AI Act 2026 : ce qui s'applique vraiment aux entreprises
Le règlement européen sur l'IA franchit une étape clé en 2026. Qui est concerné, quel calendrier, quelles sanctions et quoi faire, sans jargon juridique.
L'AI Act est le premier grand cadre au monde à encadrer l'intelligence artificielle. Entré en vigueur le 1er août 2024, il s'applique par paliers, et 2026 marque une échéance majeure. Voici l'essentiel, en clair, pour une entreprise qui utilise déjà l'IA au quotidien.
L'AI Act, c'est quoi en clair ?
L'AI Act (règlement UE 2024/1689) est une loi européenne qui encadre la façon dont on conçoit et utilise les systèmes d'IA dans l'Union. Son but n'est pas d'interdire l'IA, mais de la rendre sûre et digne de confiance : protéger les personnes, leurs droits fondamentaux et leurs données, tout en laissant l'innovation avancer.
Sa logique est simple : plus un usage de l'IA peut nuire, plus les obligations sont strictes. Un correcteur d'orthographe et un logiciel qui trie des candidatures ne sont pas traités de la même manière. C'est cette approche « par le risque » qui structure tout le texte.
Qui est concerné dans votre entreprise ?
Beaucoup de dirigeants pensent que la loi ne vise que les géants de la tech. C'est faux. Le règlement distingue plusieurs rôles, et deux vous concernent directement :
- Le fournisseur : celui qui développe ou fait développer un système d'IA et le met sur le marché sous son nom. Ce sont les obligations les plus lourdes.
- Le déployeur : celui qui utilise un système d'IA dans le cadre de son activité professionnelle. C'est le cas de la quasi-totalité des entreprises, dès qu'elles se servent d'un outil d'IA (chatbot, tri de CV, analyse de données…).
Autre point clé : la portée est extraterritoriale. Une entreprise hors UE est concernée dès lors que son système est utilisé, ou que ses résultats sont exploités, dans l'Union. Impossible d'y échapper en hébergeant l'outil ailleurs.
Une PME qui utilise des agents IA au bureau pour rédiger des e-mails ou résumer des réunions est un « déployeur » d'un usage à risque minimal : ses obligations restent légères. La même PME qui déploie un logiciel d'IA pour présélectionner des candidats bascule, elle, dans le « haut risque » — avec supervision humaine, information des personnes et traçabilité à la clé.
Les 4 niveaux de risque (et les usages interdits)
Le cœur de l'AI Act tient en quatre catégories. Situer chacun de vos usages dans l'une d'elles est la première chose à faire.
- Risque inacceptable : purement interdit. On y trouve la notation sociale des individus, la manipulation comportementale, la reconnaissance des émotions au travail ou à l'école, ou encore certaines formes de surveillance biométrique. Ces pratiques sont bannies depuis le début 2025.
- Haut risque : autorisé, mais très encadré. Il vise l'IA utilisée dans le recrutement, la gestion des salariés, l'accès au crédit, l'éducation, la santé ou les infrastructures critiques. Ce sont les obligations les plus exigeantes après celles des fournisseurs.
- Risque limité : soumis surtout à la transparence. Un chatbot doit indiquer que l'on parle à une machine, et les contenus générés par IA (texte, image, audio, vidéo) doivent être signalés comme tels (article 50).
- Risque minimal : la grande majorité des usages courants (rédaction, image, productivité). Aucune obligation spécifique, au-delà des règles déjà existantes comme le RGPD.
Si vous utilisez de l'IA générative comme ChatGPT ou Le Chat de Mistral pour produire des contenus publics, prenez l'habitude d'indiquer clairement quand un texte ou une image a été généré par IA. C'est l'obligation de transparence la plus simple à mettre en place, et elle rassure aussi vos lecteurs.
Le calendrier 2026 : ce qui s'applique, et les sanctions
L'AI Act se déploie par étapes. Les usages interdits sont bannis depuis début 2025, et les premières règles sur les modèles d'IA à usage général ont suivi. La grande bascule intervient à partir d'août 2026 : c'est le moment où la plus grande partie du règlement devient pleinement applicable, notamment les obligations de transparence.
Un point à surveiller de près : un « paquet Omnibus numérique » est en discussion à Bruxelles. Il pourrait décaler certaines obligations « haut risque » vers fin 2027 pour laisser aux entreprises le temps de s'adapter. Rien n'est définitif à ce stade : ne relâchez pas votre préparation en comptant sur un report.
Côté sanctions, elles sont dissuasives. Les manquements les plus graves (usages interdits) peuvent coûter plusieurs dizaines de millions d'euros, ou un pourcentage du chiffre d'affaires mondial — jusqu'à 7 % selon la nature de l'infraction, le montant le plus élevé étant retenu. Les autres manquements exposent à des amendes plus faibles, mais réelles.
Que faire concrètement dès maintenant ?
Pas besoin d'un service juridique dédié pour démarrer. La conformité commence par un travail de recensement, à la portée de toute organisation. Voici une checklist de départ :
- Cartographier tous les systèmes d'IA utilisés, y compris les outils gratuits adoptés spontanément par les équipes.
- Classer chaque usage dans l'un des quatre niveaux de risque.
- Vérifier la transparence : les chatbots et contenus générés sont-ils signalés comme tels ?
- Documenter les usages sensibles : à quoi sert le système, quelles données il traite, qui le supervise.
- Former les équipes : la « littératie IA » (comprendre ce que fait l'outil et ses limites) est attendue de tous les acteurs.
- Nommer un référent IA en interne pour suivre les échéances et centraliser les décisions.
Commencez petit : une simple feuille de calcul listant vos outils d'IA, leur usage et leur niveau de risque suffit à y voir clair. C'est aussi le meilleur point de départ pour choisir des solutions adaptées — par exemple une IA française comme Nation AI quand la localisation des données et le contexte européen comptent pour votre activité.
L'AI Act n'est pas un mur, c'est un cadre. Pour la plupart des entreprises, l'essentiel se joue en 2026 sur trois réflexes : savoir quels outils on utilise, à quel niveau de risque, et jouer la transparence. Le reste se construit progressivement.
