AI Act : ce que les entreprises doivent faire concrètement en 2026

Le calendrier de l’AI Act a changé. Le règlement (UE) 2026/1744, publié au Journal officiel de l’Union européenne le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, a reporté au 2 décembre 2027 les obligations applicables aux systèmes d’IA à haut risque de l’annexe III. Ce report ne vide pas l’échéance du 2 août 2026 de sa substance : les obligations de transparence de l’article 50, la littératie en IA et les pouvoirs de sanction s’appliquent bel et bien. Cet article répond à cinq questions : quelles échéances de l’AI Act sont en vigueur en août 2026 ? Comment classer vos systèmes par niveau de risque ? Êtes-vous fournisseur ou déployeur ? Quelles sanctions risquez-vous, et qui contrôle en France ? Par quoi commencer concrètement ?

Cet article est une synthèse journalistique fondée sur des sources officielles. Il ne constitue pas un conseil juridique. Pour la qualification de vos systèmes, consultez un avocat ou votre délégué à la protection des données.

L’essentiel en bref

• L’AI Act est le règlement (UE) 2024/1689, entré en vigueur le 1er août 2024 : il classe les systèmes d’IA en quatre niveaux de risque et s’applique aussi aux fournisseurs hors UE dont les résultats sont utilisés dans l’Union.
• Depuis le 2 août 2026, l’AI Act s’applique de manière générale : les obligations de transparence de l’article 50 (chatbots, deepfakes, contenus générés) sont exigibles, tout comme le régime de sanctions.
• Le règlement (UE) 2026/1744, dit « digital omnibus sur l’IA », a reporté les obligations sur les systèmes à haut risque de l’annexe III au 2 décembre 2027, et celles des systèmes intégrés à des produits réglementés au 2 août 2028.
• Les amendes de l’article 99 de l’AI Act atteignent 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions d’euros ou 3 % pour les autres manquements.
• L’obligation de littératie en IA de l’article 4 s’applique depuis le 2 février 2025 à tous les fournisseurs et déployeurs, sans seuil d’effectif, y compris aux PME qui utilisent un simple assistant conversationnel.
• La majorité des PME françaises sont déployeurs et non fournisseurs : leurs obligations portent sur l’usage conforme, la supervision humaine et l’information des salariés.

AI Act : définition, périmètre et portée extraterritoriale

L’AI Act est le règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle. Publié au Journal officiel le 12 juillet 2024, il est entré en vigueur le 1er août 2024. C’est, selon la Commission européenne, le premier cadre juridique complet au monde consacré à l’IA.

Sa logique tient en une phrase : l’AI Act ne réglemente pas la technologie, il réglemente les usages. Un même modèle de langage relève du risque minimal quand il reformule des courriels, et du haut risque quand il trie des candidatures. La question n’est jamais « quel outil j’utilise » mais « pour quoi je l’utilise, et sur qui ».

La portée est extraterritoriale : le règlement vise les fournisseurs qui mettent un système sur le marché de l’Union quel que soit leur lieu d’établissement, ainsi que les acteurs de pays tiers dont les résultats sont utilisés dans l’Union. Une PME française qui utilise un outil américain n’y échappe donc pas : elle en devient le déployeur.

Calendrier de l’AI Act : ce qui s’applique réellement en août 2026

Le calendrier de l’AI Act est échelonné, et il a été modifié en juillet 2026. Le tableau distingue le droit en vigueur des échéances à venir.

Date	Ce qui s’applique	Statut
2 février 2025	Pratiques interdites (article 5), littératie en IA (article 4)	En vigueur
2 août 2025	Modèles d’IA à usage général, gouvernance, sanctions sauf article 101	En vigueur
2 août 2026	Application générale : transparence (article 50), amendes sur les modèles à usage général	En vigueur
2 décembre 2026	Marquage (article 50(2)) des systèmes antérieurs au 2 août 2026 ; interdiction des images intimes non consenties	À venir
2 décembre 2027	Haut risque autonome (annexe III) — reporté depuis le 2 août 2026	À venir
2 août 2028	Haut risque intégré à des produits réglementés (annexe I) — reporté depuis le 2 août 2027	À venir

Ce que le « digital omnibus » a réellement décalé

Le paquet « digital omnibus » présenté par la Commission en novembre 2025 a nourri un long débat sur un affaiblissement supposé de l’AI Act. Il faut distinguer la proposition du droit adopté : son volet IA est devenu le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026.

Outre le report des échéances haut risque, ce texte réécrit l’article 4 sur la littératie, ajoute une pratique interdite à l’article 5, renforce les pouvoirs du Bureau de l’IA et crée un régime allégé pour les entreprises de moins de 750 salariés et 150 millions d’euros de chiffre d’affaires, selon l’analyse du cabinet Orrick publiée en juillet 2026. N’ont pas bougé : les interdictions de l’article 5, la littératie en IA, les règles sur les modèles à usage général et la transparence de l’article 50.

Les quatre niveaux de risque de l’AI Act, avec des exemples concrets

L’AI Act repose sur une pyramide à quatre étages : plus le risque pour la santé, la sécurité ou les droits fondamentaux est élevé, plus les obligations sont lourdes.

Niveau de risque	Exemples	Obligation principale
Inacceptable	Notation sociale, reconnaissance des émotions au travail	Interdiction depuis le 2 février 2025
Haut risque (annexe III)	Tri de CV, scoring de crédit, tarification en assurance	Gestion des risques, documentation, supervision humaine — au 2 décembre 2027
Limité	Chatbots, images et textes générés, deepfakes	Transparence (article 50) depuis le 2 août 2026
Minimal	Filtres anti-spam, correcteurs	Aucune obligation spécifique

Risque inacceptable : les pratiques interdites depuis février 2025

L’article 5 de l’AI Act interdit les techniques subliminales ou manipulatrices, l’exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation économique, la notation sociale, l’évaluation du risque d’infraction fondée sur le seul profilage, le moissonnage non ciblé d’images faciales, la reconnaissance des émotions au travail et dans l’enseignement (hors raisons médicales ou de sécurité), la catégorisation biométrique déduisant l’origine raciale, les opinions politiques, les convictions religieuses ou l’orientation sexuelle, et l’identification biométrique à distance en temps réel à des fins répressives.

Deux interdictions visent les employeurs : le logiciel qui analyse la voix ou l’expression faciale des salariés pour mesurer leur engagement, et la catégorisation biométrique appliquée à des candidats.

Haut risque : recrutement, crédit, assurance, éducation

L’annexe III liste les usages à haut risque. Les plus fréquents en entreprise sont le recrutement et la gestion des ressources humaines (tri de candidatures, promotion, évaluation de la performance), l’accès au crédit, la tarification en assurance vie et santé, l’éducation, les infrastructures critiques et l’application de la loi.

Le report au 2 décembre 2027 porte sur la date d’exigibilité, pas sur les obligations : une entreprise qui déploie aujourd’hui un outil de tri de CV devra être conforme à cette date. Notre guide sur l’IA pour les RH détaille les cas concernés.

Risque limité : les obligations de transparence de l’article 50

L’article 50 est la partie de l’AI Act qui concerne le plus d’entreprises depuis le 2 août 2026. Il impose quatre choses :

• les fournisseurs conçoivent les systèmes interagissant avec des personnes de façon que celles-ci sachent qu’elles s’adressent à une IA, sauf si c’est évident ;
• les fournisseurs de systèmes générant du contenu de synthèse le marquent dans un format lisible par machine ;
• les déployeurs d’un système de reconnaissance des émotions ou de catégorisation biométrique informent les personnes exposées ;
• les déployeurs qui diffusent un deepfake en révèlent le caractère artificiel, comme ceux qui publient des textes générés par IA sur des sujets d’intérêt public sans relecture humaine.

La Commission européenne a publié le 20 juillet 2026 des lignes directrices sur ces obligations, accompagnées d’un code de bonnes pratiques. Les techniques de marquage admises incluent le tatouage numérique, les métadonnées et les méthodes cryptographiques. Notre article sur comment détecter une image générée par IA en montre les limites.

Fournisseur ou déployeur : la question qui détermine vos obligations

Dans l’AI Act, le fournisseur développe un système d’IA ou le fait développer, et le met sur le marché sous son propre nom ou sa propre marque. Le déployeur l’utilise sous sa propre autorité, dans un cadre professionnel.

Une PME qui souscrit un abonnement à un assistant conversationnel pour ses salariés est déployeur ; l’éditeur du modèle est fournisseur. Les obligations lourdes — conformité, marquage CE, documentation technique — pèsent sur ce dernier.

Le cas piège : quand un déployeur devient fournisseur

L’article 25 prévoit trois situations dans lesquelles un distributeur, un importateur ou un déployeur est réputé fournisseur d’un système à haut risque :

1. Il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché.
2. Il apporte une modification substantielle au système, qui demeure à haut risque.
3. Il modifie la finalité prévue d’un système, y compris à usage général, de sorte qu’il devient à haut risque.

Le troisième cas est le plus insidieux. Une entreprise qui construit un assistant sur une API généraliste pour présélectionner des candidats a changé la finalité du système : elle en devient fournisseur. Vigilance particulière si vous automatisez des processus métier avec des agents IA, dont la finalité est définie par celui qui les assemble.

Les obligations concrètes du déployeur

L’article 26 de l’AI Act fixe les obligations des déployeurs de systèmes à haut risque, exigibles au 2 décembre 2027. Elles se documentent :

• Utiliser le système conformément à la notice, avec des mesures techniques et organisationnelles appropriées.
• Confier la supervision humaine à des personnes disposant des compétences, de la formation et de l’autorité nécessaires. Un stagiaire chargé de valider les décisions d’un algorithme ne remplit pas cette condition.
• Veiller à la pertinence des données d’entrée que le déployeur contrôle.
• Surveiller le fonctionnement du système et informer sans délai le fournisseur et l’autorité de surveillance en cas d’incident grave.
• Conserver les journaux générés automatiquement pendant au moins six mois.
• Informer les travailleurs et leurs représentants avant la mise en service. En France, cette information s’articule avec les prérogatives du comité social et économique.
• Informer les personnes physiques qui y sont soumises, notamment lorsque le système participe à une décision les concernant.
• Réaliser une analyse d’impact sur les droits fondamentaux (article 27) si le déployeur est un organisme public, une entité privée fournissant des services publics, ou relève des points 5(b) et 5(c) de l’annexe III.

Littératie en IA : l’obligation de l’article 4, applicable depuis février 2025

C’est l’obligation la plus ignorée de l’AI Act, et pourtant la plus universelle. L’article 4 s’applique depuis le 2 février 2025 à tous les fournisseurs et déployeurs, sans seuil d’effectif, quel que soit le niveau de risque des systèmes.

Dans sa version initiale, l’article 4 imposait de garantir « dans toute la mesure du possible » un niveau suffisant de littératie. Le règlement (UE) 2026/1744 l’a réécrit en obligation de moyens : depuis le 27 juillet 2026, fournisseurs et déployeurs doivent prendre des mesures soutenant le développement de la littératie en IA de leur personnel, sans démontrer l’atteinte d’un niveau donné.

En pratique, y répondre suppose une sensibilisation au fonctionnement des systèmes et à leurs biais, une formation adaptée au poste, et surtout une trace écrite — supports, dates, participants. Sans preuve, l’obligation est réputée non remplie. Un module sur les hallucinations de l’IA est un bon point de départ.

Sanctions de l’AI Act : montants et contrôle en France

Le régime de sanctions de l’AI Act figure à l’article 99. Les plafonds sont exprimés en euros ou en pourcentage du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Type de manquement	Amende maximale
Pratiques interdites (article 5)	35 millions d’euros ou 7 % du chiffre d’affaires mondial
Autres obligations (fournisseurs, importateurs, distributeurs, déployeurs)	15 millions d’euros ou 3 %
Informations inexactes fournies aux autorités	7,5 millions d’euros ou 1 %

Pour les PME et start-ups, l’article 99 inverse la règle : c’est le montant le plus faible qui s’applique. Le régime de sanctions vaut depuis le 2 août 2025, sauf l’article 101 sur les amendes visant les fournisseurs de modèles à usage général, applicable depuis le 2 août 2026.

En France, la situation appelle une réserve. La désignation des autorités de surveillance est portée par le projet de loi d’adaptation au droit de l’Union (DDADUE), adopté par le Sénat le 18 février 2026. Selon le compte rendu de Banque des Territoires, le dispositif voté confie à la CNIL un rôle central de surveillance et de sanction, à la DGCCRF la coordination générale et à l’Arcom un rôle sur les contenus. En août 2026, l’adoption définitive de ce texte ne peut pas être tenue pour acquise : traitez cette répartition comme une orientation probable, non comme du droit positif. L’absence de désignation nationale ne suspend pas pour autant les obligations, qui découlent du règlement européen.

Check-list AI Act : 8 étapes opérationnelles

Voici l’ordre dans lequel procéder.

1. Inventoriez vos systèmes d’IA. Recensez tous les outils utilisant de l’IA, y compris ceux introduits sans validation de la DSI : assistants conversationnels, générateurs d’images, transcription de réunions, modules embarqués dans votre CRM. Cet inventaire fantôme est presque toujours le point faible. Pour identifier ce que vos équipes utilisent déjà, notre annuaire comparatif d’outils IA permet de retrouver l’éditeur, la catégorie et les alternatives de chaque solution.

2. Classez chaque système par niveau de risque. Reprenez l’article 5 puis l’annexe III de l’AI Act. La question à poser : sur qui ce système produit-il un effet, et dans quel domaine ? Un même logiciel peut relever de deux niveaux selon le module activé.

3. Déterminez votre rôle pour chacun. Fournisseur ou déployeur ? Vérifiez les trois cas de bascule de l’article 25, en particulier le changement de finalité. Documentez la conclusion.

4. Formez vos équipes et gardez-en la preuve. L’article 4 est exigible depuis février 2025. Différenciez les niveaux, datez les sessions, conservez supports et émargements.

5. Documentez. Constituez un registre des systèmes d’IA sur le modèle du registre des traitements du RGPD : nom, fournisseur, finalité, niveau de risque, rôle de l’entreprise, données traitées, responsable interne. C’est le premier document que demandera un contrôleur.

6. Organisez la supervision humaine. Désignez nommément les personnes chargées de valider ou contester les sorties du système, donnez-leur formation et autorité, et prévoyez une voie de recours.

7. Adaptez vos mentions et votre politique de confidentialité. Depuis le 2 août 2026, un chatbot doit annoncer sa nature et un deepfake être signalé.

8. Contractualisez avec vos fournisseurs. Exigez la notice d’utilisation, la documentation de conformité et un engagement de notification en cas d’incident : vos obligations dépendent d’informations que seul le fournisseur détient.

AI Act et RGPD : deux textes qui se cumulent

L’AI Act ne remplace pas le RGPD, il s’y ajoute. La CNIL rappelle que les deux textes s’appliquent conjointement dès lors qu’un système d’IA traite des données personnelles : le RGPD encadre le traitement des données, l’AI Act encadre le système et ses risques pour les droits fondamentaux. L’analyse d’impact relative à la protection des données reste requise dans les cas prévus par le RGPD ; celle sur les droits fondamentaux (article 27) la complète.

Le cas de ChatGPT et des assistants IA en entreprise

Utiliser un assistant conversationnel généraliste pour rédiger, résumer ou traduire relève le plus souvent du risque minimal : aucune obligation spécifique, hormis l’article 4. Deux situations changent la donne. Si l’assistant est exposé à vos clients via un chatbot, l’article 50 impose d’indiquer qu’il s’agit d’une IA. Si vous l’employez pour trier des candidatures, évaluer des salariés ou décider d’un crédit, vous entrez dans le champ du haut risque et, potentiellement, du statut de fournisseur.

Reste le volet RGPD : les données saisies dans un assistant en ligne sortent de votre système d’information. La réponse pratique est une charte d’usage interne — outils autorisés, données interdites en saisie (clients, santé, secrets d’affaires), relecture humaine avant publication, point de contact. Le sujet rejoint celui de la vie privée et des données personnelles face à l’IA et celui de la sécurité informatique appliquée aux solutions IA.

Ressources officielles pour se mettre en conformité

Quatre ressources officielles sont à consulter directement : le Bureau de l’IA de la Commission ; l’AI Act Service Desk, plateforme officielle publiant le texte article par article avec un outil d’aide à la qualification ; le code de bonnes pratiques pour les modèles d’IA à usage général, publié le 10 juillet 2025 et signé par une vingtaine d’entreprises dont Anthropic, Google, Microsoft, OpenAI et Mistral AI ; et les lignes directrices sur la transparence du 20 juillet 2026.

Questions fréquentes

L’AI Act s’applique-t-il aux petites entreprises ?

Oui. L’AI Act ne prévoit aucun seuil d’effectif ou de chiffre d’affaires. Une TPE qui utilise un assistant IA est déployeur et doit respecter l’article 4 sur la littératie en IA depuis février 2025. Les PME et start-ups bénéficient en revanche d’amendes calculées sur le plus faible des deux plafonds.

Les obligations sur les systèmes à haut risque ont-elles été supprimées ?

Non, elles ont été reportées. Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, décale l’exigibilité des obligations pour les systèmes à haut risque de l’annexe III au 2 décembre 2027, et celles de l’annexe I au 2 août 2028.

Dois-je indiquer que mon chatbot est une intelligence artificielle ?

Oui, depuis le 2 août 2026. L’article 50 impose que toute personne interagissant avec un système d’IA en soit informée, sauf si cela ressort du contexte. Une mention visible avant le premier échange — « vous échangez avec un assistant automatisé » — suffit.

Qui contrôle l’application de l’AI Act en France ?

La désignation définitive n’était pas finalisée en août 2026. Le projet de loi DDADUE, adopté par le Sénat le 18 février 2026, prévoit de confier à la CNIL un rôle central, à la DGCCRF la coordination, et des compétences sectorielles à une quinzaine d’autorités sectorielles.

Quelle différence entre fournisseur et déployeur ?

Le fournisseur développe le système d’IA et le met sur le marché sous son nom ou sa marque ; le déployeur l’utilise sous sa propre autorité dans un cadre professionnel. Les obligations lourdes — conformité, marquage CE, documentation — pèsent sur le fournisseur. Un déployeur peut toutefois le devenir au titre de l’article 25.

Faut-il tenir un registre des systèmes d’IA ?

L’AI Act n’impose pas de registre général aux déployeurs, contrairement au RGPD. Il impose une documentation, une journalisation d’au moins six mois pour les systèmes à haut risque et, pour les autorités publiques, un enregistrement dans la base européenne. Un registre interne reste le moyen le plus simple de prouver sa diligence.

Conclusion

L’AI Act est entré dans sa phase d’application concrète, et le report obtenu par le règlement (UE) 2026/1744 ne change presque rien pour les entreprises françaises. Trois enseignements. Premièrement, l’échéance du 2 août 2026 est réelle : la transparence de l’article 50 s’applique et les amendes de l’article 99 sont exigibles depuis 2025. Deuxièmement, l’obligation la plus immédiate n’est pas la plus médiatisée : la littératie en IA de l’article 4 s’impose depuis février 2025, et elle exige une trace écrite. Troisièmement, la conformité à l’AI Act commence par un travail non juridique : inventorier ses outils, les classer, déterminer son rôle pour chacun. Une entreprise incapable de dire quels systèmes d’IA circulent chez elle ne peut pas être conforme.

Une réserve : le droit reste mouvant et la désignation des autorités françaises n’est pas stabilisée. Vérifiez l’état du droit avant toute décision structurante. Pour l’étape d’inventaire, comparer les outils IA utilisés dans votre organisation reste le point de départ le plus rapide.

Pour aller plus loin

• Intelligence artificielle en entreprise : guide complet
• IA pour les RH : outils et cas d’usage
• Vie privée et données personnelles face à l’IA
• Sécurité informatique et solutions IA
• Détecter une image générée par IA
• Qu’est-ce qu’un agent IA : définition et fonctionnement
• Hallucinations de l’IA : pourquoi et comment les éviter

Sources

• EUR-Lex — Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230
• EUR-Lex — Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle
• Commission européenne — Cadre réglementaire pour l’IA et niveaux de risque
• Commission européenne — Lignes directrices sur les obligations de transparence, 20 juillet 2026
• Commission européenne — Code de bonnes pratiques sur la transparence des contenus générés par IA
• Commission européenne — Code de bonnes pratiques pour les modèles d’IA à usage général
• AI Act Service Desk — Article 5 : pratiques interdites
• AI Act Service Desk — Article 25 : responsabilités le long de la chaîne de valeur
• AI Act Service Desk — Article 26 : obligations des déployeurs
• AI Act Service Desk — Article 27 : analyse d’impact sur les droits fondamentaux
• AI Act Service Desk — Article 99 : amendes administratives
• AI Act Service Desk — Article 113 : entrée en application
• CNIL — Questions-réponses sur le règlement européen sur l’IA
• CNIL — Dossier intelligence artificielle
• Sénat — Projet de loi DDADUE 2026, l’essentiel
• Banque des Territoires — Le Sénat valide une régulation de l’IA en mode puzzle, 18 février 2026
• Orrick — EU AI Act Update: Digital Omnibus Finalizes 8 Compliance Changes, juillet 2026
• Gibson Dunn — EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes
• K&L Gates Cyber Law Watch — EU Digital Omnibus on AI Enters Into Force, 31 juillet 2026