2 fév. 2025 : interdiction des IA à « risque inacceptable » (scoring social, exploitation des vulnérabilités, scraping d'images faciales pour bases de reconnaissance). 2 août 2025 : règles modèles à usage général (GPAI) + autorités nationales. 2 août 2026 : application aux IA à haut risque. 2 août 2027 : IA haut risque embarquées dans des produits réglementés.
En vigueur — déploiement échelonnéC'est le premier cadre horizontal au monde sur l'IA, avec un effet extraterritorial (« effet Bruxelles ») : tout fournisseur dont le système est utilisé dans l'UE est concerné. Pour la cybersécurité, les systèmes à haut risque devront répondre à des exigences de robustesse, de traçabilité, de gestion des risques et de cybersécurité (art. 15). Les sanctions montent jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial — au-dessus du plafond RGPD.