Mis à jour le 25 octobre 2026 : calendrier corrigé après l'Omnibus numérique sur l'IA (règlement (UE) 2026/1744).
Le compte à rebours a commencé
Le 12 juillet 2024, l'Union européenne a publié au Journal officiel le règlement (UE) 2024/1689, plus connu sous le nom d'AI Act. C'est la première réglementation au monde à encadrer l'intelligence artificielle de manière globale et contraignante.
Depuis le 2 février 2025, les premières exigences s'appliquent : pratiques interdites et maîtrise de l'IA. Depuis le 2 août 2026, la plupart des autres règles s'appliquent aussi, dont la transparence. Les obligations des systèmes à risque élevé ont en revanche été reportées par l'Omnibus numérique sur l'IA : elles s'appliqueront le 2 décembre 2027, et le 2 août 2028 pour l'IA intégrée à des produits réglementés.
Si votre entreprise utilise des outils d'IA, déploie des chatbots, recrute via des algorithmes ou exploite des modèles génératifs : ce règlement vous concerne. Directement.
Les 4 niveaux de risque : où se situe votre entreprise ?
L'AI Act classe tous les systèmes d'IA en 4 catégories selon leur niveau de risque pour les droits fondamentaux et la sécurité.
Risque inacceptable : interdit
Ces systèmes sont purement et simplement interdits sur le territoire de l'UE. Exemples :
- Systèmes de notation sociale des citoyens (comme en Chine)
- Reconnaissance faciale en temps réel dans les espaces publics (sauf exceptions de sécurité nationale)
- Systèmes de manipulation comportementale ciblant les vulnérabilités des personnes
- Identification biométrique à distance sans consentement éclairé
Risque élevé : obligations strictes
Ces systèmes sont autorisés, mais soumis à des exigences de conformité lourdes avant tout déploiement. Sont concernés :
- Les outils de présélection de candidats (RH)
- Les systèmes d'évaluation des apprenants dans l'éducation
- Les outils d'aide à la décision en matière de crédit, d'assurance ou de prestations sociales
- Les systèmes utilisés dans les infrastructures critiques (énergie, transport, eau)
- L'IA utilisée dans le contrôle des frontières et la gestion des migrations
Pour ces systèmes, les fournisseurs doivent mettre en place : un système de gestion des risques (article 9), une documentation technique détaillée (article 11), une supervision humaine effective (article 14), et enregistrer leur système dans la base de données de l'UE (article 49). Ces obligations s'appliqueront à partir du 2 décembre 2027 pour les systèmes listés ci-dessus (annexe III), et à partir du 2 août 2028 pour les systèmes intégrés à des produits réglementés (annexe I).
Risque limité : obligations de transparence
Les chatbots, assistants IA et systèmes générant des deepfakes entrent dans cette catégorie. L'obligation principale : informer l'utilisateur qu'il interagit avec une IA (article 50), une règle applicable depuis le 2 août 2026. Pas question de se faire passer pour un humain sans consentement.
Risque minimal : largement exempté
La grande majorité des usages courants (filtres anti-spam, recommandations de contenu, outils de traduction basiques, jeux vidéo) relève de cette catégorie et reste largement libre de contraintes spécifiques.
Le calendrier : les dates à ne pas rater
Voici le calendrier en vigueur au 25 octobre 2026, après l'Omnibus numérique sur l'IA :
- 12 juillet 2024 : publication du règlement au Journal officiel de l'UE, entrée en vigueur le 1er août 2024
- 2 février 2025 : application des interdictions (systèmes à risque inacceptable) et de l'obligation de maîtrise de l'IA (article 4)
- 2 août 2025 : règles sur les modèles d'IA à usage général (GPAI), gouvernance et régime des sanctions
- 27 juillet 2026 : entrée en vigueur de l'Omnibus numérique sur l'IA (règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026), qui reporte les échéances du risque élevé
- 2 août 2026 : application générale du règlement, dont les règles de transparence (article 50) et les pouvoirs de contrôle des autorités
- 2 décembre 2026 : marquage des contenus générés par l'IA (article 50, paragraphe 2) pour les systèmes déjà sur le marché avant le 2 août 2026, et nouvelles interdictions (contenus intimes non consentis, contenus pédocriminels)
- 2 décembre 2027 : conformité requise pour les systèmes à risque élevé de l'annexe III (recrutement, éducation, crédit, infrastructures critiques…)
- 2 août 2028 : conformité requise pour les systèmes à risque élevé intégrés à des produits réglementés (annexe I)
Les amendes : des montants dissuasifs
L'article 99 du règlement prévoit un barème d'amendes à trois niveaux :
- Jusqu'à 35 millions d'euros ou 7 % du CA mondial annuel pour violation des pratiques interdites
- Jusqu'à 15 millions d'euros ou 3 % du CA pour toute autre infraction au règlement
- Jusqu'à 7,5 millions d'euros ou 1 % du CA pour fourniture d'informations inexactes ou trompeuses aux autorités
Pour les petites et moyennes entreprises et les startups, c'est le plus bas des deux plafonds qui s'applique. Mais l'impact réputationnel d'un manquement peut être tout aussi dévastateur que l'amende elle-même.
Ce que votre entreprise doit faire dès maintenant
Quelle que soit la taille de votre structure, l'article 4 vous demande, depuis le 2 février 2025, de prendre des mesures pour développer la maîtrise de l'IA de vos collaborateurs et des personnes qui utilisent l'IA pour votre compte. L'Omnibus numérique a reformulé cette obligation sans la supprimer : elle n'impose pas de garantir un niveau précis pour chaque personne. Concrètement :
- Identifier tous les systèmes d'IA utilisés dans votre entreprise et les classifier selon le niveau de risque
- Former vos équipes aux obligations de transparence (savoir quand et comment informer les utilisateurs)
- Mettre en place une documentation de conformité pour les systèmes à risque élevé
- Désigner un référent IA interne ou faire appel à un expert externe
- Vérifier les conditions d'utilisation de vos outils IA tiers (ChatGPT, Gemini, Claude...) : la responsabilité du déployeur reste engagée
Un point souvent sous-estimé : en tant que déployeur (entreprise qui utilise un système d'IA développé par un tiers), vous avez des obligations propres, distinctes de celles du fournisseur. Vous ne pouvez pas simplement vous retrancher derrière les CGU d'un outil. Pour un premier état des lieux, le diagnostic IA de Node it consacre l'un de ses quatre axes aux compétences et aux règles d'usage en place.
Besoin d'un accompagnement concret ?
Comprendre le AI Act dans les textes, c'est une chose. L'appliquer à votre contexte spécifique, à vos outils, à vos processus métier, c'en est une autre.
Node it propose une formation animée par Fanny Adoue, avocate spécialisée en droit du numérique, IA et RGPD. L'objectif : sortir de la formation avec une cartographie claire de vos risques, les bons réflexes juridiques, et un plan d'action opérationnel pour votre mise en conformité. Le programme est détaillé sur la page de notre formation AI Act en entreprise.
Formation finançable par votre OPCO, sur demande.
