AI Act 2026-2027 : le guide de conformité à jour après le Digital Omnibus

Qu'est-ce que l'AI Act, précisément ?

L'AI Act est le règlement (UE) 2024/1689 du 13 juin 2024, entré en vigueur le 1er août 2024. C'est le premier cadre juridique horizontal au monde consacré à l'intelligence artificielle. Il ne régule pas une technologie en tant que telle, mais les usages : un même modèle peut être anodin dans un contexte et à haut risque dans un autre. Le règlement raisonne donc système par système, et non entreprise par entreprise.

Deuxième principe fondateur : la distinction des rôles. Le règlement s'applique aux fournisseurs (ceux qui développent et mettent sur le marché un système d'IA sous leur nom), aux déployeurs (ceux qui utilisent un système d'IA dans un cadre professionnel), ainsi qu'aux importateurs et distributeurs. La grande majorité des entreprises sont des déployeurs — mais dès qu'une entreprise commercialise un logiciel intégrant de l'IA sous sa marque, elle devient fournisseur, avec des obligations nettement plus lourdes. Voir Fournisseur ou déployeur : déterminer votre rôle.

Les quatre niveaux de risque et leurs obligations

C'est la classification qui détermine l'intensité de vos obligations. L'erreur la plus fréquente consiste à croire que l'AI Act ne concerne que les grands éditeurs. C'est faux : une PME qui utilise un outil de recrutement automatisé ou de scoring peut relever des obligations les plus strictes, non pas en raison de sa taille, mais de la nature du système déployé.

Détails par métier : les 4 niveaux de risque expliqués par métier.

Le calendrier réel après le Digital Omnibus

Le Digital Omnibus numérique (proposition de la Commission du 19 novembre 2025, accord politique provisoire Conseil/Parlement du 7 mai 2026) a modifié le calendrier initial. Voici les dates à retenir.

Attention : le report du haut risque à décembre 2027 n'est pas une invitation à attendre. L'inventaire, la classification et la formation (art. 4, déjà en vigueur) doivent être engagés dès 2026. La conformité « haut risque » se prépare sur 12 à 18 mois.

Ce que le Digital Omnibus a allégé

Au-delà du report, le paquet Omnibus (COM(2025) 87) a introduit un allègement de fond : les systèmes d'IA qui sont des composants de sécurité intégrés à des produits déjà soumis à une évaluation de conformité CE tierce (machines, dispositifs médicaux, véhicules) sont quasi-exemptés du régime haut risque. Pour ces systèmes, seule subsiste l'obligation d'enregistrement dans la base de données de l'UE. Cet allègement bénéficie surtout à l'IA industrielle, moins aux usages RH, crédit ou services essentiels, qui restent pleinement dans le champ du haut risque.

AI Act et RGPD : deux réglementations complémentaires

Le RGPD encadre les données personnelles ; l'AI Act encadre les systèmes d'IA. Les deux s'appliquent simultanément dès qu'une IA traite des données personnelles, ce qui est le cas le plus fréquent. L'analyse d'impact sur les droits fondamentaux (FRIA, art. 27 de l'AI Act) peut être conduite en cohérence avec l'AIPD (art. 35 du RGPD). Une entreprise déjà mature sur le RGPD dispose d'un socle méthodologique réutilisable. Voir AI Act ou RGPD : quelle réglementation s'applique ?.

Les sanctions : ce que vous risquez

Les sanctions sont graduées : jusqu'à 35 M€ ou 7 % du CA mondial pour l'usage d'une IA interdite ; jusqu'à 15 M€ ou 3 % pour un manquement aux obligations « haut risque » ; jusqu'à 7,5 M€ ou 1 % pour un défaut de transparence. Pour les PME et startups, le montant retenu est le plus bas entre le plafond absolu et le pourcentage. En France, la CNIL a été désignée autorité nationale compétente.

Votre plan d'action en 5 étapes

1. Inventorier tous les systèmes d'IA utilisés ou développés, y compris les fonctions IA intégrées à vos SaaS et le shadow AI.
2. Classifier chaque système selon les quatre niveaux de risque.
3. Former vos équipes à un niveau suffisant de littératie IA (art. 4, déjà exigible).
4. Documenter : registre des systèmes, décisions de classification, échanges fournisseurs, mesures de supervision humaine.
5. Traiter en priorité les systèmes à haut risque et les obligations de transparence, avec l'appui d'un DPO ou référent conformité.

Étapes détaillées : la check-list AI Act en 10 étapes pour une PME.