Le règlement européen sur l'intelligence artificielle (RIA), plus connu sous le nom d'AI Act, a été adopté le 13 juin 2024 et publié au Journal officiel de l'Union européenne(JOUE) le 12 juillet 2024. Il est entré en vigueur le 1er août 2024 et s'applique de façon échelonnée. Le 2 août 2026 marque son application générale, mais le règlement « omnibus numérique sur l'IA » de juillet 2026 a reporté les obligations relatives aux systèmes à haut risque au 2 décembre 2027 et au 2 août 2028.
L'AI Act n'est pas un texte de commande publique : il ne modifie pasle code de la commande publique. Il s'impose pourtant à l'acheteur dès que celui-ciachète, fait développer ou utilise un système d'IA.
L'AI Act crée un cadre juridique uniforme au sein du marché intérieur pour le développement, la mise sur le marché, la mise en service et l'utilisation des systèmes d'IA. Il veut promouvoir une IA axée sur l'humain et digne de confiance, tout en garantissant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux.
Il repose sur une approche par niveaux de risque :
Les modèles d'IA à usage général, comme les grands modèles de langage, relèvent en outre d'un régime propre qui pèse sur leurs fournisseurs.
1. Bacs à sable réglementaires. Chaque État membre doit mettre en place au moins un bac à sable réglementaire de l'IA au niveau national, pour faciliter le développement et la mise à l'essai de systèmes innovants. Il peut être physique, numérique ou hybride, et doit disposer de ressources financières et humaines appropriées.
2. PME. Les intérêts des PME fournisseurs et utilisatrices d'IA doivent être pris en compte, notamment par des actions de sensibilisation et d'information. Elles bénéficient d'un accès prioritaire aux bacs à sable si elles remplissent les conditions d'éligibilité.
3. Maîtrise de l'IA. Depuis le 2 février 2025, toute organisation qui utilise l'IA, y compris un acheteur public, doit prendre des mesures pour former ses agents. Depuis le 27 juillet 2026, il s'agit de favoriser le développement de cette maîtrise, et non plus d'en garantir un niveau suffisant.
4. Sanctions. Les amendes peuvent atteindre 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites. Pour les personnes publiques, chaque État décide si et dans quelle mesure des amendes peuvent leur être infligées (art. 99).
Le cadre posé par l'AI Act s'applique au secteur public comme au secteur privé. Il vaut à l'intérieur comme à l'extérieur de l'Union, dès que le système est mis sur le marché dans l'UE ou que son utilisation a une incidence sur des personnes situées dans l'UE : un titulaire établi hors de l'Union n'y échappe donc pas.
En France, le contrôle devrait être coordonné par la DGCCRF, avec la CNIL pour la plupart des systèmes à haut risque et d'autres autorités sectorielles. Ce schéma dépend d'un projet de loi encore en discussion au Parlement à l'automne 2026.
Publié au JOUE le 12 juillet 2024, l'AI Act est entré en vigueur le 1er août 2024. Son application est échelonnée, et le calendrier initial a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l'IA », publié au JOUE le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026.
Le report ne touche que les dates : le contenu des obligations « haut risque » reste inchangé. Un marché pluriannuel conclu aujourd'hui sera exécuté sous ces exigences, qu'il vaut mieux intégrer dès la consultation.
L'acheteur, « déployeur » au sens de l'AI Act. L'acheteur qui utilise un système d'IA fourni par un titulaire en est le déployeur. Il en devient lui-même fournisseur s'il fait développer un système mis en service sous son nom, ou s'il modifie substantiellement un système acheté. Ce rôle se qualifie dès la définition du besoin, car il détermine les obligations applicables.
Des obligations déjà en vigueur. L'acheteur ne peut ni acheter ni utiliser un système interdit. Il doit former les agents qui utilisent l'IA et, depuis le 2 août 2026, informer les usagers lorsqu'ils échangent avec une IA (par exemple un agent conversationnel).
Des obligations renforcées pour le haut risque. À partir du 2 décembre 2027, l'acheteur qui déploie un système à haut risque devra notamment l'utiliser conformément à sa notice, en confier le contrôle humain à des agents formés et en surveiller le fonctionnement. Les organismes de droit public devront aussi, pour certains systèmes, réaliser une analyse d'impact sur les droits fondamentaux (art. 27) et enregistrer leur usage dans la base de données de l'UE (art. 49).
Des outils pour rédiger le marché. La Commission a publié en mars 2025 des clauses contractuelles types (MCC-AI), en version « haut risque » et en version allégée, à annexer au marché. En France, la DINUM, la Direction des achats de l'État et le CGDD ont publié fin 2025 une fiche pratique pour l'achat responsable de solutions d'IA, avec des exemples de clauses et des questions de sourçage. Dans le cahier des charges, l'acheteur gagne à faire qualifier le niveau de risque par le candidat, à exiger la documentation nécessaire à ses propres obligations, à encadrer l'usage des données et à prévoir une clause d'évolution réglementaire.
L'IA dans la procédure de passation. Aucun texte n'interdit à l'acheteur d'utiliser l'IA pour rédiger ses pièces ou l'aider à analyser les offres. La décision et la notation restent toutefois les siennes, fondées sur les critères annoncés, et seuls des outils validés doivent traiter les offres, qui contiennent des secrets d'affaires. À l'inverse, interdire aux candidats de recourir à l'IA pour rédiger leur offre est juridiquement fragile : mieux vaut des critères précis, des cas pratiques ou des auditions. L'État prévoit d'ailleurs, dans son plan « Notre IA » de juin2026, de déployer progressivement une IA d'aide à l'analyse des offres pour ses acheteurs.
• Règlement(UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle (AI Act).
• Règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026 (train de mesures omnibus numérique sur l'IA), JOL du 24 juillet 2026.
• Clauses contractuelles types pour l'achat public d'IA (MCC-AI), Commission européenne, version de février 2025.
• Fiche pratique pour l'achat responsable de solutions d'IA, DINUM, DAE et CGDD, novembre 2025.
