EU AI Act 2026 : ce que les entreprises françaises doivent vraiment savoir (calendrier, obligations, sanctions)

Introduction

L'AI Act (Règlement UE 2024/1689) est souvent présenté comme "le RGPD de l'intelligence artificielle" — et pour de bonnes raisons. Comme le RGPD en son temps, il génère une vraie anxiété chez les dirigeants : calendrier flou, jargon juridique, peur de la sanction, et une actualité qui bouge encore (le "Digital Omnibus" a redessiné une partie des échéances au premier semestre 2026).

Ce guide fait le point clairement, sans catastrophisme : qui est concerné, ce qui s'applique déjà, ce qui a été reporté, et surtout, ce qu'une ETI doit faire concrètement dès maintenant.

‍

L'AI Act en une phrase

L'AI Act classe chaque système d'intelligence artificielle utilisé par une entreprise selon son niveau de risque, et impose des obligations proportionnées à ce risque — de l'interdiction pure pour les usages les plus dangereux, à une absence de contrainte pour les usages les plus anodins.

Point essentiel à retenir : l'AI Act ne s'applique pas à une entreprise dans son ensemble, mais à chaque système d'IA selon son usage. Une même entreprise peut donc avoir des outils sans aucune contrainte particulière et un outil soumis à des obligations lourdes, selon ce à quoi cet outil sert.

‍

Les 4 niveaux de risque

1. Risque inacceptable — usages interdits depuis février 2025 : notation sociale, manipulation comportementale, certains usages de biométrie de surveillance.
2. Haut risque — usages listés à l'Annexe III du règlement : recrutement, scoring de crédit, éducation, certains usages RH, biométrie. Obligations lourdes de documentation, supervision humaine et traçabilité.
3. Risque limité — chatbots, IA générative, contenus synthétiques : obligation principale d'informer l'utilisateur qu'il interagit avec une IA.
4. Risque minimal — la majorité des usages courants en entreprise, sans contrainte spécifique.

Pour une ETI type, les usages à surveiller en priorité sont souvent les outils de tri de CV, de scoring client, ou d'évaluation de collaborateurs — susceptibles de basculer en catégorie "haut risque".

‍

Le calendrier réel après le Digital Omnibus

Le calendrier d'origine de l'AI Act a été partiellement révisé en 2026 par un texte appelé "Digital Omnibus", qui reporte certaines échéances jugées trop proches par une partie des acteurs économiques et politiques européens. Voici l'état du calendrier tel qu'il ressort des dernières annonces :

1er août 2024 — Entrée en vigueur du règlement.

2 février 2025 — Interdictions des usages à risque inacceptable, plus obligation générale d'"AI literacy" (former ses équipes à l'usage responsable de l'IA).

2 août 2025 — Obligations applicables aux modèles d'IA à usage général (GPAI).

2 août 2026 — Obligations de transparence (article 50) : informer les utilisateurs qu'ils interagissent avec une IA ou un contenu généré par IA.

2 décembre 2027 — Majorité des obligations pour les systèmes à haut risque de l'Annexe III (reporté depuis l'échéance initiale d'août 2026).

2 août 2028 — Obligations pour les systèmes IA intégrés dans certains produits régulés, Annexe I (reporté depuis l'échéance initiale d'août 2027).

Point de vigilance : au moment de la rédaction de cet article, certaines étapes de validation formelle du Digital Omnibus (publication au Journal officiel de l'UE notamment) restent en cours de finalisation. Les dates ci-dessus reflètent l'accord politique le plus récent, mais nous recommandons de vérifier leur confirmation officielle avant toute décision engageante.

‍

Ce qui est déjà obligatoire aujourd'hui

Contrairement à une idée reçue, l'AI Act n'est pas qu'une échéance lointaine : deux obligations sont déjà en vigueur pour toute entreprise qui utilise de l'IA en Europe.

• L'interdiction des usages à risque inacceptable, en vigueur depuis février 2025.
• L'obligation d'"AI literacy" : former son personnel à un usage responsable et éclairé de l'intelligence artificielle, quelle que soit la taille de l'entreprise.

Ces deux points, souvent ignorés car peu médiatisés, exposent déjà les entreprises qui n'auraient rien mis en place.

‍

Les obligations concrètes pour les systèmes à haut risque

Pour les entreprises qui utilisent ou développent un système classé "haut risque", les obligations couvrent typiquement :

• Une cartographie des usages d'IA dans l'entreprise, pour identifier précisément quels outils sont concernés et à quel niveau de risque.
• Une gouvernance interne formalisée : qui valide l'usage d'un outil IA, qui supervise les décisions automatisées, qui peut intervenir en cas d'erreur.
• Une documentation de conformité démontrant la maîtrise du système (données utilisées, tests réalisés, limites connues).
• Une supervision humaine effective sur les décisions à fort impact pour les personnes concernées (recrutement, crédit, évaluation).

‍

Qui est concerné, en pratique ?

Toute entreprise qui utilise de l'IA en Europe est concernée au minimum par l'obligation de formation de ses équipes. Au-delà, le règlement distingue plusieurs rôles :

• Le fournisseur, qui développe un système d'IA.
• Le déployeur, qui utilise un système d'IA développé par un tiers dans son activité — c'est le rôle dans lequel se trouve la grande majorité des ETI françaises, qui utilisent des outils IA plutôt qu'elles ne les développent elles-mêmes.

Comprendre son statut de "déployeur" est souvent la première clarification à faire, avant même de se demander quelles obligations précises s'appliquent.

‍

Les sanctions encourues

Le règlement prévoit un régime de sanctions à plusieurs niveaux selon la gravité du manquement, pouvant aller jusqu'à un montant élevé calculé sur le chiffre d'affaires mondial de l'entreprise pour les manquements les plus graves (usages interdits). Les montants exacts varient selon les sources et les dernières discussions politiques ; ce qui compte à ce stade pour une ETI est moins le montant précis que le principe : le non-respect de l'AI Act n'est pas une simple formalité administrative, mais un risque financier et réputationnel réel, sur le modèle du RGPD.

‍

Par où commencer concrètement

1. Cartographier les usages d'IA existants dans l'entreprise — y compris les usages informels non validés officiellement (le "shadow IA"), que le règlement ne distingue pas des usages officiels.
2. Qualifier le niveau de risque de chaque usage identifié.
3. Former les équipes à un usage responsable de l'IA — c'est déjà une obligation en vigueur.
4. Mettre en place une gouvernance claire sur les projets IA à venir, en particulier ceux qui touchent au recrutement, à l'évaluation ou à la relation client.

C'est précisément la logique de cadrage qui doit précéder tout déploiement d'agent IA en entreprise : la conformité ne se rajoute pas après coup, elle se pense dès l'atelier de cadrage initial.

‍

FAQ

Une PME de moins de 50 salariés est-elle concernée par l'AI Act ?

Oui. Le règlement ne prévoit pas de seuil d'effectif comme critère d'exemption générale — c'est l'usage fait de l'IA qui détermine les obligations, pas la taille de l'entreprise.

‍

Utiliser un outil d'IA générative grand public (rédaction, image) suffit-il à être "à risque" ?

La plupart de ces usages relèvent du risque limité, avec pour principale obligation d'informer l'utilisateur qu'il interagit avec un contenu généré par IA. Le risque devient plus élevé lorsque l'outil sert à prendre une décision impactant une personne (recrutement, crédit, évaluation).

‍

Le Digital Omnibus signifie-t-il que l'AI Act est repoussé dans son ensemble ?

Non. Seules certaines échéances liées aux systèmes à haut risque ont été décalées ; les interdictions et l'obligation de formation des équipes restent en vigueur depuis 2025, et les obligations de transparence de 2026 sont maintenues.

‍

Faut-il un DPO ou un juriste dédié pour être conforme ?

Pas nécessairement un poste dédié pour une ETI, mais une personne clairement identifiée comme responsable de la gouvernance IA en interne, en lien avec un accompagnement externe si besoin.

‍

Passer à l'action

La conformité AI Act n'est pas qu'un sujet juridique : c'est aussi l'occasion de remettre à plat la gouvernance de tous les usages IA de l'entreprise, formels et informels. Chez Qolaig, notre atelier de cadrage intègre systématiquement cette dimension dès le premier échange, pour que chaque agent IA déployé soit conforme par construction plutôt que mis en conformité après coup. Échangeons sur votre projet.