AI Act : les obligations de votre entreprise dès maintenant.

AI Act : ce que votre entreprise doit faire dès maintenant si elle utilise l'IA

Vos équipes utilisent un assistant d'IA générative. Votre site propose peut-être un chatbot. Et vous pensez que l'AI Act, le règlement européen sur l'intelligence artificielle, ne vous concernera qu'en 2027 ?

C'est une lecture trop optimiste. Le calendrier a été modifié en 2026, notamment pour les systèmes d'IA à haut risque. Les autres obligations restent soumises à leurs propres dates d'application. D'autres règles, notamment sur la transparence, s'appliquent déjà. Elles touchent toute entreprise qui utilise l'IA, même sans la développer.

Dans cet article, vous saurez si vous êtes concerné, ce qui s'applique aujourd'hui et ce qu'il faut faire dans les 30 prochains jours. Les risques liés à l'IA ne se limitent d'ailleurs pas à la conformité : nous avons détaillé ceux de la Shadow IA en entreprise.

Qu'est-ce que l'AI Act ?

L'AI Act est le règlement européen (UE) 2024/1689 qui encadre la conception, la mise sur le marché et l'utilisation des systèmes d'intelligence artificielle dans l'Union européenne. Il classe les usages de l'IA selon leur niveau de risque et impose des obligations proportionnées : interdiction des pratiques jugées inacceptables, règles strictes pour les systèmes à haut risque, obligations de transparence pour certains outils comme les chatbots.

Le texte s'applique à deux grandes familles d'acteurs : les fournisseurs, qui développent ou commercialisent un système d'IA, et les déployeurs, qui l'utilisent dans leur activité professionnelle. Il est consultable sur EUR-Lex, le portail officiel du droit de l'Union européenne.

Les questions clés sur l'AI Act

Mon entreprise est-elle concernée par l'AI Act ?

Votre entreprise peut être concernée dès lors qu'elle utilise un système d'IA dans un cadre professionnel entrant dans le champ d'application de l'AI Act. Les obligations dépendent notamment de votre rôle, du système utilisé et de la finalité de cet usage. La taille de l'entreprise ne change pas le principe d'application.

La grande majorité des entreprises sont des déployeurs : elles achètent ou utilisent un outil d'IA sans le concevoir. Leurs obligations sont plus légères que celles des fournisseurs, mais elles existent. Selon le baromètre France Num 2026 de la Direction générale des Entreprises, 40 % des TPE-PME utilisent désormais des solutions d'IA, et la proportion progresse vite.

Qu'est-ce qui s'applique déjà aujourd'hui ?

Plusieurs dispositions de l'AI Act sont déjà applicables, notamment les interdictions de certaines pratiques d'IA et les obligations relatives aux modèles d'IA à usage général. Depuis le 2 août 2026, les obligations prévues par l'article 50 s'appliquent selon leur champ respectif, sous réserve des dispositions transitoires et des exceptions prévues par le règlement. Les obligations des systèmes à haut risque de l'annexe III, elles, sont repoussées.

Le règlement (UE) 2026/1744, dit « Digital Omnibus », est en vigueur depuis le 27 juillet 2026. Il a décalé les obligations haut risque de l'annexe III au 2 décembre 2027. Il n'a pas supprimé le reste du calendrier.

Le report de l'AI Act me laisse-t-il du temps ?

Le report concerne notamment les systèmes à haut risque de l'annexe III, dont certains usages en matière de recrutement, d'éducation ou d'évaluation de la solvabilité. Les systèmes à haut risque intégrés dans des produits relevant de l'annexe I bénéficient d'une échéance distincte, fixée au 2 août 2028. Pour tous les autres usages, les règles continuent de s'appliquer selon le calendrier prévu.

Le report déplace donc l'échéance, pas l'effort. Une entreprise qui attend 2027 pour recenser ses usages de l'IA devra le faire dans l'urgence, au moment où les contrôles se mettront en place.

Quelles sont les sanctions prévues ?

Les amendes dépendent de la gravité du manquement. Elles peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et 15 millions d'euros ou 3 % pour la plupart des autres manquements.

Des plafonds adaptés sont prévus pour les PME et les start-up. Le montant applicable dépend de la nature du manquement et des dispositions pertinentes du règlement. La Commission européenne publie un récapitulatif du cadre réglementaire européen sur l'IA qui permet de suivre les évolutions du texte.

Les quatre niveaux de risque de l'AI Act

Le cœur du règlement repose sur une approche par les risques. Plus l'usage de l'IA peut affecter les droits ou la sécurité des personnes, plus les obligations sont lourdes.

Où se situent la plupart des usages en entreprise ?

Les usages courants, comme l'assistance à la rédaction ou le résumé de documents, peuvent relever de différents niveaux de risque selon leur finalité et leur contexte d'utilisation. Une analyse spécifique est nécessaire lorsque l'IA influence des décisions concernant des personnes. Le risque monte vite dès que l'IA influence une décision sur une personne : un tri de CV, une notation de clients, une évaluation de salariés.

Comment classer un outil que vous n'avez pas développé ?

Examinez la finalité de l'outil, son contexte d'utilisation et ses effets possibles sur les personnes. Demandez au fournisseur sa classification et sa documentation, puis vérifiez si l'usage relève d'une catégorie à haut risque ou d'une autre disposition particulière de l'AI Act.

Fournisseur ou déployeur : quel est votre rôle ?

Vos obligations dépendent de votre rôle. Ce point est souvent mal compris : utiliser un outil du marché ne fait pas de vous un fournisseur, mais le modifier ou le rebaptiser peut changer la donne.

Vous êtes déployeur si vous utilisez l'IA dans votre activité

Un déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. C'est le cas d'une entreprise qui utilise un assistant d'IA générative, un outil de transcription de réunions ou un chatbot fourni par un éditeur. Ses principales obligations consistent à :

• Informer les personnes lorsqu'elles interagissent avec une IA ;
• Informer sur certains contenus générés ou manipulés par l'IA lorsque l'article 50 l'exige, notamment dans les cas de deepfakes et de certains textes d'intérêt public ;
• Prendre des mesures pour développer la maîtrise de l'IA de ses équipes ;
• Respecter les consignes d'utilisation du fournisseur.

Vous pouvez devenir fournisseur sans le vouloir

Une entreprise qui développe un système d'IA, le commercialise sous son propre nom ou sa propre marque, ou réalise certaines modifications substantielles peut être considérée comme fournisseur, selon les critères et conditions prévus par l'AI Act. Les obligations sont alors nettement plus lourdes : documentation, évaluation de conformité, gestion des risques.

Le cas se rencontre avec les assistants internes construits sur une API et avec les agents IA connectés aux outils de l'entreprise. Mieux vaut le vérifier avant de déployer.

Le calendrier de l'AI Act après le Digital Omnibus

Le calendrier a été revu à l'été 2026. Voici les échéances à retenir, d'après les analyses publiées après l'adoption du règlement (UE) 2026/1744. Vérifiez toujours les dates sur le texte officiel avant toute décision.

Une précision sur le marquage des contenus synthétiques

L'article 50, paragraphe 2, impose aux fournisseurs concernés de prévoir des mécanismes permettant de marquer les contenus synthétiques dans un format lisible par machine. Les obligations applicables aux déployeurs sont distinctes et dépendent notamment du type de contenu diffusé. Si votre entreprise utilise un système d'IA fourni par un tiers, vérifiez les obligations qui vous incombent en tant que déployeur et celles qui relèvent du fournisseur, notamment concernant le marquage et la divulgation des contenus synthétiques.

Qui contrôlera en France ?

La répartition des compétences de contrôle en France doit être vérifiée au regard des textes nationaux officiellement publiés et de leur état d'entrée en vigueur. Le cadre européen s'applique néanmoins, sans attendre cette désignation.

L'article 50 : les obligations de transparence concrètes

L'article 50 est la disposition qui concerne le plus d'entreprises aujourd'hui. Il vise l'information des personnes face à l'IA et aux contenus qu'elle produit.

Informer les utilisateurs d'un chatbot

Lorsqu'une personne interagit directement avec un système d'IA, elle doit être informée qu'elle ne parle pas à un humain, sauf si cela ressort clairement du contexte. Pour un chatbot de service client, une information claire indiquant à l'utilisateur qu'il interagit avec une IA peut satisfaire à l'obligation de transparence, lorsque celle-ci s'applique et que l'interaction ne rend pas déjà cette nature évidente.

Signaler les deepfakes et certains textes générés

Un déployeur qui diffuse une image, une vidéo ou un son artificiellement générés ou manipulés ressemblant à des personnes ou à des faits réels doit en indiquer l'origine artificielle. Une règle similaire vise les textes générés par l'IA et publiés pour informer le public sur des sujets d'intérêt public, avec des exceptions en cas de relecture et de responsabilité éditoriale humaines.

Cette obligation rejoint un enjeu de sécurité : les contenus synthétiques servent aussi aux fraudes. Nous détaillons ces attaques dans notre guide sur le deepfake et l'arnaque au président.

Les cas d'émotion et de catégorisation biométrique

Les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent informer les personnes exposées. Ces usages sont sensibles et soulèvent aussi des questions de protection des données.

La maîtrise de l'IA : former ses équipes

La maîtrise de l'IA reste un enjeu important de mise en œuvre du règlement. Les entreprises ont intérêt à sensibiliser leurs équipes aux limites des outils, à la confidentialité des données et aux usages autorisés, en adaptant les mesures à leur contexte et aux exigences juridiques applicables.

Que doit contenir une formation à l'IA ?

• Les usages autorisés et interdits dans l'entreprise ;
• Les données qui ne doivent jamais être saisies dans un outil d'IA ;
• Les limites de l'IA, notamment les réponses inventées (hallucinations) ;
• La vérification systématique des résultats avant toute décision ;
• Les réflexes à adopter face à un contenu suspect généré par l'IA.

Pourquoi cette formation relève aussi de la cybersécurité

Un salarié qui colle un contrat, un fichier clients ou du code dans un outil non validé expose l'entreprise. Ce risque est détaillé dans notre article sur l'IA et les fuites de données sensibles. La formation à l'IA et la sensibilisation à la cybersécurité se préparent donc ensemble.

AI Act et cybersécurité : ce que le règlement ne règle pas à votre place

L'AI Act fixe un cadre de conformité. Il ne remplace ni une politique de sécurité, ni une analyse de risques, ni la protection des données personnelles.

Le lien avec le RGPD et NIS2

Un outil d'IA qui traite des données personnelles reste soumis au RGPD, que l'AI Act s'applique ou non. Si votre organisation relève de NIS2, l'IA entre aussi dans votre périmètre de gestion des risques. Pour approfondir, consultez nos guides sur la directive NIS2 et sur le RGPD.

Les menaces propres aux systèmes d'IA

Injection de prompt, fuite d'instructions, agents trop autonomes : ces risques techniques ne sont pas traités en détail par l'AI Act. Ils font l'objet de référentiels dédiés, résumés dans notre article sur l'OWASP LLM Top 10 2026. À l'échelle européenne, l'agence de l'Union européenne pour la cybersécurité (ENISA) publie également des travaux sur la sécurité de l'IA.

Plan d'action : se mettre en conformité en 30 jours

Voici une feuille de route réaliste pour une entreprise qui part de zéro :

1. Recensez tous vos usages de l'IA. Listez les outils utilisés officiellement et ceux que les équipes utilisent seules. Un simple tableau suffit : outil, service concerné, données manipulées.
2. Identifiez votre rôle pour chaque usage. Déployeur dans la plupart des cas, fournisseur si vous développez ou modifiez un système.
3. Classez chaque usage par niveau de risque. Isolez les usages qui touchent à une décision sur une personne : recrutement, évaluation, notation.
4. Mettez en conformité la transparence. Ajoutez une mention claire sur vos chatbots et prévoyez une règle pour la diffusion de contenus générés par l'IA.
5. Rédigez une charte d'usage de l'IA. Précisez les outils autorisés, les données interdites et les règles de vérification. Faites-la valider par la direction.
6. Formez vos équipes. Organisez une session courte et concrète, en vous appuyant sur une démarche de sensibilisation à la cybersécurité déjà en place.
7. Interrogez vos fournisseurs. Demandez-leur leur positionnement sur l'AI Act, leur documentation et leurs engagements sur la protection des données.

Résumé : les points clés à retenir

• L'AI Act concerne toute entreprise qui utilise l'IA dans un cadre professionnel, y compris sans la développer ;
• Le Digital Omnibus a reporté les obligations haut risque de l'annexe III au 2 décembre 2027, mais pas le reste du calendrier ;
• Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026 ;
• La maîtrise de l'IA reste un enjeu important de conformité et de cybersécurité. Les entreprises ont intérêt à sensibiliser leurs équipes en fonction de leurs usages et des risques rencontrés ;
• Le règlement ne remplace ni le RGPD, ni NIS2, ni une politique de sécurité ;
• Un recensement des usages de l'IA est la première étape à lancer sans attendre.

Conclusion : anticiper plutôt que subir

L'AI Act n'est pas une contrainte lointaine. Une partie du texte s'applique déjà, et les entreprises qui recensent leurs usages maintenant éviteront la course contre la montre de 2027. Le bon réflexe : traiter la conformité IA et la sécurité des données comme un seul et même chantier.

Vous voulez savoir où vous en êtes ? Nos experts certifiés ISO 27001 et ISO 27005 vous accompagnent avec un audit de conformité adapté à votre contexte. Vous pouvez aussi contacter Core Security pour échanger sur vos usages de l'IA et sur leur sécurisation.