AI Act : quelles obligations pour votre entreprise en 2026 ?

Le règlement européen sur l'intelligence artificielle, dit AI Act (règlement UE 2024/1689), est entré en vigueur le 1er août 2024. Son application se déploie par vagues successives. 2026 est l'année charnière : le 2 août 2026, l'essentiel des obligations devient applicable, notamment celles qui pèsent sur les systèmes d'IA à haut risque. Si votre entreprise développe, intègre ou utilise de l'IA, c'est maintenant qu'il faut agir. Voici le mode d'emploi.

Qui est concerné par l'AI Act ?

Le règlement ne vise pas que les éditeurs de solutions d'IA. Il distingue plusieurs rôles, chacun avec ses obligations propres :

• Le fournisseur : celui qui développe un système d'IA ou le fait développer, puis le met sur le marché sous son nom ou sa marque. C'est le rôle le plus exposé.
• Le déployeur : toute entreprise ou organisme qui utilise un système d'IA sous sa propre autorité dans un cadre professionnel. Une PME qui utilise un outil de tri de candidatures est un déployeur.
• L'importateur et le distributeur : ceux qui mettent sur le marché européen des systèmes développés hors UE ou qui les commercialisent.

Point important : la portée du texte est extraterritoriale. Un fournisseur américain dont le système est utilisé dans l'Union, ou dont les résultats produits par l'IA sont utilisés dans l'Union, entre dans le champ du règlement. Les entreprises françaises qui achètent des solutions étrangères doivent donc vérifier la conformité de leurs prestataires, car en pratique la responsabilité du déployeur reste engagée sur son propre périmètre.

Attention également au changement de casquette : un déployeur qui modifie substantiellement un système à haut risque, ou qui le commercialise sous sa propre marque, devient fournisseur avec toutes les obligations associées. C'est un piège classique pour les intégrateurs et les éditeurs SaaS qui personnalisent des modèles tiers.

Le calendrier d'application : où en est-on à l'été 2026 ?

Quatre échéances structurent la mise en application :

• 2 février 2025 : pratiques interdites + AI literacy.
• 2 août 2025 : GPAI.
• 2 août 2026 : obligations de transparence (article 50), gouvernance et plusieurs autres dispositions demeurent applicables.
• 2 décembre 2027 : systèmes d'IA à haut risque "stand-alone" (annexe III : recrutement, crédit, RH, etc.).
• 2 août 2028 : systèmes d'IA à haut risque intégrés dans des produits réglementés (annexe I : dispositifs médicaux, machines...).

Autrement dit : au moment où vous lisez ces lignes, les interdictions et les règles GPAI s'appliquent déjà, et le gros du dispositif haut risque bascule dans quelques semaines. Le temps de la veille est terminé, celui de la mise en conformité opérationnelle a commencé.

Les quatre niveaux de risque

L'AI Act repose sur une approche par les risques. Quatre catégories, quatre régimes :

1. Les pratiques interdites

L'article 5 prohibe purement et simplement certaines pratiques, quel que soit le secteur. Parmi elles :

• la manipulation subliminale ou trompeuse causant un préjudice significatif ;
• l'exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation sociale ;
• la notation sociale généralisée ;
• la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf raisons médicales ou de sécurité ;
• le moissonnage non ciblé d'images faciales sur internet pour constituer des bases de reconnaissance faciale ;
• la catégorisation biométrique visant à déduire des données sensibles (origine, opinions, orientation sexuelle).

Ces interdictions concernent des cas d'usage plus répandus qu'on ne le croit. Un outil RH qui prétend analyser l'engagement émotionnel des salariés en visioconférence tombe potentiellement sous le coup de l'interdiction. Le risque n'est pas théorique : c'est le plafond de sanction le plus élevé du règlement qui s'applique.

2. Les systèmes à haut risque

C'est le cœur du règlement. Deux voies de qualification : les systèmes intégrés à des produits réglementés (annexe I) et les systèmes relevant des domaines sensibles listés à l'annexe III. Cette seconde liste concerne directement les entreprises de services :

• recrutement, gestion des travailleurs et accès à l'emploi ;
• évaluation de la solvabilité et tarification en assurance vie et santé ;
• accès aux services publics et privés essentiels ;
• éducation et formation professionnelle ;
• biométrie, infrastructures critiques, application de la loi, justice, migration.

Une nuance à connaître : l'article 6, paragraphe 3, permet d'échapper à la qualification de haut risque si le système n'exerce qu'une tâche procédurale étroite ou améliore le résultat d'une activité humaine préalable, sans influence significative sur la décision. Cette exemption doit être documentée et le système enregistré. Elle ne joue jamais si le système réalise un profilage de personnes physiques.

3. Les systèmes à risque limité : la transparence

L'article 50 impose des obligations de transparence : informer les personnes qu'elles interagissent avec une IA (chatbots), marquer les contenus générés ou manipulés par IA (dont les deepfakes), signaler l'utilisation de systèmes de reconnaissance des émotions ou de catégorisation biométrique lorsqu'ils sont licites. Ces obligations s'appliquent à partir du 2 août 2026.

4. Le risque minimal

Tout le reste : filtres anti-spam, IA dans les jeux vidéo, la plupart des outils de productivité. Pas d'obligation spécifique, mais les codes de conduite volontaires sont encouragés, et le RGPD continue de s'appliquer dès que des données personnelles sont traitées.

Systèmes à haut risque : les obligations concrètes

Si vous êtes fournisseur

Le fournisseur d'un système à haut risque doit, avant toute mise sur le marché :

• mettre en place un système de gestion des risques documenté et maintenu sur tout le cycle de vie (article 9) ;
• garantir la qualité et la gouvernance des données d'entraînement, de validation et de test : pertinence, représentativité, traitement des biais (article 10) ;
• constituer une documentation technique complète conforme à l'annexe IV (article 11) ;
• assurer la journalisation automatique des événements (article 12) ;
• fournir aux déployeurs une notice d'utilisation claire : capacités, limites, performances, mesures de contrôle humain (article 13) ;
• concevoir le système pour permettre un contrôle humain effectif (article 14) ;
• garantir exactitude, robustesse et cybersécurité (article 15) ;
• réaliser l'évaluation de conformité, apposer le marquage CE et enregistrer le système dans la base de données européenne avant mise sur le marché ;
• mettre en place une surveillance post-commercialisation et notifier les incidents graves aux autorités.

Si vous êtes déployeur

Les obligations du déployeur (article 26) sont plus légères mais bien réelles :

• utiliser le système conformément à sa notice ;
• confier la surveillance humaine à des personnes formées et disposant de l'autorité nécessaire ;
• s'assurer de la pertinence des données d'entrée lorsqu'il les contrôle ;
• conserver les journaux générés par le système pendant au moins six mois ;
• informer les salariés et leurs représentants avant de déployer un système à haut risque sur le lieu de travail ;
• informer les personnes concernées lorsqu'une décision les concernant est prise ou assistée par le système ;
• pour les organismes publics et certains acteurs privés fournissant des services essentiels : réaliser une analyse d'impact sur les droits fondamentaux (FRIA, article 27).

Les modèles à usage général (GPAI)

Depuis le 2 août 2025, les fournisseurs de modèles d'IA à usage général doivent tenir une documentation technique, fournir des informations aux intégrateurs, mettre en place une politique de respect du droit d'auteur et publier un résumé des contenus d'entraînement. Les modèles présentant un risque systémique supportent des obligations renforcées : évaluations, tests contradictoires, notification des incidents, cybersécurité. Un code de bonnes pratiques accompagne la mise en œuvre.

Pour une entreprise française, l'enjeu pratique est contractuel : si vous construisez un produit sur un LLM tiers, exigez la documentation prévue par le règlement et vérifiez les engagements de votre fournisseur de modèle. C'est votre dossier de conformité qui en dépend.

AI Act et RGPD : deux textes qui se cumulent

L'AI Act ne remplace pas le RGPD, il s'y ajoute. Dès qu'un système d'IA traite des données personnelles, les deux corpus s'appliquent en parallèle :

• Base légale et information : chaque traitement lié à l'IA (entraînement, inférence, amélioration continue) doit reposer sur une base légale de l'article 6 du RGPD et donner lieu à une information des personnes.
• Décision automatisée : l'article 22 du RGPD encadre les décisions entièrement automatisées produisant des effets juridiques ou significatifs. Intervention humaine, droit d'expression, droit de contestation : ces garanties se combinent avec le contrôle humain exigé par l'AI Act.
• AIPD et FRIA : l'analyse d'impact RGPD (article 35) reste obligatoire pour les traitements à risque élevé. La FRIA de l'AI Act peut s'appuyer sur l'AIPD existante, mais les deux exercices ne se confondent pas.
• CNIL : la CNIL a publié depuis 2024 une série de recommandations sur le développement des systèmes d'IA (constitution des bases de données d'entraînement, intérêt légitime, information des personnes, exercice des droits). Elles constituent le référentiel pratique pour concilier innovation et conformité en France.

Sur la gouvernance nationale, le paysage se met en place : la CNIL est appelée à jouer un rôle central de surveillance pour les systèmes touchant aux données personnelles, aux côtés d'autres autorités sectorielles. La désignation précise des autorités compétentes françaises étant en cours de finalisation, faites vérifier le point au moment de vos arbitrages.

Les sanctions : un plafond au-dessus du RGPD

Le régime de sanctions de l'AI Act dépasse celui du RGPD :

• jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour le recours à une pratique interdite ;
• jusqu'à 15 millions d'euros ou 3 % pour la violation des autres obligations (haut risque, transparence, GPAI) ;
• jusqu'à 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes aux autorités.

Les PME bénéficient d'un plafonnement adapté (le montant le plus faible des deux s'applique). Mais le risque le plus immédiat n'est pas seulement la sanction administrative : c'est le risque commercial. Les grands donneurs d'ordre intègrent déjà des clauses de conformité AI Act dans leurs appels d'offres et leurs contrats. Ne pas pouvoir documenter sa conformité, c'est perdre des marchés.

Le plan d'action en 7 étapes

Voici la feuille de route que nous recommandons à nos clients :

1. Cartographier : recensez tous les systèmes d'IA développés, achetés ou utilisés dans l'entreprise, y compris les fonctionnalités IA embarquées dans vos outils SaaS. C'est l'angle mort le plus fréquent.
2. Qualifier : pour chaque système, déterminez votre rôle (fournisseur, déployeur) et le niveau de risque. Documentez le raisonnement, notamment si vous invoquez l'exemption de l'article 6, paragraphe 3.
3. Écarter l'interdit : vérifiez immédiatement qu'aucun usage ne relève de l'article 5. En cas de doute sur un outil d'analyse comportementale ou émotionnelle, suspendez et faites analyser.
4. Combler les écarts : pour les systèmes à haut risque, lancez la mise à niveau (documentation, contrôle humain, journalisation, information des salariés et du CSE le cas échéant).
5. Sécuriser les contrats : auditez vos contrats fournisseurs. Exigez les garanties de conformité, la documentation technique, les notices d'utilisation, les engagements de coopération en cas de contrôle. Répercutez les obligations dans vos CGV si vous êtes éditeur.
6. Former : l'obligation de maîtrise de l'IA de l'article 4 s'applique depuis février 2025. Formez les équipes qui utilisent ou supervisent les systèmes, et tracez ces formations.
7. Gouverner dans la durée : désignez un référent IA, articulez son rôle avec celui du DPO, mettez en place une procédure d'entrée pour tout nouvel outil d'IA et une veille sur les actes d'exécution et les normes harmonisées à venir.

Comment prouver sa conformité ?

Se conformer ne suffit pas, il faut pouvoir le démontrer. Trois outils structurent la preuve :

• Les normes harmonisées : les organismes européens de normalisation (CEN-CENELEC) élaborent les normes techniques qui déclineront les exigences du règlement. Un système conforme à une norme harmonisée publiée au Journal officiel de l'UE bénéficiera d'une présomption de conformité. Suivez leur publication de près : elles fixeront le standard attendu par les autorités et par vos clients.
• La documentation : registre des systèmes d'IA, analyses de qualification, documentation technique, notices, comptes rendus de formation, journaux. En cas de contrôle, c'est ce dossier qui sera examiné en premier. Une entreprise qui ne peut pas produire sa cartographie part avec un handicap sérieux.
• Le contrat : entre fournisseur et déployeur, la répartition des obligations doit être écrite. Garanties de conformité, obligation de fournir la documentation, assistance en cas de contrôle, clause d'audit, sort des mises à jour du système : autant de points à négocier avant la signature, pas après l'incident.

Un point souvent négligé : les mises à jour. Un système conforme au jour de son déploiement peut cesser de l'être après une évolution substantielle du modèle. Prévoyez contractuellement l'information préalable en cas de modification significative et intégrez la revue de conformité dans votre cycle produit.

Secteur par secteur : les zones de friction

Certains secteurs cumulent les réglementations. Dans la santé, un logiciel d'IA peut relever à la fois de l'AI Act, du règlement sur les dispositifs médicaux et des règles propres aux données de santé : la qualification croisée est un exercice à part entière, que nous détaillerons dans un prochain article. Dans les ressources humaines, l'annexe III place le recrutement et l'évaluation des salariés dans le haut risque, avec en France l'articulation supplémentaire du Code du travail et de la consultation du CSE. Dans la finance et l'assurance, le scoring de solvabilité et la tarification santé ou vie sont expressément visés. Si votre activité touche l'un de ces domaines, la conformité générique ne suffira pas : c'est le croisement des textes qui fait la difficulté, et c'est là que l'accompagnement juridique prend tout son sens.

Ce qu'il faut retenir

L'AI Act n'est plus une perspective lointaine. Les interdictions s'appliquent depuis février 2025, les règles GPAI depuis août 2025, et le régime des systèmes à haut risque devient pleinement applicable le 2 août 2026. La conformité se construit en mois, pas en semaines : cartographie, qualification, contrats, documentation, formation.

Le cabinet Mirabile Avocat accompagne les entreprises, éditeurs et startups dans leur mise en conformité AI Act et RGPD : audit de qualification, rédaction contractuelle, documentation de conformité, relations avec les autorités. Vous voulez savoir où vous en êtes ? Faites le test ci-dessous, puis parlons-en.