AI Act en pratique : les obligations des entreprises utilisant l’IA

Dès qu’il est question du règlement européen sur l’intelligence artificielle, une phrase revient vite : nous ne développons pas d’IA, nous nous contentons de l’utiliser, donc nous ne sommes pas concernés. C’est inexact. L’AI Act, officiellement le règlement sur l’intelligence artificielle, c’est-à-dire le règlement (UE) 2024/1689, répartit les obligations entre ceux qui développent des systèmes d’IA et ceux qui les utilisent. Les utilisateurs en ont moins, mais ils en ont.

Exemple type : le même modèle de langage peut rédiger une newsletter dans une entreprise, où s’applique surtout l’obligation de maîtrise de l’IA, et trier des candidats dans une autre, où le régime strict des systèmes à haut risque peut s’appliquer à partir du 2 décembre 2027. Les obligations que l’AI Act impose aux entreprises ne dépendent en effet pas de l’outil, mais de leur rôle et de la finalité de l’usage. Cet article décrit l’état du droit vérifié au 16 septembre 2026 et ne constitue pas un conseil juridique pour un cas particulier.

Pourquoi « nous ne développons pas d’IA » ne veut pas dire « nous ne sommes pas concernés »

La première source de confusion tient aux règles applicables aux modèles d’IA à usage général, c’est-à-dire les grands modèles sur lesquels reposent des applications comme ChatGPT. Ces règles visent les fournisseurs de modèles, mais selon la Commission, quiconque intègre un modèle dans son propre système d’IA, par exemple dans un chatbot de service client proposé sous sa marque, doit respecter les obligations correspondantes applicables aux systèmes d’IA.

La seconde tient à une définition souvent négligée. Le déployeur est toute personne qui utilise un système d’IA sous sa propre autorité, sauf dans le cadre d’une activité personnelle à caractère non professionnel : c’est donc en règle générale aussi le cas d’une entreprise dont les salariés utilisent l’IA dans leur travail. La situation est courante : selon Eurostat, parmi les entreprises de l’UE comptant 10 salariés ou plus, hors secteur financier, qui utilisaient l’IA en 2024, près de 58 % recouraient à des logiciels commerciaux prêts à l’emploi et un peu moins de 22 % à une IA développée par leurs propres salariés.

Ce qui s’applique au 16 septembre 2026, et depuis quand

L’AI Act est entré en vigueur le 1er août 2024 et s’applique progressivement. Son calendrier et certaines obligations ont été modifiés par le règlement (UE) 2026/1744, dit « omnibus numérique sur l’IA » (Digital Omnibus on AI), entré en vigueur le 27 juillet 2026. Il ne s’agit pas d’une proposition, mais d’un texte adopté et en vigueur. Les échéances pour les entreprises :

• 2 février 2025 : interdiction des pratiques inacceptables et obligation de maîtrise de l’IA, cette dernière dans une version assouplie depuis le 27 juillet 2026.
• 2 août 2025 : règles applicables aux fournisseurs de modèles d’IA à usage général.
• 2 août 2026 : règles de transparence et début du contrôle de l’application du règlement par les autorités des États membres et par le Bureau de l’IA de la Commission.
• 2 décembre 2026 : nouvelles interdictions visant l’IA qui produit du matériel relatif à des abus sexuels sur enfants ou des contenus intimes ou sexuellement explicites représentant une personne identifiable sans son consentement, et fin de la période transitoire accordée aux systèmes génératifs mis sur le marché avant le 2 août 2026 pour marquer leurs contenus dans un format lisible par machine.
• 2 décembre 2027 : règles applicables aux systèmes à haut risque des domaines sensibles énumérés à l’annexe III, par exemple le recrutement ou l’évaluation de la solvabilité.
• 2 août 2028 : règles applicables aux systèmes à haut risque intégrés à des produits réglementés relevant de l’annexe I.

Ne confondez pas l’omnibus numérique sur l’IA avec la proposition distincte de règlement Digital Omnibus portant sur les données, le RGPD et les cookies : selon le Parlement européen, ce texte n’était au 1er août 2026 qu’au stade de la proposition et n’impose donc aucune obligation aux entreprises. En France, le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne, adopté en première lecture par le Sénat le 18 février 2026, prévoit de confier la surveillance à plusieurs autorités, dont la CNIL, la DGCCRF et l’Arcom ; la CNIL serait notamment chargée des systèmes à haut risque liés à l’emploi. À la date de vérification, le texte est toujours en première lecture à l’Assemblée nationale : ces désignations ne sont donc pas encore en vigueur.

Fournisseur, déployeur : quand les rôles basculent

Le fournisseur développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou en service sous son propre nom ou sa propre marque. Exemple type : l’éditeur d’un outil de tri de CV est le fournisseur, et l’entreprise qui s’abonne à cet outil est le déployeur.

Le rôle ne dépend toutefois pas seulement du contrat, mais surtout de ce que vous faites de l’IA. Selon l’article 25, devient également fournisseur d’un système à haut risque quiconque y appose son nom ou sa marque, y apporte une modification substantielle ou modifie la destination (l’usage prévu) d’un autre système, y compris d’un système d’IA à usage général, de telle sorte que celui-ci devient à haut risque. Exemple type : le service des ressources humaines se met à utiliser systématiquement un chatbot généraliste pour évaluer les candidats, et l’entreprise peut ainsi se retrouver dans le rôle de fournisseur.

Les quatre niveaux de risque, exemples à l’appui

Les obligations de l’AI Act pour les entreprises dépendent aussi du niveau de risque dont relève chaque usage concret. Le règlement en distingue quatre.

• Risque inacceptable, c’est-à-dire les pratiques interdites. Il est par exemple interdit d’inférer les émotions des personnes sur le lieu de travail, sauf pour des raisons médicales ou de sécurité. Exemple type : un centre d’appels installe un module complémentaire qui analyse les émotions des téléconseillers à partir de leur voix.
• Risque élevé. Un système d’IA à haut risque peut porter une atteinte significative à la santé, à la sécurité ou aux droits fondamentaux des personnes. En font partie, par exemple, l’IA utilisée pour le recrutement, pour l’attribution de tâches en fonction du comportement ou de traits personnels, pour l’évaluation des performances des salariés ou de la solvabilité des personnes physiques. Une exception est possible, par exemple pour une tâche procédurale étroite ou une tâche préparatoire ne présentant pas de risque important, mais jamais en cas de profilage de personnes physiques. Exemple type : un site e-commerce confie à l’IA l’évaluation de la solvabilité des clients à qui il propose le paiement en plusieurs fois.
• Risque lié à la transparence. Dans les cas prévus, les personnes doivent savoir qu’elles ont affaire à l’IA. Exemple type : une vidéo d’entreprise dans laquelle l’IA imite le visage et la voix du dirigeant.
• Risque minimal. Le règlement ne prévoit pas de règles spécifiques pour ce niveau, mais l’obligation de maîtrise de l’IA s’applique ici aussi. Selon la Commission, la grande majorité des systèmes d’IA utilisés dans l’UE en relèvent, par exemple les filtres antispam.

Ce que doit faire une entreprise utilisatrice

Maîtrise de l’IA : favoriser, pas certifier

La maîtrise de l’IA désigne les compétences, les connaissances et la compréhension nécessaires pour utiliser l’IA en connaissance de cause. Selon l’article 4, dans sa rédaction applicable depuis le 27 juillet 2026, les fournisseurs comme les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » par leur personnel et les autres personnes qui utilisent l’IA pour leur compte, sans obligation de garantir un niveau précis. La Commission précise que cela vaut aussi pour une entreprise dont les équipes rédigent des textes publicitaires avec ChatGPT, et que les salariés doivent connaître par exemple le risque d’hallucinations, c’est-à-dire de résultats faux mais présentés de manière convaincante. Ce n’est pas une formalité : dans l’enquête mondiale par questionnaire menée par KPMG et l’Université de Melbourne, 66 % des salariés utilisant l’IA ont déclaré se fier à ses résultats sans les vérifier, et 56 % ont commis une erreur dans leur travail à cause de l’IA. D’après la Commission, ni certificat ni fonction de type « AI officer » ne sont exigés, et l’entreprise peut tenir un registre interne des formations.

Transparence envers les personnes

Les règles de l’article 50 s’appliquent depuis le 2 août 2026. Pour les chatbots, c’est au fournisseur d’assurer l’information sur le recours à l’IA : pour une solution achetée, vérifiez donc ce point auprès de votre prestataire, et pour un chatbot conçu sous votre marque, l’obligation vous incombe. Le déployeur doit informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique, et signaler les hypertrucages (deepfakes), c’est-à-dire les images, contenus audio ou vidéos générés par l’IA qui imitent des personnes ou des événements réels et pourraient passer pour authentiques. Lorsque l’IA génère ou modifie un texte destiné à informer le public sur des questions d’intérêt public, il faut l’indiquer, sauf si le texte a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne en assume la responsabilité éditoriale.

Systèmes à haut risque : recrutement et crédit

Pour les systèmes à haut risque de l’annexe III, les obligations des déployeurs prévues aux articles 26 et 27 s’appliquent à partir du 2 décembre 2027. Aux systèmes mis sur le marché ou mis en service avant cette date, elles ne s’appliquent qu’après une modification importante de leur conception. Le déployeur doit notamment :

• utiliser le système conformément à la notice d’utilisation et confier le contrôle humain à des personnes disposant des compétences et de l’autorité nécessaires ;
• s’il exerce un contrôle sur les données d’entrée, veiller à ce qu’elles soient pertinentes et représentatives ;
• surveiller le fonctionnement du système et, en cas de risque, informer le fournisseur et l’autorité de surveillance du marché et suspendre l’utilisation, ainsi que signaler tout incident grave ;
• conserver au moins six mois les journaux générés automatiquement qui se trouvent sous son contrôle, sauf disposition contraire d’autres textes applicables ;
• avant la mise en service sur le lieu de travail, informer les représentants du personnel et les salariés concernés ;
• informer les personnes au sujet desquelles le système prend des décisions ou aide à en prendre ;
• pour l’évaluation de la solvabilité des personnes physiques, pour l’évaluation des risques et la tarification en assurance vie et en assurance maladie, ou si l’entreprise fournit des services publics, réaliser avant le déploiement une analyse d’impact sur les droits fondamentaux, c’est-à-dire une analyse des préjudices possibles pour les personnes, et en notifier les résultats à l’autorité de surveillance du marché.

Quand l’AI Act croise le RGPD

L’AI Act ne remplace pas le RGPD : si le système traite des données personnelles, les deux textes s’appliquent. Selon l’article 27 modifié, le déployeur d’un système à haut risque peut, dans son analyse d’impact sur les droits fondamentaux, renvoyer à l’analyse d’impact relative à la protection des données (AIPD) ou en reprendre les parties par lesquelles il a déjà rempli ses obligations. Inutile donc de mener deux fois la même analyse.

Pour les outils courants, surveillez aussi ce que vos équipes y saisissent : selon l’enquête KPMG déjà citée, près de la moitié des salariés ont reconnu utiliser l’IA en violation des règles internes, notamment en chargeant des informations sensibles de l’entreprise dans des outils publics gratuits. Nous expliquons comment définir les droits d’accès et limiter les données envoyées aux modèles dans l’article L’IA en entreprise sans chaos.

Sanctions : des plafonds, pas un barème

Les amendes maximales comportent trois niveaux, et c’est en principe le plus élevé des deux montants qui s’applique :

• violation des interdictions : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial ;
• manquement à d’autres obligations, par exemple celles des déployeurs au titre de l’article 26 ou les obligations de transparence au titre de l’article 50 : jusqu’à 15 millions d’euros ou 3 % ;
• informations inexactes, incomplètes ou trompeuses fournies aux autorités : jusqu’à 7,5 millions d’euros ou 1 %.

Pour les petites et moyennes entreprises (PME), c’est le moins élevé des deux montants qui s’applique ; il en va de même aux deuxième et troisième niveaux pour les petites entreprises à moyenne capitalisation, qui ne sont plus des PME. L’omnibus n’a pas modifié le niveau des plafonds. Le montant concret de l’amende est fixé par l’autorité en fonction des circonstances, par exemple la gravité et la durée de la violation, la taille de l’entreprise ou sa coopération avec les autorités (article 99, paragraphe 7). Pour la maîtrise de l’IA, le règlement ne fixe aucun montant d’amende : les sanctions seront définies par les législations nationales et, selon la Commission, elles sont plus probables si un incident survient en raison d’une formation insuffisante.

La démarche pratique en quatre étapes

Pour les usages à risque minimal, nul besoin d’un logiciel spécialisé ni d’un grand projet : un tableau, des règles claires et une courte formation suffisent souvent. Pour une première orientation, vous pouvez vous appuyer sur l’AI Act Service Desk de la Commission européenne et, pour les PME, selon la Commission, sur les pôles européens d’innovation numérique.

1. Inventaire, shadow AI comprise. La shadow AI désigne l’utilisation d’outils d’IA à l’insu de l’entreprise ou sans son autorisation. L’AI Act ne connaît pas cette notion, mais elle a sa place dans l’inventaire, au même titre que les fonctions d’IA des logiciels dont vous disposez déjà. Comme 57 % des salariés utilisant l’IA ont déclaré dans l’enquête KPMG en dissimuler l’usage, un questionnaire anonyme vous aidera. Écartez les outils inutiles avant de commencer à les documenter ; pourquoi l’IA ne doit pas accélérer des étapes superflues, nous l’expliquons dans l’article L’IA ne sauvera pas un mauvais processus.
2. Classification et documentation. Pour chaque usage, déterminez le rôle et le niveau de risque, et consignez la finalité, la date de l’évaluation et la personne responsable, faute de quoi l’inventaire sera vite obsolète. Mettez immédiatement fin aux usages interdits et faites analyser en détail les usages à haut risque.
3. Règles et formation. Définissez les outils autorisés, les données interdites et les situations dans lesquelles un résultat doit être vérifié ou signalé comme généré par l’IA. Adaptez la formation aux rôles de chacun et gardez-en une trace.
4. Vérification des prestataires. Demandez quelle est la destination du système, si le prestataire le considère comme à haut risque, quelle notice d’utilisation il fournira et comment il gère l’information des personnes et le marquage des contenus. Reportez les réponses dans le contrat.

Ce qu’il faut retenir

• Si vous utilisez l’IA dans votre entreprise, vous êtes en règle générale déployeur, et certaines obligations de l’AI Act vous concernent dès aujourd’hui, notamment la maîtrise de l’IA et, dans les cas prévus, la transparence.
• L’étendue de vos obligations dépend de votre rôle et de la finalité de l’usage, pas de la marque de l’outil. Votre propre marque, une modification substantielle ou une nouvelle destination peuvent faire d’un utilisateur un fournisseur.
• Les obligations liées au recrutement ou à l’évaluation de la solvabilité s’appliqueront à partir du 2 décembre 2027, mais mieux vaut préparer dès maintenant l’inventaire, les règles et la formation, puisque l’obligation de maîtrise de l’IA s’applique depuis le 2 février 2025.
• Avant d’acheter un outil de conformité, déterminez ce que vous utilisez réellement, et à quelles fins.
• Cet état des lieux date du 16 septembre 2026 : avant toute décision, vérifiez les échéances et l’avancement de la désignation des autorités de surveillance en France.