AI Act : obligations des entreprises et calendrier d’application

À lire avant de commencer. Cet article est un support d’information, pas un conseil juridique. Il reflète le règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744, à jour en octobre 2026. La qualification de vos systèmes d’IA et de votre rôle dépend de chaque situation : faites valider vos conclusions par un juriste ou un avocat, et reportez-vous aux textes officiels cités en sources.

L’AI Act, ou règlement européen sur l’intelligence artificielle (RIA), concerne bien plus d’entreprises qu’on ne le pense : toute organisation qui utilise un système d’IA dans un cadre professionnel est susceptible d’avoir des obligations, même sans rien développer. Son calendrier a en outre été modifié en 2026, ce qui explique les dates contradictoires que l’on trouve en ligne. Voici les obligations, le calendrier vérifié sur les textes publiés au Journal officiel, et un plan d’action. Ce sujet s’inscrit dans notre approche de l’IA générative en entreprise.

L’AI Act en bref

Ce que régule le règlement : une approche par les risques

La Commission européenne présente le règlement autour de quatre niveaux de risque :

• Risque inacceptable : pratiques interdites (article 5), par exemple la notation sociale, l’exploitation des vulnérabilités liées à l’âge ou à la situation sociale, la reconnaissance des émotions sur le lieu de travail et dans l’enseignement (hors raisons médicales ou de sécurité), le moissonnage non ciblé d’images faciales pour constituer des bases de reconnaissance faciale.
• Haut risque : systèmes qui peuvent porter atteinte à la santé, à la sécurité ou aux droits fondamentaux. Ils sont soit des composants de sécurité de produits réglementés (annexe I), soit utilisés dans des domaines listés à l’annexe III : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs (recrutement, tri des candidatures, promotion, licenciement), accès aux services essentiels (évaluation de la solvabilité, tarification en assurance vie et santé), répression, migration, justice.
• Risque lié à la transparence : chatbots, contenus générés ou manipulés, hypertrucages (article 50).
• Risque minimal : la Commission cite les filtres anti-spam ou les jeux vidéo. Le règlement n’ajoute pas de règles spécifiques.

Le règlement encadre aussi les modèles d’IA à usage général (les grands modèles de langage, par exemple), dont les obligations pèsent sur leurs fournisseurs.

Fournisseur ou déployeur : quel est votre rôle ?

L’article 3 distingue notamment :

• le fournisseur : celui qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou le met en service sous son propre nom ou sa propre marque ;
• le déployeur : celui qui utilise sous sa propre autorité un système d’IA, hors activité personnelle non professionnelle.

Une entreprise qui utilise un assistant du marché est en général déployeur. La situation est moins évidente quand vous construisez votre propre application sur l’API d’un modèle et la mettez en service sous votre nom : vous pouvez alors être qualifié de fournisseur de ce système, tandis que l’éditeur du modèle reste fournisseur du modèle. L’article 25 prévoit aussi qu’un déployeur devient fournisseur d’un système à haut risque s’il y appose son nom, le modifie substantiellement, ou modifie la destination d’un système qui devient de ce fait à haut risque. Cette qualification est le premier point à faire valider.

Calendrier d’application (vérifié en octobre 2026)

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. Son article 113 prévoyait une application échelonnée. En novembre 2025, la Commission a proposé un « omnibus numérique sur l’IA » pour reporter et simplifier certaines règles. Ce texte n’est plus une proposition : il a été adopté sous la forme du règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026.

Échéance	Ce qui s’applique	Calendrier initial (2024/1689)	Calendrier en vigueur (après 2026/1744)
Entrée en vigueur	Le règlement existe juridiquement	1er août 2024	Inchangé
Dispositions générales et interdictions	Chapitres I et II : définitions, maîtrise de l’IA (article 4), pratiques interdites (article 5)	2 février 2025	Inchangé
Nouvelles interdictions	Systèmes générant des contenus intimes non consentis ou pédocriminels	Non prévues	2 décembre 2026
Modèles d’IA à usage général	Chapitre V, gouvernance, régime de sanctions	2 août 2025	Inchangé
Application générale	Dont la transparence (article 50)	2 août 2026	2 août 2026 (délai jusqu’au 2 décembre 2026 pour le marquage des contenus des systèmes déjà sur le marché)
Haut risque, annexe III	Emploi, crédit, éducation, biométrie…	2 août 2026	2 décembre 2027
Haut risque, annexe I	IA intégrée à des produits réglementés	2 août 2027	2 août 2028

Date de dernière vérification sur les textes publiés au Journal officiel : 15 octobre 2026.

Déjà en vigueur : pratiques interdites et maîtrise de l’IA

Depuis le 2 février 2025, les pratiques de l’article 5 sont interdites et l’article 4 s’applique. Pour une entreprise ordinaire, le risque le plus concret n’est pas la notation sociale, mais par exemple un outil d’analyse des émotions des salariés ou des candidats : inférer les émotions d’une personne sur le lieu de travail est interdit, sauf raisons médicales ou de sécurité.

Modèles d’IA à usage général

Depuis le 2 août 2025, les fournisseurs de modèles d’IA à usage général ont leurs propres obligations. Si vous utilisez ces modèles via une API, ces obligations ne pèsent pas sur vous, mais elles conditionnent les informations que le fournisseur doit mettre à disposition de ceux qui intègrent ses modèles.

Transparence et haut risque : ce qu’a changé l’omnibus IA

Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026. L’omnibus n’a pas reporté cette date ; il a seulement prévu que les fournisseurs de systèmes générant des contenus de synthèse mis sur le marché avant le 2 août 2026 se conforment à l’obligation de marquage (article 50, paragraphe 2) d’ici au 2 décembre 2026.

Pour le haut risque, le considérant 40 du règlement 2026/1744 justifie le report par les retards dans la disponibilité des normes et des orientations, et dans la mise en place des autorités nationales. Un report n’est pas une suppression : les obligations restent les mêmes, et leur préparation prend du temps.

Les obligations concrètes pour une entreprise déployeuse

Former les équipes (article 4)

Dans sa rédaction issue du règlement 2026/1744, l’article 4 impose aux fournisseurs et déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes qui utilisent les systèmes pour leur compte. Ces mesures tiennent compte de leurs connaissances, de leur expérience et du contexte d’utilisation. Le texte précise que l’obligation ne contraint pas à garantir un niveau spécifique de maîtrise par chaque individu.

Dans ses questions-réponses, la Commission précise qu’aucun certificat n’est exigé, qu’un registre interne des actions menées suffit, et que se reposer uniquement sur la notice d’utilisation d’un système est en général insuffisant. Le contrôle relève des autorités nationales de surveillance du marché, à partir d’août 2026.

Informer les utilisateurs (chatbots, contenus générés)

L’article 50 répartit les obligations :

• Fournisseurs : concevoir les systèmes qui interagissent avec des personnes pour qu’elles sachent qu’elles s’adressent à une IA (sauf si c’est évident) ; marquer dans un format lisible par machine les contenus audio, image, vidéo ou texte générés.
• Déployeurs : indiquer qu’un hypertrucage (deepfake) a été généré ou manipulé par une IA ; indiquer qu’un texte publié pour informer le public sur des questions d’intérêt public a été généré par une IA, sauf s’il a fait l’objet d’une relecture humaine sous responsabilité éditoriale ; informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique.

L’information doit être claire et donnée au plus tard lors de la première interaction ou exposition. Si vous mettez en service votre propre chatbot client, partez du principe que l’obligation d’informer vous concerne.

Cas des systèmes à haut risque : RH, crédit, assurance

Si vous utilisez un système relevant de l’annexe III, par exemple pour trier des candidatures, évaluer des salariés ou la solvabilité de clients, l’article 26 impose notamment au déployeur, à partir du 2 décembre 2027 :

• d’utiliser le système conformément à sa notice d’utilisation ;
• de confier le contrôle humain à des personnes compétentes, formées et disposant de l’autorité nécessaire ;
• de veiller à la pertinence des données d’entrée qu’il contrôle ;
• de surveiller le fonctionnement et d’alerter le fournisseur et l’autorité en cas de risque ou d’incident grave ;
• de conserver les journaux générés automatiquement, sous son contrôle, pendant au moins six mois ;
• d’informer les représentants des travailleurs et les salariés concernés avant d’utiliser un tel système sur le lieu de travail ;
• d’informer les personnes faisant l’objet de décisions prises ou facilitées par le système ;
• d’utiliser les informations du fournisseur pour réaliser, le cas échéant, l’analyse d’impact relative à la protection des données (AIPD).

L’article 27 ajoute une analyse d’impact sur les droits fondamentaux pour certains déployeurs : organismes publics, entités privées fournissant des services publics, et déployeurs de systèmes d’évaluation de la solvabilité ou de tarification en assurance vie et santé. Depuis l’omnibus, elle peut renvoyer aux parties pertinentes de l’AIPD, et le Bureau de l’IA doit fournir un modèle de questionnaire.

AI Act et RGPD : ce qui s’additionne

La CNIL le rappelle dans ses questions-réponses, mises à jour le 17 août 2026 : le règlement IA ne remplace pas le RGPD, les deux s’appliquent en parallèle. Le RGPD couvre tout traitement de données personnelles, y compris l’utilisation d’un système d’IA. Le règlement IA peut faciliter certaines démarches, par exemple en alimentant l’AIPD avec la documentation exigée par l’AI Act.

Pour l’IA générative, les recommandations de la CNIL sont très opérationnelles : partir d’un besoin concret, définir les usages autorisés et interdits dans une charte, ne pas saisir de données personnelles dans les services grand public, vérifier si le fournisseur peut réutiliser les données, privilégier un déploiement maîtrisé pour les données sensibles, associer le DPO et le RSSI dès le départ. Si vous connectez un modèle à votre propre base documentaire contenant des données personnelles, vous êtes responsable de ce traitement.

Sanctions prévues

L’article 99 fixe des plafonds d’amendes administratives, le montant le plus élevé des deux étant retenu :

Manquement	Plafond
Pratiques interdites (article 5)	35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial
Obligations des opérateurs, dont déployeurs (article 26) et transparence (article 50)	15 millions d’euros ou 3 %
Informations inexactes, incomplètes ou trompeuses fournies aux autorités	7,5 millions d’euros ou 1 %

Pour les PME, y compris les jeunes pousses, c’est le montant le plus faible qui est retenu. L’omnibus a étendu cette règle aux petites entreprises à moyenne capitalisation pour les deux derniers niveaux, et demande aux États membres de tenir compte de la viabilité économique des PME. Ces sanctions s’ajoutent à celles du RGPD, dont la CNIL rappelle qu’elles peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Plan d’action en 5 étapes

1. Inventorier les usages de l’IA : outils du marché, fonctionnalités d’IA intégrées aux logiciels métier, développements internes, usages non déclarés. Pour chacun : finalité, utilisateurs, données traitées, fournisseur.
2. Classer les risques et qualifier votre rôle : pratique interdite, haut risque (annexe III), transparence, risque minimal ; fournisseur ou déployeur. Faites valider les cas limites par un juriste.
3. Rédiger une charte IA : outils autorisés, usages interdits, données à ne jamais saisir, règles de relecture, point de contact.
4. Former les équipes selon leur rôle et garder une trace des actions menées (article 4).
5. Assurer la traçabilité technique : journaux, versions des modèles et des prompts, évaluation, procédure d’incident. Ces pratiques relèvent du LLMOps, que nous décrivons sur notre page mise en production de l’IA.

Spécial PME : allègements et priorités

Le règlement, renforcé par l’omnibus, prévoit plusieurs mesures pour les PME et les petites entreprises à moyenne capitalisation :

• plafonds d’amendes réduits (le montant le plus faible est retenu) ;
• soutien de la Commission et des États membres pour la maîtrise de l’IA, avec des exemples pratiques publiés par la Commission ;
• documentation technique simplifiée pour les PME et petites entreprises à moyenne capitalisation qui fournissent des systèmes à haut risque, avec un formulaire établi par la Commission ;
• orientations et conseils des autorités nationales, en particulier pour les PME.

Les priorités d’une PME qui utilise l’IA sans en développer sont simples : vérifier qu’aucun usage ne relève des pratiques interdites, encadrer les outils d’IA générative par une charte, former les équipes, et repérer en avance tout usage RH ou client susceptible de relever du haut risque avant décembre 2027.

Conclusion : se préparer sans attendre les dernières échéances

Le report du haut risque ne doit pas masquer l’essentiel : les interdictions, la maîtrise de l’IA et la transparence s’appliquent déjà. Un inventaire, une charte et un plan de formation couvrent la majorité des besoins d’une PME ou d’une ETI, et préparent sereinement les échéances de 2027 et 2028. Nous accompagnons ces démarches depuis la métropole lilloise, du cadrage à la traçabilité technique, en lien avec vos conseils juridiques : découvrez notre offre de gouvernance de l’IA et mise en conformité AI Act. Pour replacer la conformité dans un projet plus large, lisez notre méthode pour intégrer l’IA dans son entreprise ou consultez notre page IA générative en entreprise.

[ VOS QUESTIONS ]

Questions fréquentes

L’AI Act, c’est quoi ?

C’est le règlement (UE) 2024/1689, qui établit des règles harmonisées sur l’intelligence artificielle dans l’Union européenne. Il encadre les systèmes et modèles d’IA selon leur niveau de risque, des pratiques interdites jusqu’aux usages à risque minimal. Il est entré en vigueur le 1er août 2024 et s’applique par étapes.

Quelle est la date d’entrée en vigueur de l’AI Act ?

Il est entré en vigueur le 1er août 2024. Ses dispositions s’appliquent progressivement : 2 février 2025 pour les interdictions et la maîtrise de l’IA, 2 août 2025 pour les modèles d’IA à usage général, 2 août 2026 pour l’application générale. Depuis l’omnibus IA, les règles sur le haut risque s’appliquent le 2 décembre 2027 (annexe III) et le 2 août 2028 (annexe I).

La formation à l’IA est-elle obligatoire ?

L’article 4 impose aux fournisseurs et déployeurs de prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel et des personnes qui utilisent les systèmes pour leur compte. Depuis l’omnibus IA, le texte précise qu’il n’y a pas de niveau spécifique à garantir pour chaque individu, et la Commission indique qu’aucun certificat n’est exigé. Des actions adaptées aux rôles, et documentées, restent nécessaires.

Que dit l’article 50 de l’AI Act ?

Il fixe des obligations de transparence. Les fournisseurs doivent informer les personnes qu’elles interagissent avec une IA et marquer les contenus générés dans un format lisible par machine. Les déployeurs doivent signaler les hypertrucages, certains textes publiés pour informer le public, et informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique.

Quelles sanctions prévoit l’AI Act ?

Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, jusqu’à 15 millions ou 3 % pour la plupart des autres obligations, dont celles des déployeurs et la transparence, et jusqu’à 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. Pour les PME, le montant le plus faible des deux est retenu.

Sources

• EUR-Lex : Règlement (UE) 2024/1689 sur l’intelligence artificielle (texte au JO)
• EUR-Lex : Règlement (UE) 2026/1744 du 8 juillet 2026, omnibus numérique sur l’IA (JO du 24 juillet 2026)
• Commission européenne : AI Act, cadre réglementaire et calendrier
• Commission européenne : accord sur la simplification des règles IA
• Commission européenne : AI Literacy, Questions & Answers
• CNIL : Entrée en vigueur du règlement européen sur l’IA, les premières questions-réponses (mis à jour le 17 août 2026)
• CNIL : Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative