AI Act 2026 : obligations des entreprises depuis le 2 août

TL;DR : l'essentiel de l'AI Act s'applique depuis le 2 août 2026 : transparence obligatoire des chatbots et des contenus générés par IA, formation des équipes, régime de sanctions pouvant atteindre 35 M€ ou 7 % du chiffre d'affaires mondial. Les obligations propres aux systèmes à haut risque, elles, viennent d'être reportées à décembre 2027. Voici ce qui est réellement obligatoire pour une PME ou une ETI française, et la checklist en 7 points pour vous mettre en conformité.

À retenir

• L'AI Act (règlement UE 2024/1689) est entré en application générale le 2 août 2026 : la plupart de ses obligations sont désormais opposables aux entreprises.
• Les obligations spécifiques aux systèmes à haut risque (recrutement, scoring, RH) sont reportées au 2 décembre 2027 par le règlement « Digital Omnibus », publié au Journal officiel de l'UE le 24 juillet 2026.
• La transparence s'impose dès maintenant : vos chatbots doivent se présenter comme des IA et vos contenus générés par IA doivent être identifiables.
• La formation des équipes à l'IA (AI literacy) est exigée depuis le 2 février 2025 et devient sanctionnable, le régime de sanctions étant applicable.
• Les amendes peuvent atteindre 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, avec des plafonds réduits pour les PME.
• Trois chantiers à lancer cette semaine : inventaire des systèmes d'IA, mise en conformité des chatbots, plan de formation.

Le 2 août 2026 est passé, et deux récits opposés circulent dans les directions d'entreprise françaises. Le premier : « l'AI Act vient d'être reporté, le dossier peut attendre 2027 ». Le second : « tout est devenu obligatoire d'un coup, il faut geler les projets IA ». Les deux sont faux, et les deux coûtent cher.

La réalité tient en une phrase : le règlement est entré en application générale le 2 août 2026, mais les obligations les plus lourdes, celles des systèmes à haut risque, ont été décalées à fin 2027. Une PME qui exploite un chatbot, publie des contenus générés par IA ou trie des CV avec un algorithme a donc déjà des obligations concrètes aujourd'hui.

Cet article fait le tri entre ce qui est obligatoire, ce qui est reporté et ce qui relève de la préparation. Objectif : vous permettre de décider, pas de paniquer.

Qu'est-ce que l'AI Act ?

L'AI Act (règlement UE 2024/1689) est le règlement européen qui encadre le développement et l'utilisation de l'intelligence artificielle selon le niveau de risque de chaque usage. Il classe les systèmes d'IA en quatre catégories — risque inacceptable (interdit), haut risque (fortement encadré), risque de transparence (obligations d'information) et risque minimal (libre) — et s'impose à toute organisation qui fournit ou utilise de l'IA sur le marché européen.

Adopté en 2024, le texte s'applique par paliers successifs. Contrairement à une idée répandue, il ne vise pas que les géants technologiques : une PME française qui utilise un chatbot sur son site ou un outil d'IA dans ses recrutements entre dans son champ d'application.

Qu'est-ce qu'un déployeur au sens de l'AI Act ?

Un déployeur est une organisation qui utilise un système d'IA sous sa propre autorité dans le cadre de son activité professionnelle. Le fournisseur est celui qui développe le système ou le met sur le marché sous son nom : la grande majorité des PME et ETI françaises sont des déployeurs, soumis à des obligations plus légères, mais bien réelles.

Cette distinction structure tout le règlement. Un déployeur doit utiliser le système conformément à sa notice, garantir une supervision humaine adaptée et informer les personnes concernées. Attention : si vous modifiez substantiellement un système ou le commercialisez sous votre marque, vous pouvez être requalifié en fournisseur — un point à vérifier avec votre conseil juridique.

Les échéances de l'AI Act : le calendrier réel après le Digital Omnibus

Le calendrier initial prévoyait l'application des obligations « haut risque » dès le 2 août 2026 pour les systèmes listés à l'annexe III, puis en août 2027 pour les IA intégrées à des produits réglementés. Ce calendrier a changé in extremis : le règlement dit « Digital Omnibus », publié au Journal officiel de l'UE le 24 juillet 2026, reporte ces deux échéances. Toutes les autres obligations, elles, s'appliquent bien.

Retenez la logique d'ensemble : les interdictions et la formation d'abord, la transparence et les sanctions ensuite, le haut risque en dernier. Le report ne crée pas une pause : il déplace la charge de travail, pas la direction.

Ce qui est concrètement obligatoire depuis le 2 août 2026

Quatre blocs d'obligations concernent directement une PME ou une ETI française depuis cette date.

• La transparence des IA en contact avec le public (article 50). Vos agents conversationnels doivent indiquer clairement à l'utilisateur qu'il interagit avec une IA — un critère à intégrer dès le choix de l'outil, comme le montre notre comparatif des chatbots IA d'entreprise. Les contenus générés ou manipulés par IA, deepfakes inclus, doivent être identifiables comme tels. En France, la loi SREN impose en outre d'annoncer à un appelant qu'il parle à une IA dès le début de l'appel.
• La formation de vos équipes (AI literacy). Exigée depuis le 2 février 2025 par l'article 4 du règlement, elle devient réellement opposable maintenant que le régime de sanctions s'applique. Votre entreprise doit garantir un niveau de maîtrise de l'IA adapté aux personnes qui l'utilisent.
• Le respect des interdictions. Notation sociale, manipulation exploitant des vulnérabilités, reconnaissance des émotions sur le lieu de travail : ces pratiques sont proscrites et exposent aux sanctions les plus élevées.
• Un cadre de contrôle opérationnel. Les autorités nationales de surveillance montent en puissance et le régime de sanctions est applicable. Un manquement peut désormais être contrôlé et sanctionné.

Ce qui n'est pas encore exigible : la conformité complète des systèmes à haut risque (gestion des risques documentée, marquage CE, enregistrement dans la base de données européenne), reportée à décembre 2027 pour l'annexe III. « Pas encore exigible » ne signifie pas « à ignorer » : c'est l'objet de la section suivante.

Êtes-vous concerné ? Les cas d'usage à haut risque qui touchent les PME

Qu'est-ce qu'un système d'IA à haut risque ?

Un système d'IA à haut risque est un système utilisé dans un domaine où une erreur peut affecter sérieusement la santé, la sécurité ou les droits fondamentaux d'une personne : recrutement, éducation, accès au crédit, infrastructures critiques, justice. La liste de ces domaines figure à l'annexe III du règlement ; les IA intégrées à des produits déjà réglementés relèvent de l'annexe I.

C'est ici que beaucoup de PME se découvrent concernées. Trois familles de cas d'usage courants entrent dans le périmètre :

• Recrutement et RH : tri automatique de CV, diffusion ciblée d'offres d'emploi, évaluation de candidats ou de salariés, aide aux décisions de promotion ou de fin de contrat.
• Scoring et services essentiels : évaluation de la solvabilité d'un particulier, tarification de certains contrats d'assurance.
• Éducation et formation : admission, notation d'examens, évaluation des acquis.

Méfiez-vous des zones grises. Un outil qui priorise des réclamations clients ou des dossiers n'est pas listé en tant que tel à l'annexe III, mais l'usage précis peut faire basculer la qualification. En cas de doute, faites qualifier le système par votre conseil juridique plutôt que de trancher seul.

Pour ces systèmes, les obligations complètes s'appliqueront le 2 décembre 2027. Deux raisons de ne pas attendre : vos clients et donneurs d'ordre demandent déjà des garanties contractuelles, et un outil RH déployé aujourd'hui sera toujours en service en 2027. Concevoir conforme maintenant coûte moins cher que corriger plus tard.

La checklist de conformité AI Act en 7 points

Voici la démarche que nous déroulons en mission pour mettre une PME ou une ETI en ordre de marche. Elle ne remplace pas un avis juridique : elle transforme un règlement dense en plan d'action.

1. Inventoriez vos systèmes d'IA. Recensez chaque outil qui embarque de l'IA : chatbots, outils RH, scoring, copilotes bureautiques, automatisations — y compris les usages « fantômes » des collaborateurs. Cet inventaire est la première étape de notre méthode d'audit IA en 5 étapes.
2. Classez chaque système par niveau de risque. Interdit, haut risque, transparence ou risque minimal : chaque usage reçoit une qualification documentée en deux lignes (finalité, personnes affectées). Faites valider les cas limites par votre conseil juridique.
3. Formez vos équipes. L'obligation d'AI literacy couvre toute personne qui utilise l'IA pour le compte de l'entreprise. Commencez par le sommet : notre programme de formation IA pour CODIR et COMEX transforme l'obligation réglementaire en décisions d'investissement.
4. Rendez vos IA transparentes. Chatbot qui se présente comme une IA, mention sur les contenus générés, annonce en début d'appel pour les agents vocaux : passez en revue chaque point de contact avec vos clients et candidats.
5. Tenez un registre interne des systèmes d'IA. Un tableau tenu à jour — système, fournisseur, finalité, niveau de risque, référent — suffit à démontrer votre démarche en cas de contrôle et prépare les obligations documentaires de 2027.
6. Organisez la supervision humaine. Pour tout système qui influence une décision concernant une personne (candidature, crédit, réclamation), définissez qui peut examiner, corriger ou annuler la sortie de la machine, et documentez-le.
7. Exigez la documentation de vos fournisseurs. Demandez à chaque éditeur ses engagements AI Act : documentation technique, conformité GPAI, localisation des données. Les politiques varient sensiblement d'un éditeur à l'autre, comme le détaille notre comparatif Mistral, OpenAI, Anthropic pour les entreprises françaises.

Sanctions : ce que risque réellement votre entreprise

Le régime de sanctions est applicable depuis le 2 août 2026, avec trois plafonds selon la gravité du manquement. Le montant retenu est le plus élevé des deux valeurs, sauf pour les PME et jeunes entreprises, pour lesquelles c'est le plus bas des deux qui s'applique.

Ces plafonds sont des maximums, pas des barèmes automatiques : les autorités tiennent compte de la taille de l'entreprise, de la gravité du manquement et de la coopération. Pour une PME, le risque le plus concret n'est pas l'amende record : c'est le contrôle déclenché par une plainte — candidat écarté, client mal informé — face auquel l'entreprise ne peut démontrer aucune démarche de conformité.

AI Act et RGPD : ce qui se cumule

L'AI Act ne remplace pas le RGPD : les deux textes s'appliquent en parallèle. Le RGPD encadre les données personnelles que vos systèmes traitent ; l'AI Act encadre les systèmes eux-mêmes — leur conception, leur documentation, leur usage.

En pratique, un même projet déclenche souvent les deux. Un outil de tri de CV traite des données personnelles (base légale, information des candidats, analyse d'impact) et constitue un système à haut risque au sens de l'AI Act (supervision humaine, documentation). Le travail déjà réalisé pour le RGPD — registre des traitements, gouvernance, réflexes de documentation — constitue le socle de votre conformité AI Act. Notre guide complet du RGPD et de la protection des données et notre guide pour préparer un audit DPO décrivent ce socle.

Répartissez les rôles dès maintenant : le DPO ne devient pas automatiquement responsable de l'AI Act, mais il est souvent le mieux placé pour co-piloter le registre des systèmes d'IA avec la DSI et les métiers.

Par où commencer cette semaine : 3 actions

1. Lancez l'inventaire. Un fichier partagé, un message aux managers, une semaine de collecte : vous saurez enfin combien de systèmes d'IA tournent réellement dans l'entreprise — le résultat surprend presque toujours.
2. Mettez vos chatbots en conformité. Vérifiez que chaque agent conversationnel se présente comme une IA et que vos contenus générés sont identifiés. C'est l'obligation la plus simple à remplir, et la plus visible en cas de contrôle.
3. Planifiez la formation. Une sensibilisation pour tous, un module approfondi pour les fonctions exposées (RH, finance, relation client). L'obligation d'AI literacy est aussi une occasion de faire progresser les usages : nos formations IA sont construites dans cet esprit, sur vos cas réels.