Nous vous aidons à mettre votre entreprise en conformité avec le règlement (UE) 2024/1689 : inventaire et classification de vos systèmes d’IA par niveau de risque, obligations de transparence, gouvernance et supervision humaine. Le règlement s’applique déjà par phases, l’AESIA contrôle déjà en Espagne et les sanctions peuvent atteindre 35 M€ ou 7 % du chiffre d’affaires. Nous vous disons quoi respecter et quand, avec le calendrier mis à jour après le Digital Omnibus.
Consultation gratuite
Nous vous répondons en moins de 24 h
Six volets pour passer du « nous utilisons l’IA sans contrôle » à un usage supervisé et documenté, défendable devant l’AESIA et aligné sur l’approche fondée sur les risques du règlement.
Nous identifions tous les systèmes d’IA que votre organisation utilise ou développe — y compris l’IA que vos salariés utilisent de leur propre initiative et les agents autonomes — avec leur finalité et les données traitées. Sans inventaire, impossible de démontrer la conformité.
Nous classons chaque système dans l’un des quatre niveaux de l’AI Act — inacceptable (interdit), haut risque, risque limité ou minimal — car de cette catégorie dépendent les obligations qui vous sont applicables et les délais à respecter.
Nous concevons la politique d’utilisation de l’IA, les rôles, une supervision humaine effective et la gestion des risques. Le règlement n’exige pas de « délégué à l’IA », mais exige des personnes disposant des connaissances suffisantes pour superviser.
Les obligations de transparence de l’article 50 (informer que l’on interagit avec une IA et marquer les contenus générés ou manipulés, y compris les deepfakes) s’appliquent depuis le 2 août 2026. Nous vous aidons à les mettre en œuvre.
L’IA et le RGPD vont de pair : l’AESIA et l’AEPD se partagent les compétences. Nous coordonnons l’usage de l’IA avec les bases juridiques, l’information des personnes concernées, la biométrie et le rôle du délégué à la protection des données.
Si vous utilisez l’IA pour le recrutement, le scoring de crédit, la biométrie ou l’éducation, elle est probablement à haut risque. Nous préparons la documentation technique, l’enregistrement, la supervision et la conformité avant les nouvelles échéances.
L’AI Act ne régule pas seulement ceux qui fabriquent de l’IA : il concerne toute entreprise de l’UE qui développe, commercialise ou simplement utilise des systèmes d’IA dans son activité, même si l’outil vient d’un tiers. L’AESIA contrôle déjà en Espagne.
« Si vous utilisez l’IA dans votre activité, vous êtes « responsable du déploiement » et vous avez des obligations, même si l’outil a été conçu par un autre. Et l’entreprise répond aussi de l’IA que ses salariés utilisent de leur propre initiative. »
« Les fournisseurs supportent les obligations les plus lourdes, surtout pour les systèmes à haut risque : gestion des risques, données, documentation technique, enregistrement, supervision humaine et conformité. »
« Le recrutement, le scoring de crédit, la biométrie, l’éducation ou l’accès aux services essentiels sont des usages à haut risque (annexe III) soumis à des obligations renforcées, même si leurs échéances ont été reportées avec le Digital Omnibus. »
« Si vous utilisez ChatGPT, Gemini ou une autre IA générative, les principales obligations incombent au fournisseur du modèle. La vôtre relève de la transparence : informer lorsque le contenu est généré par une IA et, si vous l’utilisez dans un contexte à haut risque, vous conformer en tant que deployer. »
Le régime de sanctions de l’AI Act dépasse en montant celui du RGPD. Et l’AESIA peut agir d’office, sans plainte préalable. Le principal risque de nombreuses entreprises est de ne même pas savoir quelle IA elles utilisent.
L’utilisation d’une IA interdite (manipulation subliminale, social scoring, certaines pratiques biométriques ou deepfakes à caractère sexuel) est sanctionnée par une amende pouvant atteindre 35 000 000 € ou 7 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu.
Le non-respect des obligations applicables aux systèmes à haut risque ou des obligations de transparence peut coûter jusqu’à 15 000 000 € ou 3 % du chiffre d’affaires. Les informations fausses transmises à l’autorité : jusqu’à 7,5 M€ ou 1 %.
Ne pas inventorier ni classer : si vous ne pouvez pas justifier quels systèmes d’IA vous utilisez, dans quel but et sous quels contrôles, vous ne pourrez pas démontrer votre conformité. La charge de la preuve, comme pour le RGPD, repose sur votre organisation.
Ne pas étiqueter les contenus d’IA : depuis août 2026, il faut informer de l’interaction avec une IA et marquer les contenus synthétiques. Ne pas le faire est une infraction, particulièrement sensible pour les médias, le marketing et les plateformes.
Responsabilité du fait de vos salariés : l’entreprise répond de l’usage de l’IA par ses collaborateurs, même non autorisé. « Je ne savais pas » ne dispense pas de la conformité.
L’Agence espagnole de supervision de l’IA est opérationnelle depuis février 2025, avec son propre corps d’inspection et un pouvoir de sanction sur les pratiques interdites. Elle peut adresser un avertissement et agir d’office.
Nous réalisons l’inventaire, classons vos systèmes par niveau de risque et vous disons exactement quoi respecter et pour quand, avec le calendrier mis à jour après le Digital Omnibus. Commencer maintenant coûte peu ; le faire en plein contrôle coûte cher.
L’AI Act est le règlement (UE) 2024/1689, la première législation globale au monde sur l’IA. Il s’applique à toute entreprise qui développe, commercialise ou utilise des systèmes d’IA dans l’Union européenne, même si l’outil provient d’un tiers. Il classe les systèmes en quatre niveaux de risque, avec des obligations proportionnées.
Oui, par phases. Les interdictions et la maîtrise de l’IA s’appliquent depuis février 2025 ; les règles relatives aux modèles à usage général et le régime de sanctions, depuis août 2025 ; et les obligations de transparence de l’article 50, depuis le 2 août 2026.
Le Digital Omnibus (accord de mai 2026) a reporté les obligations à haut risque : celles de l’annexe III à décembre 2027 et celles de l’annexe I à août 2028. Ces nouveaux délais prendront effet une fois formellement publiés.
Trois paliers : l’utilisation d’une IA interdite, jusqu’à 35 000 000 € ou 7 % du chiffre d’affaires mondial ; le non-respect des obligations à haut risque ou de transparence, jusqu’à 15 000 000 € ou 3 % ; et les informations fausses transmises à l’autorité, jusqu’à 7,5 M€ ou 1 %. Pour les PME et les startups, c’est le montant le plus bas qui s’applique, mais il n’y a pas d’exemption totale.
ChatGPT est un modèle à usage général (GPAI) : les principales obligations incombent à son fournisseur. La vôtre relève de la transparence : si vous générez un contenu présenté comme humain, vous devez en informer. Et si vous l’utilisez dans un contexte à haut risque (évaluation de salariés, décisions de crédit), ces obligations renforcées s’appliquent à vous en tant que responsable du déploiement.
Les systèmes dont l’usage peut affecter les droits ou la sécurité : recrutement, évaluation des salariés, scoring de crédit, biométrie, éducation, accès aux services essentiels ou IA intégrée dans des produits réglementés. Ils impliquent gestion des risques, documentation technique, enregistrement, supervision humaine et conformité.
Vous restez responsable du déploiement et avez des obligations propres : l’utiliser conformément à ses instructions, garantir une supervision humaine, informer les personnes concernées le cas échéant et surveiller son fonctionnement. L’ignorance n’exonère pas : si votre logiciel RH ou de crédit intègre une IA à haut risque, l’urgence est de la classer.
L’AI Act n’exige pas de figure équivalente au délégué à la protection des données. Il exige en revanche des personnes disposant des connaissances suffisantes pour superviser les systèmes (maîtrise de l’IA) et, pour le haut risque, une supervision humaine effective. En pratique, il est conseillé d’attribuer des responsabilités claires au sein de la compliance.
L’Agence espagnole de supervision de l’intelligence artificielle (AESIA), basée à La Corogne, est l’autorité de surveillance du marché de l’IA en Espagne et le point de contact avec le Bureau de l’IA de l’UE. Elle peut contrôler, exiger des documents, ordonner le retrait de systèmes non conformes et engager des procédures de sanction, y compris d’office.
En partie seulement, et la nuance est importante. Il reporte les obligations à haut risque (annexe III à décembre 2027 ; annexe I à août 2028), mais pas les interdictions, ni les règles sur les modèles à usage général, ni la transparence de l’article 50, qui reste fixée au 2 août 2026. Et il ajoute de nouvelles interdictions de deepfakes à caractère sexuel, avec effet en décembre 2026.
Oui. L’organisation est responsable de l’usage de l’IA dans son activité, y compris celle que ses salariés utilisent de leur propre initiative (la « shadow AI ») et les agents qu’elle déploie en interne. C’est pourquoi l’inventaire doit aussi couvrir cette IA qui échappe aujourd’hui au radar.
Les deux textes se recoupent. De nombreux systèmes d’IA traitent des données personnelles : il faut donc coordonner l’AI Act avec le RGPD et avec le délégué à la protection des données. En Espagne, l’AESIA et l’AEPD se partagent les compétences : l’AEPD conserve son rôle en matière de données et de biométrie.
Oui. Depuis août 2026, il faut informer de l’interaction avec une IA et marquer les contenus synthétiques (texte, image, audio et vidéo), avec des obligations spécifiques de marquage lisible par machine pour les fournisseurs à partir de décembre 2026. Cela concerne pleinement les médias, le marketing, les agences et les plateformes.
Oui, avec des nuances. Il existe une documentation simplifiée, des sanctions proportionnées et l’accès au sandbox réglementaire de l’AESIA pour tester des systèmes à haut risque dans un environnement supervisé. L’Omnibus étend certaines de ces facilités aux « small mid-caps ». Mais aucune entreprise n’est totalement exemptée.
En préparation. Le gouvernement a approuvé en mai 2026 le projet de loi organique pour la gouvernance de l’IA, qui adapte le règlement à l’ordre juridique espagnol et fixe les autorités et sanctions nationales. Il est encore en cours d’examen, mais les obligations de fond sont déjà exigibles via le règlement européen : inutile d’attendre la loi pour commencer.
L’AI Act est une réglementation fondée sur le risque : plus l’usage est risqué, plus les obligations sont nombreuses. Bien classer chaque système est l’étape qui conditionne tout le reste. Voici le tableau d’ensemble, avec le calendrier ajusté par le Digital Omnibus.
Les obligations, les délais et les sanctions dépendent du niveau de risque de chaque système. Un même logiciel peut être à haut risque ou à risque limité selon l’usage que vous en faites.
D’abord l’inventaire, puis la classification et l’analyse des écarts, et enfin la gouvernance et la documentation dont chaque système a besoin selon sa catégorie.
| Niveau de risque | Exemples | Obligations | Depuis quand |
|---|---|---|---|
| Inacceptable (interdit) | Manipulation subliminale, social scoring, certaines pratiques biométriques, deepfakes à caractère sexuel | Interdiction totale | Févr. 2025 (deepfakes sexuels : déc. 2026) |
| Risque élevé | Recrutement, scoring de crédit, biométrie, éducation, IA dans des produits réglementés | Gestion des risques, documentation, enregistrement, supervision humaine, conformité | Annexe III : déc. 2027 · Annexe I : août 2028 |
| Risque limité | Chatbots, assistants, IA générative, deepfakes non sexuels | Transparence : informer l’utilisateur et marquer le contenu | Août 2026 (marquage : déc. 2026) |
| Risque minimal | Filtres antispam, systèmes de recommandation, jeux vidéo, la plupart des usages | Pas d’obligations spécifiques ; bonnes pratiques volontaires | — |
Calendrier ajusté par le Digital Omnibus (accord de mai 2026, en attente de publication formelle) : les nouveaux délais pour le haut risque ne prennent effet qu’après leur publication au Journal officiel de l’UE. Cette page est informative et ne constitue pas un conseil juridique ; chaque système doit être analysé individuellement.
Le report du haut risque laisse du temps, mais ce n’est pas une excuse pour ne rien faire : le plus difficile n’est pas le modèle de documentation, mais de trouver et classer toute l’IA de l’organisation. Cela peut commencer dès maintenant.
Systèmes développés en interne, intégrés, achetés et ceux que vos salariés utilisent de leur propre initiative. Tout le reste dépend de l’inventaire.
La catégorie de risque de chaque système détermine les obligations et les délais. Un même modèle change de catégorie selon l’usage.
Politiques, supervision humaine et documentation. Si vous ne pouvez pas démontrer le contrôle, pour l’AESIA, c’est comme s’il n’existait pas.
Vous souhaitez l’intégrer à votre programme de conformité ? Étudiez-le avec le corporate compliance et le compliance officer externalisé.
Se conformer à l’AI Act ne consiste pas à signer un document : c’est un processus d’inventaire, de classification et de gouvernance qui doit pouvoir être démontré devant l’AESIA. Voici le parcours, de la découverte de l’IA que vous utilisez jusqu’au maintien des preuves dans le temps.
1) InventaireNous cartographions tous les systèmes d’IA : internes, intégrés, achetés et la « shadow AI » utilisée par les salariés, avec leur finalité et les données traitées.
2) ClassificationNous attribuons à chaque système son niveau — interdit, élevé, limité ou minimal — et le rôle de l’entreprise : fournisseur ou responsable du déploiement.
3) ÉcartsNous comparons chaque système avec ce que le règlement exige selon sa catégorie et nous hiérarchisons : ce qu’il faut retirer, corriger ou documenter, et pour quand.
4) Gouvernance + preuvesNous mettons en place la politique d’utilisation de l’IA, la supervision humaine, la transparence de l’article 50 et la documentation dont chaque système a besoin. Et nous préparons les preuves pour attester de la conformité devant l’AESIA.
Décision rapideRetirez-le ou repensez-le dès maintenant : les interdictions de l’article 5 s’appliquent depuis 2025.
Documentation, enregistrement et supervision ; préparation en vue de décembre 2027 / août 2028.
Transparence et marquage du contenu synthétique à partir d’août / décembre 2026.
Connaître tous les systèmes d’IA utilisés ou développés, y compris la shadow AI.
Registre des systèmes avec finalité, données, rôle et fournisseur.
Attribuer le niveau de risque et le rôle (fournisseur ou responsable du déploiement).
Matrice de classification et justification par système.
Informer de l’interaction avec une IA et marquer le contenu généré ou manipulé.
Avertissements dans l’interface et marquage lisible par machine du contenu synthétique.
Gestion des risques, données, supervision humaine, enregistrement et conformité.
Documentation technique, enregistrement dans la base de données et évaluation de la conformité.
Coordonner l’usage de l’IA avec le RGPD et les droits des personnes concernées.
Bases juridiques, information des personnes concernées et coordination avec le DPO.
Repérez-les avant que l’AESIA ne le fasse.
Si vous mettez votre entreprise en conformité avec le règlement sur l’IA, ces termes apparaissent dans la classification, dans la documentation et dans la relation avec l’AESIA.
Logiciel qui, avec une certaine autonomie, génère des résultats (prédictions, recommandations, décisions, contenus) influençant son environnement. C’est l’unité que l’on inventorie et classe.
Usages prohibés : manipulation subliminale, social scoring, certaines pratiques biométriques et deepfakes à caractère sexuel. Ils ne peuvent être ni proposés ni utilisés. En vigueur depuis février 2025.
Usages affectant les droits ou la sécurité (RH, crédit, biométrie, éducation). Obligations renforcées, avec des échéances reportées par le Digital Omnibus.
Modèles comme ceux de ChatGPT ou Gemini, utilisables pour de multiples tâches. Les principales obligations incombent à leur fournisseur ; l’utilisateur assume la transparence et, le cas échéant, le haut risque.
Informer que l’on interagit avec une IA et marquer le contenu généré ou manipulé (y compris les deepfakes). Non reportées : en vigueur depuis le 2 août 2026.
Le fournisseur développe ou commercialise le système ; le responsable du déploiement (deployer) l’utilise dans son activité. Chaque rôle a des obligations différentes et la plupart des entreprises sont des deployers.
Autorité de surveillance du marché de l’IA en Espagne, basée à La Corogne et point de contact avec le Bureau de l’IA de l’UE. Elle contrôle et sanctionne, y compris d’office.
Espace supervisé par l’AESIA où tester des systèmes d’IA innovants — y compris à haut risque — avant leur lancement, particulièrement utile pour les PME et startups.
Marque lisible par machine qui identifie le contenu généré ou manipulé par une IA, pour distinguer le réel du synthétique. Obligation des fournisseurs à partir de décembre 2026.
Téléchargez le guide avec l’essentiel pour vous conformer : à qui le règlement s’impose, les quatre niveaux de risque, le calendrier mis à jour après le Digital Omnibus, les obligations de transparence, l’AESIA et le régime de sanctions.
Dites-nous quelle IA utilise votre entreprise et nous vous indiquons si l’AI Act s’applique à vous, à quel niveau de risque correspondent vos systèmes et ce que vous devez respecter, avec le calendrier à jour et le moindre effort possible.
L’AI Act est le règlement (UE) 2024/1689, première législation globale au monde sur l’intelligence artificielle, en vigueur depuis août 2024 et d’application échelonnée. Il adopte une approche fondée sur les risques : il classe les systèmes en quatre niveaux et impose des obligations proportionnées. En Espagne, l’autorité de surveillance est l’AESIA (Agence espagnole de supervision de l’intelligence artificielle), basée à La Corogne, qui partage ses compétences avec l’AEPD et les autorités sectorielles. Le régime de sanctions peut atteindre 35 millions d’euros ou 7 % du chiffre d’affaires.
Le Digital Omnibus (accord politique de mai 2026, soutenu par le Parlement en juin et en attente d’adoption formelle) reporte les obligations à haut risque : celles de l’annexe III à décembre 2027 et celles de l’annexe I à août 2028. En revanche, les interdictions de l’article 5, les règles sur les modèles à usage général et la transparence de l’article 50 (applicable depuis le 2 août 2026) ne sont pas reportées, et de nouvelles interdictions de deepfakes à caractère sexuel sont ajoutées, avec effet en décembre 2026. Les nouveaux délais ne prennent effet qu’après leur publication au Journal officiel de l’UE.
Le gouvernement a approuvé en mai 2026 le projet de loi organique pour le bon usage et la gouvernance de l’IA, qui adapte le règlement à l’ordre juridique espagnol et fixe les autorités et le régime de sanctions nationaux. Il est encore en cours d’examen, mais les obligations de fond sont déjà exigibles via le règlement européen : l’AESIA peut déjà adresser des avertissements et contrôler, il est donc déconseillé d’attendre son adoption pour commencer à vous conformer.
Vous pouvez consulter les textes et l’autorité compétente à leurs sources officielles : le règlement (UE) 2024/1689 (EUR-Lex) et l’Agence espagnole de supervision de l’intelligence artificielle (AESIA). Cette page est informative et ne constitue pas un conseil juridique ; chaque système d’IA doit être analysé individuellement.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .