AI Act : le guide complet pour les entreprises (2026)

L’AI Act est le règlement européen sur l’IA, le règlement (UE) 2024/1689, qui s’applique par étapes depuis 2025. Si vos équipes utilisent ChatGPT, Copilot ou un autre outil d’IA, votre entreprise est concernée, en tant que déployeur. Trois sujets vous touchent déjà : la maîtrise de l’IA de vos équipes, les pratiques interdites et la transparence. Le haut risque est reporté à 2027 et 2028.

À jour au 18 octobre 2026, après le Digital Omnibus de juillet 2026.

L’essentiel

• La plupart des entreprises sont des déployeurs (elles utilisent des outils d’IA), pas des fournisseurs.
• Déjà applicable : les interdictions et l’article 4 depuis le 2 février 2025, la transparence (article 50) depuis le 2 août 2026.
• Reporté par l’Omnibus : le haut risque, au 2 décembre 2027 (annexe III, dont les RH) et au 2 août 2028 (annexe I).
• L’article 4 n’a pas de palier d’amende propre, et aucune amende au titre de l’AI Act n’a été rendue publique à ce jour.
• En France, aucune autorité n’est encore désignée par la loi.

L’AI Act, c’est quoi ?

L’AI Act est un règlement de l’Union européenne qui encadre les systèmes d’IA selon leur niveau de risque. Adopté le 13 juin 2024, publié au Journal officiel le 12 juillet 2024 et en vigueur depuis le 1er août 2024, il s’applique directement dans tous les États membres, sans loi de transposition. La CNIL le nomme « RIA ».

Selon l’article 3(1), un système d’IA est un système automatisé qui « déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions ». ChatGPT, Copilot ou un outil de tri de CV en sont.

Ce que l’AI Act n’est pas

Ce n’est pas une interdiction de l’IA générative : seules des pratiques précises sont interdites. Il ne remplace pas le RGPD, comme le rappelle la CNIL.

Qui est concerné : fournisseur ou déployeur ?

Le règlement vise les entreprises établies dans l’Union qui utilisent un système d’IA à titre professionnel, et les fournisseurs qui le mettent sur le marché européen, même établis aux États-Unis (article 2(1)).

Le déployeur, c’est l’entreprise, pas le salarié qui utilise l’outil.

Quand on devient fournisseur sans le savoir

Trois cas, qui relèvent de l’interprétation : faites-les valider par votre DPO ou juriste.

• Un chatbot bâti sur une API et proposé sous votre marque fait de vous, en principe, le fournisseur de ce système (article 3(3)).
• Changer la destination d’un outil généraliste pour un usage de l’annexe III, par exemple classer des candidats, peut vous rendre fournisseur d’un système à haut risque (article 25(1), point c).
• Selon les lignes directrices de la Commission du 18 juillet 2025, modifier un modèle avec plus du tiers de la puissance de calcul de son entraînement d’origine fait de vous un fournisseur de modèle (critère indicatif).

Les niveaux de risque de l’AI Act

La Commission distingue quatre niveaux : risque inacceptable (pratiques interdites), haut risque (très encadré), risque lié à la transparence (information obligatoire) et risque minimal (aucune règle propre). Les modèles d’IA à usage général relèvent d’un régime à part.

Pratiques interdites (article 5, depuis le 2 février 2025)

Les plus pertinentes pour une entreprise :

• inférer les émotions d’une personne sur son lieu de travail, sauf raisons médicales ou de sécurité ;
• la notation sociale qui entraîne un traitement défavorable ;
• les techniques manipulatrices et l’exploitation de vulnérabilités ;
• la catégorisation biométrique pour déduire l’origine raciale, des opinions politiques, une appartenance syndicale, une religion ou une orientation sexuelle ;
• la collecte non ciblée d’images de visages pour constituer des bases de reconnaissance faciale.

Les lignes directrices de la Commission sur les pratiques interdites (4 février 2025) donnent un exemple : un centre d’appels qui suit par webcam et reconnaissance vocale les émotions de ses salariés, comme la colère. Analyser celles des clients n’est pas visé par cette interdiction.

À partir du 2 décembre 2026, l’Omnibus ajoute les systèmes qui produisent des images, vidéos ou sons réalistes à caractère sexuel d’une personne identifiable sans son consentement (« nudification ») et ceux qui génèrent des contenus pédocriminels. Un générateur d’images généraliste n’est pas interdit en tant que tel : pour un déployeur, seul l’usage à cette fin l’est.

Haut risque (articles 6 et suivants)

Deux voies y mènent : les composants de sécurité de produits réglementés (annexe I : machines, jouets, dispositifs médicaux) et les usages de l’annexe III, qui couvre notamment l’éducation, l’emploi et la gestion des travailleurs, et l’accès à des services essentiels comme le crédit. Un système de l’annexe III qui profile des personnes est toujours à haut risque (article 6(3)).

Les fournisseurs portent l’essentiel des exigences (article 16). Le déployeur doit, à partir du 2 décembre 2027 (article 26) :

• utiliser le système selon sa notice, sous surveillance humaine de personnes compétentes ;
• conserver les journaux au moins six mois ;
• informer les salariés et leurs représentants avant la mise en service au travail ;
• informer les personnes visées par une décision du système.

Les lignes directrices de classification restent un projet de la Commission du 19 mai 2026.

Transparence (article 50, depuis le 2 août 2026)

L’article 50 vise quatre situations :

• les systèmes qui interagissent avec des personnes (chatbots) : elles doivent savoir qu’elles parlent à une IA (50(1), fournisseurs) ;
• les contenus générés par IA, à marquer dans un format lisible par machine (50(2), fournisseurs) ;
• la reconnaissance des émotions et la catégorisation biométrique, à signaler aux personnes exposées (50(3), déployeurs) ;
• les deepfakes, et les textes d’intérêt public publiés sans examen humain ni contrôle éditorial, à signaler (50(4), déployeurs).

Rien dans cet article n’oblige une équipe qui utilise ChatGPT en interne à le déclarer. Les systèmes mis sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour le marquage (article 111(4)). Pour le détail : les lignes directrices de la Commission sur l’article 50 (20 juillet 2026) et le code de bonnes pratiques sur les contenus générés par IA (10 juin 2026, volontaire).

Risque minimal

Filtres anti-spam, jeux vidéo : aucune règle propre, mais l’article 4 s’applique.

Modèles d’IA à usage général

Depuis le 2 août 2025, les fournisseurs de modèles (OpenAI, Mistral AI, Anthropic, Google, Meta) doivent documenter leur modèle, respecter le droit d’auteur et publier un résumé des données d’entraînement (article 53). Ces obligations ne sont pas les vôtres : demandez la documentation. Le code de bonnes pratiques de juillet 2025 est signé notamment par Mistral AI, OpenAI, Microsoft, Google et Anthropic, pas par Meta (liste au 7 octobre 2026).

L’article 4 : la maîtrise de l’IA, l’obligation qui concerne tout le monde

C’est une obligation légale depuis le 2 février 2025, quelle que soit la taille de l’entreprise. Depuis le 27 juillet 2026 (règlement (UE) 2026/1744), l’article 4 dispose que les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte ». Il ajoute : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »

L’ancienne formule exigeait de « garantir, dans toute la mesure du possible, un niveau suffisant » de maîtrise. L’obligation demeure, mais c’est une obligation de moyens. Selon les questions-réponses de la Commission (27 juillet 2026), une entreprise dont les équipes utilisent ChatGPT pour des textes publicitaires ou des traductions est concernée et doit les informer des risques, comme les hallucinations.

Une mesure peut être une formation par métier, des consignes d’usage, une charte IA ou un cours comme « L’AI Act en 5 minutes » du programme Essentiels de Tokko. Aucun nombre d’heures n’est fixé.

Prouver ses mesures

La Commission précise qu’aucun certificat n’est nécessaire : l’organisation peut tenir un registre interne des formations et autres actions d’accompagnement. Bonne pratique : notez qui a suivi quoi, quand, et pourquoi ce contenu correspondait à son rôle. Tokko produit ce suivi dans un rapport de formation article 4.

Le calendrier après le Digital Omnibus

Le Digital Omnibus a repoussé les règles sur le haut risque et réécrit l’article 4. C’est le règlement (UE) 2026/1744, signé le 8 juillet 2026, publié au Journal officiel le 24 juillet et en vigueur depuis le 27 juillet 2026.

Le haut risque, prévu d’abord en août 2026 et août 2027, est décalé de plus d’un an. L’Omnibus confie aussi au Bureau de l’IA de la Commission les systèmes bâtis sur un modèle à usage général par le fournisseur de ce modèle, sauf exceptions (article 75(1)). L’entreprise qui utilise un tel chatbot reste, comme déployeur, sous le contrôle des autorités nationales.

Sanctions : ce que vous risquez

L’article 99 prévoit trois paliers. Le plus haut, pour une pratique interdite, va jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial ; à chaque palier, le montant le plus élevé est retenu.

PME et petites entreprises à moyenne capitalisation

Pour une PME, y compris une jeune pousse, le montant le plus bas s’applique, à chaque palier (article 99(6)). L’Omnibus étend ce principe aux « petites entreprises à moyenne capitalisation » (non-PME de moins de 750 personnes, au plus 150 millions d’euros de chiffre d’affaires ou 129 millions de bilan, selon la recommandation (UE) 2025/1099), mais seulement pour les paliers à 3 % et 1 % (article 99(6 bis)).

Et pour l’article 4 ?

Chaque État membre fixe son régime de sanctions, qui peut comprendre des avertissements et des mesures non monétaires (article 99(1)). Selon la Commission, une sanction pourrait être plus probable s’il est prouvé qu’un incident est dû à un manque de formation et d’encadrement adaptés. À notre connaissance, aucune amende au titre de l’AI Act n’a été rendue publique au 18 octobre 2026.

Qui contrôle l’AI Act en France ?

Au 18 octobre 2026, aucune autorité n’est désignée par la loi en France. Le règlement confie le contrôle, depuis août 2026, aux autorités nationales de surveillance du marché.

La désignation passe par le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (DDADUE). Adopté par le Sénat le 18 février 2026, il est à l’Assemblée nationale, dont le dossier n’affiche aucune étape après le 23 avril 2026 (vérifié le 18 octobre). Le texte peut encore changer.

Le texte du Sénat confie l’essentiel du contrôle à la CNIL, notamment pour l’IA en RH, avec la DGCCRF, l’Arcom et l’ACPR. L’Allemagne, elle, a confié un rôle central à la Bundesnetzagentur par une loi entrée en vigueur le 29 juillet 2026. En attendant, vos obligations s’appliquent déjà, et la CNIL contrôle déjà le volet RGPD.

Recrutement et RH : deux calendriers à ne pas confondre

Le tri des candidatures, l’évaluation des candidats ou des performances figurent à l’annexe III, point 4 : à haut risque à partir du 2 décembre 2027, date aussi de l’obligation d’informer les représentants des travailleurs (article 26(7)).

Le droit français, lui, s’applique maintenant. L’article L2312-8 du Code du travail impose de consulter le CSE (entreprises de 50 salariés et plus) sur l’introduction de nouvelles technologies. Selon une synthèse publiée par Village de la Justice, le tribunal judiciaire de Nanterre a suspendu en référé, le 14 février 2025, des outils d’IA tant que le CSE n’était pas consulté : le « pilote » valait déjà mise en œuvre. Le tribunal judiciaire de Paris a en revanche annulé en référé, le 10 février 2026, la désignation d’un expert par le CSE pour un test volontaire de Copilot sans effet démontré sur le travail. Le RGPD s’applique aussi (article 22, analyse d’impact).

Vos outils, vos obligations

Des cas courants, à qualifier avec votre DPO ou juriste : ce tableau n’est pas un avis juridique.

Checklist : ce que votre entreprise doit faire maintenant

Chaque étape indique son statut. Cette checklist n’est pas un avis juridique.

1. Inventoriez vos outils et usages d’IA, y compris les fonctions IA des logiciels et le shadow AI. Recommandation.
2. Qualifiez votre rôle (déployeur ou fournisseur) et le niveau de risque de chaque outil. Recommandation.
3. Vérifiez qu’aucun usage ne relève de l’article 5, et arrêtez-le sinon. Obligation légale, depuis le 2 février 2025.
4. Prenez des mesures de maîtrise de l’IA adaptées aux rôles. Obligation légale (article 4), depuis le 2 février 2025 ; les documenter est une recommandation. Vous pouvez jouer un cours Tokko de 5 minutes sans inscription.
5. Encadrez les usages : outils autorisés, données interdites, vérification des résultats. Recommandation : rédigez une charte IA.
6. Traitez la transparence : chatbot client, deepfakes, textes d’intérêt public. Obligation légale (article 50), depuis le 2 août 2026.
7. Appliquez le RGPD : contrats de sous-traitance, analyse d’impact pour les usages à risque. Obligation légale.
8. Préparez les outils RH et autres cas de l’annexe III : documentation des éditeurs, contrôle humain, information des salariés. Obligation légale au 2 décembre 2027 ; CSE et RGPD dès maintenant.
9. Nommez un responsable (DPO, référent IA) et une date de revue. Recommandation.
10. Suivez les textes : lignes directrices sur le haut risque, loi française de désignation. Recommandation.

Ce que vous pouvez faire dès cette semaine

Commencez par les étapes 1, 3 et 4. Pour un cas précis, la Commission propose un Compliance Checker. Pour une petite équipe, Tokko est gratuit jusqu’à 5 personnes.

À jour au 18 octobre 2026. Cet article est informatif et ne remplace pas un conseil juridique.

Questions fréquentes

L’AI Act (parfois écrit IA Act) est-il déjà en vigueur ?

Oui, depuis le 1er août 2024, par étapes : interdictions et article 4 en février 2025, transparence en août 2026. Seul le haut risque attend décembre 2027 ou août 2028.

Mon entreprise utilise ChatGPT ou Copilot : sommes-nous concernés ?

Oui, comme déployeur : mesures de maîtrise de l’IA (article 4) et respect des interdictions. L’article 50 ne joue que dans des cas précis, comme un deepfake publié ou un chatbot client.

La formation à l’IA est-elle obligatoire ?

L’article 4 impose de prendre des mesures, pas de garantir un niveau. Ni certificat ni nombre d’heures : la Commission indique qu’un registre interne des formations permet de les documenter.

Quelle autorité contrôle l’AI Act en France ?

Au 18 octobre 2026, aucune n’est désignée par la loi. Le projet de loi adopté par le Sénat en février 2026 confie l’essentiel à la CNIL, avec la DGCCRF, l’Arcom et l’ACPR ; l’Assemblée nationale ne l’a pas encore examiné.

L’AI Act remplace-t-il le RGPD ?

Non, les deux s’appliquent ensemble. Un outil d’IA qui traite des données personnelles reste soumis au RGPD, par exemple à une analyse d’impact pour le recrutement.