Skip to main content

Le règlement européen sur l'IA s'applique-t-il aux entreprises américaines ?

Portée extraterritoriale du règlement européen sur l'IA : ce que les entreprises SaaS américaines doivent savoir sur leurs obligations.

Par Scanara

Points essentiels

  1. 1.Oui, si vous êtes fournisseur et mettez sur le marché de l'UE des systèmes d'IA ou des modèles d'IA à usage général. Votre lieu d'établissement importe peu (article 2, paragraphe 1, point a)). Les fournisseurs qui mettent des systèmes d'IA en service dans l'Union sont aussi visés (article 2, paragraphe 1, point a)).
  2. 2.Il s'applique aussi lorsque les sorties d'un système d'un pays tiers sont utilisées dans l'Union (article 2, paragraphe 1, point c)).
  3. 3.Les amendes pour pratiques interdites atteignent 35 millions d'EUR ou 7 % du chiffre d'affaires annuel mondial. Le montant le plus élevé est retenu (article 99, paragraphe 3).
  4. 4.Les fournisseurs hors UE de systèmes à haut risque doivent désigner un mandataire dans l'UE. Il agit pour eux auprès des autorités (article 22, paragraphe 1). L'obligation s'applique à partir du 2 décembre 2027 pour les systèmes de l'annexe III. Pour ceux de l'annexe I, elle s'applique à partir du 2 août 2028 (article 113, troisième alinéa, point c)).

L'article 5 du règlement (UE) 2024/1689 interdit des pratiques d'IA, comme la notation sociale (article 5, paragraphe 1, point c)). Les interdictions s'appliquent depuis le 2 février 2025. Les obligations relatives aux modèles d'IA à usage général s'appliquent depuis le 2 août 2025. Ce sont des modèles capables d'accomplir de manière compétente un large éventail de tâches distinctes (article 3, point 63). Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Elles incluent d'informer les personnes qu'elles interagissent avec une IA et de marquer les contenus générés par l'IA. L'article 50, paragraphe 2, prévoit un délai plus tardif pour les systèmes déjà sur le marché : 2 décembre 2026 (article 111, paragraphe 4). Un fournisseur américain sans offre dans l'UE et sans sorties utilisées dans l'Union n'est pas visé (article 2, paragraphe 1, points a) et c)).

Prochaine étape : listez les systèmes d'IA que vous vendez à des clients de l'UE et vérifiez chacun au regard de l'article 2. L'article 2 définit le champ d'application du règlement. L'annexe III est la liste des usages à haut risque du règlement, comme le recrutement ou la notation de crédit. Les règles relatives aux systèmes à haut risque s'appliquent à partir du 2 décembre 2027 aux systèmes de l'annexe III. Ce sont celles du chapitre III, sections 1 à 3 (sauf l'article 6, paragraphe 5). Pour ceux de l'annexe I, elles s'appliquent à partir du 2 août 2028 (article 113, troisième alinéa, point c)). L'annexe I couvre les produits relevant de la législation de l'UE sur la sécurité. L'annexe I comporte une section B pour d'autres législations d'harmonisation de l'Union (article 2, paragraphe 2). Pour les systèmes à haut risque liés à ces produits, seuls s'appliquent l'article 6, paragraphe 1, l'article 60 bis et les articles 102 à 112. Les articles 57 à 59 ne s'appliquent que dans la mesure où cette législation intègre les exigences relatives au haut risque.

Article 2 : qui entre dans le champ d'application

L'article 2, paragraphe 1, désigne sept groupes, dont ces trois-ci :

Fournisseurs qui mettent des systèmes d'IA sur le marché de l'UE (article 2, paragraphe 1, point a))

Un fournisseur développe un système d'IA ou en fait développer un. Il le met sur le marché de l'UE ou le met en service sous son propre nom (article 3, point 3). Cela couvre la fourniture à titre onéreux ou gratuit. Cela vaut que vous soyez établi ou non dans l'Union.

Déployeurs dans l'Union (article 2, paragraphe 1, point b))

Les entreprises de l'UE qui utilisent votre système d'IA sont des déployeurs, avec leurs propres obligations. Les déployeurs de systèmes à haut risque ont besoin des informations que vous fournissez au titre de l'article 13 pour respecter leurs obligations au titre de l'article 26.

Fournisseurs et déployeurs de pays tiers dont les sorties sont utilisées dans l'Union (article 2, paragraphe 1, point c))

Supposons que vous soyez établi hors de l'UE et que les sorties de votre système d'IA soient utilisées dans l'Union. Alors le règlement s'applique à vous en tant que fournisseur ou déployeur.

Cinq scénarios montrent où le règlement s'applique

Vous relevez du règlement si vous vendez un système d'IA dans l'UE ou si ses sorties sont utilisées dans l'Union (article 2, paragraphe 1, points a) et c)).

ScénarioDans le champ ?Rôle
SaaS avec des fonctionnalités d'IA vendu à des entreprises de l'UEOuiFournisseur (article 2, paragraphe 1, point a))
API utilisée par des intégrateurs ou des développeurs dans l'UEOuiFournisseur du système ou du modèle que vous proposez (article 2, paragraphe 1, point a))
Modèle d'IA à usage général que d'autres intègrent dans des produits proposés dans l'UEOuiFournisseur d'un modèle d'IA à usage général (article 2, paragraphe 1, point a) ; obligations des articles 53 à 55)
Outil interne utilisé uniquement par des employés basés aux États-Unis, sans sortie utilisée dans l'UnionNonSans objet : ni l'article 2, paragraphe 1, point a), ni le point c) ne sont remplis
Produit sans client dans l'UE et sans sortie utilisée dans l'UnionNonSans objet : ni l'article 2, paragraphe 1, point a), ni le point c) ne sont remplis

Vos systèmes d'IA relèvent de quatre groupes aux obligations différentes

Vérifiez chaque système au regard de l'article 5 (pratiques interdites), de l'annexe III (usages à haut risque) et de l'article 50 (transparence).

Pratiques interdites (article 5)

Des pratiques telles que la notation sociale (article 5, paragraphe 1, point c)) sont interdites. Le sont aussi les techniques de manipulation qui altèrent sensiblement le comportement et causent ou risquent de causer un préjudice important (article 5, paragraphe 1, point a)). L'interdiction s'applique depuis le 2 février 2025. À partir du 2 décembre 2026, deux autres pratiques sont interdites (article 113, troisième alinéa, point a)). La première vise les systèmes d'IA qui génèrent ou manipulent des images, vidéos, enregistrements audio ou contenus similaires réalistes. Ce contenu montre les parties intimes d'une personne physique identifiable ou son activité sexuelle explicite. L'interdiction s'applique sans le consentement libre, spécifique, éclairé, univoque et explicite de cette personne à cette génération ou manipulation (article 5, paragraphe 1, point ba)). La seconde consiste à générer ou manipuler du matériel d'abus sexuel sur des enfants au sens de la directive 2011/93/UE (article 5, paragraphe 1, point bb)). La seconde interdiction ne s'applique pas lorsque le droit national prévoit un moyen de défense « sans droit » (article 5, paragraphe 1, point bb)). L'article 5, paragraphe 1 bis, limite les deux interdictions. Un fournisseur n'est visé que si la génération de ce matériel est la finalité prévue du système. Il l'est aussi si ce matériel est un résultat raisonnablement prévisible et reproductible, sans modification technique importante, et que le système ne dispose pas de garanties raisonnables et adéquates. Un déployeur n'est visé que s'il utilise le système à cette fin.

Systèmes à haut risque (article 6, annexe III)

Systèmes utilisés dans des domaines tels que le recrutement, la notation de crédit, l'éducation, les activités répressives et les infrastructures critiques. Les fournisseurs doivent respecter des exigences (articles 8 à 15). Elles portent sur la gestion des risques, la gouvernance des données, la documentation technique, la journalisation, la transparence, le contrôle humain, l'exactitude, la robustesse et la cybersécurité.

Obligations de transparence (article 50)

Chatbots, systèmes qui génèrent des contenus de synthèse, et deepfakes. Un deepfake est un contenu image, audio ou vidéo généré ou manipulé par l'IA. Il ressemble à des personnes, objets, lieux, entités ou événements existants et semblerait à tort authentique (article 3, point 60). Les fournisseurs doivent informer les personnes qu'elles interagissent avec une IA (article 50, paragraphe 1) et marquer les contenus générés (article 50, paragraphe 2). Les déployeurs doivent signaler les deepfakes (article 50, paragraphe 4). Ces obligations s'appliquent depuis le 2 août 2026. Pour les systèmes mis sur le marché avant cette date, le délai pour l'article 50, paragraphe 2, est le 2 décembre 2026. Les fournisseurs doivent prendre les mesures nécessaires pour se conformer à l'article 50, paragraphe 2, d'ici là (article 111, paragraphe 4).

Autres systèmes d'IA

Les exigences des articles 8 à 15 s'appliquent aux systèmes à haut risque (article 8, paragraphe 1). Pour les autres systèmes, vérifiez les interdictions de l'article 5, les mesures de maîtrise de l'IA (article 4) et l'article 50 lorsqu'il s'applique. La maîtrise de l'IA désigne les compétences, les connaissances et la compréhension qui permettent un déploiement éclairé des systèmes d'IA (article 3, point 56). Un système de l'annexe III que son fournisseur juge non à haut risque est un cas particulier : il exige une évaluation documentée (article 6, paragraphe 4). Le Bureau de l'IA et les États membres encouragent les codes de conduite volontaires (article 95).

Les fournisseurs de modèles d'IA à usage général doivent respecter les articles 53 à 55

Si vous fournissez un modèle d'IA à usage général, les articles 53 et 54 s'appliquent à vous. Si le modèle présente un risque systémique, l'article 55 s'applique aussi. Le risque systémique est un risque spécifique aux capacités à fort impact des modèles d'IA à usage général (article 3, point 65). Ces obligations s'appliquent depuis le 2 août 2025. Pour les modèles mis sur le marché avant cette date, le délai est le 2 août 2027 (article 111, paragraphe 3). Ces obligations comprennent :

  • La documentation technique du modèle, et des informations pour les fournisseurs qui l'intègrent (article 53, paragraphe 1, points a) et b)). Ces deux obligations ne s'appliquent pas aux modèles sous licence libre et ouverte qui permet l'accès, l'utilisation, la modification et la distribution. L'exception exige que les paramètres (y compris les poids) et les informations sur l'architecture et l'utilisation soient publics. Elle ne vaut pas si le modèle présente un risque systémique (article 53, paragraphe 2)
  • Une politique de respect du droit d'auteur de l'UE, et un résumé public des contenus utilisés pour l'entraînement (article 53, paragraphe 1, points c) et d))
  • Un mandataire dans l'Union si vous êtes établi dans un pays tiers (article 54 ; les modèles open source sans risque systémique sont dispensés par l'article 54, paragraphe 6)
  • Pour les modèles présentant un risque systémique : évaluation du modèle, y compris des tests contradictoires, évaluation et atténuation des risques systémiques, signalement des incidents graves et protection en matière de cybersécurité (article 55)

Avez-vous besoin d'un mandataire dans l'UE ?

Seulement si vous fournissez un système d'IA à haut risque (article 22) ou un modèle d'IA à usage général (article 54). Avant de mettre un système à haut risque à disposition dans l'Union, vous devez y désigner un mandataire par mandat écrit (article 22, paragraphe 1). Dans un mandat écrit, le fournisseur autorise le mandataire à agir en son nom (article 3, point 5). Le mandat inclut la conservation de la documentation technique pendant 10 ans. Il inclut aussi la transmission d'informations aux autorités sur demande (article 22, paragraphe 3).

L'obligation de l'article 22 s'applique à partir du 2 décembre 2027 pour les systèmes de l'annexe III (article 113, troisième alinéa, point c)). Pour ceux de l'annexe I, elle s'applique à partir du 2 août 2028. L'annexe I, section B, fait exception (article 2, paragraphe 2). L'obligation de l'article 54 pour les modèles d'IA à usage général s'applique depuis le 2 août 2025 (article 113, troisième alinéa, point b)). Le RGPD prévoit une exigence comparable pour les représentants des responsables du traitement et des sous-traitants hors de l'UE (RGPD, article 27).

Les dates principales à partir desquelles les obligations s'appliquent

S'applique

2 février 2025 : pratiques interdites (article 5) et maîtrise de l'IA

S'applique

2 août 2025 : obligations des fournisseurs de modèles d'IA à usage général

S'applique

2 août 2026 : date générale d'application, y compris les obligations de transparence de l'article 50 et les amendes de l'article 101 pour les fournisseurs de modèles d'IA à usage général

Prochaine date

2 décembre 2026 : article 5, paragraphe 1, points ba) et bb), et paragraphes 1 bis et 1 ter (images sexuellement explicites sans consentement ; matériel d'abus sexuel sur des enfants) ; article 50, paragraphe 2, pour les systèmes déjà sur le marché

Plus tard

2 décembre 2027 : chapitre III, sections 1 à 3 (sauf l'article 6, paragraphe 5), pour les systèmes de l'annexe III

Plus tard

2 août 2028 : chapitre III, sections 1 à 3 (sauf l'article 6, paragraphe 5), pour les systèmes de l'annexe I

Quatre étapes mènent une entreprise américaine de l'inventaire au mandataire dans l'UE

1

Inventoriez vos systèmes d'IA

Listez les systèmes d'IA que vous mettez sur le marché de l'UE ou dont les sorties sont utilisées dans l'Union (article 2, paragraphe 1).

2

Classez le risque

Vérifiez chaque système au regard de l'article 5 et de l'annexe III. L'annexe III liste des usages, comme le recrutement et la notation de crédit. Les systèmes listés à l'annexe III sont à haut risque (article 6, paragraphe 2). L'article 6, paragraphe 3, énonce des conditions dans lesquelles un tel système n'est pas à haut risque.

3

Préparez la documentation technique

Pour les systèmes à haut risque, l'annexe IV liste neuf points de documentation technique. Les premiers sont : description générale, processus de développement, surveillance et contrôle, indicateurs de performance et gestion des risques. Les autres sont : modifications au fil du cycle de vie, normes appliquées, déclaration de conformité et système de surveillance après commercialisation. Tenez la documentation à jour (article 11, paragraphe 1).

4

Désignez un mandataire dans l'UE

Obligatoire avant de mettre un système à haut risque à disposition dans l'Union si vous êtes établi dans un pays tiers (article 22).

Le RGPD s'applique aussi hors de l'UE, mais sa règle de champ d'application diffère

Le RGPD s'applique aussi aux organismes hors de l'UE qui proposent des biens ou des services à des personnes dans l'Union ou suivent leur comportement (RGPD, article 3, paragraphe 2). La règle de champ d'application du règlement sur l'IA est différente : elle suit la mise sur le marché et l'utilisation des sorties dans l'Union (article 2, paragraphe 1).

Articles connexes

Sources et références

Questions fréquemment posées

Le règlement européen sur l'IA s'applique-t-il aux entreprises américaines ?

Oui, si vous mettez un système d'IA ou un modèle d'IA à usage général sur le marché de l'UE. Aussi si les sorties de votre système d'IA sont utilisées dans l'Union. Le fait d'être établi aux États-Unis n'y change rien (article 2, paragraphe 1, points a) et c)). Les exclusions de l'article 2 restent applicables. Par exemple l'usage militaire, de défense ou de sécurité nationale (article 2, paragraphe 3). Sont aussi exclus les systèmes d'IA développés uniquement à des fins de recherche scientifique (article 2, paragraphe 6).

Qu'est-ce que l'effet Bruxelles dans la régulation de l'IA ?

Anu Bradford a inventé le terme effet Bruxelles pour désigner le respect des normes européennes par les entreprises multinationales dans l'ensemble de leurs activités mondiales (source : Columbia Law School). La règle de champ d'application du règlement sur l'IA (article 2, paragraphe 1) atteint déjà les fournisseurs hors de l'UE.

Le règlement européen sur l'IA s'applique-t-il aux produits SaaS B2B ?

Oui, si le produit comprend un système d'IA et que vous le mettez sur le marché de l'UE ou que ses sorties sont utilisées dans l'Union (article 2, paragraphe 1). Vous êtes alors le fournisseur. Pour les systèmes à haut risque, le fournisseur doit mettre en place un système de gestion des risques (article 9). Il doit aussi établir une documentation technique (article 11) et faire réaliser une évaluation de la conformité (article 16, point f)). Ces obligations s'appliquent à partir du 2 décembre 2027 pour les systèmes de l'annexe III (article 113, troisième alinéa, point c)). L'évaluation de la conformité est le processus consistant à démontrer que les exigences du chapitre III, section 2, sont respectées (article 3, point 20). Les systèmes qui ne sont pas à haut risque n'ont pas les obligations des articles 9 à 15. Les articles 4 et 50 peuvent toujours s'appliquer.

Que se passe-t-il si une entreprise américaine ignore le règlement européen sur l'IA ?

Les amendes pour pratiques interdites atteignent 35 millions d'EUR ou 7 % du chiffre d'affaires annuel mondial. Le montant le plus élevé est retenu (article 99, paragraphe 3). Les manquements aux obligations des fournisseurs (article 16), des déployeurs (article 26) et à l'article 50 sont passibles d'amendes. Elles atteignent 15 millions d'EUR ou 3 % du chiffre d'affaires annuel mondial. Là aussi, le montant le plus élevé est retenu (article 99, paragraphe 4). Les PME sont les micro, petites ou moyennes entreprises (article 3, point 14 bis). Les PME, y compris les jeunes pousses, paient le plus faible du pourcentage et du montant fixe (article 99, paragraphe 6). Les petites entreprises à moyenne capitalisation (article 3, point 14 ter) paient aussi le montant le plus faible. Cela vaut pour les amendes de l'article 99, paragraphes 4 et 5 (article 99, paragraphe 6 bis). Lorsqu'un système présente un risque et se révèle non conforme, les autorités exigent une mesure corrective, un retrait ou un rappel (article 79). Les règles relatives aux systèmes à haut risque s'appliquent à partir du 2 décembre 2027 aux systèmes de l'annexe III. Ce sont celles du chapitre III, sections 1 à 3 (sauf l'article 6, paragraphe 5). Pour ceux de l'annexe I, elles s'appliquent à partir du 2 août 2028 (article 113, troisième alinéa, point c)). L'annexe I, section B, fait exception (article 2, paragraphe 2). Seuls s'y appliquent l'article 6, paragraphe 1, l'article 60 bis (essais en conditions réelles) et les articles 102 à 112 (dispositions finales). Les articles 57 à 59 (bacs à sable réglementaires d'IA) ne s'appliquent que dans la mesure où cette législation intègre les exigences relatives au haut risque.

Une entreprise américaine a-t-elle besoin d'un mandataire dans l'UE pour le règlement sur l'IA ?

Seulement pour les systèmes d'IA à haut risque (article 22) et les modèles d'IA à usage général (article 54). Les modèles open source sans risque systémique sont dispensés (article 54, paragraphe 6). Un fournisseur établi dans un pays tiers désigne le mandataire dans l'Union par mandat écrit avant de mettre le système ou le modèle à disposition. Le mandataire conserve les documents et fournit des informations aux autorités sur demande (article 22, paragraphe 3).

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.