AI Act européen : ce que les entreprises françaises doivent savoir en 2026

Article publié le 20 mars 2026 et entièrement révisé le 5 octobre 2026 : le calendrier des obligations « haut risque » a changé depuis sa première version. Ce guide est une information générale, pas un conseil juridique.

L’AI Act, ou règlement (UE) 2024/1689 sur l’intelligence artificielle, s’applique par étapes depuis le 1er août 2024. En octobre 2026 sont notamment applicables la maîtrise de l’IA, les pratiques interdites, les règles des modèles d’IA à usage général et les obligations de transparence. Les obligations des systèmes à haut risque ont été reportées au 2 décembre 2027 ou au 2 août 2028 par le règlement (UE) 2026/1744, dit « omnibus numérique sur l’IA ».

Les faits juridiques renvoient aux textes officiels cités ; les conseils de méthode relèvent de l’analyse de KADRI AI.

Qu’est-ce que l’AI Act ?

L’AI Act est le règlement européen qui encadre les systèmes d’IA selon le niveau de risque de leur usage. La Commission européenne le présente comme le premier cadre juridique complet sur l’IA au monde (présentation de l’AI Act). Selon la CNIL, il a été publié au Journal officiel de l’Union européenne le 12 juillet 2024 ; il ne remplace pas le RGPD, il le complète (questions-réponses de la CNIL).

Le texte a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le troisième jour suivant sa publication. Cet omnibus reporte les échéances du haut risque, ajoute deux interdictions et prévoit des aménagements pour les PME et les petites entreprises de taille intermédiaire, par exemple une documentation technique simplifiée. Source : règlement (UE) 2026/1744 sur EUR-Lex.

Fournisseur ou déployeur : quel est votre rôle ?

Vos obligations dépendent d’abord de votre rôle. Selon l’article 3, le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque. Le déployeur utilise un système d’IA sous sa propre autorité, en dehors d’une activité personnelle non professionnelle.

Beaucoup de PME sont déployeuses d’outils fournis par un éditeur. Mais selon l’article 25, un tiers devient fournisseur d’un système à haut risque s’il y appose son nom ou sa marque, s’il y apporte une modification substantielle, ou s’il modifie la destination d’un système de sorte qu’il devienne à haut risque. Notre conseil : notez ce rôle pour chaque outil, surtout lorsqu’un prestataire développe un outil diffusé sous votre nom.

Les quatre niveaux de risque

La Commission distingue le risque inacceptable, le haut risque, le risque lié à la transparence et le risque minimal ou nul.

Risque inacceptable : les pratiques interdites

L’article 5 interdit notamment les techniques manipulatrices ou trompeuses, l’exploitation des vulnérabilités, la notation sociale, la reconnaissance des émotions au travail et à l’école (sauf raisons médicales ou de sécurité), le moissonnage non ciblé d’images pour la reconnaissance faciale et, sauf exceptions encadrées, l’identification biométrique à distance « en temps réel » à des fins répressives. Ces interdictions s’appliquent depuis le 2 février 2025. L’omnibus ajoute, à partir du 2 décembre 2026, l’interdiction des systèmes qui génèrent des contenus intimes réalistes d’une personne identifiable sans son consentement explicite, ou des contenus pédocriminels.

Haut risque : l’annexe III et les produits réglementés

L’annexe III couvre huit domaines, dont la biométrie, les infrastructures critiques, l’éducation, l’emploi et l’accès aux services essentiels. Sont notamment à haut risque les systèmes destinés :

• au recrutement, dont le filtrage des candidatures, et aux décisions de promotion ou de licenciement ;
• à l’évaluation de la solvabilité des personnes physiques, sauf détection de la fraude financière ;
• à l’évaluation des risques et à la tarification en assurance vie et santé.

L’article 6 prévoit une dérogation : un système de l’annexe III n’est pas à haut risque s’il ne présente pas de risque important, par exemple lorsqu’il accomplit une tâche procédurale étroite ou une tâche préparatoire. Cette dérogation ne vaut jamais pour un système qui effectue un profilage de personnes physiques. Source : article 6.

Un outil qui filtre des candidatures figure expressément à l’annexe III. Dans notre lecture, un chatbot qui aide un client à remplir un formulaire n’en relève en principe pas ; chaque cas doit être documenté.

Risque de transparence : chatbots et contenus générés

Depuis le 2 août 2026, l’article 50 prévoit que :

• le fournisseur d’un système qui interagit avec des personnes les informe qu’elles échangent avec une IA, sauf si c’est évident ;
• le fournisseur d’un système génératif marque les contenus produits dans un format lisible par machine ;
• le déployeur signale les hypertrucages qu’il publie, ainsi que les textes générés publiés pour informer le public, sauf relecture humaine sous responsabilité éditoriale.

Source : article 50. Pour les systèmes génératifs mis sur le marché avant le 2 août 2026, l’omnibus laisse jusqu’au 2 décembre 2026 pour le marquage des contenus (article 111).

Risque minimal

Pour l’IA à risque minimal ou nul, comme les filtres anti-spam et les jeux vidéo utilisant l’IA cités en exemple par la Commission, l’AI Act n’introduit pas de règles. Les obligations générales, comme la maîtrise de l’IA, restent à vérifier.

Le calendrier d’application après l’omnibus

• 2 février 2025 : dispositions générales, dont la maîtrise de l’IA, et pratiques interdites.
• 2 août 2025 : règles des modèles d’IA à usage général et mise en place de la gouvernance.
• 2 août 2026 : transparence (article 50) et début des contrôles sur les règles déjà applicables.
• 2 décembre 2026 : nouvelles interdictions et fin du délai de marquage pour les systèmes génératifs déjà sur le marché.
• 2 décembre 2027 : systèmes à haut risque de l’annexe III.
• 2 août 2028 : systèmes à haut risque intégrés à des produits réglementés (annexe I).

Source : calendrier de mise en œuvre, Commission européenne

Vos obligations concrètes selon votre situation

Toute entreprise qui utilise de l’IA

• Maîtrise de l’IA : dans sa version modifiée par l’omnibus, l’article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour soutenir la maîtrise de l’IA de leur personnel ; la Commission et les États membres doivent les y aider, en particulier les PME.
• Transparence : vérifiez que vos chatbots, agents vocaux et contenus publiés respectent l’article 50.
• Données personnelles : le RGPD continue de s’appliquer.

Si vous déployez un système à haut risque

À partir du 2 décembre 2027 (annexe III) ou du 2 août 2028 (annexe I), l’article 26 vous demandera notamment de :

• utiliser le système conformément à sa notice et surveiller son fonctionnement ;
• confier la supervision humaine à des personnes disposant de la compétence, de la formation et de l’autorité nécessaires ;
• veiller à la pertinence des données d’entrée que vous maîtrisez ;
• conserver les journaux générés automatiquement, dans la mesure où vous les contrôlez, pendant au moins six mois, sauf autre règle applicable (article 26) ;
• informer les représentants du personnel et les salariés concernés avant une utilisation sur le lieu de travail ;
• informer les personnes concernées par des décisions prises ou assistées par le système.

Si vous fournissez un système à haut risque

L’article 16 impose notamment un système de gestion de la qualité, une documentation, une évaluation de la conformité avant la mise sur le marché, une déclaration UE de conformité, le marquage CE et l’enregistrement prévu à l’article 49.

Les sanctions prévues

L’article 99 fixe des plafonds d’amendes administratives :

• jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites ;
• jusqu’à 15 millions d’euros ou 3 % pour les obligations des opérateurs, dont celles des articles 16, 26 et 50 ;
• jusqu’à 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales compétentes.

Pour une entreprise, le plafond retenu est le plus élevé des deux montants ; pour les PME, y compris les jeunes pousses, le plus faible. L’omnibus étend ce plafonnement aux petites entreprises de taille intermédiaire pour les deux dernières catégories. Ce sont des plafonds. Source : article 99.

Comment se préparer : cinq étapes

1. Inventorier les systèmes d’IA utilisés, y compris les fonctions IA intégrées à vos logiciels et les outils déjà en service : l’article 111 prévoit pour eux des règles transitoires, pas une exemption générale.
2. Qualifier votre rôle pour chacun : fournisseur, déployeur, ou les deux.
3. Classer chaque usage (interdit, annexe III, transparence ou minimal) en documentant le raisonnement.
4. Traiter dès maintenant la transparence et la formation des équipes, déjà applicables.
5. Planifier les éventuels systèmes à haut risque avant décembre 2027.

Cette méthode guide notre accompagnement en sécurité et conformité IA et en gouvernance de l’IA. Lisez aussi nos guides sur l’agent vocal IA et la cybersécurité face à l’IA, ou demandez un audit de votre projet.

Questions fréquentes

Mon chatbot est-il concerné par l’AI Act ?

Oui, au titre de la transparence. Depuis le 2 août 2026, les personnes doivent savoir qu’elles échangent avec une IA, sauf si c’est évident. Si le chatbot sert à trier des candidats ou à évaluer la solvabilité de personnes, il peut relever du haut risque.

Les obligations « haut risque » s’appliquent-elles dès 2026 ?

Non. Le règlement (UE) 2026/1744 les a reportées au 2 décembre 2027 pour les systèmes de l’annexe III et au 2 août 2028 pour ceux intégrés à des produits réglementés.

Quelles sont les sanctions prévues par l’AI Act ?

Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, 15 millions ou 3 % pour les obligations des opérateurs, et 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. Pour les PME, le plus faible des deux montants s’applique.

Textes officiels consultés le 5 octobre 2026. Les lignes directrices de la Commission et les autorités françaises peuvent préciser ces règles : vérifiez leur état avant toute décision.