AI Act : qu'est-ce qui s'applique réellement à votre entreprise depuis le 2 août 2026 ?
·
Mis à jour le ·
Par 
Aymeric Guyard · 11 min de lecture
En bref
- Depuis le 2 août 2026, le règlement (UE) 2024/1689 sur l'intelligence artificielle s'applique dans sa plus grande partie : obligations de transparence pour les chatbots, les deepfakes et les contenus générés (article 50), gouvernance nationale et régime de sanctions, en plus des pratiques interdites et de l'obligation de maîtrise de l'IA en vigueur depuis février 2025 et des règles sur les modèles à usage général depuis août 2025. Les obligations « haut risque » ont été reportées par l'Omnibus numérique : au 2 décembre 2027 pour les systèmes de l'annexe III et au 2 août 2028 pour ceux intégrés à des produits réglementés (annexe I).
Le calendrier de l'AI Act après l'Omnibus numérique
| Date | Ce qui s'applique | Statut |
|---|---|---|
| 2 février 2025 | Pratiques interdites (article 5) et maîtrise de l'IA (article 4) | En vigueur |
| 2 août 2025 | Obligations des fournisseurs de modèles d'IA à usage général (GPAI), désignation des autorités, sanctions | En vigueur |
| 2 août 2026 | Transparence (article 50), obligations générales, régime de sanctions complet, bacs à sable réglementaires | En vigueur |
| 2 décembre 2026 | Fin du délai de grâce pour le marquage des contenus générés par IA ; interdiction explicite des systèmes conçus pour produire des contenus intimes non consentis | À venir |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III (RH, éducation, crédit, assurance, services publics, biométrie, etc.) | Reporté par l'Omnibus |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits soumis à une législation d'harmonisation (annexe I) | Reporté par l'Omnibus |
Le report des obligations haut risque a créé une confusion fréquente : beaucoup d'entreprises en ont conclu que « l'AI Act était reporté ». C'est faux pour l'essentiel des obligations qui concernent une entreprise utilisatrice. Voir notre fiche réglementation AI Act pour le détail article par article.
Êtes-vous fournisseur ou déployeur ?
L'AI Act distingue deux rôles principaux, et vos obligations en dépendent :
- Fournisseur : vous développez un système d'IA ou le faites développer pour le mettre sur le marché sous votre nom. Une entreprise qui entraîne un modèle, ou qui personnalise substantiellement un système existant et le commercialise, est fournisseur.
- Déployeur : vous utilisez un système d'IA sous votre autorité, dans un cadre professionnel. La grande majorité des PME et ETI sont déployeurs : elles utilisent ChatGPT, Copilot, un outil de tri de CV ou un chatbot client fourni par un éditeur.
Un déployeur peut devenir fournisseur s'il modifie substantiellement un système à haut risque ou appose sa marque dessus. Cette requalification est le premier point que vérifie un audit.
Les cinq obligations en vigueur pour une entreprise déployeuse
- Ne pas recourir aux pratiques interdites (article 5) : notation sociale, manipulation subliminale, exploitation des vulnérabilités, reconnaissance des émotions au travail et dans l'enseignement (sauf raisons médicales ou de sécurité), catégorisation biométrique à partir de données sensibles, extraction non ciblée d'images faciales. Amende jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
- Assurer la maîtrise de l'IA de son personnel (article 4) : former les salariés qui utilisent ou exploitent des systèmes d'IA à un niveau suffisant, en fonction de leur rôle et du contexte d'usage. Il n'y a pas de format imposé, mais la preuve de la formation est attendue.
- Respecter la transparence (article 50) : informer les personnes qu'elles interagissent avec un système d'IA (chatbot, voicebot) lorsque ce n'est pas évident ; signaler les deepfakes ; signaler les textes générés par IA publiés pour informer le public sur des questions d'intérêt public, sauf relecture humaine et responsabilité éditoriale. Les fournisseurs doivent marquer techniquement les contenus générés (délai de grâce jusqu'au 2 décembre 2026).
- Respecter le RGPD en parallèle : l'AI Act ne remplace pas le RGPD. Toute utilisation d'IA sur des données personnelles suppose une base légale, une information des personnes, et souvent une analyse d’impact (AIPD). La CNIL a fait des données d'entraînement une priorité de contrôle en 2026.
- Se préparer au haut risque avant décembre 2027 si vous utilisez l'IA dans les domaines de l'annexe III : recrutement et gestion des salariés, accès à l'éducation, évaluation de solvabilité, tarification d'assurance vie et santé, accès aux services publics essentiels, biométrie, infrastructures critiques, justice et processus démocratiques. Pour ces usages, le déployeur devra utiliser le système conformément à la notice, assurer une surveillance humaine, informer les salariés et les personnes concernées, conserver les journaux et, pour certains organismes, réaliser une analyse d'impact sur les droits fondamentaux. Voir la définition d'un système d’IA à haut risque.
Le régime de sanctions désormais complet
| Manquement | Amende maximale |
|---|---|
| Pratiques interdites (article 5) | 35 millions d'euros ou 7 % du CA mondial |
| Autres obligations (dont transparence et haut risque) | 15 millions d'euros ou 3 % du CA mondial |
| Informations inexactes fournies aux autorités | 7,5 millions d'euros ou 1 % du CA mondial |
Pour les PME et les start-up, c'est le montant le plus bas des deux qui est retenu. En France, la CNIL a été désignée comme l'une des autorités compétentes pour les systèmes d'IA traitant des données personnelles, aux côtés d'autres autorités sectorielles ; la coordination est confiée à la DGE.
Checklist en 10 points pour être en règle en 2026
- Inventaire des systèmes d'IA utilisés, y compris les usages non validés par l'entreprise (shadow AI).
- Qualification de chaque usage : interdit, haut risque, transparence, risque minimal.
- Rôle de l'entreprise pour chaque système : fournisseur ou déployeur.
- Politique d'usage de l'IA diffusée aux salariés (données autorisées, outils validés, relecture humaine).
- Formation à l'IA tracée pour les utilisateurs, avec un niveau renforcé pour les fonctions RH, juridiques et sécurité.
- Mention d'information sur les chatbots et voicebots exposés aux clients.
- Procédure de signalement des contenus générés (deepfakes, textes d'intérêt public).
- Vérification RGPD : base légale, information, AIPD pour les usages à risque élevé, clauses avec les fournisseurs (DPA, localisation, entraînement sur vos données).
- Feuille de route haut risque pour décembre 2027 si un usage de l'annexe III existe.
- Point IA inscrit à l’ordre du jour de la direction avec un responsable désigné.
Passez à l’action
Pilotez votre conformité avec Data Comply One : logiciel tout-en-un et experts DPO/RSSI externalisés.
Découvrir le logiciel AI Act →Tester ma conformité IA →Sources
- Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle, articles 3, 4, 5, 26, 50, 99, 113 et annexes I et III, EUR-Lex.
- Omnibus numérique, textes adoptés par le Parlement européen (16 juin 2026) et le Conseil (29 juin 2026).
- Commission européenne, AI Office, lignes directrices sur les pratiques interdites et sur la définition des systèmes d'IA (2025).
- CNIL, recommandations sur le développement des systèmes d'IA et priorités de contrôle 2026.