AI Act : ce que votre entreprise doit vraiment faire

L'essentiel en 30 secondes

Le calendrier, après le règlement Omnibus

Le règlement Omnibus (UE) 2026/1744, adopté le 8 juillet 2026, publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet 2026, a décalé plusieurs échéances. Le raccourci « l'AI Act est reporté » est faux : seules les obligations des systèmes à haut risque ont bougé.

1. 1ᵉʳ août 2024Entrée en vigueurLe règlement existe, son application est échelonnée.
2. 2 février 2025Interdictions et article 4Pratiques interdites et obligation de maîtrise de l'IA pour toutes les entreprises.
3. 2 août 2025Modèles d'IA à usage généralRègles pour les fournisseurs de modèles (OpenAI, Anthropic, Mistral, Google…), gouvernance et cadre des sanctions.
4. 2 août 2026Transparence et contrôlesArticle 50 applicable, application générale du règlement et début de la supervision par les autorités nationales.
5. 2 décembre 2026Deux nouvelles interdictionsSystèmes générant des images intimes non consenties et contenus pédocriminels générés par IA, au niveau de sanction maximal.
6. 2 décembre 2027Haut risque, annexe IIIRecrutement, gestion des salariés, crédit, éducation, accès aux prestations publiques… (initialement le 2 août 2026).
7. 2 août 2028Haut risque, annexe IIA intégrée à des produits réglementés : machines, dispositifs médicaux, jouets… (initialement le 2 août 2027).
8. 2 août 2030Autorités publiquesÉchéance pour les systèmes à haut risque déjà utilisés par des autorités publiques.

Qui est concerné ?

Le règlement Omnibus a aussi étendu aux petites entreprises à moyenne capitalisation certaines mesures de simplification jusqu'ici réservées aux PME.

Les quatre niveaux de risque

Le règlement ne classe pas les outils, mais les usages. Le même assistant d'IA peut être à risque minimal pour rédiger un e-mail et à haut risque pour trier des CV.

Article 4 : former vos équipes, en pratique

L'article 4 impose de prendre des mesures pour développer la maîtrise de l'IA des personnes qui utilisent les outils pour le compte de l'entreprise. Depuis le règlement Omnibus, c'est une obligation de moyens : aucun niveau individuel n'est exigé, mais les mesures doivent être adaptées aux outils utilisés, aux rôles et aux risques, et vous devez pouvoir les démontrer.

Transparence : ce qui s'applique depuis le 2 août 2026

• Chatbots : les personnes doivent savoir qu'elles échangent avec une IA, sauf si c'est évident.
• Contenus truqués (« deepfakes ») : une image, un son ou une vidéo qui fait passer pour réel ce qui ne l'est pas doit être signalé, de manière adaptée pour une œuvre artistique ou satirique.
• Textes d'intérêt général : un texte généré par IA et publié pour informer le public doit être signalé, sauf s'il a été relu par un humain qui en assume la responsabilité éditoriale.
• Reconnaissance des émotions ou catégorisation biométrique autorisées : les personnes exposées doivent en être informées.
• Fournisseurs d'outils génératifs : ils doivent marquer techniquement les contenus produits.

Pour un article de blog relu et assumé, la mention de l'IA n'est pas une obligation légale, mais reste une bonne pratique. Test Marketing →

Haut risque : êtes-vous concerné ?

L'annexe III du règlement liste les domaines où un système d'IA est à haut risque : biométrie, infrastructures critiques, éducation et formation, emploi et gestion des travailleurs, accès aux services essentiels privés et publics (dont le crédit et les prestations sociales), répression, migration, justice et processus démocratiques.

Si vous utilisez un tel système, l'article 26 vous imposera à partir du 2 décembre 2027 de l'utiliser conformément aux instructions du fournisseur, d'en confier la supervision à des personnes compétentes, d'en surveiller le fonctionnement, de conserver ses journaux, et d'informer les salariés et leurs représentants avant sa mise en service sur le lieu de travail. Les organismes publics devront en outre réaliser une analyse d'impact sur les droits fondamentaux.

Le report n'est pas une pause : 14 mois, c'est court pour identifier ces outils, interroger les éditeurs et former les personnes qui les supervisent. Test Collectivités →

Les sanctions

Ce sont des plafonds. Pour une grande entreprise, c'est le plus élevé des deux montants qui s'applique ; pour une PME ou une start-up, l'article 99 retient le plus faible des deux.

Qui contrôle en France ?

La DGCCRF coordonne la surveillance du marché et sert de point de contact unique. La CNIL est compétente dans ses domaines propres (biométrie, emploi, éducation), et l'ACPR pour le secteur financier. Le RGPD, lui, n'est pas modifié par le règlement Omnibus : il continue de s'appliquer à toutes les données personnelles traitées avec l'IA.