AI Act : ce qui s'applique à partir du 2 août 2026

Le règlement européen sur l'intelligence artificielle est entré en vigueur le 1er août 2024, mais il s'applique par paliers. Le 2 août 2026 reste un palier majeur : l'essentiel du texte devient applicable, transparence et régime de sanctions compris. Le volet le plus lourd, celui des systèmes à haut risque, vient en revanche d'être décalé à 2027 et 2028 par l'omnibus adopté fin juin. Pour la plupart des entreprises françaises, la date d'août n'en reste pas moins celle à partir de laquelle "on verra plus tard" cesse d'être une politique de conformité.

Voici ce qui est déjà en application, ce qui arrive, et ce qu'une PME ou un cabinet peut faire dès maintenant.

Le calendrier, en cinq paliers

• 2 février 2025 : interdiction des pratiques prohibées (manipulation, notation sociale, certaines formes de reconnaissance des émotions au travail...) et obligation de maîtrise de l'IA (article 4) : les entreprises doivent s'assurer que leur personnel qui utilise des systèmes d'IA en a une compréhension suffisante.
• 2 août 2025 : obligations des fournisseurs de modèles d'IA à usage général.
• 2 août 2026 : application générale du règlement, les obligations de transparence (article 50), comme informer l'utilisateur qu'il interagit avec une IA ou marquer certains contenus générés, et l'entrée en fonction du régime de surveillance et de sanctions.
• 2 décembre 2027 : le régime complet des systèmes à haut risque de l'annexe III (recrutement, scoring, services essentiels...), initialement prévu pour août 2026.
• 2 août 2028 : les systèmes à haut risque intégrés dans des produits déjà réglementés (annexe I).

Ce calendrier intègre le report acté en juin 2026 : le paquet "omnibus numérique" voté par le Parlement européen le 16 juin, puis validé par le Conseil le 29 juin, repousse les obligations des systèmes à haut risque. Tout le reste tient : la maîtrise de l'IA s'applique déjà, la transparence et les sanctions arrivent bien le 2 août 2026.

Êtes-vous concerné ? Très probablement, mais pas comme vous l'imaginez

Le règlement distingue les fournisseurs de systèmes d'IA (ceux qui les développent et les mettent sur le marché) des déployeurs (ceux qui les utilisent dans un cadre professionnel). Une PME, un cabinet comptable, une étude notariale sont presque toujours des déployeurs.

Bonne nouvelle : la majorité des usages d'entreprise, rédiger, synthétiser, préparer des écritures, rechercher dans ses propres dossiers, ne relèvent pas du haut risque. Les obligations qui vous concernent le plus sûrement sont ailleurs :

• La maîtrise de l'IA (article 4), déjà applicable : vos équipes qui utilisent l'IA doivent être formées à ses limites, à la vérification des sorties, aux données qu'on peut ou non lui confier.
• La transparence (article 50), applicable en août : vos clients ne doivent pas croire qu'ils échangent avec un humain quand c'est une machine, et certains contenus générés doivent être identifiables comme tels.
• La gouvernance des usages à haut risque, si vous en avez : recrutement assisté par IA, scoring de crédit, certains usages RH entrent dans l'annexe III et déclenchent des obligations de déployeur (usage conforme à la notice, supervision humaine, tenue des logs), désormais à l'échéance de décembre 2027.

Les sanctions prévues par le texte montent jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et 15 millions ou 3 % pour la plupart des autres manquements, avec des montants adaptés aux PME. L'ordre de grandeur suffit à justifier une demi-journée d'inventaire.

Le vrai risque de 2026 : l'IA que vous ne voyez pas

Pour un dirigeant ou un DSI, le sujet n'est pas l'agent que vous avez choisi, contractualisé et gouverné. C'est le shadow AI : les comptes personnels ChatGPT ou autres sur lesquels vos équipes collent déjà des données clients, sans cadre, sans trace, sans que personne n'ait validé quoi que ce soit. Impossible d'être conforme à un règlement, quel qu'il soit, sur des usages qu'on ne connaît pas.

C'est aussi le point où conformité et souveraineté se rejoignent : une IA qui tourne sur votre propre instance, en France, avec un journal d'audit et des règles d'accès, rend la conformité constatable. Une IA grand public utilisée en douce rend surtout constatable la fuite de données.

La checklist, en attendant la CNIL

La CNIL n'a pas encore publié de doctrine d'ensemble sur l'IA générative en entreprise. Ce n'est pas une raison d'attendre : tout ce qui suit sera utile quelle que soit la doctrine finale.

1. Inventorier les usages réels, y compris officieux : qui utilise quoi, sur quelles données, avec quel compte.
2. Écrire une politique d'usage courte : outils autorisés, données interdites, obligation de vérification humaine avant tout envoi ou signature.
3. Former les équipes (c'est l'article 4, et c'est déjà applicable) : limites des modèles, hallucinations, données sensibles.
4. Qualifier vos fournisseurs d'IA : où tournent les modèles, sous quelle juridiction, vos données servent-elles à l'entraînement, existe-t-il un journal d'audit, une clause de réversibilité.
5. Classer vos usages : ceux de l'annexe III (RH, scoring...) à traiter en priorité avec supervision humaine documentée. Leur échéance a reculé à décembre 2027 ; le classement, lui, se fait en une demi-journée dès maintenant.
6. Tracer : conserver la capacité de dire qui a fait quoi avec l'IA, sur quel dossier, quand.

Six points, aucun n'exige un cabinet de conseil. Le premier est le plus rentable : la plupart des entreprises découvrent à l'inventaire des usages qu'elles n'auraient jamais autorisés par écrit.

Ce que nous en retenons

La conformité IA n'est pas une couche de paperasse à ajouter après coup : c'est une propriété de l'architecture. Des agents qui tournent sur votre instance, qui citent leurs sources, qui journalisent leurs actions et dont vous gouvernez les permissions sont conformes par construction à l'esprit du texte, et prêts pour sa lettre. C'est ainsi que nous construisons : la gouvernance n'est pas une option du contrat, c'est le produit.