Article 2 IA ACT : Champ d'application

Explication de l’article

L’article 2 du règlement européen sur l’intelligence artificielle explique qui doit respecter l’IA Act et dans quelles situations. Il définit le champ d’application du règlement, c’est-à-dire les personnes et organisations concernées et les systèmes d’IA qui entrent sous sa réglementation.

Qui est concerné ?

Fournisseurs : les entreprises ou personnes qui développent ou mettent sur le marché des systèmes d’IA.
Utilisateurs : les personnes ou organisations qui utilisent des systèmes d’IA.
Importateurs et distributeurs : ceux qui introduisent des systèmes d’IA dans l’Union européenne.

Où s’applique le règlement ?

Sur le territoire de l’Union européenne : tous les systèmes d’IA commercialisés ou utilisés dans l’UE sont soumis à l’IA Act.
Au-delà de l’UE : même si le fournisseur est situé en dehors de l’Europe, l’IA Act s’applique si le système d’IA produit des effets dans l’UE. Cela garantit que les citoyens européens sont protégés, peu importe l’origine du système.

L’article 2 assure que personne ne peut échapper aux règles de sécurité et de protection des droits fondamentaux simplement parce qu’il est basé hors de l’UE. Cela crée un cadre global de responsabilité pour tous les acteurs impliqués dans l’IA.

En résumé :
L’article 2 dit simplement que tout système d’IA utilisé ou vendu en Europe doit respecter les règles de l’IA Act, que son fournisseur soit européen ou non. Il protège ainsi les citoyens et assure une responsabilité claire pour tous les acteurs.

Notions clés à comprendre

Fournisseur (Provider) : Toute personne physique ou morale, autorité publique, agence ou autre organisme qui développe un système d’IA ou qui le fait développer et le place sur le marché ou le met en service sous son propre nom ou marque.

Utilisateur (Deployer) : Toute personne physique ou morale, autorité publique, agence ou autre organisme utilisant un système d’IA sous son autorité, exception faite des personnes physiques utilisant l’IA dans le contexte d’une activité non professionnelle.

Mise sur le marché (Placing on the market) : Première mise à disposition d’un système d’IA sur le marché de l’UE à titre gratuit ou onéreux.

Mise en service (Putting into service) : Fourniture d’un système d’IA pour utilisation directe par l’utilisateur ou pour usage personnel au sein de l’UE selon son objectif prévu.

Tiers Pays : Tout pays non membre de l’Union européenne. Le Règlement s’applique même si le fournisseur ou l’utilisateur y sont établis, si le résultat est utilisé dans l’UE.

Représentant autorisé : Personne établie dans l’Union mandatée par un fournisseur n’étant pas établi dans l’UE pour effectuer les obligations découlant du Règlement.

Responsabilité globale : Tous les acteurs impliqués dans l’IA sont responsables de respecter le règlement et de protéger les citoyens européens.

Exemple pratique

Scénario 1

Une entreprise américaine développe un logiciel d’IA capable de détecter automatiquement des fraudes financières. Elle veut vendre ce logiciel à des banques situées dans différents pays de l’Union européenne.

Sans règles claires, l’entreprise pourrait :

ignorer les obligations européennes de protection des données et de sécurité,
utiliser des méthodes de traitement des données qui ne respectent pas les droits des citoyens européens.
causer des dommages financiers ou juridiques aux utilisateurs européens sans être responsable.

Application de l’IA Act (article 2) :

Le logiciel d’IA est utilisé et commercialisé en Europe, donc il est soumis à l’IA Act, même si le fournisseur est basé aux États-Unis.

La banque, en tant qu’utilisateur, doit s’assurer que le logiciel respecte les normes de sécurité et de protection des données.

L’entreprise américaine, en tant que fournisseur, doit garantir que son IA est conforme au règlement et peut être contrôlée par les autorités européennes si nécessaire.

Les banques européennes sont ainsi protégées contre les IA non conformes.

Le fournisseur doit respecter les règles européennes, ce qui assure la sécurité et la fiabilité du système.

Les citoyens européens bénéficient d’une protection même si le logiciel provient d’un pays tiers.

Scénario 2

Un particulier français utilise ChatGPT pour rédiger ses courriers personnels ou ses messages privés.

L’article 2 précise que l’IA Act s’applique principalement aux activités professionnelles ou commerciales.

Comme cette utilisation est strictement personnelle et n’a aucun impact sur d’autres personnes ou sur le marché, elle n’est pas soumise au règlement.

L’utilisateur peut utiliser l’IA librement pour ses besoins privés. Le fournisseur de l’IA (ici ChatGPT) n’a pas à appliquer toutes les obligations strictes de l’IA Act pour ce type d’usage.

L’objectif de protection des citoyens reste centré sur les usages qui peuvent avoir des effets significatifs sur la société, les droits fondamentaux ou la sécurité.

Vous développez ou utilisez de l’IA, est-elle réellement concernée par l'IA Act ?

L’IA Act s’applique à de nombreux acteurs, y compris en dehors de l’Union européenne, avec certaines exceptions.

Vérifier si je suis concerné avec un expert

Texte original de l’IA Act

Article 2 – Champ d’application

1. Le présent règlement s’applique:

a) aux fournisseurs établis ou situés dans l’Union ou dans un pays tiers qui mettent sur le marché ou mettent en service des systèmes d’IA ou qui mettent sur le marché des modèles d’IA à usage général dans l’Union;

b) aux déployeurs de systèmes d’IA qui ont leur lieu d’établissement ou sont situés dans l’Union;

c) aux fournisseurs et aux déployeurs de systèmes d’IA qui ont leur lieu d’établissement ou sont situés dans un pays tiers, lorsque les sorties produites par le système d’IA sont utilisées dans l’Union;

d) aux importateurs et aux distributeurs de systèmes d’IA;

e) aux fabricants de produits qui mettent sur le marché ou mettent en service un système d’IA en même temps que leur produit et sous leur propre nom ou leur propre marque;

f) aux mandataires des fournisseurs qui ne sont pas établis dans l’Union;

g) aux personnes concernées qui sont situées dans l’Union.

2. En ce qui concerne les systèmes d’IA classés à haut risque conformément à l’article 6, paragraphe 1, liés aux produits couverts par la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section B, seuls l’article 6, paragraphe 1, l’article 60 bis, et les articles 102 à 112 s’appliquent. Les articles 57, 58 et 59 ne s’appliquent que dans la mesure où les exigences applicables aux systèmes d’IA à haut risque au titre du présent règlement ont été intégrées dans ladite législation d’harmonisation de l’Union.

3. Le présent règlement ne s’applique pas aux domaines qui ne relèvent pas du champ d’application du droit de l’Union et, en tout état de cause, ne porte pas atteinte aux compétences des États membres en matière de sécurité nationale, quel que soit le type d’entité chargée par les États membres d’exécuter des tâches liées à ces compétences.

Le présent règlement ne s’applique pas aux systèmes d’IA si et dans la mesure où ils sont mis sur le marché, mis en service ou utilisés avec ou sans modifications exclusivement à des fins militaires, de défense ou de sécurité nationale, quel que soit le type d’entité exerçant ces activités.

Le présent règlement ne s’applique pas aux systèmes d’IA qui ne sont pas mis sur le marché ou mis en service dans l’Union, lorsque les sorties sont utilisées dans l’Union exclusivement à des fins militaires, de défense ou de sécurité nationale, quel que soit le type d’entité exerçant ces activités.

4. Le présent règlement ne s’applique ni aux autorités publiques d’un pays tiers ni aux organisations internationales relevant du champ d’application du présent règlement en vertu du paragraphe 1, lorsque ces autorités ou organisations utilisent des systèmes d’IA dans le cadre de la coopération internationale ou d’accords internationaux de coopération des services répressifs et judiciaires avec l’Union ou avec un ou plusieurs États membres, à condition que ce pays tiers ou cette organisation internationale fournisse des garanties adéquates en ce qui concerne la protection des droits fondamentaux et des libertés des personnes.

5. Le présent règlement n’affecte pas l’application des dispositions relatives à la responsabilité des prestataires intermédiaires énoncées au chapitre II du règlement (UE) 2022/2065.

6. Le présent règlement ne s’applique pas aux systèmes d’IA ou aux modèles d’IA spécifiquement développés et mis en service uniquement à des fins de recherche et développement scientifiques, ni à leurs sorties.

7. Le droit de l’Union en matière de protection des données à caractère personnel, de respect de la vie privée et de confidentialité des communications s’applique aux données à caractère personnel traitées en lien avec les droits et obligations énoncés dans le présent règlement. Sans préjudice des articles 4 bis et 59 du présent règlement, le présent règlement n’a pas d’incidence sur le règlement (UE) 2016/679 ou le règlement (UE) 2018/1725, ni sur la directive 2002/58/CE ou la directive (UE) 2016/680.

8. Le présent règlement ne s’applique pas aux activités de recherche, d’essai et de développement relatives aux systèmes d’IA ou modèles d’IA avant leur mise sur le marché ou leur mise en service. Ces activités sont menées conformément au droit de l’Union applicable. Les essais en conditions réelles ne sont pas couverts par cette exclusion.

9. Le présent règlement s’entend sans préjudice des règles établies par d’autres actes juridiques de l’Union relatifs à la protection des consommateurs et à la sécurité des produits.

10. Le présent règlement ne s’applique pas aux obligations incombant aux déployeurs qui sont des personnes physiques utilisant des systèmes d’IA dans le cadre d’une activité strictement personnelle à caractère non professionnel.

11. Le présent règlement n’empêche pas l’Union ou les États membres de maintenir ou d’introduire des dispositions législatives, réglementaires ou administratives plus favorables aux travailleurs quant à la protection de leurs droits en ce qui concerne l’utilisation de systèmes d’IA par les employeurs, ou d’encourager ou de permettre l’application de conventions collectives plus favorables aux travailleurs.

12. Le présent règlement ne s’applique pas aux systèmes d’IA publiés dans le cadre de licences libres et ouvertes, sauf s’ils sont mis sur le marché ou mis en service en tant que systèmes d’IA à haut risque ou en tant que systèmes d’IA qui relèvent de l’article 5 ou de l’article 50.

13. Pour les systèmes d’IA à haut risque visés à l’article 6, paragraphe 1, l’application des exigences ou obligations spécifiques établies aux articles 9 à 15 et 17 à 25 peut être limitée lorsque et dans la mesure où:

a) la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section A, établit des exigences ou des obligations prévoyant un niveau de protection de la santé, de la sécurité ou des droits fondamentaux équivalent ou supérieur à celui prévu par l’exigence ou l’obligation concernée; et

b) une telle limitation ne réduit pas le niveau global de protection prévu par le présent règlement.

Au plus tard le 2 août 2027, la Commission adopte des actes délégués conformément à l’article 97 afin de compléter le présent règlement afin de préciser les systèmes d’IA à haut risque concernés, les exigences ou obligations qui peuvent être limitées, les conditions dans lesquelles cette limitation s’applique et la portée de la limitation.

Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.

Perspectives avec d’autres textes

Perspectives européennes

RGPD (Règlement Général sur la Protection des Données)
Le RGPD s’applique aux traitements de données personnelles, même si le fournisseur est hors de l’UE, tant que les données concernent des résidents européens. L’IA Act adopte un principe similaire mais va plus loin : il couvre tous les risques liés aux systèmes d’IA, pas seulement les données personnelles.

Directive sur le commerce électronique (2000/31/CE)
Cette directive fixe les responsabilités des fournisseurs en ligne. L’article 2 de l’IA Act complète ces règles en définissant des responsabilités spécifiques pour les fournisseurs de systèmes d’IA, qu’ils soient établis dans l’UE ou à l’étranger.

European AI Office (AI Act Service Desk)
La Commission européenne a créé un bureau d’aide pour accompagner l’application de l’IA Act dans toute l’UE. Il propose :

guides et lignes directrices,
recommandations pratiques,
outils pour aider surtout les PME à comprendre et appliquer la réglementation.

Perspectives françaises

Droit français des contrats de consommation (Code de la consommation)
La loi impose aux fournisseurs des obligations de sécurité et de conformité pour les produits vendus aux consommateurs. L’article 2 de l’IA Act étend ces obligations à tous les systèmes d’IA, notamment ceux utilisés dans un cadre professionnel.

CNIL fiches pratiques et recommandations sur l’IA

Notamment sur :

les responsabilités des acteurs tout au long de la chaîne de valeur de l’IA,
la compatibilité entre RGPD et IA Act,
des outils techniques pour aider à évaluer la conformité des systèmes d’IA.

L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne.

Menu IA Act

Besoin d’aide pour cet article ?

Comprendre les obligations liées à cet article et éviter les erreurs.

🔓 Échange confidentiel – Sans engagement