Actualités · Gouvernance
AI Act applicable en 2026 : ce qui change pour les entreprises
L'AI Act est largement applicable depuis le 2 août 2026, mais les obligations propres aux systèmes à haut risque ont été reportées. Voici ce qui change maintenant et comment organiser la conformité.
Depuis le 2 août 2026, le règlement européen sur l'intelligence artificielle, ou AI Act, est entré dans sa phase d'application générale. Pour une entreprise, cela ne signifie toutefois pas que toutes les obligations commencent le même jour. Plusieurs règles sont déjà applicables depuis 2025, tandis que le Digital Omnibus sur l'IA, devenu le règlement (UE) 2026/1744, a reporté le régime spécifique des systèmes à haut risque.
La priorité n'est donc pas de lancer un projet de conformité uniforme. Il faut d'abord inventorier les usages de l'IA, identifier le rôle juridique de l'entreprise pour chaque système, puis appliquer le bon calendrier et les contrôles proportionnés au risque.
En bref
- Les pratiques d'IA interdites et l'obligation de culture IA s'appliquent depuis le 2 février 2025.
- Les règles de gouvernance et une première série d'obligations pour les modèles d'IA à usage général s'appliquent depuis le 2 août 2025.
- La majorité des autres dispositions de l'AI Act s'appliquent depuis le 2 août 2026.
- Les obligations propres aux systèmes à haut risque de l'annexe III s'appliqueront le 2 décembre 2027.
- Celles qui concernent les systèmes à haut risque intégrés à des produits réglementés de l'annexe I s'appliqueront le 2 août 2028.
- Le report ne dispense pas d'agir. L'inventaire, les responsabilités, la culture IA, les contrats et la traçabilité sont des chantiers immédiats.
Calendrier opérationnel fondé sur l'AI Act et le règlement (UE) 2026/1744. Situation vérifiée le 6 août 2026.
Ce qui est réellement applicable en août 2026
Le règlement (UE) 2024/1689 a prévu une application progressive. Son article 113 fixe le 2 août 2026 comme date générale, avec des étapes antérieures et des exceptions. Le règlement (UE) 2026/1744, publié le 24 juillet 2026, a ensuite modifié ce calendrier pour certaines obligations à haut risque.
Cette distinction évite deux erreurs opposées. La première consiste à croire que l'AI Act ne produit aucun effet avant 2027. La seconde consiste à appliquer dès maintenant tout le dispositif de conformité des systèmes à haut risque à chaque outil d'IA utilisé dans l'entreprise.
| Domaine | Date d'application | Conséquence pratique |
|---|---|---|
| Pratiques interdites et culture IA | 2 février 2025 | Former les personnes qui utilisent ou supervisent l'IA et exclure les usages interdits |
| Gouvernance européenne, sanctions et modèles d'IA à usage général | 2 août 2025 | Vérifier les responsabilités des fournisseurs et les informations disponibles sur les modèles |
| Application générale de l'AI Act | 2 août 2026 | Appliquer les obligations pertinentes de transparence, gouvernance et coopération |
| Systèmes à haut risque de l'annexe III | 2 décembre 2027 | Préparer la gestion des risques, les données, la documentation, les journaux et la surveillance humaine |
| Systèmes à haut risque intégrés à des produits de l'annexe I | 2 août 2028 | Aligner la conformité IA sur les procédures sectorielles du produit concerné |
Les dates ci-dessus décrivent le régime général. L'analyse d'un cas précis doit également tenir compte du type de système, de son usage prévu, du secteur et du rôle de l'entreprise.
Première étape : qualifier le rôle de l'entreprise
L'AI Act ne traite pas de la même façon le fournisseur qui développe ou met un système sur le marché, le déployeur qui l'utilise sous son autorité, l'importateur et le distributeur. Une entreprise peut même cumuler plusieurs rôles.
Un acheteur d'assistant bureautique est généralement déployeur. Une organisation qui adapte profondément une solution, la commercialise sous son nom ou en modifie la finalité peut se rapprocher des responsabilités d'un fournisseur. Le contrat commercial ne suffit pas à trancher. Il faut regarder la réalité du système, sa finalité et les modifications effectuées.
Pour chaque usage, le registre interne devrait au minimum indiquer :
- le propriétaire métier et le responsable technique ;
- la finalité, les utilisateurs et les personnes affectées ;
- le fournisseur, le modèle et les composants tiers ;
- les données traitées et leur niveau de sensibilité ;
- les décisions ou actions influencées par le système ;
- le rôle probable de l'entreprise au sens de l'AI Act ;
- les contrôles humains, techniques et contractuels ;
- les incidents, changements de version et résultats de surveillance.
Les obligations déjà incontournables
Écarter les pratiques interdites
L'article 5 interdit plusieurs pratiques, notamment certaines formes de manipulation, d'exploitation de vulnérabilités, de notation sociale et de catégorisation biométrique. Le Digital Omnibus a aussi ajouté des interdictions concernant la génération de contenus sexuels ou intimes non consentis et de matériels d'abus sexuels sur mineurs, avec une application prévue le 2 décembre 2026 pour ces nouvelles dispositions.
Une politique interne doit donc prévoir un examen préalable des cas d'usage et un mécanisme d'escalade. Un simple questionnaire d'achat informatique ne suffit pas lorsque le système peut affecter des personnes, accéder à des données sensibles ou agir sur un processus critique.
Développer une culture IA adaptée
L'article 4 impose aux fournisseurs et déployeurs de prendre des mesures afin d'assurer un niveau suffisant de culture IA à leur personnel et aux autres personnes qui utilisent les systèmes pour leur compte. Le règlement ne prescrit pas une formation unique. Le niveau attendu dépend des connaissances, de l'expérience, du contexte d'utilisation et des personnes concernées.
Une formation utile distingue au moins les utilisateurs, les propriétaires métier, les équipes techniques, la sécurité et les fonctions de contrôle. Elle couvre les limites du système, la confidentialité, la vérification des sorties, les incidents et les usages interdits.
Traiter la transparence comme une propriété du système
Selon les cas, l'entreprise doit informer les personnes qu'elles interagissent avec une IA ou que certains contenus ont été générés ou manipulés artificiellement. Le détail dépend de l'article 50 et du rôle de l'organisation. La transparence doit donc être conçue dans l'interface, les procédures et les métadonnées, et non ajoutée après le déploiement.
Examiner les modèles d'IA à usage général
Les fournisseurs de modèles d'IA à usage général ont leurs propres obligations. Pour l'entreprise utilisatrice, la question opérationnelle est de vérifier si le fournisseur met à disposition une documentation exploitable sur les capacités, les limites, les conditions d'utilisation et les mesures de conformité. Cette documentation ne remplace pas l'évaluation du système final dans son contexte métier.
Ce que le report du haut risque change, et ce qu'il ne change pas
Le règlement 2026/1744 a fixé au 2 décembre 2027 l'application des sections 1 à 3 du chapitre III pour les systèmes classés à haut risque au titre de l'article 6, paragraphe 2, et de l'annexe III. Cela concerne notamment certains usages dans l'emploi, l'éducation, les services essentiels, la biométrie, les infrastructures critiques et les frontières. Pour les systèmes liés aux produits de l'annexe I, la date est le 2 août 2028.
Ce report accorde du temps pour les normes, les lignes directrices et la mise en œuvre. Il ne transforme pas un système risqué en système sans risque. D'autres règles peuvent déjà s'appliquer, notamment le RGPD, le droit du travail, la cybersécurité, le droit de la consommation ou des obligations sectorielles.
Une entreprise qui attend 2027 pour découvrir ses systèmes, retrouver leurs données ou définir les responsables aura perdu le principal bénéfice du report. Les chantiers structurants demandent du temps et améliorent déjà la maîtrise opérationnelle.
Plan d'action en 90 jours
| Période | Action | Livrable attendu |
|---|---|---|
| Jours 1 à 30 | Recenser les systèmes et usages, y compris les outils adoptés directement par les équipes | Inventaire initial avec propriétaires et finalités |
| Jours 1 à 30 | Filtrer les pratiques interdites et les traitements sensibles | Registre des cas bloqués ou soumis à examen renforcé |
| Jours 31 à 60 | Qualifier les rôles, les niveaux de risque et les textes connexes | Matrice de qualification documentée |
| Jours 31 à 60 | Définir un programme de culture IA par population | Parcours de formation et preuves de réalisation |
| Jours 61 à 90 | Prioriser la documentation, les journaux, les évaluations et les clauses fournisseurs | Feuille de route avec responsables et échéances |
| Jours 61 à 90 | Organiser les alertes, incidents et changements de modèles | Processus de surveillance et d'escalade |
Les pièges à éviter
- Confondre outil et cas d'usage. Un même modèle peut présenter des niveaux de risque très différents selon la décision qu'il soutient.
- S'appuyer uniquement sur le fournisseur. La conformité du composant ne prouve pas celle du système intégré ni du processus métier.
- Réduire la culture IA à une sensibilisation générale. Les compétences attendues doivent être adaptées aux responsabilités.
- Ignorer les usages informels. Les abonnements individuels et fonctions d'IA intégrées aux logiciels créent des angles morts.
- Attendre les dates du haut risque. L'inventaire, la sécurité, les responsabilités et la preuve des décisions doivent commencer avant l'échéance.
La bonne décision pour 2026
En août 2026, une entreprise doit considérer l'AI Act comme un cadre déjà actif, avec un régime à haut risque dont certaines obligations ont été reportées. La démarche la plus solide consiste à relier conformité et ingénierie : connaître les systèmes, mesurer leurs risques, contrôler les données, documenter les décisions et surveiller le fonctionnement réel.
Cette base permet ensuite d'ajouter les exigences spécifiques au bon moment, sans reconstruire le dispositif à chaque nouvelle échéance.
Sources officielles
- Règlement (UE) 2024/1689 sur l'intelligence artificielle, texte initial de l'AI Act et calendrier de l'article 113.
- Règlement (UE) 2026/1744, Digital Omnibus sur l'IA, texte modificatif publié le 24 juillet 2026.
- Commission européenne : Navigating the AI Act, synthèse officielle du calendrier et des responsabilités.
Sources vérifiées le 6 août 2026. Cet article présente une lecture opérationnelle générale et ne constitue pas un avis juridique.
