Le blogReprendre la main · Épisode 2/5

Publié le 20 juillet 2026

L'AI Act expliqué à ceux qui n'ont pas le temps : ce que l'Europe attend vraiment de vous

Les grandes lignes, l'impact concret sur votre entreprise, et les pièges à éviter, sans jargon juridique.

Série « Reprendre la main », Épisode 2/5 · 1. L'IA souveraine en France · 3. RGPD et IA · 4. Construire son agent IA souverain · 5. Passer à l'échelle

Commençons par une question simple

Votre entreprise utilise-t-elle un outil qui trie des CV ? Un chatbot face client ? Un scoring de crédit ou de risque ? Un logiciel qui évalue les performances de vos collaborateurs ?

Si vous avez répondu oui, ne serait-ce qu'une fois, vous n'êtes pas spectateur de l'AI Act. Vous êtes concernés. Pas comme observateur, comme acteur, avec des obligations réelles.

Et voici le malentendu numéro un, celui qui coûtera cher à beaucoup d'entreprises : la plupart pensent que l'AI Act ne concerne que ceux qui fabriquent de l'IA. OpenAI, Mistral, Google. Faux. Le règlement vise aussi, et surtout, en volume, ceux qui l'utilisent. Vous, probablement.

Alors prenons quinze minutes pour comprendre ce texte. Pas pour devenir juriste. Pour décider en connaissance de cause.

L'idée-force : on ne régule pas la technologie, on régule le risque

Si l'AI Act tenait en une phrase, ce serait celle-ci : l'Europe ne juge pas ce que l'IA est, elle juge ce que l'IA vous fait.

Le règlement (UE 2024/1689, entré en vigueur le 1er août 2024, premier cadre juridique mondial du genre) ne dit jamais « les réseaux de neurones sont interdits » ou « les LLM doivent faire ceci ». Il classe les usages en quatre niveaux, comme une pyramide :

🔴 Niveau 1, Risque inacceptable : interdit. Tout en haut, ce que l'Europe refuse par principe, quelles que soient les précautions. Huit pratiques bannies depuis février 2025 : le scoring social, la manipulation subliminale, l'exploitation des vulnérabilités (âge, handicap, précarité), le scraping massif de visages pour créer des bases de reconnaissance faciale... Si vous utilisez l'une de ces pratiques, même via un prestataire, vous êtes déjà en infraction.

🟠 Niveau 2, Haut risque : autorisé, mais très encadré. Le cœur du réacteur. Ce sont les IA qui influencent des décisions importantes sur la vie des gens : recrutement et gestion RH, accès au crédit et à l'assurance, éducation (notation, orientation, détection de triche), santé, justice, biométrie, infrastructures critiques. Ces systèmes doivent prouver leur sérieux : gestion des risques, qualité des données, documentation technique, supervision humaine, traçabilité.

🟡 Niveau 3, Risque limité : transparence obligatoire. Les chatbots et les contenus générés par IA. La règle est simple : on ne trompe pas les gens. Un humain qui parle à une machine doit le savoir. Un deepfake doit être signalé comme tel.

🟢 Niveau 4, Risque minimal : circulez. Le filtre anti-spam, l'IA de votre jeu vidéo, l'assistant qui résume vos réunions internes. La grande majorité des usages, en réalité. Pas d'obligation spécifique.

La question à vous poser n'est donc pas « est-ce que j'utilise de l'IA ? » mais : « est-ce que mon IA influence des décisions qui impactent significativement la vie des personnes ? » Si oui, vous êtes probablement en zone orange.

Fournisseur ou déployeur : quel est votre rôle ?

Deuxième clé de lecture. Le règlement distingue plusieurs rôles, mais deux concernent l'immense majorité des entreprises :

Le fournisseur : celui qui développe ou commercialise un système d'IA. Il porte l'essentiel des obligations lourdes (documentation, marquage CE, enregistrement).
Le déployeur : celui qui utilise un système d'IA dans un cadre professionnel. Obligations plus légères, mais bien réelles : utiliser l'outil conformément à sa notice, assurer une supervision humaine, informer les personnes concernées, conserver les logs.

Le piège classique : la PME qui achète un SaaS de tri de candidatures et se croit tranquille parce que « c'est l'éditeur qui gère ». Non. En tant que déployeur d'un système à haut risque, vous avez vos propres obligations. Et attention au glissement de rôle : si vous modifiez substantiellement l'outil ou l'utilisez sous votre propre marque, vous pouvez devenir fournisseur, avec le paquet complet d'obligations qui va avec.

Dernier point de périmètre, souvent sous-estimé : le règlement s'applique aussi aux entreprises hors UE dès lors que leur IA est utilisée en Europe. Une société américaine qui vend un logiciel RH à des clients français est concernée.

Le calendrier : ce qui est déjà en vigueur, ce qui arrive

C'est ici qu'il faut être précis, parce que le calendrier a bougé récemment. Le paquet « Digital Omnibus » (accord politique Conseil/Parlement du 7 mai 2026) a réaménagé plusieurs échéances pour laisser le temps aux standards techniques de mûrir.

Déjà en vigueur, pas de débat :

Depuis février 2025 : les pratiques interdites (sanctions applicables) et l'obligation de « maîtrise de l'IA » (article 4), vos équipes qui utilisent l'IA doivent être formées à ses risques et limites. Oui, la formation est déjà une obligation légale.
Depuis août 2025 : les obligations des fournisseurs de modèles d'IA à usage général (les GPAI : OpenAI, Mistral, Anthropic...), transparence, traçabilité des données d'entraînement.

Le 2 août 2026 : application générale du règlement, activation des pouvoirs de sanction, obligations de transparence (chatbots, contenus générés, avec un délai au 2 décembre 2026 pour le marquage technique des contenus).

Reporté par l'Omnibus :

2 décembre 2027 : conformité complète des systèmes à haut risque « autonomes » de l'annexe III (RH, crédit, éducation, biométrie...).
2 août 2028 : systèmes à haut risque intégrés à des produits réglementés CE (dispositifs médicaux, machines, véhicules).

L'Omnibus a aussi apporté deux allègements notables : les IA intégrées à des produits déjà certifiés CE sont quasi exemptées du régime haut risque (seul l'enregistrement demeure), et les facilités prévues pour les PME (bacs à sable réglementaires, allègement documentaire) sont étendues à une nouvelle catégorie européenne, les « small mid-caps » (entreprises de moins de 750 salariés, définies par la Commission en mai 2025).

Attention à la lecture paresseuse de ce report : ce n'est pas une pause. Les fondamentaux, interdictions, formation, transparence, sont actifs ou imminents. Et la CNIL a annoncé qu'elle intensifierait ses contrôles sur les systèmes RH dès l'automne 2026.

L'impact concret sur votre entreprise

Traduisons tout ça en réalité opérationnelle.

Si vous utilisez simplement des outils IA du marché (assistants, générateurs de contenu, outils bureautiques augmentés) : votre exposition est faible. Deux choses à faire : former vos équipes (obligation déjà en vigueur) et signaler la nature IA quand vos clients interagissent avec un bot ou un contenu généré.

Si vous utilisez de l'IA dans les RH, le crédit, la relation client à enjeux : vous êtes déployeur haut risque. Il vous faut : vérifier que votre fournisseur est conforme (et le prévoir au contrat, en cas de manquement, votre responsabilité peut être engagée), garantir une supervision humaine réelle (pas un humain qui clique « valider » sans regarder), informer les personnes concernées, conserver les journaux d'utilisation.

Si vous développez ou revendez des solutions IA : vous êtes fournisseur. Le gros du chantier est pour vous : système de gestion des risques, gouvernance de la qualité des données, documentation technique, enregistrement dans la base de données européenne, marquage CE pour le haut risque.

Et le nerf de la guerre, les sanctions, graduées selon la gravité :

Pratiques interdites : jusqu'à 35 M€ ou 7 % du CA mondial.
Haut risque non conforme : jusqu'à 15 M€ ou 3 %.
Manquements de transparence : jusqu'à 7,5 M€ ou 1 %.

En France, trois autorités se partagent le contrôle : la CNIL (données personnelles, biométrie), la DGCCRF (pratiques commerciales) et l'Arcom (contenus générés).

Un mot d'espoir au milieu de tout ça : si vous avez survécu au RGPD, vous connaissez déjà la méthode. L'AI Act est le RGPD de l'IA, les deux textes sont d'ailleurs complémentaires et s'appliquent simultanément quand une IA traite des données personnelles. Un chantier réglementaire bien conduit devient vite un réflexe.

Les cinq points d'attention (là où ça fait mal)

1. Le déni du déployeur. « On n'a pas d'IA, on utilise juste des outils. » C'est l'erreur la plus répandue et la plus coûteuse. Un CRM avec scoring, un ATS (Applicant Tracking System, le logiciel de suivi des candidatures) qui pré-trie les CV, un chatbot : vous êtes dans le périmètre. Le réflexe : l'inventaire. Recensez tous les outils avec une brique IA, y compris ceux que vos équipes ont adoptés sans demander (le fameux shadow AI). C'est l'étape n°1 recommandée par la Commission comme par le Cigref, et elle se fait en quelques semaines.

2. La formation, obligation invisible. L'article 4 est en vigueur depuis février 2025 et presque personne ne le sait. Elle ne vise pas que les développeurs : RH, managers, acheteurs, métiers, quiconque utilise l'IA doit en comprendre les risques et les limites. C'est l'obligation la moins chère à remplir et la première qu'un contrôleur vérifiera.

3. Le contrat avec vos fournisseurs. L'enjeu du déployeur est largement contractuel : exigez de vos prestataires IA les garanties de conformité, la documentation, les engagements de transparence. Un fournisseur qui ne peut pas répondre à ces questions aujourd'hui est un risque pour demain. Et souvenez-vous de la leçon de l'épisode 1 : un prestataire souverain européen (Mistral, Scaleway, OVHcloud...) simplifie mécaniquement la démonstration, traçabilité, localisation des données et RGPD s'alignent d'eux-mêmes, là où un acteur soumis au Cloud Act vous oblige à documenter deux fois plus.

4. La supervision humaine cosmétique. Le texte exige une supervision réelle : quelqu'un de formé, capable de comprendre le système, de détecter ses dérives et de passer outre ses décisions. Un humain-tampon qui valide en rafale ne protégera personne, ni les personnes concernées, ni vous en cas de contrôle.

5. L'attentisme déguisé en prudence. « Le calendrier a été reporté, attendons. » Mauvais calcul, pour trois raisons : les obligations de base sont déjà actives ; les systèmes déployés se comptent en années de mise en conformité, pas en semaines ; et une clause d'activation anticipée existe, si les standards sont prêts plus tôt, les échéances peuvent être avancées. La conformité protège ceux qui s'y prennent tôt. Elle pénalise ceux qui attendent la sanction.

Par où commencer : la méthode en cinq étapes

Inventorier tous les usages d'IA dans l'organisation, y compris le shadow AI. (Quelques semaines.)
Classifier chaque usage selon la pyramide des risques. La plupart tomberont en zone verte : tant mieux, c'est documenté.
Désigner un référent IA (souvent adossé au DPO, tant les deux textes s'imbriquent).
Mettre en gouvernance : analyse de risques systématique pour tout nouveau projet IA, clauses contractuelles avec les fournisseurs, journalisation.
Former, et documenter que vous l'avez fait.

Les trois premières étapes tiennent en un trimestre. Et elles réduisent déjà considérablement votre exposition.

Le mot de la fin

On présente souvent l'AI Act comme un frein européen à l'innovation. Permettez-moi une autre lecture.

Ce texte pose une question que toute entreprise sérieuse devrait se poser même sans loi : savez-vous ce que vos machines décident à votre place, et pouvez-vous le justifier ? Les entreprises qui sauront répondre, inventaire à jour, fournisseurs vérifiés, équipes formées, n'auront pas seulement évité une amende. Elles auront construit quelque chose de plus précieux : la confiance. Celle de leurs clients, de leurs candidats, de leurs régulateurs.

Le RGPD nous a appris une chose : la conformité, prise tôt, est un investissement ; prise tard, c'est une crise.

Vous avez répondu oui à l'une de ces questions en ouvrant cet article ? Alors vous savez ce qu'il vous reste à faire cette semaine : ouvrir un tableur, et commencer la liste de vos outils IA.

C'est tout. Et c'est énorme.

📖 Dans la même série, Épisode 1 : « L'IA souveraine en France en 2026 » (état des lieux, feuille de route, self-hosting vs API) · Épisode 3 : « RGPD et IA » (bases légales, AIPD, droits des personnes, car quand votre IA traite des données personnelles, les deux textes s'appliquent en même temps) · Épisode 4 : « Construire son premier agent IA souverain » (le passage à l'acte, en 7 étapes) · Épisode 5 : « Passer à l'échelle » (du premier agent à l'infrastructure qui tient).

*Sources principales : Règlement UE 2024/1689 (texte officiel), Commission européenne, accord politique « Digital Omnibus » du 7 mai 2026, CNIL, Cigref, analyses juridiques françaises (2026). Le calendrier post-Omnibus reste soumis à la publication au Journal officiel de l'UE : vérifiez les échéances officielles avant toute décision, et faites valider votre situation par un conseil juridique, cet article vulgarise,

← Retour au blog