AI Act : ce qui s’applique aujourd’hui, ce qui a été reporté

Depuis fin juillet 2026, une phrase circule dans les directions juridiques : l’AI Act a été reporté. C’est faux, et c’est le genre d’erreur qui coûte cher.

Le Digital Omnibus a repoussé les obligations pesant sur les systèmes à haut risque. Il n’a touché ni aux interdictions, ni à l’obligation de formation des équipes, ni aux règles de transparence entrées en application le 2 août 2026. Ce guide sépare ce qui s’applique de ce qui attend.

Sommaire

• Qu’est-ce que l’AI Act
• Le calendrier réel, après le Digital Omnibus
• Les quatre niveaux de risque
• Êtes-vous fournisseur ou déployeur
• Qui contrôle, en Europe et en France
• Ce que vous risquez
• Ce qu’il faut faire maintenant

Qu’est-ce que l’AI Act

Le règlement (UE) 2024/1689, entré en vigueur le 1er août 2024, est le premier cadre juridique complet encadrant l’intelligence artificielle. Il s’applique à toute organisation qui développe, met sur le marché ou utilise un système d’IA dans l’Union européenne, quel que soit le lieu de son siège.

Sa définition d’un système d’IA est volontairement large et détachée de toute technologie particulière. L’article 3 vise un système automatisé fonctionnant à différents niveaux d’autonomie, capable d’inférer, à partir de données d’entrée, des sorties qui influencent un environnement physique ou virtuel : prédictions, recommandations, contenus, décisions.

Cette formulation couvre donc autant un modèle de scoring construit en 2019 qu’un assistant conversationnel déployé le mois dernier. Beaucoup d’organisations sous-estiment leur périmètre parce qu’elles pensent « IA générative » quand le texte, lui, vise l’inférence.

Le calendrier réel, après le Digital Omnibus

Le règlement (UE) 2026/1744, dit Digital Omnibus sur l’IA, est entré en vigueur le 27 juillet 2026, six jours avant l’échéance qu’il déplaçait.

Deux obligations sont donc déjà opposables et souvent ignorées. Vos utilisateurs doivent être informés lorsqu’ils interagissent avec un système d’IA, et les contenus que vous générez doivent porter un marquage lisible par machine. Un chatbot de service client sans mention explicite est en infraction depuis le 2 août 2026.

Une confusion revient dans la presse : le Digital Omnibus sur l’IA ne modifie que l’AI Act, le règlement sur l’aviation civile et le règlement Machines. Un second texte, distinct, porte sur le RGPD, ePrivacy et le Data Act, et suit son propre parcours législatif. Le premier ne dit rien du second.

Les quatre niveaux de risque

Le règlement classe les systèmes selon ce qu’ils peuvent causer, pas selon leur sophistication technique.

Un point mérite d’être posé clairement : la classification en haut risque ne dépend pas de l’exposition publique du système. Un outil de tri de candidatures utilisé par une seule équipe RH, sur un intranet fermé, relève de l’annexe III au même titre qu’un service ouvert au public.

Les deux dernières catégories, risque limité et minimal, apparaissent dans les communications de la Commission mais pas comme telles dans le texte du règlement. Elles restent utiles pour raisonner.

Êtes-vous fournisseur ou déployeur

C’est la question qui décide de vos obligations, et celle sur laquelle le plus d’organisations se trompent.

Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché sous son nom. Il porte l’essentiel de la charge de conformité technique : documentation, évaluation, marquage.

Le déployeur utilise un système sous sa propre autorité. Ses obligations sont plus légères : respecter la notice d’utilisation, assurer la supervision humaine, conserver les journaux, et réaliser une analyse d’impact sur les droits fondamentaux.

Le piège tient en une phrase du règlement. Un déployeur qui apporte une modification substantielle à un système à haut risque, ou qui en change la destination au point de le rendre à haut risque, devient fournisseur et hérite de la totalité des obligations correspondantes.

Une entreprise qui affine un modèle acheté sur ses propres données, ou qui utilise un outil d’analyse pour une décision que l’éditeur n’avait pas prévue, peut donc changer de statut sans s’en apercevoir. Les notions de modification substantielle et de destination attendent d’ailleurs des clarifications du régulateur.

Qui contrôle, en Europe et en France

Au niveau européen, le Bureau européen de l’intelligence artificielle, rattaché à la Commission, coordonne l’application du règlement. Il s’appuie sur le Comité européen de l’IA, qui réunit les États membres, et sur un panel scientifique indépendant chargé des risques systémiques liés aux modèles à usage général.

En France, une vingtaine d’agences se partagent la surveillance par secteur. La CNIL et l’ARCOM couvrent le plus grand nombre de cas d’usage. La DGCCRF assure la coordination opérationnelle entre autorités, la DGE la coordination stratégique et la représentation au Comité européen. L’ANSSI et le PEReN apportent le socle de compétences techniques.

Il n’existe donc pas de guichet unique. L’autorité qui vous contrôlera dépend de votre secteur, ce qui rend utile de l’identifier avant d’en avoir besoin.

Ce que vous risquez

Les amendes atteignent 35 millions d’euros ou 7 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu, pour l’usage d’une pratique interdite. Les manquements aux obligations des systèmes à haut risque et aux règles de transparence relèvent de plafonds inférieurs.

Le Digital Omnibus a introduit des plafonds réduits pour les PME et les petites entreprises de taille intermédiaire, ainsi qu’un formulaire de documentation technique simplifié et un accès prioritaire aux bacs à sable réglementaires.

Sur la question de la certification, souvent posée : l’AI Act ne crée pas de label AI Act. Les systèmes à haut risque suivent une procédure d’évaluation de la conformité aboutissant au marquage CE, comme d’autres produits réglementés. Selon les cas, cette évaluation est menée par le fournisseur lui-même ou par un organisme notifié.

Ce qu’il faut faire maintenant

Le report de décembre 2027 offre du temps pour préparer les obligations haut risque. Il n’en offre aucun pour celles déjà en vigueur.

1. Recenser vos systèmes d’IA, y compris ceux installés par les métiers sans passer par la DSI. Vous ne pouvez pas classer ce que vous ne connaissez pas.
2. Qualifier votre rôle pour chacun, fournisseur ou déployeur. C’est ce statut qui détermine le reste.
3. Vérifier les obligations de transparence, opposables depuis août 2026. Vos agents conversationnels annoncent-ils qu’ils en sont ? Vos contenus générés portent-ils un marquage lisible par machine ?
4. Traiter la littératie IA, exigée depuis février 2025. Les équipes qui conçoivent ou utilisent ces systèmes doivent disposer d’un niveau de compréhension suffisant, ce qui suppose un dispositif de formation documenté.
5. Cartographier les systèmes qui basculeront en haut risque en décembre 2027, et commencer par ceux qui touchent au recrutement, au crédit ou aux infrastructures.

Les quatre premiers points portent sur des obligations actuelles. Le cinquième prépare l’échéance suivante, et c’est celui qui demande le plus de temps.

Si vous voulez faire ce travail avec un regard extérieur, notre audit AI Act couvre l’inventaire, la qualification des rôles, la classification et le plan de remédiation en trois à quatre semaines.

Pour aller plus loin

Nos équipes ont publié une analyse technique de l’opérationnalisation du règlement : gouvernance des données, méthodes d’IA explicable, outillage MLOps et articulation avec Bâle III, Solvabilité II et le règlement sur les dispositifs médicaux.

Opérationnaliser l’AI Act : gouvernance, XAI et ingénierie de conformité, par Olivier Gassner.

À propos de l’auteur

Charles GERARD est Directeur IA chez Atheïa, cabinet de conseil en data et intelligence artificielle. Il conçoit et industrialise des systèmes d’IA pour des grands comptes de la banque, de l’assurance, du retail et du transport, avec une pratique des architectures RAG, des systèmes agentiques et de leur gouvernance en environnement réglementé.