Vos équipes rédigent avec un assistant d’IA générative, votre service RH teste un outil de tri de candidatures, votre site affiche un chatbot ? L’AI Act, le règlement européen sur l’intelligence artificielle, vous concerne. Ce guide, destiné aux dirigeants, RH, DSI, DPO et responsables formation, résume le règlement IA, son calendrier à jour d’octobre 2026, les obligations d’une entreprise utilisatrice et les sanctions.
Ce guide ne constitue pas un conseil juridique : pour un cas précis, consultez votre DPO, votre juriste ou un avocat.
Qu’est-ce que l’AI Act, le règlement européen sur l’intelligence artificielle ?
Le règlement (UE) 2024/1689 du 13 juin 2024, publié au Journal officiel de l’Union européenne le 12 juillet 2024, est entré en vigueur le 1er août 2024. Il s’applique directement en France, sans transposition ; chaque État membre désigne ses autorités de contrôle et fixe son régime de sanctions. Le texte classe les usages selon le risque qu’ils font peser sur la santé, la sécurité et les droits fondamentaux.
Une approche par les risques
| Niveau de risque | Exemples tirés du texte | Ce que prévoit le règlement |
|---|---|---|
| Inacceptable (article 5) | Notation sociale, manipulation, inférence des émotions au travail et à l’école (sauf raisons médicales ou de sécurité) | Interdiction |
| Haut risque (article 6, annexes I et III) | Recrutement, évaluation des élèves, crédit, composants de sécurité de produits | Gestion des risques, documentation, journalisation, contrôle humain, robustesse |
| Transparence (article 50) | Chatbots, contenus de synthèse, hypertrucages (deepfakes) | Information des personnes, marquage des contenus |
| Minimal | Filtres anti-spam, jeux vidéo (exemples de la Commission) | Pas d’obligation spécifique, hors article 4 |
Les modèles d’IA à usage général
Le chapitre V vise les fournisseurs des grands modèles sur lesquels reposent les assistants d’IA générative. Depuis le 2 août 2025, ils doivent notamment tenir une documentation technique, informer les entreprises qui intègrent leur modèle, appliquer une politique de respect du droit d’auteur et publier un résumé des contenus d’entraînement. Le Bureau de l’IA de la Commission les supervise. Une entreprise qui utilise simplement un tel modèle n’a pas ces obligations.
AI Act et entreprise : êtes-vous fournisseur, déployeur, importateur ou distributeur ?
Vos obligations dépendent d’abord de votre rôle, défini à l’article 3 du règlement. Il vise aussi les acteurs établis hors de l’Union lorsque les sorties du système sont utilisées dans l’Union.
| Rôle | Définition (article 3) | Exemple |
|---|---|---|
| Fournisseur | Développe ou fait développer un système ou un modèle d’IA et le met sur le marché ou en service sous son nom ou sa marque | Éditeur d’un logiciel RH doté d’IA ; entreprise qui met en service sous son nom un chatbot qu’elle a fait développer |
| Déployeur | Utilise sous sa propre autorité un système d’IA, hors activité personnelle non professionnelle | Entreprise dont les salariés utilisent un assistant d’IA générative |
| Importateur | Établi dans l’Union, met sur le marché un système d’IA portant le nom ou la marque d’une personne établie hors de l’Union | Société qui commercialise en Europe le logiciel d’un éditeur non européen |
| Distributeur | Autre acteur de la chaîne d’approvisionnement qui met un système d’IA à disposition sur le marché de l’Union | Revendeur ou intégrateur |
La plupart des organisations françaises sont déployeurs. Attention à l’article 25 : un déployeur devient fournisseur d’un système à haut risque s’il le commercialise sous son nom, y apporte une modification substantielle, ou modifie la destination d’un système, même à usage général, de sorte qu’il devient à haut risque. Configurer un assistant généraliste pour filtrer des candidatures peut donc changer votre statut.
AI Act calendrier 2026, 2027, 2028 : les dates à jour après l’omnibus
Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l’IA », a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et il est entré en vigueur le 27 juillet 2026. Il a modifié l’article 113 du règlement IA, qui fixe les dates d’application. Voici le calendrier consolidé.
| Date | Ce qui s’applique | Base juridique |
|---|---|---|
| 1er août 2024 | Entrée en vigueur du règlement IA | Art. 113, règlement 2024/1689 |
| 2 février 2025 | Maîtrise de l’IA (article 4) et pratiques interdites (article 5) | Art. 113, point a) |
| 2 août 2025 | Modèles d’IA à usage général, gouvernance, régime des sanctions | Art. 113, point b) |
| 27 juillet 2026 | Entrée en vigueur de l’omnibus et nouvelle rédaction de l’article 4 | Art. 4, règlement 2026/1744 |
| 2 août 2026 | Application générale, dont la transparence (article 50) et les amendes de la Commission pour les modèles d’IA à usage général (article 101) | Art. 113 |
| 2 décembre 2026 | Nouvelles interdictions (contenus intimes non consentis, contenus pédocriminels) ; marquage des contenus de synthèse pour les systèmes mis sur le marché avant le 2 août 2026 | Art. 113, point a) ; art. 111, § 4 |
| 2 août 2027 | Conformité des modèles d’IA à usage général mis sur le marché avant le 2 août 2025 | Art. 111, § 3 |
| 2 décembre 2027 | Haut risque de l’annexe III (recrutement, éducation, crédit, etc.) | Art. 113, point c) i) |
| 2 août 2028 | Haut risque lié aux produits de l’annexe I | Art. 113, point c) ii) |
AI Act obligations : ce que doit faire dès maintenant une entreprise qui utilise l’IA générative
Une entreprise qui utilise l’IA générative pour rédiger, résumer, traduire ou programmer est en général déployeur. Ses obligations sont plus légères que pour le haut risque, mais elles existent déjà. Cinq chantiers couvrent l’essentiel.
1. Faire l’inventaire des usages
Recensez les outils d’IA utilisés, y compris ceux adoptés sans validation : qui les utilise, pour quoi, avec quelles données et quelles décisions ils influencent. Notez votre rôle et le niveau de risque, pour repérer tôt les usages de l’annexe III comme le recrutement.
2. Adopter une charte d’utilisation
La CNIL recommande, avant de déployer un système d’IA générative, une analyse des risques et une politique interne qui fixe les usages permis et interdits et les données à ne pas saisir. Associez le DPO et le RSSI, utilisez des comptes professionnels et désactivez si possible la réutilisation des données par le fournisseur.
3. Maîtrise de l’IA : l’article 4 après l’omnibus
Depuis l’omnibus, l’article 4 prévoit que fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » par leur personnel et les personnes qui utilisent les systèmes pour leur compte, en tenant compte de leurs connaissances, de leur expérience, de leur formation et du contexte d’utilisation. Le texte n’impose pas d’atteindre un niveau précis pour chaque individu, alors que l’ancienne rédaction visait « un niveau suffisant de maîtrise de l’IA ».
L’obligation est assouplie, pas supprimée. La maîtrise de l’IA désigne les compétences et la compréhension qui permettent d’utiliser l’IA en connaissance de cause, en mesurant ses possibilités et ses risques. La Commission doit publier des exemples pratiques. En pratique : sensibiliser le personnel concerné, adapter les contenus aux métiers et garder une trace des actions menées.
4. Respecter la transparence (article 50)
Depuis le 2 août 2026, les personnes qui dialoguent avec un chatbot doivent savoir qu’il s’agit d’une IA, sauf si c’est évident ; l’obligation pèse sur le fournisseur, rôle que vous occupez si vous faites développer un chatbot et le mettez en service sous votre nom. Les déployeurs doivent signaler les hypertrucages et les textes générés par IA publiés pour informer le public sur des questions d’intérêt public, sauf relecture humaine avec responsabilité éditoriale. L’information est donnée au plus tard à la première interaction.
5. Données personnelles : le RGPD et la CNIL
Le règlement IA ne remplace pas le RGPD, rappelle la CNIL : les deux s’appliquent ensemble. Vérifiez la base légale et l’information des personnes, évitez les données personnelles dans les outils non encadrés, encadrez sous-traitants et transferts hors de l’Union, et réalisez une analyse d’impact (AIPD) lorsque le traitement l’exige. Si vous connectez un modèle à vos propres bases, vous êtes responsable des données concernées. Pour les usages RH, lisez aussi notre article sur l’IA dans les ressources humaines.
AI Act formation : former vos équipes à la maîtrise de l’IA
La formation est souvent la mesure la plus structurante de l’article 4. Un bon parcours distingue les dirigeants, qui arbitrent les usages ; les fonctions support (RH, DSI, DPO, juridique), qui encadrent ; les utilisateurs, qui ont besoin de bons réflexes. Conservez programmes et feuilles de présence : ils documentent vos mesures.
AI2, école d’IA appliquée, propose des formations courtes pour les organisations : Dirigeant 5.0 : maîtriser l’IA générative pour les équipes de direction, AI Discovery pour découvrir l’IA et ses usages, et Cadre de santé augmenté pour le secteur sanitaire. Le catalogue des formations courtes présente l’ensemble de l’offre. Pour un déploiement à l’échelle de toute l’organisation, l’école AI2 propose aussi une formation d’acculturation à l’IA des salariés et des sessions intra-entreprise ; son guide pour former vos salariés à l’IA détaille l’inventaire des usages, le plan de formation et la traçabilité. AI2 est un organisme certifié Qualiopi (QUA008116) ; les sessions ont lieu au campus parisien d’Écouen ou à distance, avec une prise en charge possible via votre OPCO.
Une formation ne rend pas, à elle seule, une organisation « conforme » à l’AI Act : elle contribue aux mesures en faveur de la maîtrise de l’IA, aux côtés de l’inventaire des usages et de la charte.
AI Act haut risque : les usages listés à l’annexe III
Un système est à haut risque s’il est un composant de sécurité d’un produit de l’annexe I soumis à une évaluation par un tiers (ascenseurs, jouets, dispositifs médicaux, etc.), ou s’il relève d’un des huit domaines de l’annexe III :
- Biométrie : identification à distance, catégorisation selon des attributs sensibles, reconnaissance des émotions.
- Infrastructures critiques : composants de sécurité (trafic routier, réseaux numériques, eau, gaz, chauffage, électricité).
- Éducation et formation professionnelle : admission, évaluation des acquis, orientation, surveillance des examens.
- Emploi : diffusion ciblée d’offres, filtrage des candidatures, évaluation des candidats, promotion, licenciement, suivi des performances.
- Services essentiels : prestations sociales, solvabilité et note de crédit (hors détection de fraude), tarification de l’assurance vie et maladie, tri des appels d’urgence.
- Répression, dans la mesure où le droit l’autorise.
- Migration, asile et contrôle aux frontières, dans la mesure où le droit l’autorise.
- Administration de la justice et processus démocratiques.
L’exception de l’article 6, paragraphe 3
Un système de l’annexe III échappe au haut risque s’il ne présente pas de risque important, par exemple s’il accomplit une tâche procédurale étroite ou une tâche préparatoire. L’exception ne joue jamais en cas de profilage de personnes, et le fournisseur qui s’en prévaut doit documenter son évaluation.
Les obligations du déployeur d’un système à haut risque
À partir du 2 décembre 2027 pour l’annexe III, l’article 26 impose notamment au déployeur de :
- utiliser le système selon sa notice d’utilisation ;
- confier le contrôle humain à des personnes compétentes, formées et dotées de l’autorité nécessaire ;
- surveiller le fonctionnement et alerter le fournisseur en cas de risque ;
- conserver les journaux au moins six mois, sauf disposition contraire ;
- informer les représentants du personnel et les salariés avant un usage sur le lieu de travail ;
- informer les personnes visées par des décisions prises ou facilitées par le système.
Les organismes publics, les entités privées fournissant des services publics et les déployeurs de systèmes de crédit ou de tarification de l’assurance vie et maladie réalisent aussi une analyse d’impact sur les droits fondamentaux (article 27).
AI Act sanctions : les montants maximaux des amendes
L’article 99 fixe des plafonds d’amendes administratives. Pour une entreprise, le plafond retenu est le montant le plus élevé entre la somme fixe et le pourcentage du chiffre d’affaires annuel mondial de l’exercice précédent.
| Manquement | Plafond de l’amende | Base juridique |
|---|---|---|
| Pratiques interdites | 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial | Art. 99, § 3 |
| Obligations des opérateurs (fournisseurs, importateurs, distributeurs, déployeurs) et transparence (article 50) | 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial | Art. 99, § 4 |
| Informations inexactes, incomplètes ou trompeuses fournies aux autorités | 7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial | Art. 99, § 5 |
| Fournisseurs de modèles d’IA à usage général (amende infligée par la Commission) | 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial | Art. 101 |
Pour les PME, y compris les jeunes pousses, le plus faible des deux montants s’applique (article 99, § 6) ; l’omnibus a étendu cette règle aux petites entreprises à moyenne capitalisation pour les paragraphes 4 et 5. Les États membres fixent le régime des sanctions en tenant compte de la viabilité des PME. L’article 4 ne figure pas parmi les obligations assorties d’un plafond d’amende. En France, le projet de désignation des autorités nationales présenté en septembre 2025 confie la coordination à la DGCCRF et à la DGE et doit passer par une loi.
Plan d’action AI Act en 6 étapes
| Étape | Actions concrètes | Qui pilote | Échéance |
|---|---|---|---|
| 1. Cartographier | Inventaire des outils, données et décisions ; rôle pour chaque usage | DSI, métiers, DPO | Dès maintenant |
| 2. Écarter l’interdit | Vérifier qu’aucun usage ne relève de l’article 5 | Juridique, DPO | Depuis le 2 février 2025 (2 décembre 2026 pour les nouvelles interdictions) |
| 3. Encadrer | Charte, comptes professionnels, validation des nouveaux outils | Direction, DSI, DPO, RSSI | Dès maintenant |
| 4. Former | Parcours par profil, traces des actions | RH, responsables formation | Dès maintenant, puis en continu |
| 5. Informer | Mention sur les chatbots, signalement des hypertrucages | Communication, DSI | Depuis le 2 août 2026 |
| 6. Préparer le haut risque | Repérer les usages de l’annexe III, documentation des fournisseurs, contrôle humain, information du CSE, AIPD | RH, achats, DPO, juridique | Avant le 2 décembre 2027 |
FAQ sur l’AI Act
Qu’est-ce que l’AI Act ?
L’AI Act est le règlement (UE) 2024/1689, le règlement européen sur l’intelligence artificielle, entré en vigueur le 1er août 2024. Il classe les usages de l’IA par niveau de risque et fixe des obligations aux fournisseurs, déployeurs, importateurs et distributeurs.
L’AI Act concerne-t-il une PME qui utilise seulement un assistant d’IA générative ?
Oui. Elle est déployeur : elle doit prendre des mesures pour favoriser la maîtrise de l’IA de son personnel (article 4), respecter la transparence qui la concerne et appliquer le RGPD. Ses obligations augmentent si l’outil sert un usage à haut risque, comme le tri de candidatures.
Que change l’omnibus numérique de 2026 pour l’AI Act ?
Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a réécrit l’article 4, reporté le haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I), ajouté des interdictions à partir du 2 décembre 2026 et étendu des allègements aux PME et petites entreprises à moyenne capitalisation.
Quel est le calendrier de l’AI Act en 2026 et 2027 ?
Transparence depuis le 2 août 2026 ; nouvelles interdictions le 2 décembre 2026 ; conformité des modèles d’IA à usage général déjà sur le marché le 2 août 2027 ; haut risque de l’annexe III le 2 décembre 2027.
La formation à l’IA est-elle obligatoire avec l’article 4 ?
L’article 4 n’impose ni formation précise ni niveau individuel. Il oblige fournisseurs et déployeurs à prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel, selon les profils et le contexte. La formation est l’une des mesures les plus courantes.
Quels usages de l’IA sont à haut risque ?
L’annexe III vise la biométrie, les infrastructures critiques, l’éducation, l’emploi (dont le recrutement), les services essentiels (dont le crédit et l’assurance vie et maladie), la répression, la migration et la justice. S’y ajoutent les composants de sécurité de produits réglementés (annexe I).
Quelles sont les sanctions prévues par l’AI Act ?
Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, 15 millions ou 3 % pour la plupart des autres obligations, 7,5 millions ou 1 % pour des informations inexactes. Le montant le plus élevé est retenu, le plus faible pour les PME.
Comment l’AI Act s’articule-t-il avec le RGPD ?
Les deux textes s’appliquent ensemble : le règlement IA ne remplace pas le RGPD, rappelle la CNIL. Dès que des données personnelles sont traitées, il faut une base légale, l’information des personnes et, si nécessaire, une analyse d’impact (AIPD).
Sources consultées en octobre 2026 : Règlement (UE) 2024/1689, EUR-Lex ; Règlement (UE) 2026/1744 (omnibus numérique sur l’IA), EUR-Lex ; Commission européenne, cadre réglementaire sur l’IA ; CNIL, questions-réponses sur le règlement IA ; CNIL, utilisation d’un système d’IA générative ; DGE et DGCCRF, projet de désignation des autorités nationales. Cet article est fourni à titre d’information et ne constitue pas un conseil juridique.
Formations courtes pour dirigeants, managers et utilisateurs, à Écouen ou à distance.
Former vos équipes à l’IA Recruter un stagiaire ou un alternant