AI Act : obligations des entreprises et calendrier 2026-2027, ce qui s'applique vraiment

L'AI Act est applicable depuis le 2 août 2026, mais pas dans toutes ses parties : le règlement de simplification entré en vigueur le 27 juillet a repoussé les obligations sur les systèmes à haut risque à décembre 2027 et août 2028. Beaucoup de directions ont retenu le mot « report » et rangé le dossier. Or les interdictions, l'obligation de maîtrise de l'IA et les règles de transparence, elles, s'appliquent déjà. Ce guide sur les obligations de l'AI Act pour les entreprises remet les dates dans l'ordre, explique ce qui vous concerne selon votre rôle et propose une méthode en cinq étapes à lancer avant la fin de l'année.

En résumé.

Le règlement européen sur l'IA (règlement 2024/1689) est applicable depuis le 2 août 2026. Le règlement 2026/1744, publié le 24 juillet et entré en vigueur le 27 juillet 2026, a décalé les systèmes à haut risque au 2 décembre 2027 (annexe III, dont l'emploi) et au 2 août 2028 (annexe I, produits réglementés). Restent applicables : les pratiques interdites depuis le 2 février 2025, l'obligation de maîtrise de l'IA et, depuis le 2 août 2026, les règles de transparence. Les amendes montent à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et à 15 M€ ou 3 % pour la plupart des autres manquements. Pour une entreprise qui utilise l'IA, la première décision est de recenser ses usages, puis de traiter ceux qui touchent au public ou aux salariés.

Que prévoit le calendrier de l'AI Act après le règlement de simplification de juillet 2026 ?

Le texte de base est le règlement (UE) 2024/1689, entré en vigueur le 1er août 2024 et appliqué par paliers. Il a été modifié par le règlement (UE) 2026/1744, daté du 8 juillet 2026 et entré en vigueur le 27 juillet, que la presse juridique appelle « omnibus numérique sur l'IA ». Il a été publié au Journal officiel de l'Union le 24 juillet.

Quelles sont les dates à retenir ?

Voici le calendrier tel que le présente la page de la Commission européenne, consultée le 14 octobre 2026 :

• 2 février 2025 : pratiques interdites et obligations de maîtrise de l'IA. C'est passé, et c'est applicable.
• 2 août 2025 : règles de gouvernance et obligations des fournisseurs de modèles d'IA à usage général.
• 2 août 2026 : application générale du règlement, avec la transparence et les pouvoirs d'exécution de la Commission, qui peut notamment sanctionner les fournisseurs de modèles à usage général.
• Décembre 2026 : entrée en vigueur d'une neuvième interdiction, qui vise la génération de contenus intimes non consentis et de contenus pédopornographiques. Le cabinet K&L Gates donne la date du 2 décembre 2026.
• 2 décembre 2027 : systèmes à haut risque de l'annexe III (biométrie, éducation, emploi, par exemple), reportés de seize mois.
• 2 août 2028 : systèmes à haut risque intégrés dans des produits réglementés (annexe I).

Pourquoi faut-il recouper ces dates ?

Parce qu'elles ont bougé trois fois en moins d'un an : proposition de la Commission du 19 novembre 2025, accord politique du 7 mai 2026, entrée en vigueur le 27 juillet. Les contenus publiés avant l'accord décrivent un report encore hypothétique, et plusieurs pages commerciales que nous avons lues confondent les annexes ou datent le texte de manière incohérente. Notre propre analyse du 20 juillet sur l'AI Act, écrite avant la publication au Journal officiel, parlait d'« ajustements en cours » : ils sont désormais en vigueur.

Quelles obligations s'appliquent déjà aux entreprises qui utilisent l'IA ?

La réponse dépend d'abord de votre rôle, puis du type d'usage.

Fournisseur ou déployeur : quelle différence ?

Le règlement distingue deux rôles principaux. Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché sous son nom. Le déployeur l'utilise sous son autorité dans un cadre professionnel. Une ETI qui déploie un assistant du commerce, un outil de tri de candidatures ou un agent de service client est, dans l'immense majorité des cas, déployeur. Elle devient fournisseur si elle développe son propre système, ou si elle modifie substantiellement celui d'un tiers. Cette lecture est simplifiée : les cas limites se tranchent texte en main, avec un juriste.

Quelles pratiques sont déjà interdites ?

Selon la Commission, le règlement interdit neuf pratiques, dont les huit premières le sont depuis février 2025. La liste couvre, entre autres, la notation sociale, certaines formes de manipulation et l'inférence des émotions des salariés sur le lieu de travail, sauf raison médicale ou de sécurité. Pour une entreprise, le risque est rarement un projet assumé. Il vient plutôt d'une fonctionnalité d'un outil RH ou d'un logiciel de relation client activée sans que personne n'ait lu la documentation.

Que change l'article 4 sur la maîtrise de l'IA ?

Dans son texte d'origine, l'article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent des systèmes d'IA en leur nom. Le niveau attendu dépend du contexte et des personnes concernées. Deux résumés secondaires, Praxikon et donneespersonnelles.fr, indiquent que l'omnibus a reformulé cette obligation, qui devient une obligation de moyens tournée vers le développement de la maîtrise de l'IA. Le texte consolidé doit être relu avant de figer votre dossier de preuve. Dans tous les cas, l'idée centrale demeure : former selon les métiers, et pouvoir le montrer. Notre analyse sur l'adoption de l'IA et les compétences montre pourquoi une formation générique ne suffit pas.

Quelles règles de transparence s'appliquent depuis le 2 août 2026 ?

La Commission a publié ses lignes directrices finales sur l'article 50 le 20 juillet 2026, d'après le cabinet Pearl Cohen. Ce texte non contraignant précise trois situations qui concernent les déployeurs : l'information des personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique, la mention des contenus hypertruqués, et celle des textes générés par IA publiés pour informer le public sur des sujets d'intérêt public, sauf contrôle éditorial humain assumé par une personne responsable. S'y ajoute l'information des personnes qui dialoguent avec une IA, par exemple un agent conversationnel, qui pèse d'abord sur le fournisseur du système mais que vous devez pouvoir garantir dans votre déploiement.

Le marquage lisible par machine des contenus synthétiques (article 50, paragraphe 2) suit un calendrier à part. Pour les systèmes d'IA générative déjà sur le marché au 2 août 2026, K&L Gates décrit un délai de grâce de quatre mois, et le Journal du Net en situait le terme au 2 décembre 2026 avant l'adoption du texte. Cette échéance est à confirmer dans le texte publié. Elle concerne surtout les éditeurs de modèles, moins vos équipes marketing. Pour les contenus de marque courants, notre guide Content Factory explique pourquoi l'étiquetage ne s'applique pas automatiquement, et notre analyse des agents de prospection B2B détaille le cas des échanges avec des acheteurs.

Et si vous construisez ou adaptez un modèle d'IA ?

Les obligations des fournisseurs de modèles à usage général s'appliquent depuis le 2 août 2025, et les pouvoirs d'exécution de l'AI Office depuis le 2 août 2026. Cela concerne peu d'entreprises utilisatrices. Si vous affinez un modèle ouvert pour un usage interne, demandez-vous tout de même si vous devenez fournisseur au sens du règlement.

Quelles sont les sanctions prévues par l'AI Act ?

L'article 99 fixe trois paliers, que reprend la version française du texte hébergée par le Future of Life Institute :

• jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites ;
• jusqu'à 15 M€ ou 3 % pour les manquements aux autres obligations des opérateurs, ce qui inclut la transparence ;
• jusqu'à 7,5 M€ ou 1 % pour des informations inexactes, incomplètes ou trompeuses fournies aux autorités.

Le montant le plus élevé s'applique, sauf pour les PME, où c'est le plus bas des deux. D'après Praxikon, l'omnibus étend ce plafond réduit aux petites entreprises à capitalisation intermédiaire. La désignation des autorités de contrôle nationales n'est pas traitée ici : vérifiez-la avant tout dialogue avec un régulateur.

Comment se mettre en conformité en cinq étapes d'ici fin 2026 ?

Cette méthode est une convention de pratique, pas une exigence du règlement. Elle suit l'ordre des risques : on ne classe pas ce qu'on n'a pas recensé, et on ne forme pas sans savoir qui utilise quoi.

Étape 1 : recenser tous les usages d'IA

Un registre vaut mieux qu'une charte. Pour chaque usage, notez le propriétaire, l'outil, les données traitées, les personnes concernées (salariés, clients, candidats), le niveau de risque et la date de revue. N'oubliez pas les fonctionnalités d'IA ajoutées par vos éditeurs de logiciels, ni les outils que les équipes ont adoptés seules. Comptez dix jours ouvrés pour un premier état des lieux dans une ETI. Notre guide de gouvernance de l'IA détaille le registre et les décisions de comité qui s'y rattachent.

Étape 2 : classer chaque usage

Quatre cases suffisent : interdit, haut risque, transparence, autre. Cherchez d'abord les usages qui touchent à l'emploi (tri de candidatures, évaluation, affectation des tâches), au crédit, à l'éducation ou à la biométrie : ils relèvent du haut risque de l'annexe III, donc de l'échéance de décembre 2027. Ce délai est un temps de préparation, pas un congé : documentation technique, contrôle humain et journalisation se préparent des mois à l'avance, et les contrats se signent aujourd'hui.

Étape 3 : traiter en premier la transparence

C'est l'obligation déjà exigible qui touche le plus d'entreprises : agents conversationnels, contenus hypertruqués, textes d'intérêt public. Vérifiez où vos clients ou vos candidats dialoguent avec une IA, et ce qu'on leur dit. Corrigez les mentions, puis assignez un propriétaire à chaque canal.

Étape 4 : documenter la maîtrise de l'IA

Traduisez l'article 4 en plan de formation par métier : ce qu'un commercial, un recruteur ou un juriste doit savoir faire et ne pas faire avec l'IA. Gardez les preuves : contenus, présence, évaluation. Une obligation de moyens se démontre par la trace des moyens engagés.

Étape 5 : nommer un responsable et fixer un rythme de revue

Le sujet traverse la direction juridique, la DSI, les RH et le marketing. Sans responsable désigné, chacun suppose que l'autre s'en occupe. Nommez un sponsor au comité de direction, tenez une revue trimestrielle du calendrier réglementaire et ajoutez à vos contrats avec les éditeurs une demande de classification et de documentation de leurs systèmes. Nos analyses sur le déploiement des agents IA et sur la gouvernance donnent des exemples de périmètres de décision.

Quelles erreurs retrouve-t-on le plus souvent ?

• Lire le report comme une pause générale. Le report déplace la pression sans la supprimer, car la plupart des usages courants relèvent de la transparence et non de l'annexe III.
• Attendre les normes ou les textes nationaux. Les échéances de l'Union s'appliquent sans attendre qu'une norme harmonisée existe pour chaque obligation.
• Confier le sujet à la seule DSI. Les usages à risque se trouvent dans les RH, la relation client et le marketing, rarement dans l'infrastructure.
• Confondre RGPD et AI Act. Les deux se cumulent. Une analyse d'impact relative à la protection des données ne dispense pas du classement des systèmes d'IA.
• S'appuyer sur une page non datée. Contrôlez la date de mise à jour et la source primaire avant de reprendre une échéance dans un plan de projet.

La trame de décision en une page

Pour un premier comité, six questions suffisent, dans cet ordre :

1. Quels usages d'IA existent chez nous, y compris ceux que nous n'avons pas choisis ?

2. Sommes-nous fournisseur ou déployeur de chacun ?

3. Lequel est interdit, haut risque, soumis à transparence, ou sans exigence spécifique ?

4. Quelle échéance s'applique à chacun, vérifiée sur une source officielle de moins de trois mois ?

5. Qui en répond au comité de direction, et avec quel budget ?

6. Quelle preuve de maîtrise et de transparence pouvons-nous produire demain ?

Si une seule de ces questions reste sans réponse, vous avez votre feuille de route pour le trimestre.

Le calendrier laisse jusqu'à décembre 2027 pour les systèmes à haut risque. La question utile pour un comité de direction n'est donc plus « à quelle date devons-nous être conformes ? », mais « quelle partie de notre fonctionnement repose sur une IA que nous ne savons pas décrire ? ». Les entreprises qui auront un registre, un responsable et une preuve de maîtrise au premier semestre 2027 traiteront l'échéance suivante en projet. Les autres la subiront comme une urgence, avec des contrats déjà signés.

Le regard de digitalie_.

Chez digitalie_, nous considérons que l'AI Act se traite d'abord comme un sujet d'organisation : il faut savoir qui utilise quelle IA, qui décide de l'autoriser, et qui en répond. Nous aidons les directions générales et les DSI à poser ce cadre dans leur transformation digitale et dans leurs projets de data et d'IA, sans surcharge documentaire. Si un échange de 30 minutes peut vous aider à cadrer votre registre et vos priorités 2027, contactez-nous.

Questions fréquentes

Quelles sont les obligations de l'AI Act pour une entreprise qui utilise ChatGPT ou Copilot ?

Une entreprise qui utilise ces outils est en général déployeur. Elle doit respecter les interdictions, assurer un niveau suffisant de maîtrise de l'IA chez ses équipes, et appliquer les règles de transparence lorsque l'usage touche des clients ou du contenu publié. Les obligations de haut risque ne s'appliquent que si l'usage relève de l'annexe III, à partir de décembre 2027.

L'AI Act a-t-il été reporté ?

En partie seulement. Le règlement 2026/1744, en vigueur depuis le 27 juillet 2026, reporte les systèmes à haut risque de l'annexe III au 2 décembre 2027 et ceux de l'annexe I au 2 août 2028. Les interdictions, la maîtrise de l'IA, les obligations des modèles à usage général et la transparence continuent de s'appliquer selon leurs dates d'origine.

Quelles sont les sanctions de l'AI Act ?

Trois paliers existent : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour la plupart des autres obligations, 7,5 millions ou 1 % pour des informations trompeuses aux autorités. Le montant le plus élevé s'applique, sauf pour les PME, où c'est le plus bas.

Qu'est-ce que la maîtrise de l'IA (article 4) et faut-il former tous les salariés ?

L'article 4 impose de prendre des mesures pour que les personnes qui utilisent l'IA au nom de l'entreprise aient un niveau suffisant de maîtrise, selon leur métier et le contexte. Il ne fixe pas de formation unique pour tous : l'effort se proportionne aux usages et aux risques, et la preuve des mesures prises compte autant que la formation elle-même.

Quelle différence entre fournisseur et déployeur dans l'AI Act ?

Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché sous son nom. Le déployeur l'utilise sous son autorité dans un cadre professionnel. Une entreprise qui achète un outil d'IA est déployeur ; elle peut devenir fournisseur si elle développe son propre système ou modifie substantiellement celui d'un tiers.

Sources

1. Commission européenne, « AI Act », page de politique publique avec calendrier d'application et statut de l'omnibus, consultée le 14 octobre 2026 — https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

2. Union européenne, règlement (UE) 2026/1744 modifiant les règlements (UE) 2024/1689, 2018/1139 et 2023/1230, daté du 8 juillet 2026, entré en vigueur le 27 juillet 2026 (EUR-Lex) — https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng

3. Union européenne, règlement (UE) 2024/1689 sur l'intelligence artificielle (EUR-Lex) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng

4. K&L Gates, « EU Digital Omnibus on AI enters into force », publié sur la National Law Review (cabinet d'avocats ; publication au Journal officiel le 24 juillet 2026) — https://natlawreview.com/article/eu-digital-omnibus-ai-enters-force

5. Pearl Cohen, « European Commission publishes final guidelines on AI transparency obligations » (cabinet d'avocats ; lignes directrices du 20 juillet 2026) — https://www.pearlcohen.com/european-commission-publishes-final-guidelines-on-ai-transparency-obligations/

6. Future of Life Institute, texte de l'article 99 du règlement — https://artificialintelligenceact.eu/fr/article/99/

7. Future of Life Institute, texte de l'article 4 du règlement, version d'origine de 2024 — https://artificialintelligenceact.eu/fr/article/4/

8. Praxikon, résumé du règlement 2026/1744 — https://www.praxikon.com/en/richtsnoeren/regulation-eu-2026-1744-digital-omnibus-on-ai

9. Journal du Net, « EU AI Act, le piège du report », — https://www.journaldunet.com/intelligence-artificielle/1550335-eu-ai-act-le-calendrier-report

10. donneespersonnelles.fr, « AI Act calendrier : dates clés d'application », publié le 30 janvier 2026 et mis à jour le 13 septembre 2026 — https://donneespersonnelles.fr/ai-act-calendrier