Phase 2 : en vigueur depuis le 2 août 2025
Les obligations de la phase 2 de l'EU AI Act sont entrées en vigueur le 2 août 2025 et créent des exigences de conformité considérables pour les PME européennes qui utilisent des systèmes d'IA. La plupart des PME ne sont pas encore conscientes de ces exigences.
Avertissement critique
Les organisations qui utilisent ChatGPT, Copilot, Claude ou Gemini risquent des amendes de 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé.
Deux exigences principales
1. Obligations de transparence pour les fournisseurs de GPAI
- Documentation technique sur les processus d'entraînement et les limitations des modèles
- Divulgation des résumés des données d'entraînement afin d'identifier les biais potentiels
- Documentation des procédures de conformité en matière de droits d'auteur
- Publication des coordonnées de contact pour les demandes réglementaires
2. Obligations de notification et de gestion des risques
Les organisations qui déploient des modèles d'IA présentant un risque systémique doivent en informer les autorités de l'UE.
Trois scénarios pratiques
Scénario 1 : chatbots de service client
Nécessite une divulgation aux clients, des pratiques de documentation et des structures de gouvernance avec des protocoles de supervision humaine.
Scénario 2 : IA de recrutement (risque élevé)
Nécessite des évaluations des risques, un contrôle humain obligatoire des décisions, la transparence envers les candidats et des pistes d'audit détaillées avec justification des décisions.
Scénario 3 : analyse commerciale (risque plus faible)
Nécessite une documentation du système, une compréhension des données d'entraînement et une vérification humaine avant la mise en œuvre.
Calendrier de conformité
- D'ici décembre 2025 : inventaire de tous les systèmes d'IA, y compris les utilisateurs, les applications et les classifications des risques
- D'ici février 2026 : établir une structure de gouvernance, désigner un responsable de l'IA, développer des directives d'utilisation
- D'ici mars 2026 : réaliser des formations d'équipe, créer la documentation
- En continu : documenter tous les systèmes, identifier les risques, enregistrer les mesures de conformité
Structure des sanctions
- Pratiques interdites : 35 millions d'euros ou 7% du chiffre d'affaires mondial annuel
- Non-conformité des systèmes à haut risque : 15 millions d'euros ou 3% du chiffre d'affaires annuel
- Violations de transparence : 7,5 millions d'euros ou 1% du chiffre d'affaires annuel
Exemple : une PME avec 10 millions d'euros de chiffre d'affaires risque 100 000 € d'amendes minimales en cas de violations à 1%.
Conclusion
Le règlement favorise une mise en œuvre transparente, sûre et éthique de l'IA. Les PME responsables qui documentent adéquatement leurs pratiques rencontreront des défis de conformité minimes. La non-conformité résulte de l'omission de documenter les systèmes et de traiter les risques inhérents tels que la discrimination ou les violations de la protection des données.
