AI Act : le guide complet pour les entreprises

Sommaire — L’AI Act en bref · Le calendrier · Ce que change l’omnibus · Fournisseur ou déployeur · Le haut risque · La transparence · Qui contrôle en France · Les sanctions · Plan d’action en 7 étapes · FAQ · Sources

L’AI Act en bref : réguler des usages, pas une technologie

Adopté en 2024 et entré en vigueur le 1er août 2024, l’AI Act est le premier cadre juridique complet sur l’intelligence artificielle. Son principe est simple : plus un usage de l’IA présente de risques pour la santé, la sécurité ou les droits fondamentaux des personnes, plus les exigences sont fortes. Un même modèle peut donc être sans contrainte particulière dans un usage, et très encadré dans un autre.

Le règlement s’applique à toute organisation qui met un système d’IA sur le marché européen ou qui l’utilise dans l’Union, quelle que soit sa taille et où que soit établi le fournisseur. Il distingue quatre niveaux de risque.

Niveau	Exemples	Ce que prévoit le texte
Inacceptable	Notation sociale, manipulation exploitant des vulnérabilités, reconnaissance des émotions au travail ou à l’école, catégorisation biométrique sensible, deepfakes intimes sans consentement	Interdiction
Haut risque	Recrutement et gestion RH, octroi de crédit, tarification de l’assurance vie et santé, accès à l’éducation, infrastructures critiques, composants de sécurité de produits réglementés	Autorisé, mais très encadré : gestion des risques, qualité des données, documentation, journalisation, contrôle humain, robustesse, cybersécurité
Transparence	Chatbots, contenus générés par IA, deepfakes, reconnaissance des émotions hors cas interdits	Informer les personnes et marquer les contenus générés
Minimal	Filtres anti-spam, recommandation de contenus, aide à la rédaction interne, optimisation logistique	Pas d’obligation spécifique, codes de conduite volontaires

À ces quatre niveaux s’ajoute un régime propre aux modèles d’IA à usage général (les grands modèles de langage, par exemple). Il vise leurs fournisseurs : documentation technique, information des intégrateurs, respect du droit d’auteur et, pour les modèles présentant un risque systémique, évaluation et atténuation de ces risques.

Le calendrier, après l’omnibus numérique

L’AI Act s’applique par étapes. Le calendrier initial prévoyait l’essentiel des obligations « haut risque » au 2 août 2026. Faute de normes harmonisées et de lignes directrices prêtes à temps, l’Union a adopté en juillet 2026 un omnibus numérique qui décale ces échéances.

Date	Ce qui s’applique
1er août 2024	Entrée en vigueur du règlement
2 février 2025	Pratiques interdites et maîtrise de l’IA (article 4)
2 août 2025	Obligations des fournisseurs de modèles d’IA à usage général, gouvernance européenne, régime des sanctions
27 juillet 2026	Entrée en vigueur de l’omnibus numérique (règlement (UE) 2026/1744)
2 août 2026	Obligations de transparence (article 50), pouvoirs de contrôle de la Commission sur les modèles à usage général
2 décembre 2026	Nouvelles interdictions (deepfakes intimes sans consentement, contenus pédocriminels) et marquage des contenus pour les systèmes génératifs déjà sur le marché
2 août 2027	Au moins un bac à sable réglementaire national opérationnel par État membre
2 décembre 2027	Systèmes à haut risque de l’annexe III (emploi, crédit, éducation, services essentiels…)
2 août 2028	Systèmes à haut risque intégrés à des produits réglementés (annexe I : machines, dispositifs médicaux, jouets…)
2 août 2030	Mise en conformité des systèmes à haut risque déjà en service utilisés par des autorités publiques

Pour les systèmes à haut risque déjà sur le marché avant ces dates, les obligations ne s’appliquent qu’en cas de modification substantielle après l’échéance. Un nouveau projet lancé en 2027 doit, lui, être conforme dès sa mise en service.

Ce que change l’omnibus numérique

Au-delà du report, l’omnibus (règlement (UE) 2026/1744 du 8 juillet 2026) modifie plusieurs points concrets pour les entreprises :

• Maîtrise de l’IA assouplie. L’article 4 demande désormais aux fournisseurs et aux déployeurs de « prendre des mesures pour favoriser » la maîtrise de l’IA de leurs équipes, sans obligation de garantir un niveau de compétence individuel. L’obligation de moyens demeure : former, documenter, adapter selon les rôles.
• Deux nouvelles pratiques interdites à partir du 2 décembre 2026 : générer ou manipuler des images intimes réalistes d’une personne identifiable sans son consentement explicite (les applications dites de « nudification »), et générer des contenus pédocriminels.
• Allègements pour les PME et les ETI. Une nouvelle catégorie de « petites entreprises de taille intermédiaire » (moins de 750 salariés, chiffre d’affaires jusqu’à 150 millions d’euros ou bilan jusqu’à 129 millions) bénéficie des mêmes mesures que les PME : documentation simplifiée, système qualité proportionné, priorité d’accès aux bacs à sable, plafonds de sanctions adaptés.
• Données sensibles pour corriger les biais. Le traitement de catégories particulières de données (au sens du RGPD) est autorisé pour détecter et corriger les biais, sous condition de stricte nécessité et avec des garanties.
• Définition resserrée du « composant de sécurité », qui limite les cas où une IA intégrée à un produit devient automatiquement à haut risque.
• Contrôle centralisé par le Bureau européen de l’IA pour les systèmes bâtis sur un modèle à usage général du même fournisseur, et pour l’IA intégrée aux très grandes plateformes et moteurs de recherche.

Fournisseur ou déployeur : quel est votre rôle ?

C’est la première question à se poser pour chaque système, car les obligations en découlent. Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché sous son nom. Le déployeur l’utilise dans le cadre de son activité professionnelle. La grande majorité des entreprises sont déployeurs : elles achètent un logiciel RH avec une brique d’IA, utilisent un assistant génératif, intègrent une API de modèle de langage.

Attention aux bascules. Une entreprise devient fournisseur si elle développe son propre système, si elle met son nom sur un système existant, ou si elle modifie substantiellement un système à haut risque ou en change la finalité. Un chatbot interne affiné sur vos données et ouvert à vos clients peut ainsi faire de vous un fournisseur.

Pour un système à haut risque	Fournisseur	Déployeur
Gestion des risques et qualité des données	Oui, sur tout le cycle de vie	Veiller à la pertinence des données d’entrée qu’il contrôle
Documentation technique et marquage CE	Oui	Non, mais conserver la notice d’utilisation
Journalisation	Concevoir le système pour enregistrer les événements	Conserver les journaux au moins six mois
Contrôle humain	Le rendre possible dès la conception	L’exercer par des personnes compétentes et formées
Information des personnes	Notice claire pour le déployeur	Informer les salariés concernés et les personnes visées par une décision
Analyse d’impact sur les droits fondamentaux	Non	Oui pour les organismes publics et certains usages (crédit, assurance vie et santé)

Le haut risque : comment savoir si vous êtes concerné

Un système est à haut risque par deux voies. Soit il est un composant de sécurité d’un produit déjà soumis à une évaluation de conformité européenne (annexe I : machines, dispositifs médicaux, ascenseurs, jouets…). Soit son usage figure dans l’une des huit familles de l’annexe III :

• la biométrie (identification à distance, catégorisation, reconnaissance des émotions) ;
• les infrastructures critiques (eau, gaz, électricité, trafic routier, infrastructures numériques) ;
• l’éducation et la formation (admission, évaluation, surveillance des examens) ;
• l’emploi et la gestion des travailleurs (tri des candidatures, évaluation, promotion, répartition des tâches, licenciement) ;
• l’accès aux services essentiels (crédit, assurance vie et santé, prestations sociales, tri des appels d’urgence) ;
• les activités répressives ;
• les migrations, l’asile et les contrôles aux frontières ;
• l’administration de la justice et les processus démocratiques.

Le texte prévoit une exception : un système de l’annexe III n’est pas à haut risque s’il n’influence pas de manière significative la décision. C’est le cas d’une tâche procédurale étroite, de l’amélioration d’un travail humain déjà réalisé ou d’une tâche préparatoire. Cette exception ne joue jamais pour le profilage de personnes. Le fournisseur qui s’en prévaut doit documenter son analyse.

La Commission a publié en mai 2026 un projet de lignes directrices sur cette classification, avec de nombreux exemples. La version définitive est annoncée pour la fin 2026. En parallèle, les normes harmonisées européennes, qui donneront une présomption de conformité, sont encore en cours d’élaboration au CEN-CENELEC. Leur publication est visée fin 2026 au plus tôt : c’est l’une des raisons du report.

La transparence : ce qui s’applique dès 2026

Ces obligations concernent beaucoup plus d’entreprises que le haut risque, car elles visent des usages très courants de l’IA générative. Elles s’appliquent depuis le 2 août 2026.

Situation	Qui	Obligation
Chatbot, assistant vocal, agent conversationnel	Fournisseur	Informer la personne qu’elle échange avec une IA, sauf si c’est évident
Texte, image, audio ou vidéo générés	Fournisseur	Marquer les contenus dans un format lisible par machine et détectable (filigrane, métadonnées) ; jusqu’au 2 décembre 2026 pour les systèmes déjà sur le marché
Reconnaissance des émotions, catégorisation biométrique	Déployeur	Informer les personnes exposées
Deepfake (image, audio, vidéo)	Déployeur	Indiquer que le contenu a été généré ou manipulé ; régime allégé pour les œuvres artistiques ou satiriques
Texte généré publié pour informer le public	Déployeur	Le signaler, sauf s’il a fait l’objet d’une relecture humaine sous responsabilité éditoriale

Pour aider les entreprises, la Commission a validé en juillet 2026 un code de bonnes pratiques sur la transparence des contenus générés par IA, auquel les organisations peuvent adhérer volontairement, et publié ses lignes directrices définitives sur l’article 50. En pratique, pour un déployeur : un bandeau clair sur vos chatbots, une mention sur les visuels générés diffusés à l’extérieur, et une règle simple pour les contenus éditoriaux. Un texte rédigé avec l’aide de l’IA mais relu et validé par un humain qui en porte la responsabilité n’a pas à être signalé.

Qui contrôlera l’AI Act en France ?

Chaque État membre doit désigner ses autorités de surveillance du marché. En France, à la date de cette mise à jour, la loi de désignation est encore en discussion au Parlement, dans le cadre d’un projet de loi d’adaptation au droit de l’Union. Le schéma envisagé confie à la CNIL la surveillance des pratiques interdites et d’une large part des usages à haut risque de l’annexe III (biométrie, emploi, accès aux services), et à la DGCCRF un rôle de coordination et de point de contact unique. Les régulateurs sectoriels resteraient compétents dans leur domaine, comme l’ACPR pour la banque et l’assurance.

Pour les modèles d’IA à usage général, c’est le Bureau européen de l’IA, au sein de la Commission, qui contrôle directement les fournisseurs.

Les sanctions

Manquement	Amende maximale
Pratiques interdites	35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial
Autres obligations (haut risque, transparence, modèles à usage général…)	15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial
Informations inexactes ou trompeuses fournies aux autorités	7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial

Pour les grandes entreprises, le montant le plus élevé des deux s’applique. Pour les PME, et désormais les petites ETI, c’est le moins élevé. Au-delà de l’amende, le risque le plus concret reste opérationnel : le retrait d’un outil devenu central dans un processus métier.

Plan d’action : 7 étapes pour être prêt

Le report du haut risque à fin 2027 laisse du temps, mais pas trop. Une démarche de conformité sérieuse prend souvent six à douze mois, et une partie des obligations s’applique déjà. Voici l’ordre que nous recommandons.

1. Cartographier vos usages de l’IA

C’est le point de départ, et souvent la première surprise. Recensez tous les systèmes : outils métiers avec une brique d’IA, assistants génératifs utilisés par les équipes (y compris sans autorisation formelle), modèles développés en interne, fonctionnalités d’IA intégrées à vos logiciels SaaS. Pour chacun, notez le fournisseur, la finalité, les données traitées, les personnes concernées et le responsable métier.

2. Qualifier chaque usage : rôle et niveau de risque

Pour chaque système, déterminez votre rôle (fournisseur ou déployeur) et le niveau de risque, en vous appuyant sur l’annexe III et le projet de lignes directrices de la Commission. Vérifiez en priorité qu’aucun usage ne relève d’une pratique interdite : c’est déjà applicable. Documentez votre raisonnement, surtout lorsque vous concluez qu’un usage de l’annexe III n’est pas à haut risque.

3. Poser une gouvernance légère

Désignez un référent IA, en lien avec le DPO, la DSI et les métiers. Tenez le registre de vos usages à jour, et ajoutez une vérification « AI Act » à la phase de cadrage de chaque nouveau projet. L’objectif n’est pas d’alourdir l’innovation, mais d’éviter de découvrir un problème au moment du déploiement.

4. Former les équipes

L’article 4 s’applique depuis février 2025. Même assoupli par l’omnibus, il impose de prendre des mesures concrètes. Adaptez la formation aux rôles : sensibilisation générale pour tous (capacités, limites, erreurs, confidentialité), formation approfondie pour les personnes qui pilotent ou supervisent des systèmes. Conservez une trace des actions menées.

5. Mettre en conformité la transparence

C’est l’obligation la plus immédiate pour la plupart des entreprises. Signalez vos chatbots, mettez en place l’étiquetage des visuels et vidéos générés diffusés à l’extérieur, et fixez une règle de relecture humaine pour les contenus éditoriaux produits avec l’IA.

6. Sécuriser vos fournisseurs et vos contrats

Demandez à vos éditeurs leur feuille de route AI Act, leur classification, leur documentation et leurs notices d’utilisation. Intégrez dans vos contrats des clauses sur la conformité, la transparence, la journalisation et l’information en cas d’incident. Pour les systèmes à haut risque, c’est la notice du fournisseur qui vous permettra de remplir vos propres obligations de déployeur.

7. Industrialiser : documentation, journalisation, contrôle humain

Pour les systèmes que vous développez ou qui sont à haut risque, les exigences du règlement correspondent largement aux bonnes pratiques d’ingénierie : versionner les données et les modèles, tracer les entraînements, surveiller les performances en production, journaliser les décisions, prévoir l’intervention humaine. Des pratiques MLOps bien installées couvrent l’essentiel de ce que le texte demande.

Horizon	Priorités
Dès maintenant	Cartographie, vérification des pratiques interdites, formation, transparence des chatbots et contenus
D’ici décembre 2026	Marquage des contenus générés, contrôle des nouvelles interdictions, clauses fournisseurs
D’ici décembre 2027	Mise en conformité complète des systèmes à haut risque de l’annexe III
D’ici août 2028	Systèmes à haut risque intégrés à des produits réglementés

Conformité et IA responsable : la même démarche

Bien appliqué, l’AI Act n’est pas un frein à l’innovation. Il formalise ce qu’une IA responsable fait déjà : choisir le bon usage, maîtriser les données, expliquer les résultats, garder l’humain dans la boucle. C’est aussi l’occasion de faire le tri. Un usage mal maîtrisé coûte cher en risques comme en ressources, et une approche d’IA frugale réduit à la fois l’exposition réglementaire, les coûts et l’empreinte environnementale : moins de systèmes inutiles, des modèles dimensionnés au besoin, plus simples à documenter et à contrôler.

Chez Acrion, la conformité fait partie du cadrage de chaque projet d’IA, au même titre que la valeur métier et la sobriété. Vous voulez faire le point sur vos usages ? Parlons-en.

Questions fréquentes

Mon entreprise utilise seulement ChatGPT ou Copilot : suis-je concernée par l’AI Act ?

Oui, comme déployeur. Les assistants génératifs utilisés pour la rédaction interne relèvent en général du risque minimal. Vous êtes en revanche concerné par la maîtrise de l’IA (former vos équipes) et par la transparence si vous publiez des contenus générés sans relecture humaine, ou si vous exposez un assistant à vos clients. Si vous l’utilisez pour trier des candidatures ou évaluer des salariés, l’usage peut devenir à haut risque.

Le report du haut risque à 2027 signifie-t-il que rien ne presse ?

Non. Les interdictions, la maîtrise de l’IA et la transparence s’appliquent déjà, et de nouvelles interdictions arrivent le 2 décembre 2026. Pour le haut risque, la mise en conformité d’un système existant (documentation, journalisation, contrôle humain, contrats) prend souvent plus d’un an.

Faut-il un certificat pour prouver la maîtrise de l’IA ?

Non. Le texte n’impose ni certificat, ni nombre d’heures, ni test. Il demande de prendre des mesures adaptées aux rôles et aux risques. Gardez une trace de ce qui a été fait : contenus de formation, participants, dates.

Un texte écrit avec l’IA doit-il toujours être signalé ?

Non. L’obligation vise les textes générés publiés pour informer le public sur des sujets d’intérêt général. Elle ne s’applique pas lorsqu’un humain a relu le contenu et en porte la responsabilité éditoriale. Les deepfakes (images, audio, vidéo) doivent en revanche être signalés.

Les PME ont-elles des obligations allégées ?

Oui. Les PME, et depuis l’omnibus les petites ETI de moins de 750 salariés, bénéficient d’une documentation simplifiée, d’un système qualité proportionné, d’un accès prioritaire aux bacs à sable réglementaires et de plafonds de sanctions plus bas. Les interdictions et les exigences de fond restent les mêmes.

Sources

• Règlement (UE) 2024/1689 sur l’intelligence artificielle (AI Act), Journal officiel de l’UE
• Règlement (UE) 2026/1744 dit « omnibus numérique sur l’IA », Journal officiel de l’UE
• Digital Omnibus on AI, texte consolidé et dates d’application, artificialintelligenceact.eu
• EU AI Act Update: Digital Omnibus Finalizes 8 Compliance Changes, Orrick, juillet 2026
• AI literacy – Questions & Answers, Commission européenne
• Code of Practice on Transparency of AI-generated Content, Commission européenne
• Draft guidelines on classification of high-risk AI systems: key points, DLA Piper, juin 2026
• Le gouvernement prévoit de donner la régulation de l’IA à la CNIL, Next

Cet article présente le règlement de façon générale, à jour au 23 octobre 2026. Il ne constitue pas un avis juridique. Pour un usage précis, faites valider l’analyse par votre service juridique ou un conseil spécialisé.