AI Act : 7 obligations immédiates et 2 échéances cruciales pour 2027

Depuis le 2 août 2026, l’AI Act n’est plus une perspective lointaine mais une réalité contraignante. Entre les obligations déjà actives et celles reportées à 2027, les entreprises naviguent dans un brouillard réglementaire. Pourtant, l’urgence est réelle : sanctions jusqu’à 35 millions d’euros, responsabilité accrue des dirigeants, et une course contre la montre pour cartographier, documenter et sécuriser tous les systèmes d’IA.

Le piège du report : ce qui s’applique vraiment

Une idée fausse circule depuis juillet 2026 dans les directions juridiques : « l’AI Act a été reporté ». Cette confusion, née du vote du Digital Omnibus, coûte déjà des mois de retard à de nombreuses organisations. La réalité est plus nuancée et plus urgente.

Le règlement (UE) 2026/1744, publié le 24 juillet et entré en vigueur trois jours plus tard, a effectivement repoussé les obligations pesant sur les systèmes à haut risque — ces IA utilisées dans le recrutement, l’octroi de crédit, ou la gestion des infrastructures critiques. Ces exigences lourdes (documentation technique exhaustive, tests de conformité, certification) glissent du 2 août 2026 au 2 décembre 2027.

Mais selon plusieurs sources juridiques spécialisées, dont le cabinet Atheïa et le groupement Milestone, le Digital Omnibus n’a touché ni aux interdictions, ni aux obligations de transparence, ni aux exigences de formation entrées en application le 2 août 2026. Ces règles concernent précisément la majorité des entreprises — y compris celles qui n’exploitent aucun système à haut risque.

Les 7 règles déjà en vigueur : votre checklist de conformité

1. Interdire les pratiques prohibées

Depuis février 2025, neuf catégories de systèmes d’IA sont formellement interdites sur le territoire européen. Cela inclut la manipulation comportementale préjudiciable, l’exploitation des vulnérabilités (personnes âgées, handicapées), le scoring social à la chinoise, et la reconnaissance faciale en temps réel dans l’espace public (sauf exceptions strictes pour les forces de l’ordre).

Action concrète : Auditer tous vos systèmes actuels pour vérifier qu’aucun ne tombe dans ces catégories. Une simple fonctionnalité de ciblage publicitaire exploitant les vulnérabilités psychologiques peut suffire à basculer dans l’interdit.

2. Former les équipes à la littératie IA

Depuis février 2025 également, fournisseurs et déployeurs doivent garantir que le personnel utilisant ou supervisant l’IA dispose d’une compréhension suffisante des risques, limites et usages appropriés. Selon le Journal du Net, cette obligation s’étend désormais aux managers et décideurs, pas seulement aux équipes techniques.

Action concrète : Déployer des modules de formation adaptés par fonction — les RH doivent comprendre les biais de recrutement, les commerciaux les limites des recommandations automatiques, les dirigeants leur responsabilité juridique.

3. Informer les utilisateurs face à une IA

Depuis le 2 août 2026, toute personne interagissant avec un système d’IA doit en être clairement informée — sauf si c’est évident dans le contexte. Les chatbots de service client, assistants vocaux et systèmes de recommandation doivent afficher leur nature artificielle.

D’après une étude Hostinger citée par le cabinet ARST Avocats, 92% des Français souhaitent être informés lorsqu’ils échangent avec une IA. Cette obligation répond donc à une attente sociétale forte.

Action concrète : Ajouter des mentions claires (« Vous conversez avec un assistant IA ») sur tous les points de contact automatisés. Vérifier que vos fournisseurs SaaS le font également.

4. Marquer les contenus synthétiques

Les contenus générés ou manipulés par IA (textes, images, vidéos, audio) doivent être identifiés comme tels via un marquage technique (watermarking) et une mention visible. L’objectif : lutter contre la désinformation et les deepfakes.

Toutefois, comme le souligne Atlantico, l’absence de standards techniques unifiés avant 2027 crée une zone grise. Chaque plateforme développe ses propres méthodes de tatouage numérique, sans garantie d’interopérabilité.

Action concrète : Pour les contenus déjà en circulation, vous avez jusqu’au 2 décembre 2026 pour les marquer rétroactivement. Pour les nouveaux contenus, le marquage est immédiat.

5. Signaler les deepfakes et contenus trompeurs

Au-delà du simple marquage, les contenus synthétiques utilisés à des fins d’information publique (actualités, communication politique) nécessitent un signalement renforcé et explicite. La mention doit être impossible à manquer.

Action concrète : Si votre entreprise produit du contenu éditorial ou institutionnel assisté par IA, mettre en place une charte de transparence stricte et des processus de validation humaine.

6. Cartographier et classifier vos systèmes d’IA

Avant toute mise en conformité, vous devez savoir où se trouve l’IA dans votre organisation. Cet inventaire exhaustif doit classifier chaque système selon les quatre niveaux de risque de l’AI Act : inacceptable, élevé, limité, minimal.

Selon le cabinet Leto Legal, cette cartographie révèle souvent des surprises : des algorithmes de tri considérés comme « simples » peuvent être qualifiés à haut risque selon leur usage (un algorithme de tri de CV devient un système RH à haut risque).

Action concrète : Lancer un audit IA transversal impliquant IT, juridique, RH, achats et métiers. Documenter chaque système : finalité, données utilisées, décisions produites, niveau d’automatisation.

7. Préparer la documentation technique

Même si les obligations lourdes sur les systèmes à haut risque sont reportées à 2027, la préparation documentaire doit commencer maintenant. Pour tout système à haut risque identifié, vous devrez produire : description technique détaillée, datasets d’entraînement, métriques de performance, analyses de biais, procédures de surveillance continue.

Selon Prakash Infotech, le délai de 16 mois offert par le Digital Omnibus semble généreux, mais la complexité technique de cette documentation nécessite souvent 12 à 18 mois de travail pour les systèmes complexes.

Action concrète : Pour chaque système à haut risque identifié, constituer dès maintenant un dossier technique progressif. Ne pas attendre décembre 2027 pour commencer.

Les 2 échéances cruciales à anticiper

Décembre 2027 : les systèmes à haut risque

Le 2 décembre 2027 marque l’entrée en application complète des obligations pour les systèmes d’IA à haut risque listés à l’annexe III du règlement. Cela concerne notamment :

• RH et recrutement : Tout système automatisant le tri de CV, l’évaluation de candidats, ou la gestion de carrière
• Crédit et assurance : Algorithmes d’évaluation de solvabilité, de tarification d’assurance, ou de détection de fraude
• Éducation : Systèmes d’évaluation automatisée, d’orientation scolaire, ou de surveillance d’examens
• Infrastructures critiques : IA gérant eau, électricité, transports, réseaux numériques
• Justice et migration : Aide à la décision judiciaire, évaluation des demandes d’asile, gestion des frontières

Pour ces systèmes, les exigences sont drastiques : évaluation de conformité obligatoire, documentation technique exhaustive, tests de robustesse et de cybersécurité, surveillance continue post-déploiement, et enregistrement dans une base de données européenne.

Selon MRM Distribution, cette échéance nécessite une préparation immédiate car « l’IA ne doit plus simplement être puissante, elle doit être démontrablement contrôlée, traçable et sécurisée ».

Août 2028 : les modèles d’IA à usage général

La seconde échéance majeure concerne les modèles d’IA à usage général (GPAI – General Purpose AI), comme les grands modèles de langage (GPT-4, Claude, Gemini). Ces systèmes, conçus pour accomplir une large gamme de tâches, font l’objet d’obligations spécifiques qui entrent en vigueur progressivement jusqu’en août 2028.

Les fournisseurs de GPAI devront notamment documenter les datasets d’entraînement, respecter le droit d’auteur européen, évaluer les risques systémiques pour les modèles les plus puissants, et coopérer avec les autorités de supervision.

Comme le note Davydov Consulting, l’AI Office européen a déjà commencé à exercer ses pouvoirs d’enquête : le 29 août 2026, des demandes formelles d’information ont été envoyées à OpenAI, Anthropic, Google et plusieurs autres acteurs majeurs. L’ère de l’application concrète a commencé.

Qui est réellement concerné ?

Une confusion fréquente : « L’AI Act ne concerne que les développeurs d’IA ». Faux. Le règlement définit plusieurs rôles avec des responsabilités distinctes :

• Fournisseur : Développe ou fait développer un système d’IA pour le commercialiser. Responsabilités maximales.
• Déployeur : Utilise un système d’IA sous sa propre autorité, même acheté clé en main. Responsabilités partagées avec le fournisseur.
• Importateur : Met sur le marché européen un système d’IA développé hors UE. Assume les obligations du fournisseur.
• Distributeur : Commercialise un système d’IA sans le modifier. Obligations de vigilance.

Selon le guide de Milestone, « contrairement à une croyance répandue, l’AI Act ne concerne pas uniquement les fabricants de modèles d’IA. Il s’applique à toute entreprise qui déploie l’IA dans ses processus — même une IA achetée sur étagère ».

Exemple concret : une PME française utilisant un logiciel RH américain intégrant de l’IA pour trier les CV est juridiquement déployeur au sens de l’AI Act. Elle partage la responsabilité de conformité avec le fournisseur américain et peut être sanctionnée en cas de discrimination algorithmique, même si elle n’a jamais développé la moindre ligne de code.

Le régime de sanctions : jusqu’à 7% du chiffre d’affaires

L’AI Act prévoit un système de sanctions à trois niveaux, calqué sur le RGPD mais avec des montants encore plus dissuasifs :

• Niveau 1 (pratiques interdites) : Jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu
• Niveau 2 (non-conformité systèmes à haut risque) : Jusqu’à 15 millions d’euros ou 3% du CA mondial
• Niveau 3 (obligations de transparence) : Jusqu’à 7,5 millions d’euros ou 1,5% du CA mondial

Selon Squair Law, ces sanctions sont applicables depuis le 2 août 2026 pour les obligations déjà en vigueur. Les autorités nationales (en France, la CNIL en coordination avec d’autres régulateurs sectoriels) peuvent désormais enquêter, ordonner des mesures correctives, et infliger des amendes.

Première leçon du terrain : les régulateurs privilégient pour l’instant une approche pédagogique, avec des mises en demeure avant sanction. Mais cette période de grâce ne durera pas. Les premières amendes exemplaires sont attendues pour 2027, ciblant probablement des acteurs majeurs pour créer un effet dissuasif.

Stratégie de conformité : par où commencer ?

Face à cette complexité, plusieurs cabinets spécialisés recommandent une approche par phases :

Phase 1 : Diagnostic (2-4 semaines)

• Cartographier tous les systèmes d’IA (internes, SaaS, API tierces)
• Identifier les rôles juridiques (fournisseur, déployeur, importateur)
• Classifier chaque système selon le niveau de risque
• Vérifier l’absence de pratiques interdites

Phase 2 : Quick wins (1-3 mois)

• Déployer les mentions de transparence (chatbots, contenus synthétiques)
• Lancer les formations à la littératie IA
• Réviser les contrats fournisseurs pour clarifier les responsabilités
• Nommer un responsable de la conformité IA

Phase 3 : Chantiers structurants (6-18 mois)

• Constituer la documentation technique des systèmes à haut risque
• Mettre en place des procédures de surveillance continue
• Développer ou acquérir des outils d’explicabilité (XAI)
• Préparer les évaluations de conformité et certifications

Le cabinet Atheïa insiste sur un point crucial : « Ne pas attendre décembre 2027 pour commencer. La documentation d’un système complexe prend 12 à 18 mois, surtout si vous devez reconstituer l’historique de données d’entraînement ou auditer des biais déjà présents. »

Les opportunités cachées de l’AI Act

Au-delà de la contrainte réglementaire, plusieurs analystes identifient des opportunités stratégiques souvent négligées :

Avantage concurrentiel : Les entreprises qui anticipent la conformité peuvent en faire un argument commercial différenciant. Dans les appels d’offres B2B, la certification « AI Act compliant » deviendra rapidement un critère de sélection, voire un prérequis.

Amélioration de la qualité : Les exigences de documentation, tests et surveillance continue forcent à adopter de meilleures pratiques d’ingénierie IA. Plusieurs DSI témoignent que la préparation à l’AI Act a révélé des failles de sécurité et des biais qu’ils ignoraient.

Confiance utilisateur : Dans un contexte de méfiance croissante envers l’IA (deepfakes, hallucinations, discriminations), la transparence imposée par le règlement peut restaurer la confiance et augmenter l’adoption.

Export du standard européen : Comme le RGPD est devenu la référence mondiale en protection des données, l’AI Act pourrait définir le standard international de l’IA éthique. Les entreprises européennes conformes auraient alors un avantage sur les marchés tiers (Canada, Brésil, Australie) qui adoptent des cadres similaires.

Les zones grises qui persistent

Malgré 180 pages de règlement, plusieurs questions restent sans réponse claire :

Définition extensive de l’IA : L’article 3 du règlement définit un système d’IA de manière très large. Un algorithme de tri simple, une régression linéaire, voire une macro Excel sophistiquée peuvent-ils être considérés comme IA ? Les lignes directrices de la Commission attendues pour fin 2026 devront trancher.

IA en évolution continue : Comment documenter et certifier un système d’apprentissage continu qui évolue après son déploiement ? La notion de « version figée » du modèle entre en tension avec les pratiques modernes de MLOps et d’amélioration continue.

Responsabilité partagée : Quand un système d’IA à haut risque est développé par un fournisseur A, intégré dans une plateforme par un fournisseur B, et déployé par une entreprise C, qui porte quelle part de responsabilité en cas de discrimination ? Les contentieux à venir clarifieront cette chaîne de responsabilité.

Open source et recherche : Les modèles d’IA open source bénéficient de certaines exemptions, mais jusqu’où ? Un modèle libre utilisé dans un contexte commercial perd-il cette exemption ? La recherche académique est-elle totalement exclue du champ ?

Comme le souligne le professeur Vera Lúcia Raposo sur Verfassungsblog, « l’AI Act souffre de surréglementation des systèmes à haut risque et de sous-réglementation des zones grises. Le Digital Omnibus a partiellement corrigé le premier problème, mais aggravé le second en créant de nouvelles ambiguïtés. »

Prochaines étapes : votre plan d’action

Si vous deviez ne retenir que cinq actions pour les 90 prochains jours :

1. Auditer maintenant : Lancez la cartographie exhaustive de vos systèmes d’IA, même les plus anodins. Vous ne pouvez pas vous conformer à ce que vous ne connaissez pas.
2. Former largement : Au-delà des équipes tech, sensibilisez managers, RH, juridique et direction. La conformité IA est transversale.
3. Sécuriser les contrats : Revoyez vos accords avec les fournisseurs d’IA pour clarifier qui fait quoi en matière de conformité. Les clauses standard ne suffisent plus.
4. Prioriser les risques : Concentrez vos efforts sur les systèmes à haut risque et les pratiques potentiellement interdites. Les chatbots de support peuvent attendre.
5. Documenter progressivement : Ne cherchez pas la perfection immédiate. Constituez un dossier technique évolutif pour chaque système critique, que vous enrichirez jusqu’en 2027.

L’AI Act n’est pas qu’une contrainte administrative supplémentaire. C’est une refonte profonde de la manière dont nous concevons, déployons et supervisons l’intelligence artificielle. Les entreprises qui le voient comme une opportunité de transformation — amélioration de la qualité, renforcement de la confiance, différenciation concurrentielle — en sortiront renforcées. Les autres paieront, littéralement, le prix de l’attentisme.