AI Act 2026 : guide complet du règlement européen sur l’IA pour les entreprises
L’essentiel
Le règlement européen sur l’intelligence artificielle est entré en vigueur. Entre les obligations déjà actives et celles qui s’appliqueront progressivement, beaucoup de dirigeants naviguent à vue. Ce guide démêle le calendrier réel à la lumière du règlement (UE) 2026/1744 du 8 juillet 2026, dit Omnibus numérique sur l’IA, qui a modifié l’AI Act, identifie les entreprises concernées et pose les bases d’une préparation sérieuse, sans catastrophisme ni fausse sécurité.
- L’AI Act (Règlement UE 2024/1689) est le premier cadre juridique mondial sur l’intelligence artificielle, fondé sur une approche par les risques à quatre niveaux.
- Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, a fixé les échéances : 2 décembre 2027 pour les systèmes à haut risque de l’Annexe III, 2 août 2028 pour ceux de l’Annexe I.
- Ces dates figurent désormais dans l’article 113 de l’AI Act consolidé : elles constituent le calendrier applicable.
- Toute organisation qui fournit, déploie ou distribue des systèmes d’IA dans l’Union européenne est potentiellement concernée, qu’elle soit établie en Europe ou non. Au sens du règlement, dès qu’une entreprise utilise un système IA dans son activité professionnelle, elle est déployeur et porte des obligations propres.
- Les shadow AI (usages d’IA non cartographiés en entreprise : ChatGPT côté équipes, copilotes intégrés aux SaaS, IA générative marketing) constituent l’exposition la plus sous-estimée des PME françaises.
- Les sanctions vont jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les violations les plus graves.
Qu’est-ce que l’AI Act ? Définition et objectifs du règlement européen
Le Règlement (UE) 2024/1689, adopté le 13 juin 2024 et publié au Journal officiel le 12 juillet 2024, est le premier cadre juridique complet au monde encadrant le développement, la mise sur le marché et l’utilisation des systèmes d’intelligence artificielle. Son entrée en vigueur formelle date du 1er août 2024.
L’objectif est double : protéger les droits fondamentaux et la sécurité des citoyens européens, tout en préservant les conditions d’une innovation responsable. L’Union européenne ne cherche pas à freiner le déploiement de l’IA, mais à s’assurer que les systèmes qui affectent des décisions importantes sont suffisamment fiables, traçables et supervisés. C’est cette tension entre protection et compétitivité qui structure l’ensemble du texte et qui explique aussi les ajustements de calendrier en cours, à travers le paquet Omnibus Numérique présenté par la Commission européenne le 19 novembre 2025.
Les quatre catégories de systèmes d’IA
L’AI Act classe tous les systèmes d’IA selon leur niveau de risque potentiel. Cette hiérarchie détermine directement l’intensité des obligations qui s’appliquent.
- Risque inacceptable : ces systèmes sont purement et simplement interdits. Parmi les pratiques prohibées figurent la notation sociale par les autorités publiques, l’identification biométrique à distance en temps réel dans les espaces publics (sauf exceptions strictement encadrées pour les enquêtes pénales graves), l’exploitation des vulnérabilités des personnes pour influencer leur comportement à leur détriment, la reconnaissance des émotions sur les lieux de travail et dans les établissements d’enseignement, et le moissonnage non ciblé de données biométriques sur internet ou via des systèmes de vidéosurveillance pour alimenter des bases de données de reconnaissance faciale. Le règlement (UE) 2026/1744 ajoute une interdiction visant certains systèmes d’IA générant ou modifiant des contenus constituant du matériel pédopornographique ou des images intimes non consenties. La mise en conformité est requise au 2 décembre 2026.
- Risque élevé : ces systèmes peuvent être déployés, mais sous conditions strictes. Les domaines concernés couvrent la biométrie, l’éducation, l’emploi, la justice, les infrastructures critiques, les services essentiels et la gestion des migrations. Un algorithme de tri de CV, un système de notation de crédit ou une solution d’aide à la décision judiciaire entrent dans cette catégorie.
- Risque limité : obligation de transparence uniquement. Les chatbots et les systèmes d’IA générative qui produisent des contenus destinés au public doivent clairement signaler l’origine artificielle du contenu. Les deepfakes et les textes publiés pour informer le public sur des sujets d’intérêt général doivent être étiquetés de façon visible.
- Risque minimal ou nul : l’AI Act ne prévoit en principe pas d’obligation spécifique attachée à cette catégorie. D’autres règles peuvent néanmoins s’appliquer selon l’usage, notamment en matière de protection des données, de consommation ou de sécurité. La majorité des systèmes d’IA actuels relèvent de cette catégorie, notamment les filtres anti-spam ou les moteurs de recommandation dans les jeux vidéo.
Pourquoi une régulation de l’intelligence artificielle
La réponse tient à une réalité concrète : les législations existantes, conçues avant la généralisation de l’IA, ne permettaient pas de traiter les risques spécifiques que ces systèmes font peser sur les droits fondamentaux. Quand un algorithme refuse un prêt, oriente un parcours scolaire ou influence une décision médicale, les recours classiques sont insuffisants. L’opacité des décisions automatisées rendait impossible de savoir pourquoi une décision avait été prise, par quel système, sur la base de quelles données.
L’AI Act répond à cette lacune en imposant traçabilité, documentation et supervision humaine là où les enjeux sont les plus élevés.
Calendrier d’application de l’AI Act : les dates clés à retenir
C’est ici que la confusion est la plus grande. Le calendrier d’application de l’AI Act est échelonné sur plusieurs années. Le règlement (UE) 2026/1744 a modifié les échéances des systèmes à haut risque. Voici l’état des lieux issu de la version consolidée de l’AI Act.
Les phases de mise en œuvre
| Date | Événement | Statut |
|---|---|---|
| 1er août 2024 | Entrée en vigueur du règlement (UE) 2024/1689 | Actif |
| 2 février 2025 | Interdiction des pratiques d’IA inacceptables et obligation de prendre des mesures en faveur de la maîtrise de l’IA (article 4) | Actif |
| 2 août 2025 | Règles sur les modèles d’IA à usage général (GPAI) | Actif |
| 2 août 2026 | Obligations de transparence de l’article 50 ; sanctions prévues à l’article 101 pour les fournisseurs de modèles GPAI | Actif |
| 2 décembre 2026 | Mise en conformité pour la nouvelle interdiction relative à certains contenus intimes non consentis et matériels pédopornographiques | Actif à cette date |
| 2 décembre 2027 | Pleine applicabilité des obligations pour les systèmes à haut risque relevant de l’article 6, paragraphe 2, et de l’Annexe III | Fixé par le règlement (UE) 2026/1744 |
| 2 août 2028 | Application aux systèmes à haut risque relevant de l’article 6, paragraphe 1, et de l’Annexe I | Fixé par le règlement (UE) 2026/1744 |
Le règlement Omnibus est désormais en vigueur
Le règlement (UE) 2026/1744 du 8 juillet 2026 a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il modifie officiellement le règlement (UE) 2024/1689 : les échéances du 2 décembre 2027 et du 2 août 2028 ne sont donc plus de simples hypothèses de planification.
Le régime transitoire demeure essentiel pour les systèmes à haut risque déjà mis sur le marché ou mis en service avant le 2 août 2026. L’article 111, paragraphe 2, les soumet aux nouvelles règles seulement lorsqu’ils font l’objet de modifications importantes de leur conception ou de leur destination. Les systèmes utilisés par des autorités publiques restent soumis au calendrier prévu par cet article, notamment jusqu’au 2 août 2030.
Ce qui n’est pas modifié par l’Omnibus
Plusieurs blocs du règlement ne sont pas modifiés par le règlement (UE) 2026/1744 et restent applicables selon leur calendrier propre :
- les interdictions de pratiques à risque inacceptable, effectives depuis février 2025
- les règles sur les modèles GPAI, applicables depuis le 2 août 2025, avec une période de transition jusqu’au 2 août 2027 pour les modèles déjà mis sur le marché avant cette date
- les obligations générales de transparence prévues à l’Article 50 (information de l’utilisateur sur l’usage d’une IA, étiquetage des deepfakes côté déployeur), applicables au 2 août 2026
- les sanctions prévues à l’article 101 pour les fournisseurs de modèles GPAI, applicables depuis le 2 août 2026
Les règles introduites par l’AI Act : de l’interdiction à la transparence
Comprendre ce que l’AI Act impose concrètement suppose de distinguer trois régimes très différents selon le niveau de risque du système concerné.
Le règlement ne se limite pas à contraindre. Les bacs à sable réglementaires, dont chaque État membre doit assurer l’accessibilité au plus tard le 2 août 2027, offrent aux entreprises un cadre contrôlé pour développer, tester et valider des systèmes d’IA innovants sous la supervision d’une autorité compétente.
Ces espaces d’expérimentation permettent de bénéficier temporairement d’une souplesse sur certaines règles, tout en restant dans un cadre légal. L’objectif est explicitement de favoriser l’innovation des PME et des startups, qui n’ont pas toujours les ressources pour satisfaire immédiatement à l’ensemble des exigences du règlement. Pour une entreprise qui développe un système d’IA à haut risque, anticiper l’utilisation d’un bac à sable réglementaire peut faire partie d’une stratégie de conformité intelligente.
Qui est concerné par l’AI Act ? Fournisseurs, déployeurs et distributeurs
Le périmètre d’application de l’AI Act est large, et c’est l’une des sources de confusion les plus fréquentes. Le règlement ne s’adresse pas seulement aux géants de la tech qui développent des modèles fondationnels.
Les obligations des fournisseurs de systèmes d’IA
Sont concernés par le règlement : toute organisation qui fournit, distribue, importe ou déploie des systèmes ou modèles d’IA, dès lors que ces systèmes sont utilisés dans l’Union européenne. Cela inclut les entreprises établies hors de l’UE si leurs produits sont mis sur le marché européen ou si leurs systèmes affectent des personnes situées dans l’UE.
Les fournisseurs, c’est-à-dire ceux qui développent et mettent sur le marché un système d’IA, portent les obligations les plus lourdes : conformité technique, marquage CE, inscription dans la base de données, documentation complète.
Les importateurs et distributeurs ont des obligations de vérification : s’assurer que les systèmes qu’ils commercialisent ont bien été soumis aux procédures de conformité requises par le fournisseur. Ils ne peuvent pas se contenter de revendre un système sans s’interroger sur son niveau de risque.
Le statut de déployeur : l’angle mort majeur pour les PME françaises
Voici la qualification la plus mal comprise. Au sens de l’AI Act, est déployeur toute organisation qui utilise un système d’IA dans le cadre de son activité professionnelle. Pas besoin d’avoir développé quoi que ce soit. Si votre entreprise utilise un outil de recrutement automatisé, un scoring client, un chatbot sur votre site ou un outil d’analyse des performances de vos collaborateurs : vous êtes déployeur et vous portez des obligations propres, distinctes de celles du fournisseur.
Pour les systèmes à haut risque, le déployeur doit notamment assurer la supervision humaine, informer les personnes affectées par des décisions automatisées et signaler les incidents graves à l’autorité compétente. Une entreprise RH qui utilise un logiciel de tri de CV tiers à haut risque n’est pas exonérée par le fait qu’elle n’en est pas le développeur. Elle reste responsable du déploiement conforme de ce système dans son organisation.
Concrètement, une PME qui utilise un outil d’IA pour évaluer la solvabilité de ses clients, sélectionner des candidats ou prendre des décisions d’accès à ses services est directement dans le périmètre du règlement, même si elle n’a pas écrit une seule ligne de code.
Conséquences de l’AI Act pour les entreprises : comment se préparer
La question n’est plus de savoir si l’AI Act s’applique, mais comment les entreprises organisent leur réponse. Trois chantiers structurent une préparation sérieuse.
Cartographier les usages d’IA, y compris la Shadow AI
La première étape est une cartographie des usages IA dans l’organisation. Quels systèmes sont déjà en production ? Lesquels sont en développement ? Pour chacun, quelle est la catégorie de risque au sens de l’AI Act ?
Ce travail révèle systématiquement des shadow AI : des usages adoptés par les équipes sans validation formelle. Un commercial qui rédige ses propositions avec ChatGPT, une équipe RH qui s’appuie sur un copilote intégré à son ATS sans en avoir évalué les biais, une équipe marketing qui génère des contenus avec des outils d’IA générative sans étiquetage. Ces usages constituent l’exposition la plus sous-estimée des PME françaises, et la plus difficile à défendre en cas de contrôle.
La cartographie n’est pas un exercice purement théorique. Elle conditionne l’ensemble de la démarche de conformité : les systèmes à risque minimal ne relèvent en principe d’aucune obligation spécifique de l’AI Act, tandis que les systèmes à haut risque déclenchent des exigences techniques et administratives avant l’échéance applicable. Celle-ci est fixée au 2 décembre 2027 pour les systèmes relevant de l’Annexe III et au 2 août 2028 pour ceux relevant de l’Annexe I.
Former mes équipes à l’IA est la première étape concrète pour que cette cartographie soit réalisée par des personnes capables d’identifier correctement les usages à risque dans leur contexte métier.
Gouvernance, conformité et documentation requise
Une fois les systèmes à haut risque identifiés, le travail de conformité peut démarrer. Il repose sur quatre piliers.
La documentation technique doit décrire le fonctionnement du système, les données d’entraînement utilisées, les performances mesurées et les limites connues. Ce n’est pas un document de communication : c’est un document d’audit, destiné aux autorités compétentes et aux organismes de certification.
Le système de gestion des risques doit être formalisé, maintenu à jour et intégré dans les processus de l’entreprise. Il ne s’agit pas d’un document statique produit une fois pour toutes, mais d’un dispositif vivant qui évolue avec le système d’IA.
La supervision humaine doit être organisée opérationnellement. Qui surveille le système ? Avec quels outils ? Selon quels protocoles d’intervention ? Ces questions doivent avoir des réponses documentées.
La formation des équipes est souvent le parent pauvre des démarches de conformité. L’article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA chez les personnes qui utilisent les systèmes pour leur compte. Ces mesures tiennent compte de leurs connaissances, de leur expérience, de leur formation et du contexte d’utilisation ; le règlement n’impose pas un niveau uniforme à garantir à chaque personne.
Me former à la gouvernance et conformité IA pour structurer cette montée en compétences dans mon organisation.
Les risques de non-conformité et les sanctions
L’AI Act prévoit trois niveaux de sanctions administratives, qui varient selon la gravité de la violation et la taille de l’entreprise.
| Type de violation | Amende maximale | Application |
|---|---|---|
| Non-respect des interdictions (risque inacceptable) | 35 millions d’euros ou 7 % du CA annuel mondial | Montant le plus élevé pour les entreprises autres que les PME |
| Non-respect d’autres obligations de l’AI Act | 15 millions d’euros ou 3 % du CA annuel mondial | Montant le plus élevé pour les entreprises autres que les PME |
| Informations inexactes, incomplètes ou trompeuses aux autorités | 7,5 millions d’euros ou 1 % du CA annuel mondial | Montant le plus élevé pour les entreprises autres que les PME |
Pour les PME, y compris les jeunes pousses, chaque plafond est le montant le plus faible entre le montant fixe et le pourcentage applicable du chiffre d’affaires annuel mondial total. Le règlement (UE) 2026/1744 étend ce régime favorable aux petites entreprises à moyenne capitalisation pour les sanctions des paragraphes 4 et 5 de l’article 99 ; il ne s’applique pas au plafond relatif aux pratiques interdites.
Au-delà des amendes, les risques de non-conformité incluent l’interdiction de mise sur le marché d’un système, le retrait forcé d’un produit déjà commercialisé et l’atteinte à la réputation dans un contexte où la confiance dans les systèmes d’IA devient un critère de différenciation commerciale.
Auditer ma conformité IA pour évaluer votre exposition réelle avant que les autorités compétentes ne le fassent à votre place.
Questions fréquentes sur l’AI Act
Notre position
Maison Graciet accompagne ses clients sur ces démarches de conformité depuis plusieurs années, dans la continuité de son expertise sur l’accessibilité numérique (RGAA), les certifications Opquast et Access42, et la gouvernance digitale. La conformité IA s’inscrit dans cette même logique : pas de conformité cosmétique, mais une intégration réelle dans les pratiques et les processus de l’organisation. C’est précisément ce que recouvre notre signature, Bienvenue dans le numérique utile : transformer une contrainte réglementaire en levier de robustesse opérationnelle.
Vous souhaitez faire le point sur votre situation ?