IA Act Europe 2026 : obligations, risques et amendes pour les entreprises

Le règlement européen sur l'intelligence artificielle, qu'on appelle couramment AI Act, est le premier cadre législatif mondial entièrement consacré à l'IA. Entré en vigueur le 1^er août 2024, il s'applique par paliers, et c'est bien là que les choses se compliquent : une partie des obligations tourne déjà depuis 2025, une autre vient d'arriver, une troisième a été repoussée. L'omnibus numérique, entré en vigueur le 27 juillet 2026, a en effet reporté les règles les plus lourdes, celles sur les systèmes à haut risque, au 2 décembre 2027 pour les domaines sensibles et au 2 août 2028 pour l'IA intégrée à des produits réglementés. Voici ce que votre entreprise doit faire, et surtout à quel moment.

Calendrier de mise en conformité, à jour de l'omnibus IA

Attention au calendrier que l'on trouve encore un peu partout en ligne : plusieurs échéances ont changé avec l'omnibus. Voici la version à jour.

Fournisseur, déployeur, importateur : qui fait quoi

Le règlement distingue plusieurs rôles, et c'est souvent là que les entreprises se perdent un peu. Le fournisseur conçoit le système et le met sur le marché européen : documentation technique et évaluation de conformité lui incombent. Le déployeur, c'est vous dès que vous utilisez un système d'IA dans votre activité professionnelle, qu'il s'agisse d'un outil de tri de CV, d'un scoring de crédit ou d'un logiciel de surveillance des salariés. Et quand le fournisseur est établi hors de l'Union, l'importateur qui place le produit sur le marché européen doit vérifier, avant toute mise en service, que l'évaluation de conformité a eu lieu, que la documentation existe, que le marquage CE est apposé et qu'un mandataire a été désigné dans l'Union. Un rôle encore mal connu, mais déterminant pour les PME qui achètent des solutions IA conçues hors d'Europe.

Les 4 niveaux de risque de l'AI Act

• Risque inacceptable — interdit depuis février 2025 : notation sociale, manipulation psychologique, identification biométrique à distance en temps réel dans l'espace public à des fins répressives (sauf exceptions encadrées).
• Haut risque — obligations strictes de documentation, supervision humaine et traçabilité : recrutement algorithmique, scoring de crédit, éducation, infrastructures critiques, justice.
• Risque limité — obligation de transparence : un chatbot ou un contenu généré par IA doit être identifiable comme tel.
• Risque minimal — aucune obligation spécifique : filtres anti-spam, IA embarquée dans un jeu vidéo.

Chatbots et IA générative : la transparence avant tout

Les outils grand public comme ChatGPT, Gemini ou Copilot relèvent en général du risque limité lorsqu'ils servent à de la rédaction, du support client de premier niveau ou de l'assistance au code. Tout bascule dès qu'ils interviennent dans une décision touchant un domaine sensible comme le crédit ou le recrutement : c'est alors le haut risque qui s'applique, avec ses obligations renforcées. L'obligation centrale pour le risque limité, en vigueur depuis le 2 août 2026, se résume simplement : informer clairement les utilisateurs qu'ils interagissent avec une IA, et rendre identifiables les contenus qu'elle génère. Si votre entreprise a déployé ChatGPT en entreprise, c'est le moment de vérifier que cette mention figure dans vos interfaces et vos conditions d'usage internes. Pas de registre complexe à tenir à ce niveau de risque, mais une politique d'usage écrite reste la meilleure protection en cas de contrôle.

Systèmes à haut risque : les obligations du déployeur (article 26)

Le 2 décembre 2027 paraît lointain, mais les obligations de déployeur fixées par l'article 26 demandent une organisation qui ne se met pas en place en un trimestre :

• Utiliser le système conformément à sa notice : la documentation technique incombe au fournisseur, à vous de l'exiger et de respecter les conditions d'usage prévues.
• Confier la supervision humaine à des personnes compétentes, qui disposent de la formation, de l'autorité et des moyens nécessaires pour reprendre la main sur le système.
• Conserver les journaux générés automatiquement, dès qu'ils sont sous votre contrôle, pendant au moins six mois.
• Surveiller le fonctionnement du système au quotidien et signaler au fournisseur tout incident ou risque constaté.

Amendes : ce que coûte la non-conformité

L'article 99 prévoit trois paliers de sanctions. Jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites ; jusqu'à 15 M€ ou 3 % pour la plupart des autres manquements, notamment ceux liés au haut risque ; jusqu'à 7,5 M€ ou 1 % pour la fourniture d'informations inexactes aux autorités de surveillance. Pour une grande entreprise, c'est le montant le plus élevé des deux qui s'applique ; pour une PME ou une start-up, c'est l'inverse — le plus bas des deux seuils, montant fixe ou pourcentage du CA.

Votre plan de mise en conformité en 5 étapes

Mieux vaut avancer dès maintenant que de s'y pencher la veille de l'échéance :

1. Cartographier vos usages IA : listez tous les outils utilisés dans l'entreprise — recrutement, service client, finance, RH. Notre panorama des outils IA pour PME aide à repérer ceux qui tournent déjà sans supervision formelle.
2. Classer chaque système selon les quatre niveaux de risque décrits plus haut.
3. Prioriser les systèmes à haut risque : l'échéance est fixée au 2 décembre 2027, mais l'inventaire et les échanges avec les fournisseurs prennent des mois, pas des semaines.
4. Nommer un référent conformité IA — une bonne pratique, pas une obligation du règlement, mais elle évite que le sujet retombe entre deux chaises.
5. Documenter l'existant : fiche technique, fournisseur, données utilisées. Pour une vue d'ensemble de la démarche, notre guide pratique de l'IA en entreprise détaille les étapes côté PME.

Questions fréquentes

Sources : Commission européenne, cadre réglementaire de l'IA ; CNIL, questions-réponses sur le règlement IA ; règlement (UE) 2024/1689 sur EUR-Lex (articles 23, 26, 62 et 99) ; LeMagIT, schéma de gouvernance français.