Votre DRH teste un outil de tri de candidatures. Votre équipe marketing génère des visuels. Un agent conversationnel répond à vos clients depuis six mois. Aucune de ces trois équipes ne dirait qu’elle « fait de l’IA ». Les trois sont pourtant dans le champ du règlement européen sur l’intelligence artificielle.
Et depuis le 2 août 2026, deux d’entre elles ont des obligations exigibles.
Le report que tout le monde a mal lu
Le règlement (UE) 2026/1744, adopté le 8 juillet 2026 et entré en vigueur le 27 juillet, a déplacé une échéance que beaucoup d’entreprises avaient inscrite au calendrier : les exigences applicables aux systèmes d’IA à haut risque de l’annexe III passent du 2 août 2026 au 2 décembre 2027. Celles des systèmes intégrés à des produits déjà réglementés, annexe I, glissent au 2 août 2028.
La phrase qui circule depuis — « l’AI Act est reporté » — est fausse, et elle coûtera cher à ceux qui s’y fient. Ce qui a bougé, c’est un bloc d’obligations. Pas la date générale d’application du règlement (UE) 2024/1689, qui reste bien le 2 août 2026, sanctions comprises.
Quatre niveaux de risque, une seule question à se poser
Le règlement ne classe pas les technologies. Il classe les usages. C’est la nuance que la plupart des comités de direction manquent, et elle change tout : le même modèle de langage peut relever de trois régimes différents selon ce qu’on lui fait faire.
- Risque inacceptable — pratiques interdites, quel que soit le contexte. Notation sociale, exploitation des vulnérabilités, reconnaissance des émotions sur le lieu de travail, moissonnage non ciblé d’images faciales. Applicable depuis le 2 février 2025.
- Haut risque — recrutement, gestion des salariés, accès au crédit et à l’assurance, éducation, biométrie, justice. Le régime le plus exigeant, désormais applicable au 2 décembre 2027.
- Risque limité — obligations de transparence. C’est ici que se trouvent vos chatbots et vos contenus générés.
- Risque minimal — le reste, sans obligation spécifique.
Avant toute chose, votre question n’est donc pas « faut-il se mettre en conformité ? » mais « où tombe chacun de nos usages ? ». Sans cette cartographie, aucune décision n’est possible.
Ce qui vous oblige aujourd’hui, même sans système à haut risque
Trois blocs sont exigibles maintenant, et ils concernent la quasi-totalité des organisations.
La transparence, article 50. Une personne qui interagit avec un système d’IA doit le savoir. Les contenus synthétiques doivent porter un marquage lisible par machine. Les hypertrucages doivent être signalés. Un système de reconnaissance des émotions impose d’informer les personnes exposées. Applicable au 2 août 2026, sans report — un aménagement transitoire jusqu’au 2 décembre 2026 existe uniquement pour le marquage des systèmes déjà commercialisés avant cette date.
Les pratiques interdites, article 5. En vigueur depuis février 2025. Le sujet paraît lointain jusqu’au jour où l’on découvre qu’un outil de « mesure de l’engagement » installé en salle de formation fait de la reconnaissance d’émotions.
La compétence de vos équipes, article 4. Fournisseurs et déployeurs doivent prendre des mesures pour développer la maîtrise de l’IA chez les personnes qui l’utilisent. Le règlement de juillet 2026 a assoupli la formulation — on est passé d’une obligation de garantir un niveau à une obligation de moyens. Cela n’efface pas l’obligation : cela déplace la charge sur la preuve des mesures prises. Une politique de formation datée et documentée reste la seule réponse défendable devant un contrôle.
Fournisseur ou déployeur : la distinction qui commande tout le reste
Le règlement ne traite pas de la même façon celui qui met un système sur le marché et celui qui s’en sert. La plupart des entreprises françaises sont des déployeurs, et beaucoup l’ignorent encore.
Le fournisseur porte l’essentiel de la charge : gestion des risques, gouvernance des données d’entraînement, documentation technique, journalisation, contrôle humain, robustesse, marquage CE, enregistrement. Le déployeur, lui, doit utiliser le système conformément à sa notice, confier la supervision humaine à des personnes formées, maîtriser les données qu’il injecte, conserver les journaux, informer les salariés et leurs représentants avant tout déploiement sur le lieu de travail, et informer les personnes concernées par une décision individuelle.
Attention au basculement : modifier substantiellement un système, ou le commercialiser sous votre marque, vous fait changer de rôle. Vous devenez fournisseur, avec toutes les obligations correspondantes. C’est le piège le plus fréquent dans les projets d’outils internes développés sur un modèle du marché.
Le montant des sanctions n’est pas le vrai sujet
Le régime de sanctions du chapitre XII est pleinement opérationnel depuis le 2 août 2026 : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour la plupart des autres manquements, 7,5 millions ou 1 % pour des informations inexactes transmises aux autorités. Le règlement de juillet 2026 a introduit un plafond plus favorable pour les PME et les petites entreprises de taille intermédiaire, calculé sur le plus faible des deux montants.
Ces chiffres circulent partout. Ils occultent l’essentiel : ce que vous risquez d’abord, c’est de devoir arrêter un outil en production parce que personne ne peut démontrer comment il décide.
Deux nouvelles interdictions au 2 décembre 2026
Le texte de juillet 2026 n’a pas fait qu’alléger. Il ajoute à la liste des pratiques interdites la génération de contenus intimes non consentis et les matériels d’abus sexuels sur mineurs, au palier de sanction le plus élevé. Pour un fournisseur, l’infraction ne suppose pas l’intention : elle peut être caractérisée si la conception du système rend ce résultat raisonnablement prévisible et qu’aucun garde-fou sérieux n’a été mis en place. Si vous exposez un outil génératif d’images à vos clients ou à vos salariés, l’audit de vos filtres n’attend pas.
Seize mois, ce n’est pas un sursis
Le report des obligations haut risque au 2 décembre 2027 est fixe et inconditionnel : il ne dépend plus de la publication des normes harmonisées. Il n’y aura pas de deuxième report automatique.
Or seize mois, c’est à peu près le temps réel qu’exige la construction d’un système de gestion des risques, d’une gouvernance des données d’entraînement et d’une documentation technique qui tiennent devant un contrôle. Les organisations qui liront ce report comme une autorisation de suspendre leurs travaux se retrouveront en décembre 2027 exactement là où elles étaient cet été — face à des autorités cette fois outillées.
Le maillon faible est rarement juridique
Nous voyons la même scène se répéter en intra. Le service juridique a lu le règlement. La DSI a cartographié les outils. Et entre les deux, personne ne sait dire si l’assistant utilisé quotidiennement par trente collaborateurs relève de l’article 50, ni qui doit décider. Le texte est compris ; il n’est pas traduit en gestes de travail.
C’est précisément l’écart que vise l’article 4. Une politique de conformité IA sans montée en compétence des utilisateurs produit un classeur, pas une preuve.
La prochaine étape
Commencez par un inventaire honnête : quels systèmes d’IA sont réellement en service chez vous, y compris ceux que personne n’a déclarés. Qualifiez chaque usage. Identifiez votre rôle sur chacun. Documentez ce que vous décidez et à quelle date. Ces quatre gestes ne dépendent d’aucune norme à paraître, et ils conditionnent tout le reste.
Nos formations AI Act et Data Act : le nouveau cadre européen et Utiliser l’IA en entreprise sans enfreindre le RGPD traitent ce parcours sur vos propres outils. Les établissements financiers trouveront le volet supervision algorithmique dans Conformité bancaire et IA. L’ensemble du parcours est présenté sur notre page IA, digital responsable et transformation numérique.
Toutes sont adaptables en intra, avec la traçabilité qu’un contrôle attend.