AI Act : à quoi devez-vous vous préparer ?

Le 2 août 2026 devait constituer une étape majeure dans l’application de l’AI Act. Elle l’est restée, mais pas exactement dans le périmètre initialement prévu.

Quelques jours avant l’échéance, le règlement (UE) 2026/1744 du 8 juillet 2026, dit « Digital Omnibus on AI », a réaménagé une partie du calendrier. Les règles applicables aux cas d’usage à haut risque de l’annexe III, initialement attendues le 2 août 2026, sont reportées au 2 décembre 2027. Une autre échéance, qui concernait déjà certains systèmes d’IA intégrés à des produits réglementés, passe du 2 août 2027 au 2 août 2028.

Ce réaménagement vise notamment à mieux faire coïncider les exigences du règlement avec la disponibilité des outils nécessaires à leur mise en œuvre, en particulier les normes harmonisées.

Le bon réflexe consiste à utiliser ce délai comme un temps de préparation, et non comme un temps d’attente.

Dans mon précédent article, « IA : chronique d’une mort annoncée » , j’évoquais les temporalités différentes de la technologie, de l’apprentissage individuel et de la transformation des organisations. L’AI Act en ajoute une quatrième : celle de la réglementation.

Or un report réglementaire ne réduit pas le temps nécessaire pour cartographier les usages, former les collaborateurs, protéger les données, sécuriser les systèmes et clarifier les responsabilités.

L’AI Act, c’est quoi au juste ?

L’AI Act – règlement (UE) 2024/1689 – encadre la mise sur le marché, la mise en service et l’utilisation de systèmes d’intelligence artificielle dans l’Union européenne. Sa logique est principalement fondée sur le risque : plus un usage peut affecter la sécurité, la santé ou les droits fondamentaux, plus les exigences augmentent.

Pour les systèmes à haut risque, les exigences sont renforcées : gestion des risques, gouvernance des données, documentation, journalisation, supervision humaine, exactitude, robustesse et cybersécurité. Les obligations diffèrent toutefois selon le rôle de l’entreprise – fournisseur, déployeur, importateur ou distributeur – et la qualification précise du système.

La taille n’est pas un critère général d’exemption : une PME ou une microentreprise peut être concernée. Le règlement prévoit néanmoins des mesures de proportionnalité, notamment sur certains éléments de documentation, l’accès aux bacs à sable réglementaires et le plafonnement des amendes pour les PME.

Qu’est-ce qui change concrètement depuis le 2 août 2026 ?

1. Les obligations de transparence sont applicables

Dans les situations couvertes par l’article 50, une personne doit notamment pouvoir savoir qu’elle interagit directement avec un système d’IA. Des règles portent également sur la détectabilité de certains contenus synthétiques, les deepfakes et certains usages de reconnaissance des émotions ou de catégorisation biométrique.

Pour une entreprise, le premier réflexe consiste donc à passer en revue les chatbots, les contenus générés ou manipulés par IA et les systèmes qui interagissent directement avec des personnes.

2. Le contrôle du règlement monte en puissance

L’AI Office européen et les autorités nationales peuvent superviser les dispositions déjà applicables, demander des informations et de la documentation et imposer des mesures correctrices ou des sanctions.

En France, la CNIL n’est pas le régulateur unique de l’AI Act. Le schéma publié par le Gouvernement répartit la surveillance entre plusieurs autorités sectorielles : notamment la DGCCRF, la DGE, la CNIL, l’Arcom, l’ACPR et les autorités compétentes en matière de sécurité des produits. L’ANSSI et le PEReN apportent par ailleurs un appui technique. À la date de rédaction, ce schéma est encore présenté comme soumis à validation parlementaire.

Le DPO conserve donc un rôle essentiel dès qu’un usage implique des données personnelles, mais l’AI Act ne lui attribue pas automatiquement la responsabilité de toute la feuille de route IA. Celle-ci gagne à être portée par une gouvernance transverse associant juridique/conformité, DPO, RSSI, DSI/data/IA, risques et métiers.

3. L’AI literacy reste une obligation de gouvernance

L’obligation d’acculturation à l’IA existe depuis février 2025. Fournisseurs et déployeurs doivent prendre des mesures adaptées aux connaissances, à l’expérience et au contexte d’usage des personnes qui utilisent les systèmes pour leur compte.

Former ne signifie donc pas transformer chaque salarié en expert. Il faut au minimum lui permettre de comprendre ce qu’il peut faire avec l’outil, quelles données il peut utiliser, quelles sont ses limites, quels contrôles humains sont attendus et quels risques sont propres à son métier.

Quel est le risque à ne rien faire ?

Le premier risque est réglementaire. Les pratiques interdites peuvent conduire à des amendes allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. D’autres manquements peuvent atteindre 15 millions d’euros ou 3 %, et la fourniture d’informations incorrectes, incomplètes ou trompeuses peut relever d’un plafond de 7,5 millions d’euros ou 1 %. Les règles de plafonnement sont plus favorables aux PME.

Mais l’amende n’est pas le seul sujet : une non-conformité peut aussi entraîner des coûts de remédiation, un arrêt ou un retard de déploiement, ainsi que des risques contractuels et réputationnels.

Être conforme à l’AI Act ne suffit pas à maîtriser la conformité, ni les risques, d’un usage de l’IA.

L’AI Act n’est qu’une couche du cadre de conformité

L’IA utilise des données, intervient dans des systèmes d’information, produit des contenus et peut agir sur des salariés, des candidats, des clients ou des consommateurs. Plusieurs cadres peuvent donc se cumuler.

La bonne question n’est donc pas seulement : « Sommes-nous conformes à l’AI Act ? » Elle est plutôt : « Quels sont nos usages de l’IA, quels risques produisent-ils et quels cadres leur sont applicables ? »

Le risque réglementaire n’est qu’un risque parmi d’autres

Un usage peut être à faible risque au sens de l’AI Act et présenter malgré tout un risque important pour l’entreprise.

• Confidentialité et données : informations clients ou données personnelles introduites dans un service externe sans vérification suffisante.
• Shadow AI : multiplication d’outils et de pratiques individuelles hors des solutions ou règles de l’organisation.
• Risques humains : peur de l’obsolescence professionnelle, charge mentale, surconfiance, dépendance cognitive ou perte progressive de compétences.
• Agents et systèmes connectés : une erreur ou une attaque peut désormais déclencher une action dans un CRM, une messagerie ou une application métier.
• Dépendance technique et économique : évolution de modèles, d’API, de tarifs ou de conditions contractuelles.
• Réputation et qualité : hallucinations, biais ou contenus insuffisamment contrôlés.
• Cybersécurité : prompt injections, attaques sur les données ou les modèles et nécessité d’appliquer strictement le principe du moindre privilège.

La conformité réglementaire n’est donc qu’une composante de la maîtrise de l’IA. Les risques humains, données, cyber, techniques, économiques, opérationnels, réputationnels et stratégiques doivent être suivis avec une méthode commune.

Concrètement, que faire maintenant ?

1. Recenser les usages et les outils. Inclure les solutions officiellement déployées mais aussi les usages spontanés afin de rendre visible le shadow AI.
2. Qualifier chaque usage au regard de l’AI Act. Quel est le rôle de l’entreprise ? Quel niveau de risque ? Une obligation de transparence s’applique-t-elle ?
3. Cartographier les données et les autres cadres applicables. Données personnelles ou confidentielles, propriété intellectuelle, cybersécurité, droit du travail, réglementation sectorielle…
4. Évaluer les risques de manière homogène. Une matrice probabilité / impact suffit pour démarrer ; la réversibilité peut compléter l’analyse lorsque les conséquences sont difficiles à annuler.
5. Définir les règles et les responsabilités. Solutions autorisées, données utilisables, droits d’accès, supervision humaine et responsable du cas d’usage peuvent être formalisés dans une charte IA.
6. Former et accompagner les utilisateurs. L’objectif n’est pas seulement d’améliorer les prompts, mais de développer une AI literacy adaptée aux métiers et aux risques.
7. Documenter, surveiller et préparer les échéances futures. Pour les usages potentiellement à haut risque, 2027 ou 2028 doivent être des échéances de conformité — pas le point de départ de la préparation.

La démarche peut rester simple : identifier, qualifier, traiter et réévaluer.

Une échéance réglementaire n’est pas un calendrier de transformation

Le 2 août 2026 n’est pas une ligne d’arrivée. Il marque l’entrée dans une nouvelle phase d’application et de contrôle de l’AI Act, tandis qu’une partie des exigences relatives aux systèmes à haut risque a été repoussée.

Trois idées sont à retenir : l’AI Act concerne les organisations selon leurs rôles et leurs usages, pas seulement leur taille. Il ne remplace pas les autres cadres de conformité. Le risque réglementaire n’est qu’une famille de risques parmi d’autres.

Comme pour toute transformation, le calendrier réglementaire fixe une échéance. Il doit s’articuler avec le temps nécessaire à l’organisation pour apprendre, se structurer et devenir réellement capable de maîtriser ses usages de l’IA.

Sources principales

• Règlement (UE) 2026/1744 — Digital Omnibus on AI
• Commission européenne — AI Act : cadre réglementaire et calendrier
• Commission européenne — systèmes d’IA à haut risque
• Direction générale des Entreprises — autorités compétentes en France
• CNIL — IA : professionnels, comment se mettre en conformité ?

Cet article constitue une synthèse pédagogique du cadre applicable à la date de rédaction. La qualification juridique d’un système et les obligations correspondantes doivent être appréciées au cas par cas.