Depuis le 2 août 2026, votre chatbot, votre outil de génération d'images ou votre système de recrutement automatisé ne sont plus tout à fait les mêmes aux yeux de la loi : l'AI Act impose désormais des obligations de transparence et des contrôles stricts, avec des sanctions à la clé.
Pourtant, beaucoup d'entreprises croient encore que tout est reporté à 2027 ou 2028. Erreur : la transparence sur l'utilisation de l'IA s'applique dès maintenant, et les amendes peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial. À l'inverse, celles qui pensent que tout est déjà en vigueur se trompent aussi : les systèmes à haut risque, comme ceux utilisés dans le recrutement ou la notation de crédit, bénéficient d'un report jusqu'à fin 2027, voire 2028 pour certains.
Alors, où en est-on vraiment ? Quelles obligations sont déjà applicables, et lesquelles peuvent attendre ? Voici le calendrier complet de l'AI Act, avec un tableau de référence par échéance et par profil d'entreprise, pour y voir clair et agir sans tarder.
Calendrier complet de l'AI Act : ce qui s'applique et ce qui est reporté
L'AI Act suit un calendrier progressif, avec des échéances clés qui s'étalent de 2025 à 2028. Voici les dates à retenir, et ce qu'elles impliquent pour votre entreprise :
Pratiques interdites
L'AI Act interdit dès cette date les pratiques considérées comme une menace pour les droits fondamentaux : manipulation comportementale, notation sociale (comme en Chine), ou encore l'utilisation de systèmes d'IA qui exploitent les vulnérabilités des personnes (enfants, personnes âgées, etc.).
Obligations des fournisseurs de modèles d'IA à usage général (GPAI)
Les fournisseurs de modèles d'IA comme les LLM (Large Language Models) doivent respecter des obligations de transparence, de documentation technique et de coopération avec les autorités. Ces règles visent à encadrer les risques systémiques liés à ces technologies.
Transparence (article 50) et gouvernance
C'est l'échéance la plus importante pour la plupart des entreprises : depuis cette date, il est obligatoire de signaler clairement qu'un utilisateur dialogue avec une IA, de marquer les contenus générés par IA de manière lisible par machine, et d'étiqueter les deepfakes. Les fournisseurs de GPAI sont également soumis à des pouvoirs de contrôle renforcés.
Systèmes à haut risque autonomes (annexe III)
Les systèmes à haut risque autonomes, comme ceux utilisés dans le recrutement, la notation de crédit, l'éducation ou la biométrie, devront respecter des obligations strictes : évaluation des risques, documentation technique, traçabilité des données, et mise en place de mesures de cybersécurité.
Systèmes à haut risque intégrés à des produits réglementés
Les systèmes d'IA intégrés à des produits déjà soumis à des réglementations spécifiques (dispositifs médicaux, jouets connectés, machines) bénéficient d'un report supplémentaire. Ils devront se conformer aux exigences de l'AI Act à partir de cette date.
Ce qui s'applique déjà depuis le 2 août 2026
Depuis le 2 août 2026, deux volets majeurs de l'AI Act sont entrés en vigueur :
1. L'article 50 : transparence sur l'utilisation de l'IA
L'article 50 impose trois obligations principales :
- Signaler clairement qu'un utilisateur dialogue avec une IA : si votre entreprise utilise un chatbot, un assistant vocal ou tout autre système d'IA conversationnelle, vous devez informer l'utilisateur qu'il interagit avec une machine. Cela peut se faire via un message clair dès le début de l'interaction (« Vous discutez avec un assistant IA ») ou une mention visible dans l'interface.
- Marquer les contenus générés par IA de manière lisible par machine : les images, vidéos, textes ou sons générés par IA doivent être identifiables comme tels, non seulement pour les humains, mais aussi pour les outils automatisés. Cela permet aux plateformes et aux régulateurs de détecter plus facilement les contenus synthétiques.
- Étiqueter les deepfakes : les hypertrucages (deepfakes) doivent être clairement identifiés comme tels, surtout s'ils représentent des personnes réelles ou des situations susceptibles d'influencer l'opinion publique.
Ces obligations s'appliquent à toutes les entreprises, quel que soit leur secteur d'activité, dès lors qu'elles utilisent des systèmes d'IA générative ou conversationnelle. Les sanctions en cas de manquement peuvent aller jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial (article 71 de l'AI Act).
2. Contrôles sur les fournisseurs de modèles d'IA à usage général (GPAI)
Les fournisseurs de modèles d'IA à usage général, comme les LLM ou les outils de génération d'images, sont désormais soumis à des obligations spécifiques :
- Documentation technique : fournir une documentation détaillée sur les capacités, les limites et les risques du modèle.
- Transparence sur les données d'entraînement : informer sur les sources des données utilisées pour entraîner le modèle, notamment en ce qui concerne les droits d'auteur.
- Coopération avec les autorités : répondre aux demandes d'information des régulateurs et participer aux évaluations des risques.
Ces mesures visent à encadrer les risques systémiques liés à ces technologies, comme la propagation de désinformation ou les atteintes à la vie privée.
Vérifiez dès maintenant votre conformité à l'AI Act
Identifiez les obligations qui s'appliquent à vos systèmes d'IA et générez les documents nécessaires pour vous mettre en conformité.
Ce qui est reporté à 2027-2028 : les systèmes à haut risque
Les obligations liées aux systèmes à haut risque, listés dans l'annexe III de l'AI Act, ont été officiellement reportées en juillet 2026 dans le cadre du paquet européen Digital Omnibus. Ce report concerne deux catégories de systèmes :
1. Les systèmes à haut risque autonomes (application au 2 décembre 2027)
Ces systèmes sont utilisés dans des domaines sensibles comme :
- Le recrutement (sélection automatisée de CV, entretiens vidéo analysés par IA) ;
- La notation de crédit (évaluation de la solvabilité des clients) ;
- L'éducation (évaluation automatisée des élèves, orientation scolaire) ;
- La biométrie (reconnaissance faciale, analyse des émotions).
À partir du 2 décembre 2027, ces systèmes devront respecter des exigences strictes :
- Évaluation des risques : identifier et atténuer les risques potentiels pour les droits fondamentaux.
- Documentation technique : fournir une documentation détaillée sur le fonctionnement du système, les données utilisées et les mesures de sécurité mises en place.
- Traçabilité des données : garantir que les données utilisées pour entraîner le système sont licites, transparentes et traçables.
- Cybersécurité : mettre en place des mesures de protection contre les cyberattaques et les fuites de données.
- Supervision humaine : prévoir des mécanismes permettant à des humains d'intervenir en cas de dysfonctionnement ou de décision contestable.
2. Les systèmes à haut risque intégrés à des produits réglementés (application au 2 août 2028)
Cette catégorie concerne les systèmes d'IA intégrés à des produits déjà soumis à des réglementations spécifiques, comme :
- Les dispositifs médicaux (outils de diagnostic assisté par IA) ;
- Les jouets connectés (jouets dotés de capacités d'IA) ;
- Les machines (robots industriels, véhicules autonomes).
Pour ces systèmes, l'AI Act s'ajoute aux réglementations existantes. Par exemple, un dispositif médical intégrant de l'IA devra respecter à la fois le règlement européen sur les dispositifs médicaux (MDR) et les exigences de l'AI Act. Ces systèmes bénéficient d'un report supplémentaire pour permettre aux entreprises de s'adapter progressivement.
Tableau de référence : obligations par échéance et par profil d'entreprise
Pour vous aider à y voir plus clair, voici un tableau récapitulatif des obligations de l'AI Act, classées par échéance et par profil d'entreprise :
| Échéance | Obligations | Profils concernés | Sanctions en cas de manquement | Base légale |
|---|---|---|---|---|
| 2 février 2025 | Interdiction des pratiques à risque (manipulation, notation sociale, exploitation des vulnérabilités) | Toutes les entreprises utilisant des systèmes d'IA | Jusqu'à 35 millions d'euros ou 7 % du CA mondial | Article 5 et 71 AI Act |
| 2 août 2025 | Obligations des fournisseurs de GPAI (documentation technique, transparence sur les données d'entraînement, coopération avec les autorités) | Fournisseurs de modèles d'IA à usage général (LLM, outils de génération d'images, etc.) | Jusqu'à 15 millions d'euros ou 3 % du CA mondial | Article 53 et 71 AI Act |
| 2 août 2026 | Transparence (article 50) : signaler les chatbots, marquer les contenus générés par IA, étiqueter les deepfakes Contrôles sur les fournisseurs de GPAI |
Toutes les entreprises utilisant des systèmes d'IA générative ou conversationnelle Fournisseurs de GPAI |
Jusqu'à 15 millions d'euros ou 3 % du CA mondial | Article 50 et 71 AI Act |
| 2 décembre 2027 | Obligations pour les systèmes à haut risque autonomes (évaluation des risques, documentation technique, traçabilité, cybersécurité, supervision humaine) | Entreprises utilisant des systèmes d'IA dans le recrutement, la notation de crédit, l'éducation, la biométrie | Jusqu'à 35 millions d'euros ou 7 % du CA mondial | Annexe III et article 71 AI Act |
| 2 août 2028 | Obligations pour les systèmes à haut risque intégrés à des produits réglementés | Entreprises fabriquant ou utilisant des dispositifs médicaux, jouets connectés, machines intégrant de l'IA | Jusqu'à 35 millions d'euros ou 7 % du CA mondial | Annexe III et article 71 AI Act |
Que faire dès maintenant pour se préparer ?
Même si certaines obligations ne s'appliquent qu'en 2027 ou 2028, il est crucial de commencer dès maintenant à préparer votre entreprise. Voici les étapes à suivre :
1. Auditer vos systèmes d'IA
Identifiez tous les systèmes d'IA utilisés dans votre entreprise, qu'ils soient développés en interne ou fournis par des prestataires. Pour chacun d'eux, posez-vous les questions suivantes :
- Ce système est-il soumis aux obligations de transparence de l'article 50 ?
- Est-il considéré comme un système à haut risque (annexe III) ?
- Est-il intégré à un produit déjà réglementé (dispositif médical, jouet connecté, etc.) ?
- Quelles données sont utilisées pour l'entraîner, et ces données sont-elles licites ?
Cet audit vous permettra de prioriser vos actions et d'identifier les risques potentiels.
2. Mettre en place les mesures de transparence
Si vous utilisez des chatbots, des outils de génération de contenu ou des systèmes d'IA conversationnelle, vous devez dès maintenant :
- Ajouter une mention claire indiquant que l'utilisateur dialogue avec une IA ;
- Marquer les contenus générés par IA de manière lisible par machine (par exemple, en utilisant des métadonnées ou des filigranes numériques) ;
- Étiqueter les deepfakes, surtout s'ils représentent des personnes réelles ou des situations sensibles.
Ces mesures sont simples à mettre en œuvre et vous éviteront des sanctions coûteuses.
3. Documenter vos processus
Pour les systèmes à haut risque, commencez dès maintenant à documenter vos processus :
- Évaluation des risques : identifiez les risques potentiels pour les droits fondamentaux et les mesures mises en place pour les atténuer ;
- Documentation technique : décrivez le fonctionnement du système, les données utilisées et les mesures de sécurité ;
- Traçabilité : assurez-vous que les données utilisées pour entraîner le système sont licites et traçables ;
- Cybersécurité : mettez en place des mesures de protection contre les cyberattaques et les fuites de données.
Cette documentation sera indispensable pour prouver votre conformité lorsque les obligations sur les systèmes à haut risque entreront en vigueur.
4. Former vos équipes
La conformité à l'AI Act ne concerne pas seulement les équipes techniques : elle implique aussi les équipes juridiques, marketing, RH et direction. Organisez des formations pour sensibiliser vos collaborateurs aux enjeux de l'AI Act et aux bonnes pratiques à adopter.
5. Anticiper les contrôles
Les autorités de régulation, comme la CNIL en France, vont progressivement renforcer leurs contrôles sur les systèmes d'IA. Pour vous préparer :
- Tenez à jour un registre des traitements incluant vos systèmes d'IA (obligation issue du RGPD, article 30) ;
- Documentez vos analyses d'impact (PIA) pour les systèmes à haut risque ;
- Prévoyez des mécanismes de signalement pour les utilisateurs qui estimeraient que leurs droits ne sont pas respectés.
Pour aller plus loin sur les obligations du RGPD en matière de registre des traitements, consultez notre article Durées de Conservation des Données : Le Tableau Complet par Type de Document.
Le double risque RGPD + AI Act
L'AI Act ne remplace pas le RGPD : il s'ajoute à lui. Une même pratique peut donc entraîner des sanctions des deux côtés. Par exemple :
- Si vous utilisez des données personnelles pour entraîner un système d'IA sans base légale, vous risquez une sanction RGPD (jusqu'à 20 millions d'euros ou 4 % du CA mondial) et une sanction AI Act (jusqu'à 15 millions d'euros ou 3 % du CA mondial) ;
- Si vous ne respectez pas les obligations de transparence de l'article 50, vous risquez une sanction AI Act, mais aussi une sanction RGPD si cette transparence concerne des données personnelles.
Pour éviter ce double risque, intégrez le Privacy by Design dès la conception de vos systèmes d'IA. Cela signifie :
- Minimiser la collecte de données personnelles ;
- Anonymiser ou pseudonymiser les données lorsque c'est possible ;
- Documenter vos analyses d'impact (PIA) pour les systèmes à haut risque ;
- Mettre en place des mécanismes de transparence et de contrôle pour les utilisateurs.
Pour en savoir plus sur les risques de double sanction, lisez notre article RGPD et AI Act : la double sanction qui guette les entreprises qui utilisent l'IA.
Questions fréquentes
Mon entreprise utilise un chatbot pour le service client. Que dois-je faire depuis le 2 août 2026 ?
Depuis le 2 août 2026, vous devez informer clairement vos utilisateurs qu'ils dialoguent avec une IA. Cela peut se faire via un message visible dès le début de l'interaction (« Vous discutez avec un assistant IA ») ou une mention dans les conditions d'utilisation. Vous devez également vous assurer que les réponses générées par le chatbot sont identifiables comme telles, par exemple en ajoutant une mention du type « Réponse générée par IA ».
Je développe un outil de recrutement automatisé. Quand serai-je concerné par l'AI Act ?
Les outils de recrutement automatisé sont considérés comme des systèmes à haut risque par l'AI Act. Ils seront concernés à partir du 2 décembre 2027. D'ici là, vous devez commencer à documenter votre système (évaluation des risques, documentation technique, traçabilité des données) et mettre en place des mesures de cybersécurité et de supervision humaine.
Qu'est-ce qu'un modèle d'IA à usage général (GPAI) ?
Un modèle d'IA à usage général (GPAI, pour General-Purpose AI) est un modèle capable d'effectuer une large gamme de tâches, comme les grands modèles de langage (LLM) ou les outils de génération d'images. Les fournisseurs de GPAI sont soumis à des obligations spécifiques depuis le 2 août 2025 (documentation technique, transparence sur les données d'entraînement) et à des pouvoirs de contrôle renforcés depuis le 2 août 2026.
Comment marquer un contenu généré par IA de manière lisible par machine ?
Pour marquer un contenu généré par IA de manière lisible par machine, vous pouvez utiliser des métadonnées ou des filigranes numériques. Par exemple, vous pouvez ajouter une balise dans le code HTML de votre site (« <meta name="ai-generated" content="true"> ») ou utiliser des outils comme le Content Credentials de Adobe, qui permettent d'ajouter une signature numérique invisible aux images et vidéos générées par IA.
Quels sont les risques si je ne respecte pas les obligations de l'AI Act ?
Les sanctions en cas de manquement aux obligations de l'AI Act peuvent être très lourdes : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites ou les systèmes à haut risque, et jusqu'à 15 millions d'euros ou 3 % du CA mondial pour les manquements à la transparence ou aux obligations des fournisseurs de GPAI. En outre, une même pratique peut entraîner des sanctions à la fois de l'AI Act et du RGPD, ce qui augmente encore les risques financiers.
Comment la CNIL contrôle-t-elle le respect de l'AI Act en France ?
En France, la CNIL est l'autorité compétente pour contrôler le respect de l'AI Act. Elle peut mener des enquêtes, demander des documents et infliger des sanctions en cas de manquement. La CNIL travaille en collaboration avec les autres autorités européennes pour harmoniser les contrôles et les sanctions. Pour vous préparer, consultez régulièrement les recommandations de la CNIL et tenez à jour votre registre des traitements.
Mon entreprise est une PME. Suis-je concerné par l'AI Act ?
Oui, l'AI Act s'applique à toutes les entreprises, quelle que soit leur taille, dès lors qu'elles utilisent des systèmes d'IA. Cependant, les PME bénéficient de certaines flexibilités, comme des délais supplémentaires pour se conformer ou des obligations allégées pour les systèmes à faible risque. Pour savoir quelles obligations s'appliquent à votre entreprise, commencez par auditer vos systèmes d'IA et identifiez ceux qui sont soumis à des règles spécifiques.
Où puis-je trouver les textes officiels de l'AI Act ?
Le texte officiel de l'AI Act est disponible sur le site de l'Union européenne : Règlement (UE) 2024/1689. Vous y trouverez également les annexes, qui listent les systèmes à haut risque et les pratiques interdites. Pour des explications plus accessibles, consultez les recommandations de la CNIL ou les guides publiés par la Commission européenne.
Recevez la checklist de conformité RGPD (12 points)
La liste complète des éléments à vérifier sur votre site, point par point, pour vous mettre en conformité. Envoi immédiat par e-mail.
Jérémy Pierre
Expert en conformité RGPD, Jérémy accompagne les sites et agences dans la mise en conformité de leurs traitements de données depuis le lancement de RGPDKit.
Rédaction assistée par IA. Cet article a été préparé avec l’aide d’outils d’intelligence artificielle, à partir de sources juridiques publiques (textes officiels, délibérations de la CNIL), puis relu avant publication. Les références citées peuvent être vérifiées directement auprès des sources indiquées. Il ne constitue pas un conseil juridique personnalisé.