Réglementation de l’IA comparée : UE, USA, UK, Chine (2026)

Si votre produit d’IA sert des personnes dans plusieurs pays, vous n’avez pas affaire à un seul cadre réglementaire, vous en avez plusieurs. Le règlement sur l’IA de l’Union, la mosaïque des règles sectorielles et des lois d’États aux États-Unis, l’approche adaptative menée par les régulateurs du Royaume-Uni, et les règlements chinois centrés sur le contenu et contrôlés par l’État répondent chacun, de façon fondamentalement différente, à la même question : comment les gouvernements doivent-ils encadrer les risques et les bénéfices de l’intelligence artificielle ?

Pour les entreprises qui développent ou déploient des systèmes d’IA au-delà des frontières, les écarts ne sont pas académiques. Un algorithme d’embauche parfaitement licite à Singapour peut exiger une évaluation de la conformité à Bruxelles, un audit algorithmique à New York, et un dépôt obligatoire auprès de l’Administration du cyberespace de Chine. Comprendre ces divergences, et les zones de convergence qui s’élargissent, est indispensable pour toute organisation qui veut une stratégie de conformité mondiale tenable.

Les régimes sectoriels se superposent ensuite à ces cadres. Le plus exigeant dans l’Union est celui des dispositifs médicaux, où le règlement sur l’IA rencontre le MDR/IVDR : voir Mon IA médicale est-elle à haut risque ? et le pôle IA santé.

Ce guide compare en détail, côte à côte, les quatre régimes d’IA les plus lourds de conséquences au monde, et indique comment construire un seul programme de conformité qui satisfait plusieurs juridictions en même temps. Si le règlement sur l’IA de l’Union vous est encore nouveau, commencez par notre guide complet du règlement sur l’IA avant d’entrer dans cette comparaison mondiale.

Mise à jour du 30 juillet 2026. Prend en compte le Digital Omnibus du règlement sur l’IA (règlement (UE) 2026/1744), publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026. Il reporte le haut risque autonome (annexe III) au 2 décembre 2027 et le haut risque intégré (annexe I) au 2 août 2028 ; la transparence de l’article 50 n’a pas été reportée et s’applique depuis le 2 août 2026. Détail : Ce qui s’applique réellement le 2 août 2026.

Mise à jour de juillet 2026 : le Digital Omnibus est désormais le droit applicable

Le développement le plus lourd de conséquences depuis la publication d’origine de ce guide est le paquet Digital Omnibus du règlement sur l’IA, règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026. Pour qui planifie sur plusieurs juridictions, quatre points comptent :

1. L’échéance à haut risque a bougé d’août 2026 à décembre 2027. Les systèmes à haut risque autonomes (annexe III) sont désormais reportés au 2 décembre 2027, et l’IA intégrée dans des produits sectoriels (dispositifs médicaux, machines, automobile) du 2 août 2027 au 2 août 2028. Ce sont des dates de calendrier contraignantes.
2. La transparence n’a pas bougé. Les devoirs de marquage des contenus de synthèse au titre de l’article 50 s’appliquent toujours depuis le 2 août 2026 (inchangé par l’Omnibus). Les systèmes déjà mis sur le marché avant cette date bénéficient, pour le seul marquage, d’un délai jusqu’au 2 décembre 2026 (article 111, paragraphe 4, du règlement (UE) 2026/1744), la même date transitoire que la nouvelle interdiction de l’article 5 visant l’imagerie intime non consentie générée par IA (applications dites « nudifier ») et le matériel d’abus sexuel sur mineurs généré par IA. Si vous livrez de l’IA générative sur le marché de l’Union, traitez la question de conformité du filigrane comme un problème de 2026, pas de 2027.
3. Les allègements PME et petites entreprises à moyenne capitalisation sont plus larges. Les entreprises de moins de 750 salariés et de 150 millions d’euros de chiffre d’affaires voient des obligations réduites sur la documentation, l’évaluation de la conformité et la surveillance après mise sur le marché. Cela resserre, sans le supprimer, l’écart de charge réglementaire entre l’Union et le Royaume-Uni pour les jeunes pousses.
4. Une base étroite pour le traitement de données aux fins de détection des biais a été ajoutée. L’Omnibus insère un nouvel article 4 bis dans le règlement sur l’IA, qui autorise le traitement de catégories particulières de données spécifiquement pour détecter et corriger les biais, avec des garanties. Cela ne modifie pas le RGPD lui-même.

Notez que la transparence de l’article 50, les obligations des modèles GPAI et les pouvoirs de contrôle du bureau de l’IA s’appliquent toujours depuis le 2 août 2026 : l’Omnibus ne les a pas déplacés. La posture opérationnelle pour le reste de 2026 : la transparence et le marquage de contenu sont en vigueur maintenant ; le travail de conformité à haut risque a davantage de piste.

L’essentiel, la réglementation mondiale de l’IA en un coup d’œil

• Aucune des grandes juridictions ne réglemente l’IA de la même façon. L’Union a un droit horizontal complet. Les États-Unis s’appuient sur les agences existantes et des cadres volontaires. Le Royaume-Uni délègue aux régulateurs sectoriels. La Chine adopte, vite, des règlements étroitement ciblés.
• Le règlement sur l’IA a la portée extraterritoriale la plus large. Il s’applique à toute entreprise qui met un système d’IA sur le marché de l’Union ou dont la sortie du système est utilisée dans l’Union, quel que soit le siège, sur le modèle de la portée mondiale du RGPD.
• Les États-Unis n’ont pas de loi fédérale unique sur l’IA. La conformité dépend de l’agence fédérale qui surveille votre secteur (FDA, SEC, FTC, EEOC) et des États dans lesquels vous opérez (le Colorado, l’Illinois, New York City ont chacun des exigences distinctes liées à l’IA).
• Le Royaume-Uni évite délibérément un texte unique sur l’IA. À la place, les régulateurs existants, FCA, ICO, Ofcom, CMA, appliquent cinq principes transversaux dans leurs mandats déjà en vigueur.
• La Chine réglemente directement le contenu et les algorithmes d’IA. Trois règlements contraignants encadrent déjà les recommandations algorithmiques, les hypertrucages et l’IA générative, avec des dépôts gouvernementaux obligatoires.
• Stratégie pratique : construisez selon le règlement sur l’IA comme référentiel le plus exigeant, puis rattachez les exigences propres à chaque juridiction en vous servant du NIST AI RMF et de l’ISO 42001 pour combler les écarts.

Les quatre grandes approches réglementaires

Avant d’examiner chaque juridiction en détail, le tableau ci-dessous compare, à haut niveau, les quatre grands régimes d’IA tels qu’ils se présentent en 2026.

Ce tableau fait apparaître une vérité simple : il n’existe pas de « réglementation mondiale de l’IA » unique. Chaque juridiction reflète des priorités politiques différentes, protection des consommateurs, promotion de l’innovation, contrôle du contenu, ou droits fondamentaux, et les organisations qui opèrent à l’international doivent naviguer dans toutes.

Union européenne : une réglementation complète fondée sur le risque

Le règlement sur l’IA (règlement (UE) 2024/1689) est le premier cadre juridique complet et contraignant au monde pour l’intelligence artificielle. Il est entré en vigueur le 1er août 2024. Les obligations s’appliquent par vagues à compter de février 2025 ; le haut risque autonome de l’annexe III s’applique à compter du 2 décembre 2027 et l’annexe I (dont les dispositifs médicaux) à compter du 2 août 2028, après le Digital Omnibus. Pour un calendrier détaillé, voir notre liste de contrôle de conformité au règlement sur l’IA pour 2026.

Classification à quatre paliers fondée sur le risque

Le règlement classe les systèmes d’IA en quatre paliers selon le risque qu’ils font peser sur la santé, la sécurité et les droits fondamentaux :

Les règles de classification sont fixées à l’article 6, et les pratiques interdites sont définies à l’article 5. Si vous n’êtes pas sûr de la classification de votre système, notre outil gratuit de classification des risques peut vous aider à déterminer vos obligations en moins de cinq minutes.

Portée extraterritoriale, l’« effet Bruxelles »

L’un des traits les plus lourds de conséquences du règlement est sa portée extraterritoriale, définie à l’article 2. Le règlement s’applique :

• Aux fournisseurs (ceux qui développent) de systèmes d’IA mis sur le marché de l’Union ou mis en service dans l’Union, quel que soit le lieu d’établissement du fournisseur.
• Aux déployeurs de systèmes d’IA qui sont situés dans l’Union.
• Aux fournisseurs et déployeurs situés dans des pays tiers lorsque la sortie produite par le système d’IA est utilisée dans l’Union.

Cela signifie qu’une entreprise établie aux États-Unis qui construit un outil d’embauche par IA utilisé par un employeur allemand doit se conformer au règlement sur l’IA, même sans bureau, serveur ni salarié dans l’Union. Cela reprend le modèle extraterritorial du RGPD et on s’attend largement à un « effet Bruxelles » : les entreprises construiront selon le standard de l’Union à l’échelle mondiale plutôt que de tenir des programmes de conformité séparés par marché.

Obligations des modèles GPAI

Le règlement a créé une catégorie séparée pour les modèles d’IA à usage général (GPAI), modèles de fondation et grands modèles de langue adaptables à de nombreuses tâches en aval. Au titre de l’article 51, les fournisseurs de modèles GPAI doivent :

• Tenir et mettre à disposition une documentation technique, y compris les processus d’entraînement et d’essai.
• Fournir des informations et une documentation aux fournisseurs en aval qui intègrent le modèle GPAI dans leurs systèmes d’IA.
• Établir une politique de respect du droit d’auteur, y compris la directive de l’Union sur le droit d’auteur.
• Publier un résumé suffisamment détaillé des données d’entraînement.

Les modèles GPAI présentant un risque systémique, aujourd’hui définis comme les modèles entraînés avec plus de 10²⁵ FLOP de calcul, font face à des obligations supplémentaires, dont des essais contradictoires, le signalement d’incidents et des mesures de cybersécurité. Pour un détail complet des obligations GPAI, voir notre guide des obligations des modèles d’IA à usage général.

Contrôle et sanctions

Le régime de sanctions du règlement sur l’IA est parmi les plus stricts au monde. Les amendes maximales sont :

• 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques d’IA interdites.
• 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial pour les manquements aux exigences à haut risque.
• 7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial pour la communication d’informations inexactes aux autorités.

Le contrôle se partage entre le bureau de l’IA de l’Union (pour les obligations des modèles GPAI) et les autorités nationales compétentes désignées par chaque État membre. L’architecture de contrôle est détaillée à l’article 99.

Pourquoi cela compte

Le règlement sur l’IA compte au-delà des frontières européennes par son échelle et son ambition. Avec 450 millions de consommateurs dans le marché unique et une tradition réglementaire qui a déjà remodelé la protection mondiale des données (RGPD) et la sécurité des produits, le règlement est en position de devenir le socle mondial de fait de la gouvernance de l’IA. Les entreprises qui s’y conforment trouveront nettement plus simple de satisfaire les exigences de la plupart des autres juridictions.

Pour les jeunes pousses et les PME qui doivent opérationnaliser cela sans budget de grand cabinet, notre comparaison des meilleurs logiciels de conformité au règlement sur l’IA dresse les options concrètes.

États-Unis : sectoriel, et l’innovation d’abord

Les États-Unis abordent la réglementation de l’IA de façon fondamentalement différente : plutôt que d’adopter une loi unique et complète, ils s’appuient sur les agences fédérales existantes, des cadres volontaires, et un paysage législatif des États de plus en plus actif. La philosophie sous-jacente privilégie l’innovation et la compétitivité économique, avec une réglementation ciblée sur des préjudices précis plutôt que sur l’IA comme catégorie technologique.

Pas de loi fédérale complète sur l’IA

En mai 2026, les États-Unis n’ont pas de statut fédéral horizontal et contraignant comparable au règlement sur l’IA. La gouvernance fédérale de l’IA est façonnée par :

• Les Executive Orders : l’Executive Order 14110 de l’ère Biden (octobre 2023), qui établissait des devoirs d’information pour les développeurs de modèles d’IA puissants, a été abrogé en janvier 2025 et remplacé par l’Executive Order 14179, « Removing Barriers to American Leadership in Artificial Intelligence », qui a fait basculer la politique fédérale vers la déréglementation. En décembre 2025, le président Trump a pris un nouvel ordre visant un cadre national de politique pour l’intelligence artificielle, chargeant le ministre de la Justice d’établir un groupe de travail contentieux sur l’IA pour contester les lois d’États jugées incompatibles avec la politique fédérale. Cela illustre à quel point la politique fédérale américaine sur l’IA dépend de l’action exécutive : les ordres peuvent être modifiés ou abrogés par les administrations suivantes.
• NIST AI RMF 1.0 : publié en janvier 2023, l’AI RMF offre une approche volontaire et structurée de la gestion des risques d’IA tout au long du cycle de vie. Il organise la gestion des risques en quatre fonctions, Govern, Map, Measure, Manage, et est devenu le référentiel principal pour les organisations qui cherchent une approche systématique de la gouvernance de l’IA aux États-Unis.
• Les orientations propres à chaque agence : les agences ont publié, dans leurs mandats existants, des orientations contraignantes ou semi-contraignantes, sans attendre une nouvelle législation.

Paysage de contrôle des agences fédérales

La conséquence concrète : la conformité IA aux États-Unis dépend du secteur. Une entreprise d’IA de santé fait face à la FDA ; une plateforme d’embauche par IA, au regard de l’EEOC ; un agent conversationnel tourné vers le public entre dans le champ de la FTC. Les organisations doivent identifier quelles agences ont autorité sur leur cas d’usage précis.

Lois d’États, la mosaïque qui se dessine

L’activité législative la plus significative aux États-Unis se joue au niveau des États. Plusieurs États ont adopté ou font avancer une législation propre à l’IA :

• Colorado AI Act : signé à l’origine le 17 mai 2024 comme première loi d’État américaine complète réglementant les « high-risk AI systems » dans les décisions lourdes de conséquences, il a été substantiellement modifié en 2026 (le gouverneur Polis a signé l’amendement le 14 mai 2026). L’amendement reporte la date d’application du 30 juin 2026 au 1er janvier 2027 et resserre le champ sur la divulgation des technologies de prise de décision automatisée (ADMT), un avis avant usage, une information après décision défavorable, et un jeu limité de droits pour les personnes. Le devoir de diligence d’origine, le programme de gestion des risques et les exigences d’analyse d’impact ont été retirés.
• New York City Local Law 144 : exige des audits de biais annuels pour les outils automatisés de décision d’emploi utilisés par des employeurs à New York City. Les résultats d’audit doivent être publiés.
• Illinois Biometric Information Privacy Act (BIPA) : bien que non propre à l’IA, les exigences strictes de consentement du BIPA pour la collecte de données biométriques touchent directement les systèmes d’IA qui recourent à la reconnaissance faciale, à l’analyse d’empreinte vocale ou à d’autres traitements biométriques.
• California SB 53 (TFAIA) : le projet californien très visible sur la sécurité des grands modèles d’IA, SB 1047, a été opposé par le gouverneur Newsom en septembre 2024. Le texte californien actuel sur l’IA de frontière est SB 53, le Transparency in Frontier Artificial Intelligence Act (TFAIA), signé en septembre 2025 et applicable au 1er janvier 2026. Il exige des développeurs de frontière qu’ils publient des cadres de gouvernance et des rapports de transparence, signalent les incidents de sécurité critiques, et étend les protections des lanceurs d’alerte. La Californie reste l’État le plus actif en politique d’IA, avec des mesures supplémentaires sur le filigrane et l’information des hypertrucages.
• Texas TRAIGA (HB 149) : le Texas Responsible Artificial Intelligence Governance Act, signé en juin 2025 et applicable au 1er janvier 2026, interdit l’IA utilisée pour manipuler le comportement humain, capter des identifiants biométriques sans consentement, pratiquer une discrimination illicite, ou générer certains contenus explicites, et ajoute des devoirs d’information pour les agences d’État plus un bac à sable réglementaire. Le contrôle appartient exclusivement au procureur général du Texas.

La mosaïque des États crée une complexité de conformité pour les entreprises qui opèrent à l’échelle nationale. Une entreprise qui déploie le même système d’IA à New York, au Colorado et en Illinois peut faire face à trois jeux distincts d’obligations, audits de biais, analyses d’impact et consentement biométrique, dont aucun n’est harmonisé.

NIST AI RMF

Bien que volontaire, le NIST AI RMF est devenu ce qui se rapproche le plus d’un standard national de conformité IA aux États-Unis. Ses quatre fonctions centrales se rattachent raisonnablement bien aux exigences du règlement sur l’IA :

Les organisations qui construisent un cadre de gouvernance rattachant le NIST AI RMF aux exigences du règlement sur l’IA sont bien placées pour démontrer la conformité dans les deux juridictions.

Royaume-Uni : une gouvernance adaptative menée par les régulateurs

Le Royaume-Uni a délibérément choisi de ne pas adopter de texte unique sur l’IA équivalent au règlement de l’Union. À la place, le gouvernement britannique a publié un livre blanc pro-innovation sur l’IA en mars 2023, qui pose un cadre de principes que les régulateurs sectoriels existants sont censés appliquer dans leurs domaines.

Cinq principes transversaux

L’approche britannique repose sur cinq principes que tous les régulateurs sectoriels sont censés interpréter et faire appliquer :

1. Sûreté, sécurité et robustesse, les systèmes d’IA devraient fonctionner de façon fiable et sûre.
2. Transparence et explicabilité appropriées, les personnes devraient comprendre quand elles interagissent avec une IA et comment les décisions sont prises.
3. Équité, l’IA ne devrait pas produire de résultats discriminatoires ni miner des droits légaux.
4. Responsabilité et gouvernance, des lignes claires de responsabilité doivent exister pour les résultats de l’IA.
5. Contestabilité et voies de recours, les personnes devraient pouvoir contester les décisions fondées sur l’IA qui les affectent.

Ces principes sont volontairement de haut niveau et non prescriptifs. Le gouvernement a dit explicitement qu’il ne veut pas créer un cadre réglementaire rigide, unique pour tous, au motif que les régulateurs sectoriels sont mieux placés pour comprendre les risques précis que l’IA pose dans leurs domaines.

Régulateurs sectoriels et DRCF

Les régulateurs suivants sont chargés d’appliquer les cinq principes d’IA :

Le Digital Regulation Cooperation Forum (DRCF), qui réunit l’ICO, la FCA, l’Ofcom et la CMA, coordonne les questions réglementaires transversales d’IA pour éviter des orientations contradictoires.

AI Safety Institute

Le Royaume-Uni a créé l’AI Safety Institute (AISI) en novembre 2023, d’abord centré sur les évaluations des modèles d’IA de frontière. L’AISI mène des essais avant déploiement de modèles d’IA avancés, publie des appréciations de sûreté, et contribue aux normes internationales de sûreté de l’IA. L’AISI n’a pas de pouvoir de contrôle réglementaire, mais ses évaluations pèsent et sont de plus en plus citées dans les cadres d’achat et de gouvernance.

Pro-innovation contre précaution

L’approche britannique est explicitement favorable à l’innovation, par contraste avec la posture plus précautionneuse de l’Union. Les écarts clés :

L’approche britannique a des avantages de souplesse et de vitesse d’adaptation, mais crée de l’incertitude pour les entreprises qui préfèrent des règles claires, codifiées. Elle crée aussi un risque de fragmentation réglementaire si les régulateurs sectoriels interprètent les cinq principes de façon incohérente.

Chine : contrôlée par l’État et centrée sur le contenu

La Chine a pris l’approche la plus ciblée et la plus rapide de la réglementation de l’IA, en adoptant une série de règlements contraignants qui visent des applications précises, surtout celles qui touchent au contrôle du contenu, à la stabilité sociale et à la souveraineté des données. Contrairement au modèle complet de l’Union ou à l’approche fragmentée des États-Unis, la stratégie chinoise consiste à réglementer vite, et de façon itérative, des cas d’usage précis.

Trois règlements contraignants sur l’IA

La Chine a adopté trois grands règlements propres à l’IA en succession rapide :

Chaque règlement est administré par l’Administration du cyberespace de Chine (CAC), souvent conjointement avec le ministère de la Science et de la Technologie et le ministère de l’Industrie et des Technologies de l’information.

Exigences réglementaires clés

Les règlements chinois sur l’IA partagent plusieurs traits distinctifs :

• Dépôt algorithmique obligatoire : les organisations qui déploient des systèmes de recommandation algorithmique ou des services d’IA générative en Chine doivent enregistrer leurs algorithmes auprès de la CAC via le système de dépôt des algorithmes. Cela inclut de divulguer la logique de base, la destination et les mécanismes de fonctionnement de l’algorithme.
• Obligations de contrôle du contenu : le contenu généré par IA doit respecter les « valeurs socialistes fondamentales » et ne peut pas contenir de contenu qui subvertit le pouvoir de l’État, mine l’unité nationale, fait la promotion du terrorisme, ou viole d’autres restrictions de contenu. C’est un objectif réglementaire fondamentalement différent de l’accent de l’Union sur les droits fondamentaux ou de celui des États-Unis sur la protection des consommateurs.
• Étiquetage et filigrane : le règlement sur la synthèse profonde exige que le contenu généré par IA soit clairement indiqué, y compris par un filigrane technique. Cela parallèle les obligations de transparence de l’article 50 du règlement sur l’IA, mais pour d’autres motifs de politique publique.
• Évaluations de sécurité : les services d’IA générative doivent passer une évaluation de sécurité avant d’être mis à disposition du public, y compris l’appréciation des sources de données d’entraînement et de la sûreté des sorties.
• Souveraineté des données : les données d’entraînement doivent respecter la loi chinoise sur la protection des informations personnelles (PIPL) et la loi sur la sécurité des données (DSL). Les transferts transfrontières de données font face à des restrictions strictes, surtout pour les données classées comme « importantes » ou impliquant des informations personnelles de résidents chinois.

Crédit social et gouvernance algorithmique

Les règlements chinois sur l’IA s’inscrivent dans le contexte plus large du système de crédit social et de l’infrastructure de gouvernance numérique. Les systèmes de recommandation algorithmique utilisés par les plateformes internet, des suggestions de produits du commerce électronique au classement des fils d’actualité, sont soumis à des droits pour les personnes, dont la possibilité de refuser les recommandations personnalisées et de demander des explications des décisions algorithmiques.

Si ces dispositions ont, en surface, des airs de parenté avec les exigences européennes de transparence, elles opèrent dans un cadre où l’État conserve le pouvoir de diriger les résultats algorithmiques au nom de la stabilité sociale.

Implications pour les entreprises étrangères

Les entreprises étrangères qui offrent des services d’IA accessibles en Chine font face à des obligations réglementaires directes. Le règlement sur l’IA générative s’applique aux services « fournis au public sur le territoire de la République populaire de Chine », ce qui inclut les services d’IA en nuage accessibles par des personnes en Chine. La conformité exige :

• Un dépôt algorithmique auprès de la CAC.
• La conformité des données d’entraînement à la PIPL et à la DSL.
• Des sorties de contenu alignées sur les règlements chinois de contenu.
• La coopération aux inspections et audits réglementaires.

Pour beaucoup d’entreprises occidentales, satisfaire les exigences chinoises de contrôle du contenu crée un conflit direct avec les attentes réglementaires de l’Union et des États-Unis autour de la liberté d’expression et de la non-discrimination. C’est l’un des aspects les plus difficiles d’une vraie conformité IA multi-juridictions.

Autres juridictions notables

Au-delà des quatre grands régimes, plusieurs autres juridictions élaborent activement des cadres de gouvernance de l’IA :

Les principes de l’OCDE sur l’IA méritent une mention particulière : ils sont ce qui se rapproche le plus d’un consensus mondial sur la gouvernance de l’IA. Endossés par plus de 46 pays, dont tous les membres du G7, les principes, valeurs centrées sur l’humain, transparence, robustesse, responsabilité et croissance inclusive, ont directement influencé à la fois le règlement sur l’IA et le NIST AI RMF.

Portée extraterritoriale : quand le droit étranger vous atteint

L’une des questions les plus concrètes pour toute entreprise qui déploie de l’IA au-delà des frontières est : quels droits étrangers s’appliquent à moi ? La réponse dépend du règlement précis et de la nature de vos activités.

Point essentiel sur la portée extraterritoriale

Le règlement sur l’IA et les règlements chinois ont la portée extraterritoriale la plus large. Si votre système d’IA est utilisé par des résidents de l’Union ou accessible à des personnes en Chine, vous êtes vraisemblablement soumis aux règles de ces juridictions, quel que soit le siège de votre entreprise. Les règlements américains sont surtout territoriaux, mais des lois d’États comme le Colorado AI Act peuvent atteindre des entreprises qui servent des résidents de ces États. Les règlements britanniques sont largement territoriaux, s’appliquant aux déployeurs au Royaume-Uni, mais le contrôle de la protection des données par l’ICO a une dimension extraterritoriale via le RGPD britannique.

Stratégie pratique de conformité multi-juridictions

Construire des programmes de conformité séparés pour chaque juridiction n’est pas tenable pour la plupart des organisations. L’approche plus efficace est de construire un seul programme de conformité en couches, ancré sur le référentiel le plus exigeant, le règlement sur l’IA, puis d’ajouter les exigences propres à chaque juridiction selon le besoin.

Étape 1 : ancrez-vous sur le règlement sur l’IA

Le règlement sur l’IA impose les exigences les plus complètes et les plus prescriptives de toute réglementation actuelle de l’IA. Une organisation qui s’y conforme pleinement aura traité par défaut environ 70 à 80 % des exigences des autres juridictions, parce que le règlement exige :

• Classification et gestion des risques (article 6, article 9)
• Documentation technique (article 11)
• Mécanismes de contrôle humain (article 14)
• Transparence envers les personnes (article 50)
• Exactitude, robustesse et cybersécurité (article 15)
• Systèmes de gestion de la qualité (article 17)
• Surveillance après mise sur le marché (article 72)
• Évaluation de la conformité (article 43)

Étape 2 : rattachez le NIST AI RMF pour combler les écarts propres aux États-Unis

Les organisations qui opèrent aux États-Unis devraient rattacher leur documentation de conformité au règlement sur l’IA à la structure du NIST AI RMF. Parce que le NIST est volontaire, l’objectif n’est pas la conformité juridique mais de démontrer une diligence raisonnable aux régulateurs américains en cas d’action de contrôle ou de contentieux. Un cadre de gouvernance de l’IA solide devrait traiter les deux.

Étape 3 : superposez les obligations propres à chaque juridiction

Par-dessus le socle du règlement sur l’IA et la correspondance NIST, ajoutez les exigences propres à chaque juridiction que ni l’un ni l’autre ne capture :

• Chine : dépôt algorithmique, revue de conformité du contenu, évaluation de sécurité, exigences de localisation des données PIPL.
• Royaume-Uni : engagement réglementaire sectoriel (informer la FCA si vous opérez dans les services financiers, l’ICO pour les systèmes d’IA intensifs en données).
• États américains : audit de biais NYC (Local Law 144), divulgation ADMT du Colorado (à compter du 1er janvier 2027), transparence des modèles de frontière California SB 53, devoirs TRAIGA du Texas, consentement biométrique Illinois BIPA.

Étape 4 : adoptez l’ISO 42001 comme norme de système de management

ISO/IEC 42001:2023 (système de management de l’IA) fournit un cadre internationalement reconnu pour établir, tenir et améliorer en continu un système de management de l’IA. La certification ISO 42001 fournit la preuve d’une gouvernance systématique de l’IA, reconnue d’une juridiction à l’autre, et peut simplifier l’engagement réglementaire sur n’importe quel marché.

Étape 5 : établissez une fonction de veille réglementaire

Le paysage mondial de la réglementation de l’IA évolue vite. Les organisations ont besoin d’une fonction dédiée, une personne, une équipe, ou un cabinet externe, pour suivre les développements réglementaires dans leurs juridictions d’opération et mettre à jour le programme de conformité en conséquence.

Scénarios de conformité du monde réel

Scénario 1 : entreprise SaaS américaine qui vend des outils RH d’IA en Europe

Exemple concret : une entreprise SaaS de San Francisco développe un outil de présélection de curriculum vitae fondé sur l’IA et le vend à des clients d’entreprise aux États-Unis et en Europe. L’outil utilise l’apprentissage automatique pour classer les candidats selon la performance professionnelle prédite.

Analyse réglementaire :

• Règlement sur l’IA : l’outil est un système d’IA à haut risque au titre de l’annexe III, point 4, a), IA utilisée pour le recrutement et la sélection de personnes physiques. L’entreprise américaine est fournisseur au titre du règlement et doit satisfaire l’ensemble des obligations à haut risque, y compris une évaluation de la conformité, la documentation technique, un système de gestion des risques, des essais de biais et des mécanismes de contrôle humain. L’entreprise doit aussi désigner un mandataire dans l’Union selon l’article 2. Sanction maximale en cas de manquement : 15 millions d’euros ou 3 % du chiffre d’affaires mondial.
• Fédéral américain : l’outil entre dans le champ de l’EEOC. Tout impact disparate sur des groupes protégés au titre du Title VII peut entraîner une action de contrôle. L’entreprise devrait documenter des études de validation et des analyses d’impact défavorable.
• NYC Local Law 144 : si un employeur établi à New York City utilise l’outil, celui-ci doit passer un audit de biais indépendant annuel, et les résultats doivent être publiés.
• Colorado AI Act : à compter du 1er janvier 2027, si des employeurs du Colorado déploient l’outil, l’entreprise doit aider les déployeurs pour les obligations de divulgation ADMT, avis avant usage et information après décision défavorable, au titre de l’amendement resserré de 2026 (le devoir de diligence et les analyses d’impact d’origine ont été retirés).

Approche pratique : construisez le programme de conformité autour des exigences à haut risque du règlement sur l’IA, qui satisferont la plupart des exigences américaines par défaut. Ajoutez l’audit de biais NYC et les divulgations ADMT du Colorado (à compter du 1er janvier 2027) comme obligations supplémentaires. Servez-vous de la documentation NIST AI RMF pour démontrer une diligence raisonnable aux régulateurs américains.

Scénario 2 : entreprise européenne qui utilise un modèle d’IA générative chinois

Exemple concret : une agence de marketing berlinoise intègre un modèle d’IA générative développé par une entreprise technologique chinoise dans son processus de création de contenu. Le modèle est accessible via API et produit des textes marketing pour les clients européens de l’agence.

Analyse réglementaire :

• Règlement sur l’IA : le fournisseur chinois du modèle est soumis aux obligations des modèles GPAI au titre de l’article 51 parce que le modèle est mis sur le marché de l’Union via l’intégration API. L’agence berlinoise, en tant que déployeur, a ses propres obligations, dont la transparence envers les personnes destinataires et le respect des obligations de transparence de l’article 50. Si le contenu généré peut être pris à tort pour du contenu produit par un humain, l’agence doit indiquer sa nature générée par IA.
• Règlement chinois sur l’IA générative : le fournisseur chinois du modèle doit avoir achevé un dépôt algorithmique et une évaluation de sécurité auprès de la CAC. Les données d’entraînement doivent respecter la PIPL. Les sorties de contenu doivent s’aligner sur les règlements chinois de contenu, ce qui peut créer des tensions lorsque le modèle sert à produire du contenu pour des publics européens, surtout sur des sujets que le gouvernement chinois juge sensibles.
• RGPD : si des données à caractère personnel de personnes de l’Union sont traitées par le modèle chinois (y compris des données envoyées via des invites), les restrictions de transfert transfrontière du RGPD s’appliquent. Un mécanisme de transfert adéquat (telles que les clauses contractuelles types) est requis.

Approche pratique : l’agence berlinoise devrait mener une diligence raisonnable serrée sur l’état de conformité du fournisseur chinois du modèle, au titre à la fois du règlement sur l’IA et des règlements chinois. Établir des accords de traitement des données qui interdisent la transmission de données à caractère personnel au modèle. Mettre en place des processus de relecture des sorties pour que le contenu généré par IA satisfasse les exigences de transparence de l’Union.

Scénario 3 : grande entreprise mondiale qui déploie de l’IA dans les quatre juridictions

Exemple concret : une entreprise de services financiers du Fortune 500, dont le siège est à Londres, déploie des systèmes d’IA dans ses opérations au Royaume-Uni, dans l’Union, aux États-Unis et en Chine. Les applications d’IA comprennent l’évaluation du risque de crédit (Union et Royaume-Uni), la détection de la fraude (États-Unis), la négociation algorithmique (Royaume-Uni et États-Unis), des agents conversationnels d’assistance (toutes les juridictions), et le filtrage de lutte contre le blanchiment (toutes les juridictions).

Analyse réglementaire :

• Règlement sur l’IA : l’évaluation du risque de crédit est à haut risque au titre de l’annexe III. L’entreprise est à la fois fournisseur (pour les systèmes d’IA propriétaires) et déployeur (pour les systèmes fournis par des vendeurs). Une conformité complète au cadre à haut risque est requise, y compris l’évaluation de la conformité et les analyses d’impact sur les droits fondamentaux.
• Royaume-Uni : la FCA surveille l’IA dans les services financiers. L’entreprise doit démontrer le respect des cinq principes d’IA dans le cadre réglementaire déjà en vigueur de la FCA, y compris le Consumer Duty et les exigences de responsabilité du Senior Managers and Certification Regime (SM&CR).
• États-Unis : la SEC surveille la négociation algorithmique et a proposé des règles sur l’analytique prédictive. Le CFPB exige des notifications de décision défavorable pour les décisions de crédit assistées par IA. Les exigences d’États s’appliquent aux opérations tournées vers le public.
• Chine : les agents conversationnels d’assistance accessibles en Chine relèvent du règlement sur l’IA générative s’ils recourent à l’IA générative. L’IA de lutte contre le blanchiment doit respecter la loi chinoise sur la sécurité des données pour les transferts transfrontières d’informations financières.

Approche pratique : établir une fonction centralisée de gouvernance de l’IA rattachée au directeur des risques. Construire le cadre de conformité autour du règlement sur l’IA comme référentiel le plus exigeant. Servez-vous de la certification ISO 42001 pour démontrer une gouvernance systématique à tous les régulateurs. Tenir une matrice réglementaire qui rattache chaque système d’IA à ses juridictions applicables et à ses exigences précises. Engager les régulateurs sectoriels de façon proactive, surtout la FCA et la SEC, plutôt que d’attendre un contrôle.

Questions fréquentes

Quelle réglementation de l’IA est la plus stricte ?

Le règlement sur l’IA impose les obligations les plus complètes et les plus prescriptives, surtout pour les systèmes d’IA à haut risque. La combinaison d’évaluations de la conformité obligatoires, d’exigences étendues de documentation, et d’amendes jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial en fait le cadre le plus exigeant pour les systèmes d’IA réglementés. Cela dit, les règlements chinois sont sans doute plus restrictifs en matière de contrôle du contenu et de supervision étatique des systèmes algorithmiques, avec un dépôt obligatoire auprès de l’État et un alignement de contenu qui n’a pas d’équivalent dans les cadres réglementaires occidentaux.

Le règlement sur l’IA s’applique-t-il aux entreprises américaines ?

Oui. Le règlement sur l’IA s’applique à toute entreprise, quel que soit son siège, qui met un système d’IA sur le marché de l’Union ou dont la sortie du système d’IA est utilisée dans l’Union. Une entreprise américaine dont le produit d’IA est utilisé par des clients dans n’importe quel État membre doit respecter les dispositions applicables. Le champ est défini à l’article 2. Cette portée extraterritoriale reprend l’approche du RGPD en matière de protection des données.

Puis-je me conformer aux quatre juridictions avec un seul programme de conformité ?

En pratique, oui, mais avec des réserves. Un programme de conformité construit sur le règlement sur l’IA comme socle couvrira la plupart des exigences des autres juridictions. Certaines obligations sont toutefois propres à une juridiction et ne peuvent pas être satisfaites par la seule conformité à l’Union : les audits de biais des États américains, le dépôt algorithmique chinois, et l’engagement réglementaire sectoriel britannique exigent tous une action ciblée. L’approche recommandée est un programme de conformité en couches qui utilise l’ISO 42001 comme système de management et le règlement sur l’IA comme socle de fond, avec des modules propres à chaque juridiction ajoutés par-dessus.

En quoi l’approche chinoise diffère-t-elle de celle de l’Union ?

La différence la plus fondamentale est l’objectif réglementaire. Le règlement sur l’IA vise à protéger les droits fondamentaux, créer la sécurité juridique, et favoriser une innovation digne de confiance. Les règlements chinois sur l’IA sont surtout conçus pour maintenir le contrôle du contenu, la stabilité sociale et la supervision étatique de la décision algorithmique. Concrètement, les règlements chinois insistent beaucoup sur ce que les systèmes d’IA peuvent dire (contrôle du contenu), tandis que l’Union insiste sur la façon dont les systèmes d’IA fonctionnent (processus et gestion des risques). Les deux ont une portée extraterritoriale, mais les exigences de conformité sont souvent difficiles à concilier, surtout autour du contrôle du contenu, où les exigences chinoises peuvent entrer en conflit avec les principes de l’Union sur la liberté d’expression.

Que prioriser si je commence à peine une conformité IA multi-juridictions ?

Trois actions pour commencer : (1) Classez vos systèmes d’IA selon le cadre de risque du règlement sur l’IA, avec un outil comme notre évaluation au titre du règlement sur l’IA. (2) Cartographiez votre exposition réglementaire en identifiant quelles juridictions vos systèmes d’IA touchent, non seulement le lieu de constitution, mais le lieu des personnes, des personnes concernées, et des sorties d’IA. (3) Construisez votre cadre de gouvernance à partir de notre guide de cadre de gouvernance de l’IA et alignez-le dès le départ sur le règlement sur l’IA et le NIST AI RMF. Cela vous donne une base solide, extensible à d’autres juridictions selon le besoin.

Y aura-t-il un jour une réglementation mondiale unique de l’IA ?

C’est peu probable dans un avenir prévisible. Les principes de l’OCDE sur l’IA sont le consensus international le plus proche, mais ils sont non contraignants et de haut niveau. L’Union, les États-Unis, le Royaume-Uni et la Chine ont des philosophies de gouvernance fondamentalement différentes, réglementation de précaution, innovation d’abord, gouvernance adaptative, et contrôle étatique, qui reflètent des écarts profonds de systèmes politiques et de priorités. La trajectoire plus réaliste est une convergence réglementaire sur les principes (transparence, équité, responsabilité) combinée à une divergence continue sur les détails (mécanismes de contrôle, exigences de contenu, régimes de sanctions). Les organisations devraient planifier un paysage durablement multi-juridictionnel et construire leurs programmes de conformité en conséquence.

Conclusion

La réglementation mondiale de l’IA en 2026 se caractérise par une convergence sur les principes et une divergence sur la mise en œuvre. Le règlement sur l’IA, l’approche sectorielle américaine, la gouvernance britannique menée par les régulateurs, et les règlements chinois centrés sur le contenu reconnaissent tous que les systèmes d’IA exigent une supervision, mais ils divergent profondément sur ce à quoi cette supervision devrait ressembler, qui devrait la fournir, et quelles valeurs elle devrait protéger.

Pour les organisations qui opèrent au-delà des frontières, les implications concrètes sont claires :

1. Construisez selon le règlement sur l’IA comme socle mondial. C’est le cadre le plus complet, et y satisfaire traitera la majorité des obligations ailleurs.
2. Rattachez le NIST AI RMF et l’ISO 42001 pour créer une couche de gouvernance structurée qui démontre une diligence raisonnable d’une juridiction à l’autre.
3. Tenez des modules de conformité propres à chaque juridiction pour les obligations que la seule conformité à l’Union ne satisfait pas, surtout les exigences chinoises de contenu et les mandats des États américains.
4. Investissez dans la veille réglementaire. Le paysage évolue vite ; le Brésil, la Corée du Sud, le Canada et d’autres font avancer leurs propres cadres, susceptibles d’imposer de nouvelles obligations à vos systèmes d’IA.
5. Servez-vous de la classification des risques du règlement sur l’IA comme point de départ. Notre outil gratuit de classification des risques et la liste de contrôle de conformité pour 2026 peuvent vous aider à établir un socle en quelques minutes.

Les organisations qui traverseront le mieux ce paysage sont celles qui traitent la conformité multi-juridictions non comme une charge mais comme un avantage concurrentiel, en bâtissant la confiance, en réduisant le risque réglementaire, et en montrant aux clients, aux investisseurs et aux régulateurs du monde entier que leurs systèmes d’IA sont développés et déployés de façon responsable.