AI Act : ce qui s'applique vraiment depuis août 2026, et ce qui a été repoussé

Le règlement distingue plusieurs rôles, et c'est la clé pour comprendre vos obligations. Le fournisseur développe un système d'IA et le met sur le marché : Microsoft, OpenAI ou Google, par exemple. Le déployeur utilise un système d'IA dans son activité professionnelle : c'est votre cas dès que vos équipes se servent de Copilot, d'un agent conversationnel ou d'un outil d'IA métier. La très grande majorité des PME sont des déployeurs, et leurs obligations sont nettement plus légères. Attention toutefois : si vous modifiez fortement un système, si vous le commercialisez sous votre marque ou si vous en changez la finalité, vous pouvez basculer dans le rôle de fournisseur.

Le règlement classe les usages selon leur risque. Les pratiques à risque inacceptable sont interdites, comme la notation sociale, la manipulation subliminale ou certaines formes de reconnaissance des émotions au travail. Les systèmes à haut risque portent les obligations les plus lourdes : ils couvrent notamment l'IA utilisée pour recruter, sélectionner des candidats, évaluer ou promouvoir des salariés, ou pour accorder un crédit. Les systèmes à risque limité, comme les agents conversationnels et la génération de contenus, relèvent des obligations de transparence. Le risque minimal, enfin, couvre l'essentiel des usages bureautiques et n'impose pas d'obligation particulière. Résumer une réunion ou rédiger un e-mail avec Copilot relève du risque minimal ; trier des CV avec une IA fait basculer dans le haut risque.

Le calendrier initial faisait du 2 août 2026 la date d'application des obligations pesant sur les systèmes d'IA à haut risque. Le paquet dit Digital Omnibus a modifié cette échéance : les obligations des systèmes autonomes listés à l'annexe III, qui couvrent notamment le tri de candidatures, l'admission scolaire, l'évaluation de solvabilité ou la gestion migratoire, s'appliqueront le 2 décembre 2027. Celles des systèmes d'IA intégrés à des produits déjà réglementés, comme les dispositifs médicaux, les jouets ou les machines, sont fixées au 2 août 2028. Le report a été justifié par le retard des normes techniques harmonisées et des lignes directrices de la Commission, sans lesquelles les entreprises n'avaient pas de référentiel opposable pour se mettre en conformité.

C'est le point que beaucoup d'entreprises ont manqué. Depuis août 2026, un site, un service client ou une administration qui utilise un agent conversationnel doit avertir l'utilisateur qu'il parle à une IA. Les contenus générés ou modifiés par un système d'IA doivent porter un marquage technique permettant d'identifier leur origine artificielle, qu'il s'agisse de métadonnées intégrées au fichier, d'une information de provenance ou d'un filigrane. Et les contenus de synthèse représentant des personnes ou des événements réels doivent être signalés de façon visible, pour que le public comprenne sans ambiguïté qu'il ne regarde pas une scène authentique.

C'est ce qui change la nature du sujet. Le manquement aux obligations de transparence peut être sanctionné jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial : le plus élevé des deux montants pour une grande entreprise, le plus bas pour une PME ou une start-up (article 99 du règlement). Le recours à une pratique interdite par le règlement expose à 35 millions d'euros ou 7 % du chiffre d'affaires annuel. La Commission européenne a par ailleurs obtenu un pouvoir de supervision directe sur les fournisseurs de grands modèles, avec la possibilité de leur demander des informations et de les sanctionner.

Depuis le 2 février 2025, une entreprise qui déploie des systèmes d'IA doit être en mesure de démontrer que ses équipes ont été sensibilisées aux possibilités, aux limites et aux risques de ces outils. Cette obligation ne demande ni audit externe ni certification : une session de sensibilisation documentée, une note de cadrage interne et une trace de qui a été formé suffisent à en établir le respect. C'est probablement le meilleur rapport entre l'effort demandé et le risque couvert, et c'est pourtant la ligne que nous voyons le plus souvent absente des dossiers.

Déployer Microsoft 365 Copilot ne fait pas de vous l'opérateur d'un système à haut risque, et le report de décembre 2027 ne vous concerne donc probablement pas. Ce qui vous concerne, en revanche, s'applique déjà : la sensibilisation des utilisateurs, la transparence si vous exposez un agent conversationnel à vos clients, et le marquage des contenus que vous publiez après génération. À quoi s'ajoute une exigence de bon sens que le règlement rend utile à documenter : savoir quels usages d'IA existent réellement dans l'entreprise, y compris ceux que personne n'a validés.

Le report est récent, et plusieurs pages de référence, y compris institutionnelles, affichent encore l'ancien calendrier avec le 2 août 2026 comme date d'application des obligations haut risque. Si vous construisez un plan de conformité ou arbitrez un budget sur cette base, vous risquez de provisionner pour 2026 un chantier qui n'est exigible qu'en 2027, ou pire, de considérer que tout est repoussé alors que la transparence et les sanctions, elles, sont en vigueur. Vérifiez la date de mise à jour de vos sources avant de trancher.

Quatre chantiers, dans cet ordre. L'inventaire : recensez les outils d'IA réellement utilisés, y compris ceux que les équipes ont adoptés sans validation. La qualification : pour chaque usage, déterminez le niveau de risque, en regardant de près les RH et le recrutement. La sensibilisation : formez les utilisateurs et gardez une trace de ces formations, puisque l'obligation s'applique déjà. La gouvernance : encadrez les données que l'IA peut atteindre, car des permissions SharePoint mal réglées sont un risque aussi concret que le règlement, et articulez le tout avec le RGPD, qui continue de s'appliquer. Cet article donne un cadre général et ne constitue pas un conseil juridique : pour un usage à haut risque, faites valider votre analyse par un juriste.