Être hors de l'UE ne vous place pas hors du règlement européen sur l'IA, l'EU AI Act. Comme le RGPD avant lui, ce texte s'applique par le marché, pas par l'adresse. La règle clé de l'article 2 est simple : si le résultat produit par votre système d'IA est utilisé dans l'UE, vous pouvez être concerné, que vous soyez à Casablanca, à Dubaï ou ailleurs. Le critère n'est pas où se trouve votre entreprise ; c'est de savoir si votre IA touche des personnes ou des marchés à l'intérieur de l'UE. Avant de conclure que c'est un problème européen, il vaut donc la peine de vérifier s'il n'est pas discrètement le vôtre.
Il y a une réaction très courante à tout ce que nous avons écrit dans cette série, surtout chez nos lecteurs au Maroc, dans le Golfe et dans la région au sens large : « C'est une loi européenne. Mon entreprise n'est pas en Europe, donc rien de tout cela ne me concerne. » Cela paraît raisonnable. C'est aussi, dans bien des cas, faux. Et se tromper coûte cher, car les sanctions que nous répétons ne vérifient pas votre adresse en premier.
La règle qui attrape tout le monde
Le cœur du sujet, c'est l'article 2 de l'EU AI Act (le règlement sur l'IA), celui qui définit à qui la loi s'applique. Il fait trois choses importantes pour quiconque se trouve hors de l'UE. D'abord, il couvre les fournisseurs qui mettent un système d'IA sur le marché de l'UE, « que ces fournisseurs soient établis ou situés dans l'Union ou dans un pays tiers ». En clair : si vous vendez ou proposez votre IA dans l'UE, votre pays d'établissement ne vous protège pas. Ensuite, et c'est le point majeur, il couvre les fournisseurs et les déployeurs situés hors de l'UE « lorsque le résultat produit par le système d'IA est utilisé dans l'Union ». Enfin, il vise les importateurs, les distributeurs et les fabricants de produits qui introduisent de l'IA sur le marché de l'UE.
Cette deuxième règle est celle qui surprend. Elle signifie que le déclencheur n'est pas votre localisation, ni même l'emplacement de vos serveurs. C'est l'endroit où le résultat de votre IA est utilisé. Si une entreprise de l'UE s'appuie sur ce que produit votre IA, la loi peut remonter jusqu'à vous. Les juristes appellent cela le principe de localisation du marché : ce qui compte, c'est de savoir si votre IA affecte des personnes ou des marchés dans l'UE. Si c'est le cas, le règlement peut s'appliquer, quel que soit le pays d'où vous opérez.
C'est exactement ainsi que fonctionne le RGPD, et c'est pourquoi tant d'entreprises hors UE ont fini par se conformer à une loi européenne sur les données. Le règlement sur l'IA reprend la même logique. Une entreprise de la région qui a déjà adapté ses pratiques de données au RGPD parce qu'elle servait des clients européens doit s'attendre au même schéma ici : servez le marché de l'UE, héritez des règles de l'UE. Cela rend d'ailleurs le raisonnement simple. Si le RGPD vous a atteint, le règlement sur l'IA le fera très probablement aussi.
Fournisseur ou déployeur, lequel êtes-vous ?
Le règlement ne traite pas tout le monde de la même manière ; votre première tâche est donc de savoir quel rôle vous jouez, car il détermine ce que vous devez. Un fournisseur est celui qui développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. Si vous construisez un produit d'IA, ou si vous en rebaptisez un à votre nom pour le proposer, vous êtes un fournisseur, et les fournisseurs portent les obligations les plus lourdes. Un déployeur est celui qui utilise un système d'IA à titre professionnel, une entreprise qui se sert d'un outil d'IA dans le cadre de son travail. Les déployeurs ont des devoirs plus légers, mais réels. On peut même être les deux à la fois : une entreprise qui construit un outil d'IA interne et l'utilise aussi porte les deux casquettes.
Cela compte hors de l'UE, car les deux rôles peuvent être attrapés par la règle du résultat. Un fournisseur de la région dont le système est proposé dans l'UE est concerné. Un déployeur de la région dont le résultat d'IA est utilisé dans l'UE peut l'être aussi. L'idée pratique est que « je ne fais qu'utiliser un outil, je ne l'ai pas construit » n'est pas automatiquement une porte de sortie.
Qui est concerné, qui ne l'est pas
Les règles abstraites sont difficiles à ressentir ; voici donc des cas concrets, adaptés de la façon dont les spécialistes décrivent le champ d'application. Ce sont des illustrations, pas des jugements sur une entreprise réelle.
| La situation | Concerné ? |
|---|---|
| Une startup marocaine vend un outil d'IA de recrutement à des employeurs de l'UE | Oui. Le résultat est utilisé dans l'UE, et l'IA de recrutement est à haut risque : les obligations complètes du haut risque s'appliquent, même si l'outil est construit et hébergé hors de l'UE. |
| Une entreprise du Golfe propose un service d'IA auquel des entreprises de l'UE s'abonnent et qu'elles utilisent | Oui. Rendre le service disponible à des clients de l'UE le fait entrer dans le champ. |
| Un fabricant vend des produits intelligents dotés d'IA à des consommateurs de l'UE | Oui. Mettre le produit sur le marché de l'UE l'y intègre. |
| Une entreprise locale utilise un agent conversationnel d'IA français, mais seulement pour servir ses propres clients chez elle, pas dans l'UE | Pas directement. Si le résultat n'est pas utilisé dans l'UE et que vous ne ciblez pas le marché de l'UE, le règlement ne s'applique en général pas à vous en tant qu'utilisateur. |
| Une entreprise importe un outil d'IA fabriqué dans l'UE et le revend uniquement sur son marché local, hors UE | Non. Rien n'est mis sur le marché de l'UE, ni utilisé dans celui-ci. |
Le schéma est constant. Suivez le résultat. S'il finit par être utilisé à l'intérieur de l'UE, vous êtes probablement concerné. S'il reste entièrement à l'extérieur et que vous ne vendez pas dans l'UE, vous ne l'êtes probablement pas. La zone grise est au milieu, et c'est précisément pourquoi cela mérite une vraie vérification plutôt qu'une intuition.
Ce qu'il faut concrètement faire
Vous n'avez pas besoin d'un service juridique pour franchir les premières étapes sensées. Commencez par vous poser honnêtement une question : le résultat d'une IA que nous construisons ou utilisons atteint-il l'UE ? Pensez à vos clients, pas seulement à vos bureaux : un seul client dans l'UE peut suffire. Ensuite, déterminez votre rôle pour chaque système : êtes-vous le fournisseur qui le propose, ou le déployeur qui l'utilise ? Puis, si vous êtes concerné, le reste de cette série vous concerne aussi, et le premier geste est de vérifier votre niveau de risque, exactement comme dans les épisodes précédents. Si vous achetez de l'IA à des fournisseurs, demandez-leur directement s'ils respectent les exigences du règlement sur l'IA, et regardez comment vos contrats le traitent. Et parce que c'est le moment où le champ d'application se transforme en véritable exposition juridique, c'est un très bon moment pour demander conseil à une personne qualifiée plutôt que de deviner.
Le constat inconfortable, c'est que « nous ne sommes pas en Europe » n'est pas le bouclier que beaucoup imaginent. La partie rassurante, c'est que le critère est connaissable : suivez le résultat de votre IA, trouvez votre rôle, et vous saurez où vous en êtes. Pour une région qui se précipite vers l'IA, cette clarté vaut la peine d'être acquise tôt, avant qu'un client de l'UE, et non un régulateur, ne soit celui qui vous pose la question.
Questions fréquentes
Je ne suis pas dans l'UE. L'EU AI Act (le règlement européen sur l'IA) me concerne-t-il vraiment ?
Il le peut. Le règlement s'applique par le marché, pas par l'adresse. En vertu de l'article 2, si vous mettez un système d'IA sur le marché de l'UE, ou si le résultat de votre système d'IA est utilisé dans l'UE, vous pouvez être concerné même si votre entreprise et vos serveurs sont entièrement hors de l'UE. Le vrai critère est de savoir si votre IA touche des personnes ou des marchés dans l'UE, pas où vous êtes établi.
Que signifie concrètement « résultat utilisé dans l'Union » ?
Cela signifie que ce que produit votre IA finit par être utilisé à l'intérieur de l'UE. Par exemple, si une entreprise de l'UE s'appuie sur des prédictions, des scores, des textes ou des décisions générés par votre IA, ce résultat est utilisé dans l'UE, et la loi peut remonter jusqu'à vous. Si le résultat n'est utilisé qu'en dehors de l'UE et que vous ne ciblez pas le marché de l'UE, le règlement ne vous concerne en général pas.
Est-ce que cela change que j'aie construit l'IA ou que je l'utilise seulement ?
Cela change vos obligations, pas le fait d'être concerné. Les fournisseurs (qui construisent ou mettent l'IA sur le marché) portent les devoirs les plus lourds ; les déployeurs (qui utilisent l'IA à titre professionnel) en portent de plus légers. Mais les deux rôles peuvent être attrapés par la règle du résultat : être simplement utilisateur n'est donc pas automatiquement une sortie.
Est-ce comme le fonctionnement du RGPD ?
Tout à fait. Le RGPD atteint les entreprises hors UE qui servent des clients européens, et le règlement sur l'IA utilise la même logique de localisation du marché. Si votre entreprise a déjà dû se conformer au RGPD à cause de clients de l'UE, attendez-vous à ce que le règlement sur l'IA vous atteigne de façon similaire.
Que faire d'abord pour savoir si je suis concerné ?
Posez une question honnête : le résultat d'une IA que nous construisons ou utilisons atteint-il l'UE, par un client ou un marché quelconque ? Si la réponse est oui ou peut-être, identifiez votre rôle (fournisseur ou déployeur), vérifiez votre niveau de risque et demandez conseil à un professionnel qualifié. Cet article est un explicatif, pas un conseil juridique, et les questions de champ d'application sont précisément là où un spécialiste en vaut la peine.
Suivez la série, mettez-vous en conformité une règle à la fois
Nous parcourons la réglementation sur l'IA une règle par semaine, en langage clair, avec la région à l'esprit. Explorez toute la série et des guides IA pratiques sur AISetApp.
Explorer AISetApp- Règlement européen sur l'IA (règlement 2024/1689), article 2, sur le champ d'application et la portée territoriale du règlement
- Afriwise / ENS, « Extraterritorial Application of the EU AI Act: What Non-EU Companies Should Know », sur la règle du « résultat utilisé dans l'Union » et des exemples concrets
- Analyses de William Fry et de White & Case sur la portée extraterritoriale du règlement sur l'IA et le principe de localisation du marché, 2024
Révisé en octobre 2026. Ceci est un explicatif, pas un conseil juridique. La loi évolue et le champ d'application dépend de votre situation ; vérifiez auprès d'un professionnel qualifié avant d'agir.
Recherché et rédigé avec l'aide de l'IA, révisé et édité par Yasser El Hardouz, qui assume la responsabilité éditoriale de cet article.