AI Act : ce que l’échéance d’août 2026 change concrètement pour votre entreprise

Il y a une date à retenir : le 2 août 2026. Ce jour-là, l’AI Act entre en application complète pour les systèmes d’IA à haut risque dans l’Union européenne. Ce règlement, le premier cadre législatif mondial sur l’intelligence artificielle, n’est plus un projet. Il est en vigueur depuis le 1er août 2024. Mais c’est août 2026 qui déclenche les obligations les plus structurantes pour les entreprises.Et selon une enquête du Centre for Data Innovation fin 2025, moins de 30 % des structures européennes de taille intermédiaire avaient entamé une démarche de conformité à cette date. Autrement dit : la majorité est encore en retard.

Ce que l’AI Act classe, et pourquoi ça compte

Le règlement adopte une logique simple : plus un système d’IA présente de risques pour les droits fondamentaux, plus les obligations sont strictes. Quatre niveaux sont définis.Les pratiques à risque inacceptable sont interdites depuis le 2 février 2025 : manipulation comportementale subliminale, notation sociale généralisée, surveillance biométrique de masse dans les espaces publics. Ces interdictions sont déjà actives.Les systèmes à risque élevé déclenchent les obligations les plus lourdes. Ils couvrent des secteurs précis : biométrie, infrastructures critiques, éducation, recrutement, crédit, santé, justice. Si votre entreprise utilise un logiciel de tri de CV, un outil de scoring financier, un système de recommandation pédagogique ou un assistant IA intégré à un processus RH, vous êtes directement concerné.Les systèmes à risque limité (chatbots, générateurs de contenu, assistants virtuels) imposent essentiellement une obligation de transparence : l’utilisateur doit savoir qu’il interagit avec une IA.Les systèmes à risque minimal (filtres anti-spam, moteurs de recommandation génériques) ne font l’objet d’aucune obligation particulière.

Le piège le plus fréquent : utiliser de l’IA sans le savoir

Beaucoup d’entreprises sous-estiment le nombre de composants IA présents dans leurs outils quotidiens. Un CRM intégrant de l’analyse prédictive, un ERP avec des recommandations automatisées, un ATS utilisant le machine learning pour classer les profils, un outil de scoring commercial : tout ça, c’est de l’IA au sens de l’AI Act.La conformité ne commence pas par un document juridique. Elle commence par une cartographie de ce que vous déployez réellement. Pour chaque outil identifié, il faut documenter le fournisseur, la finalité, les données traitées, les populations impactées et le niveau d’autonomie décisionnelle accordé au système.C’est cette cartographie qui détermine vos obligations réelles.

Ce que les systèmes à haut risque impliquent concrètement

Pour les entreprises dont les systèmes sont classés à haut risque, les obligations à anticiper avant le 2 août 2026 s’articulent autour de plusieurs axes :∙ Documentation technique complète : fonctionnement du système, données d’entraînement, paramètres de performance, limites connues.∙ Système de gestion des risques, documenté et mis à jour en continu.∙ Supervision humaine obligatoire avant mise en service et en cours d’exploitation.∙ Enregistrement dans la base de données européenne des systèmes à haut risque.∙ Marquage CE, qui atteste la conformité avant commercialisation.Les sanctions en cas de non-conformité sont sérieuses : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les IA interdites, 15 millions ou 3 % pour les systèmes à haut risque non conformes. Ces montants visent aussi bien les fournisseurs que les déployeurs.

L’obligation qui est déjà en vigueur : l’AI literacy

Depuis février 2025, une obligation souvent oubliée est déjà active : la formation à l’IA, ou AI literacy. Toute organisation qui utilise des systèmes d’IA dans ses opérations doit s’assurer que les personnes concernées comprennent les capacités et les limites de ces systèmes.En pratique, cela signifie que vos équipes doivent savoir distinguer une décision prise par un humain d’une décision générée ou recommandée par un algorithme, et comprendre les biais potentiels des systèmes qu’elles utilisent. Ce n’est pas une formation optionnelle : c’est une exigence réglementaire déjà opposable.

Ce qui change aussi pour les modèles génératifs (GPT, Claude, Mistral)

Depuis août 2025, les fournisseurs de modèles d’IA à usage général (GPAI) ont de nouvelles obligations : documentation technique, respect du droit d’auteur, transparence sur les capacités et les limites.Mais si vous utilisez ces modèles dans des processus à haut risque (analyse de profils RH, scoring financier, aide à la décision médicale), la responsabilité de conformité vous incombe directement en tant que déployeur. Le fait que le modèle soit fourni par OpenAI, Anthropic ou Mistral ne vous exonère pas.

Plan d’action sur 30 jours

Semaine 1 : cartographie des systèmes IAIdentifier tous les outils utilisant de l’IA dans l’organisation, y compris les fonctionnalités embarquées dans les logiciels tiers.Semaine 2 : classification par niveau de risquePour chaque système identifié, déterminer sa classification selon l’AI Act. La CNIL met à disposition des grilles d’évaluation pour faciliter cette analyse.Semaine 3 : constitution de la documentation techniquePour les systèmes à haut risque, commencer la documentation requise et identifier les manques.Semaine 4 : plan de conformité formaliséÉtablir un calendrier de mise en conformité, identifier les ressources nécessaires, et valider avec la direction.