AI Act : le guide de mise en conformité pour les entreprises

L'essentiel en bref

Le règlement européen sur l'intelligence artificielle (AI Act) est entré dans une phase décisive le 2 août 2026 : les obligations applicables aux systèmes d'IA à haut risque entrent en pleine application, l'enregistrement de ces systèmes devient obligatoire sans exception, et le régime de surveillance et de sanctions porté par les autorités nationales devient opérationnel.

Contrairement à une idée répandue, l'AI Act ne concerne pas que les éditeurs de modèles d'IA. Il s'applique aussi à toute entreprise qui déploie de l'IA dans ses processus — même une IA achetée sur étagère. Le point de départ d'une mise en conformité n'est donc pas juridique, mais opérationnel : savoir où l'IA est utilisée chez vous, à quel niveau de risque, et qui en est responsable.

Cet article fait le tri entre ce qui est réellement obligatoire, ce qui relève des bonnes pratiques, et par où commencer concrètement.

Fournisseur ou déployeur : de quel côté êtes-vous ?

L'AI Act distingue plusieurs rôles. Les deux qui concernent la plupart des entreprises sont :

• Le fournisseur : celui qui développe un système d'IA (ou le fait développer) et le met sur le marché sous son nom.
• Le déployeur : celui qui utilise un système d'IA dans le cadre de son activité professionnelle.

La majorité des entreprises sont déployeurs : elles intègrent des outils d'IA existants dans leurs processus. Mais attention — la frontière n'est pas toujours nette. Si vous faites développer une application métier qui embarque de l'IA, ou si vous modifiez substantiellement un système existant, vous pouvez basculer dans le rôle de fournisseur, avec des obligations plus lourdes. C'est précisément pour cela que la conformité se pense dès la conception d'un projet, et non après coup.

Les 4 niveaux de risque

L'AI Act classe les systèmes d'IA selon le risque qu'ils font peser sur les droits et la sécurité des personnes :

• Risque inacceptable : pratiques interdites (notation sociale, manipulation, certaines formes de surveillance biométrique). Interdites depuis février 2025.
• Haut risque : systèmes utilisés dans des domaines sensibles (recrutement, accès au crédit, éducation, infrastructures critiques, etc.). Ce sont eux dont les obligations entrent en pleine application au 2 août 2026.
• Risque limité : systèmes soumis à des obligations de transparence (par exemple, indiquer à un utilisateur qu'il parle à une IA).
• Risque minimal : la grande majorité des usages courants, sans obligation spécifique.

La première question à se poser n'est donc pas « suis-je concerné ? » mais « dans quelle catégorie tombe chacun de mes usages de l'IA ? ». Un même outil peut être minimal dans un contexte et à haut risque dans un autre, selon la décision qu'il aide à prendre.

Vos obligations de déployeur

Pour tous les systèmes d'IA

Depuis février 2025, l'article 4 impose une obligation de littératie IA : garantir que les personnes qui utilisent ou supervisent l'IA disposent d'un niveau de compétence suffisant pour en comprendre les limites et les risques. Cette obligation s'applique déjà — mais c'est au 2 août 2026 que le régime de surveillance et de sanctions devient pleinement opérationnel, ce qui la rend beaucoup plus concrète. Nous détaillons ce point dans notre article dédié au plan de formation IA (article 4 de l'AI Act).

Pour les systèmes à risque limité

Une obligation de transparence : informer clairement les personnes lorsqu'elles interagissent avec une IA, ou lorsqu'un contenu a été généré ou manipulé par une IA.

Pour les systèmes à haut risque

C'est là que les obligations sont les plus exigeantes, et qu'elles entrent en pleine application au 2 août 2026 :

• utiliser le système conformément à sa notice et sous supervision humaine ;
• assurer la qualité et la pertinence des données que vous y injectez ;
• conserver les journaux (logs) générés par le système ;
• surveiller le fonctionnement et signaler les incidents ;
• procéder à l'enregistrement requis — désormais obligatoire sans exception, y compris pour les systèmes qui bénéficient d'un allègement du régime haut risque.

Le calendrier à connaître

• 2 février 2025 : interdiction des pratiques à risque inacceptable + entrée en application de l'obligation de littératie IA (article 4).
• 2 août 2025 : obligations pour les modèles d'IA à usage général (GPAI) et mise en place de la gouvernance.
• 2 août 2026 : pleine application des obligations pour les systèmes à haut risque de l'annexe III ; enregistrement obligatoire ; régime de sanctions opérationnel.
• 2 août 2027 : extension aux systèmes à haut risque intégrés dans des produits déjà réglementés (dispositifs médicaux, machines, jouets, etc.).

Autrement dit, l'échéance de 2026 n'est pas un horizon lointain : c'est le moment où la conformité devient contrôlable et sanctionnable.

Concilier AI Act et projet sur-mesure

La conformité est souvent vécue comme une contrainte. Elle est en réalité un cadre de conception. Quand l'IA est embarquée dans une application métier développée pour vous, chaque exigence de l'AI Act — supervision humaine, traçabilité, qualité des données, transparence — peut être intégrée par design plutôt que rajoutée après coup sur un outil que vous ne maîtrisez pas.

C'est un avantage structurel du sur-mesure sur le progiciel fermé : vous savez ce que fait le système, où vivent vos données, et vous pouvez documenter son fonctionnement. Là où un outil boîte noire vous laisse assumer un risque que vous ne pouvez ni voir ni prouver.