AI Act (IA Act) : ce que votre entreprise doit faire, calendrier et obligations (2026)

Article publié le 24 octobre 2026, établi à partir du règlement (UE) 2024/1689 modifié par le règlement (UE) 2026/1744 (Omnibus IA), des pages de la Commission européenne et de la CNIL consultées ce jour-là. Cet article explique le règlement ; il ne remplace pas l’avis de votre direction juridique.

L’AI Act, que l’on appelle aussi IA Act ou règlement européen sur l’intelligence artificielle, s’applique déjà à votre entreprise dès qu’elle utilise ChatGPT, Copilot, Claude, Gemini ou n’importe quel outil d’IA. Depuis le 2 février 2025, certaines pratiques sont interdites et vous devez prendre des mesures pour former vos équipes. Depuis le 2 août 2026, les règles de transparence s’appliquent et les autorités peuvent contrôler. Les obligations les plus lourdes, celles des systèmes à haut risque, ont en revanche été repoussées au 2 décembre 2027 par l’Omnibus IA. Voici ce qui vous concerne réellement, dans quel ordre agir, et comment le prouver.

L’essentiel en cinq lignes

• Qui est concerné : toute organisation qui développe un système d’IA (le fournisseur) ou qui en utilise un dans un cadre professionnel (le déployeur) dans l’Union européenne, y compris les entreprises situées hors de l’Union dont les résultats sont utilisés en Europe.
• Déjà en vigueur : les pratiques interdites et la littératie IA (article 4) depuis le 2 février 2025, la transparence (article 50) depuis le 2 août 2026.
• Reporté : le haut risque de l’annexe III (recrutement, évaluation des salariés, crédit, éducation…) au 2 décembre 2027, celui des produits réglementés de l’annexe I au 2 août 2028.
• Sanctions : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour une pratique interdite, 15 millions ou 3 % pour la plupart des autres manquements.
• Pour une entreprise utilisatrice, le travail tient en trois chantiers : inventorier les usages, former les équipes selon leur profil, conserver les preuves.

Qu’est-ce que l’AI Act ?

L’AI Act est le règlement (UE) 2024/1689 du 13 juin 2024. Publié au Journal officiel de l’Union le 12 juillet 2024, il est entré en vigueur le 1er août 2024 et s’applique par étapes jusqu’en 2030. C’est un règlement, pas une directive : il s’applique directement dans chaque État membre, sans loi de transposition. En France, une loi doit seulement désigner les autorités chargées de le contrôler.

Sa logique tient en une phrase : l’obligation dépend de l’usage, pas de la technologie. Le même modèle de langage peut servir à rédiger un compte rendu, ce qui ne déclenche presque aucune obligation, ou à trier des candidatures, ce qui en fait un système à haut risque. C’est pourquoi la question « Copilot est-il conforme à l’AI Act ? » n’a pas de réponse générale : ce qui compte, c’est ce que vos équipes en font.

Le texte a été modifié par le règlement (UE) 2026/1744, dit Omnibus IA. Proposé par la Commission le 19 novembre 2025 dans le cadre de l’omnibus numérique, voté par le Parlement européen le 16 juin 2026 et adopté par le Conseil le 29 juin, il a été publié le 24 juillet 2026 et s’applique depuis le 27 juillet 2026. Il décale les échéances du haut risque, reformule l’obligation de littératie IA, allège certaines formalités pour les PME et ajoute deux pratiques interdites.

Les quatre niveaux de risque

Niveau	Exemples	Ce que prévoit le règlement
Risque inacceptable	Notation sociale, manipulation, reconnaissance des émotions sur le lieu de travail	Interdit depuis le 2 février 2025
Haut risque	Tri de CV, évaluation ou promotion des salariés, score de crédit, tarification de l’assurance vie et santé, accès aux prestations publiques	Obligations lourdes à partir du 2 décembre 2027
Risque de transparence	Chatbots et agents conversationnels, hypertrucages (deepfakes), textes et images générés	Information des personnes et marquage des contenus, depuis le 2 août 2026
Risque minimal	Filtre antispam, correcteur, la grande majorité des usages bureautiques de l’IA générative	Pas d’obligation propre, en dehors de la littératie IA

À côté de ces quatre niveaux, le règlement encadre les modèles d’IA à usage général, ceux qui font tourner ChatGPT, Claude, Gemini, Copilot ou Vibe de Mistral. Ces obligations (documentation technique, politique de respect du droit d’auteur, résumé des données d’entraînement, et pour les modèles les plus puissants évaluation des risques systémiques) pèsent sur OpenAI, Anthropic, Google ou Mistral AI, pas sur vous. Elles s’appliquent depuis le 2 août 2025, et la Commission peut les faire respecter et sanctionner depuis le 2 août 2026.

Fournisseur ou déployeur : quel est votre rôle ?

Le règlement attribue les obligations selon le rôle. Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son nom. Le déployeur utilise un système d’IA sous sa propre autorité, dans un cadre professionnel. La grande majorité des entreprises sont déployeuses ; certaines deviennent fournisseurs sans s’en rendre compte.

Votre situation	Votre rôle
Vos salariés utilisent Copilot, ChatGPT, Claude, Gemini ou Vibe	Déployeur
Vous activez une fonction d’IA dans votre logiciel RH, votre CRM ou votre ERP	Déployeur
Vous construisez un agent interne avec Copilot Studio, un GPT personnalisé ou l’API d’un modèle	Fournisseur du système que vous avez construit, puisque vous le mettez en service sous votre nom ; les obligations restent légères tant que l’usage n’est pas à haut risque
Vous vendez un logiciel ou un service qui intègre de l’IA	Fournisseur
Vous apposez votre marque sur un système à haut risque, le modifiez substantiellement ou changez sa destination pour en faire un usage à haut risque	Vous devenez fournisseur de ce système (article 25)

Le dernier cas est le piège le plus fréquent : un assistant généraliste détourné pour classer des candidatures ou noter des collaborateurs change de destination. L’entreprise qui l’a configuré ainsi porte alors les obligations du fournisseur d’un système à haut risque, qui sont les plus lourdes du règlement.

Le calendrier de l’AI Act après l’Omnibus IA

Date	Ce qui s’applique	Pour une entreprise utilisatrice
1er août 2024	Entrée en vigueur du règlement	Aucune obligation immédiate
2 février 2025	Pratiques interdites (article 5), littératie IA (article 4)	Pratiques interdites écartées, mesures de formation engagées
2 août 2025	Obligations des fournisseurs de modèles d’IA à usage général	Rien à faire, sinon vérifier que vos éditeurs les respectent
2 août 2026	Transparence (article 50), application générale, régime de sanctions, pouvoirs de contrôle de la Commission sur les modèles	Chatbots identifiés, deepfakes et textes publiés signalés, plan de littératie IA documenté
2 décembre 2026	Fin du délai de marquage pour les systèmes génératifs mis sur le marché avant le 2 août 2026 ; deux nouvelles pratiques interdites	Engagement écrit de vos éditeurs sur le marquage des contenus générés
2 août 2027	Mise en conformité des modèles mis sur le marché avant août 2025 ; bacs à sable réglementaires nationaux	Rien de spécifique
2 décembre 2027	Haut risque de l’annexe III (auparavant prévu le 2 août 2026)	Supervision humaine, journaux, information des salariés et des personnes, analyse d’impact le cas échéant
2 août 2028	Haut risque de l’annexe I : IA intégrée à des produits réglementés (machines, jouets, dispositifs médicaux…)	Concerne surtout les industriels
2 août 2030	Systèmes à haut risque des autorités publiques déjà en service	Concerne le secteur public

Le report du haut risque est un délai de préparation, pas une dispense. Quinze mois, c’est à peine le temps qu’il faut à une grande organisation pour recenser ses usages, les faire qualifier, renégocier ses contrats avec les éditeurs et former les personnes qui superviseront les systèmes.

Ce qui s’applique déjà à votre entreprise

Les pratiques interdites (article 5)

Depuis le 2 février 2025, huit usages sont interdits, que vous les développiez ou que vous les achetiez :

• les techniques subliminales ou manipulatrices qui altèrent le comportement d’une personne à son détriment ;
• l’exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation sociale ou économique ;
• la notation sociale qui conduit à un traitement défavorable sans rapport avec le contexte d’origine des données ;
• la prédiction du risque qu’une personne commette une infraction, fondée uniquement sur son profil ou sa personnalité ;
• la constitution de bases de reconnaissance faciale par moissonnage non ciblé d’images sur internet ou de vidéosurveillance ;
• la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement, sauf pour des raisons médicales ou de sécurité ;
• la catégorisation biométrique visant à déduire l’origine, les opinions politiques, l’appartenance syndicale, les convictions religieuses ou l’orientation sexuelle ;
• l’identification biométrique à distance en temps réel dans l’espace public à des fins répressives, sauf exceptions strictes.

L’Omnibus IA ajoute, à partir du 2 décembre 2026, l’interdiction des systèmes qui génèrent des images, vidéos ou sons intimes ou sexuellement explicites de personnes identifiables sans leur consentement, et de ceux qui produisent des contenus pédocriminels. Pour une entreprise, le point de vigilance concret est le premier de la liste qui touche au travail : un outil d’analyse des appels ou des visioconférences qui détecte l’humeur ou le stress des collaborateurs est interdit.

La littératie IA (article 4) : l’obligation qui concerne tout le monde

Depuis l’Omnibus IA, l’article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel et des personnes qui utilisent leurs systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur formation et du contexte d’utilisation. Le texte précise qu’il n’impose de garantir aucun niveau particulier à quiconque. La version initiale exigeait au contraire d’assurer « dans toute la mesure du possible » un niveau suffisant : on est passé d’une obligation de résultat à une obligation de moyens.

Ce qui ne change pas : l’obligation s’applique depuis février 2025, elle couvre les prestataires et les intérimaires qui utilisent vos outils, et elle doit être proportionnée aux profils. Un juriste qui relit des contrats avec l’IA et un commercial qui prépare ses rendez-vous n’ont pas besoin du même contenu. Aucun certificat ni test n’est exigé ; un plan daté, un journal des sessions et des taux de couverture par population suffisent à démontrer les mesures prises. Pour les personnes chargées de superviser un système à haut risque, la formation reste en revanche une obligation pleine et entière (article 26).

Il n’existe donc pas de « formation AI Act obligatoire » au format imposé, contrairement à ce qu’annoncent certaines offres. La mesure la plus simple à documenter reste une formation pratique sur les outils réellement déployés dans l’entreprise, comme nos formations IA en entreprise, animées sur les cas réels de chaque métier. Pour bâtir le plan lui-même (populations, parcours, budget, registre), le modèle de plan de formation IA est en accès libre.

La transparence (article 50)

L’article 50 s’applique depuis le 2 août 2026 et n’a pas été reporté, à une exception près : les systèmes génératifs déjà sur le marché avant cette date ont jusqu’au 2 décembre 2026 pour marquer leurs contenus. Il répartit quatre obligations.

Obligation	Qui la porte	Ce que vous faites
Informer les personnes qu’elles interagissent avec une IA (chatbots, agents vocaux)	Fournisseur	Si vous publiez un chatbot sur votre site ou en interne, il se présente comme une IA
Marquer les contenus générés de façon lisible par machine	Fournisseur	Vérifier que vos éditeurs le font
Informer les personnes exposées à une reconnaissance des émotions ou à une catégorisation biométrique	Déployeur	Usages par ailleurs interdits au travail
Signaler les hypertrucages et les textes générés publiés pour informer le public	Déployeur	Mention visible, sauf pour un texte qui a fait l’objet d’une relecture éditoriale humaine sous responsabilité éditoriale

Concrètement, la communication et le marketing sont les premiers concernés : une vidéo dont un visage ou une voix ont été générés, ou un communiqué produit par l’IA et publié sans relecture, doivent être signalés comme tels.

Le haut risque : ce qu’il faut préparer d’ici décembre 2027

L’annexe III du règlement liste les domaines où un système d’IA est présumé à haut risque :

• la biométrie (identification à distance, catégorisation, reconnaissance des émotions hors des cas interdits) ;
• les infrastructures critiques (énergie, eau, trafic, numérique) ;
• l’éducation et la formation professionnelle (admission, évaluation, surveillance des examens) ;
• l’emploi et la gestion des salariés : recrutement, tri de candidatures, promotion, licenciement, attribution des tâches, suivi et évaluation des performances ;
• l’accès aux services essentiels : prestations publiques, évaluation de la solvabilité et score de crédit, tarification de l’assurance vie et santé, tri des appels d’urgence ;
• les activités répressives, la migration et le contrôle aux frontières, la justice et les processus démocratiques.

Un système de ces domaines échappe au haut risque s’il n’accomplit qu’une tâche procédurale étroite, améliore le résultat d’une activité humaine déjà réalisée ou prépare une évaluation sans la remplacer (article 6, paragraphe 3), à condition qu’il ne procède pas au profilage de personnes. Le fournisseur doit documenter cette exemption ; l’Omnibus IA a simplifié l’enregistrement correspondant dans la base de données européenne.

Pour un déployeur, l’article 26 se traduit en sept obligations à préparer dès maintenant :

1. utiliser le système conformément à la notice du fournisseur ;
2. confier la supervision humaine à des personnes compétentes, formées et dotées de l’autorité nécessaire ;
3. veiller à la pertinence des données d’entrée qu’il contrôle ;
4. surveiller le fonctionnement et signaler les risques et incidents graves au fournisseur et à l’autorité ;
5. conserver les journaux générés automatiquement au moins six mois ;
6. informer les représentants du personnel et les salariés concernés avant la mise en service d’un système à haut risque au travail ;
7. informer les personnes qui font l’objet d’une décision prise ou assistée par le système.

S’y ajoute l’analyse d’impact sur les droits fondamentaux (article 27), obligatoire avant la mise en service pour les organismes publics, les entreprises privées qui assurent un service public, et les déployeurs qui évaluent la solvabilité de particuliers ou tarifient l’assurance vie et santé. Elle complète l’analyse d’impact relative à la protection des données du RGPD quand celle-ci est déjà requise.

En France, le droit du travail va plus loin et plus tôt que le règlement : le comité social et économique doit être consulté sur l’introduction de toute nouvelle technologie, et plusieurs décisions de justice de 2025 et 2026 ont appliqué cette règle aux déploiements d’outils d’IA générative. Le kit IA et dialogue social fait le point sur cette jurisprudence.

Qui contrôle en France, et quelles sanctions ?

Le contrôle des entreprises utilisatrices relève des autorités nationales de surveillance du marché ; le Bureau européen de l’IA, rattaché à la Commission, ne s’occupe que des modèles à usage général et des systèmes construits par le même fournisseur que le modèle ou intégrés aux très grandes plateformes. En France, le gouvernement a présenté en septembre 2025 une répartition par secteur, reprise par le projet de loi d’adaptation au droit de l’Union (DDADUE) adopté par le Sénat le 18 février 2026 :

• la DGCCRF coordonne la surveillance du marché, sert de point de contact unique et contrôle notamment la transparence et les pratiques manipulatrices ;
• la CNIL prend en charge la biométrie, la reconnaissance des émotions et la plupart des domaines à haut risque, dont l’emploi et l’éducation ;
• l’Arcom intervient sur les contenus générés et les processus démocratiques, l’ACPR sur le crédit et l’assurance, l’ANSM sur les dispositifs médicaux, et les autorités sectorielles sur les produits de l’annexe I ;
• la DGE représente la France au Comité européen de l’IA, avec l’appui technique de l’ANSSI et du PEReN.

À la date de cet article, le texte n’était pas encore définitivement adopté : vérifiez l’état de la loi sur Légifrance avant de vous y référer dans un document officiel.

Manquement	Amende maximale
Pratique interdite (article 5)	35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu
Autres obligations, dont celles du déployeur et la transparence	15 millions d’euros ou 3 % du chiffre d’affaires mondial
Informations inexactes ou trompeuses fournies aux autorités	7,5 millions d’euros ou 1 % du chiffre d’affaires mondial
Fournisseurs de modèles à usage général	15 millions d’euros ou 3 %, prononcées par la Commission

Pour les PME, c’est le plus faible des deux montants qui s’applique, et l’Omnibus IA étend cette règle aux petites entreprises de taille intermédiaire pour les deux derniers paliers. L’article 4 n’a pas de plafond propre dans le règlement : chaque État membre fixe son régime. Mais un défaut de formation pèsera lourd dans l’appréciation d’un incident causé par un usage mal maîtrisé.

Le plan d’action en sept étapes

1. Inventorier les usages. Outils déployés par la DSI, fonctions d’IA activées dans les logiciels métiers, agents construits par les équipes, et outils utilisés sans autorisation : le kit Shadow IA aide à mesurer ces derniers sans chasse aux sorcières.
2. Qualifier chaque usage. Pour chaque ligne : votre rôle (fournisseur ou déployeur), le niveau de risque, le domaine de l’annexe III éventuel. Les cas douteux partent au juridique avec la documentation de l’éditeur.
3. Écarter les pratiques interdites. En priorité les outils d’analyse des appels, des visioconférences ou de la productivité qui inféreraient des émotions.
4. Former par profil. Un socle commun pour tous les utilisateurs (outils autorisés, données à ne jamais confier, vérification, transparence), des modules dédiés pour les managers, les fonctions techniques et les métiers exposés au haut risque.
5. Organiser la transparence. Mention sur les chatbots, règle de signalement des contenus générés publiés, engagement écrit des éditeurs sur le marquage avant le 2 décembre 2026.
6. Préparer le haut risque. Clauses contractuelles avec les éditeurs (notice, journaux, information sur les évolutions), désignation et formation des superviseurs, information du CSE, analyse d’impact quand elle est due.
7. Documenter et prouver. Un registre des systèmes et des usages, le plan de littératie IA validé, le journal des formations et les comptes rendus des instances : le kit Gouvernance des systèmes d’IA fournit le registre et la grille de qualification.

Ce registre ne remplace pas celui des traitements du RGPD, qui continue de s’appliquer à côté : sur l’articulation des deux, voir notre article IA et RGPD : faut-il vraiment un deuxième registre ? Pour un exemple de programme mené jusqu’au bout, le retour d’expérience d’Alptis montre comment la conformité à l’AI Act a servi de point de départ à une communauté de 31 Impulseurs IA.

Questions fréquentes

AI Act et IA Act, est-ce la même chose ?

Oui. AI Act est le nom anglais, IA Act ou « règlement européen sur l’IA » sa traduction courante en français. Le texte officiel est le règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744.

L’AI Act a-t-il été reporté ?

En partie seulement. L’Omnibus IA a repoussé les obligations du haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). Les pratiques interdites, la littératie IA, la transparence et les obligations des fournisseurs de modèles s’appliquent comme prévu.

Utiliser ChatGPT ou Copilot en entreprise est-il concerné par l’AI Act ?

Oui, vous êtes déployeur. Pour un usage bureautique (rédiger, résumer, analyser des documents), le risque est minimal : vos obligations se limitent à la littératie IA et à la transparence si vous publiez des contenus générés. Si le même outil sert à trier des candidatures ou à évaluer des salariés, l’usage devient à haut risque.

La formation à l’IA est-elle obligatoire ?

Prendre des mesures pour développer la maîtrise de l’IA de vos équipes est obligatoire depuis le 2 février 2025. Le format est libre : aucun certificat, aucune durée minimale, aucun organisme agréé n’est imposé. Il faut en revanche pouvoir montrer des mesures adaptées aux profils, et la formation des superviseurs d’un système à haut risque reste impérative.

Les PME sont-elles concernées ?

Oui, avec des allègements : documentation technique simplifiée pour les fournisseurs, plafonds d’amende réduits, accès prioritaire aux bacs à sable réglementaires. L’Omnibus IA étend une partie de ces mesures aux petites entreprises de taille intermédiaire, et charge la Commission et les États membres d’aider les PME à former leurs équipes.

Une entreprise située hors de l’Union européenne doit-elle s’y conformer ?

Oui, dès qu’elle met un système d’IA sur le marché européen, ou que les résultats produits par son système sont utilisés dans l’Union. C’est le même principe d’application territoriale que celui du RGPD.

Sources

• EUR-Lex, règlement (UE) 2024/1689 sur l’intelligence artificielle.
• EUR-Lex, règlement (UE) 2026/1744, dit Omnibus IA, publié le 24 juillet 2026.
• Commission européenne, entrée en vigueur de l’omnibus sur l’IA, 27 juillet 2026, mise à jour le 31 juillet 2026.
• Commission européenne, cadre réglementaire de l’IA, consulté le 24 octobre 2026.
• CNIL, premières questions-réponses sur le règlement européen sur l’IA.
• ActuIA, obligations en vigueur et reports de l’omnibus 2026/1744.
• Law and Technology, la réécriture de l’article 4 par l’omnibus numérique.
• Quantic Avocats, le calendrier des obligations haut risque officiellement reporté, 22 juillet 2026.