avec une IA (article 50) |
Que ne couvre-t-il pas ?
L'AI Act ne dit pas si votre logiciel relève du MDR. Cette qualification, le marquage CE au titre du MDR et l'IEC 62304 restent hors de mon périmètre : ils relèvent d'un consultant QARA ou d'un organisme notifié. Il ne remplace ni HDS, ni le RGPD.
La qualification de votre système dépend de sa destination. Elle se décide produit par produit, sur pièces, avant d'investir dans la conformité.
Que gagne votre produit ?
| Exigence | Ce que l'utilisateur y gagne |
|---|---|
| Journalisation | Après un incident, votre équipe retrouve ce qui a produit une réponse et peut l'expliquer au professionnel de santé. |
| Gouvernance des données | Un biais repéré tôt ne se retrouve pas dans les résultats présentés aux patients. |
| Contrôle humain | Le professionnel reste en mesure de reprendre la main sur le résultat proposé. |
| Robustesse | Un service qui se comporte de la même façon d'une version à l'autre. |
| Documentation technique | L'acheteur et l'auditeur obtiennent une réponse claire sur ce que fait le système. |
| Accessibilité | Un outil utilisable par tous, personnes en situation de handicap comprises. |
Quels textes recoupe-t-il ?
- HDS : votre IA traite des données de santé, leur hébergement suit ce que HDS demande au logiciel.
- CLOUD Act : une API de modèle hors de l'Union pose la question de l'accès depuis des pays tiers.
- RGPD : données de santé (article 9), et la finalité initiale de la collecte que la gouvernance des données doit documenter.
- RGAA et EAA : l'article 16 de l'AI Act renvoie aux exigences européennes d'accessibilité, présentées avec les autres référentiels.
- MDR : la frontière de l'annexe I, décrite plus haut.
Questions fréquentes
Mon logiciel de santé avec IA est-il à haut risque ?
Cela dépend de sa destination, de l'annexe I et de l'annexe III. Je ne le décide jamais sur le nom d'un produit : Sonar Express répond sur pièces.
Quelle date retenir pour les systèmes à haut risque ?
Le 2 décembre 2027 pour ceux de l'annexe III, le 2 août 2028 pour ceux de l'annexe I, dates issues de l'omnibus 2026/1744.
J'utilise l'API d'un modèle tiers. Suis-je fournisseur ?
Oui si vous mettez le système sur le marché sous votre nom. Le modèle vient d'un tiers, le système reste le vôtre, avec sa documentation et ses journaux. Si ce modèle tiers coûte de plus en plus cher, en changer engage aussi ces obligations : facture d'IA qui dérive dans un logiciel de santé.
Faut-il journaliser si mon système n'est pas à haut risque ?
L'article 12 vise les systèmes à haut risque. Hors de ce champ, garder des traces reste utile pour comprendre un incident, et le coût est plus faible quand la journalisation est prévue dès la conception.
Délivrez-vous une conformité AI Act ?
Non. Je relie le texte à votre produit et j'aide votre équipe à produire ses preuves. L'évaluation de la conformité reste celle que le règlement prévoit.
Sources
Règlement (UE) 2024/1689 (AI Act), articles 6, 10, 11, 12, 14, 15, 16 et 50, annexes I et III · Omnibus (UE) 2026/1744 · Règlement (UE) 2017/745 (MDR).
En cinq jours, Sonar Express dit quels textes s'appliquent à votre produit et où vous en êtes. Sonar va plus loin dans le code, et Astrolab rassemble les preuves à chaque version.