Un assistant qui rédige des courriels, un logiciel qui classe des CV, un chatbot commercial : trois usages de l’intelligence artificielle, mais pas trois dossiers réglementaires identiques. En cette rentrée de septembre 2026, le chantier européen de conformité change d’échelle. Le calendrier de référence de l’AI Act prévoit depuis le 2 août l’application d’une grande partie du règlement. Pour les entreprises, l’urgence n’est pas de collectionner les chartes éthiques : elle consiste à déterminer ce que fait chaque système, qui en répond et quelles preuves doivent être disponibles.
Une précision s’impose : cette analyse repose sur le règlement adopté en 2024 et son calendrier initial. Elle ne présume ni d’éventuelles modifications ultérieures ni de l’état exact, en septembre 2026, des normes et lignes directrices d’application. Les échéances devront donc être confrontées aux textes et orientations effectivement en vigueur.
Août 2026 : un palier majeur, pas un départ de zéro
L’AI Act est entré en vigueur le 1er août 2024, avec une application progressive. Depuis le 2 février 2025, certaines pratiques sont interdites et les organisations concernées doivent prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA à leurs équipes. Depuis le 2 août 2025, les règles visant notamment les fournisseurs de modèles d’IA à usage général ont commencé à s’appliquer, avec des dispositions transitoires.
Le 2 août 2026 constitue, dans ce calendrier, la date générale d’application. Elle concerne notamment les obligations de transparence et les systèmes à haut risque relevant des domaines de l’annexe III. Une autre échéance demeure : le 2 août 2027 pour les obligations correspondantes des systèmes à haut risque liés à certains produits réglementés, dans les conditions prévues par le texte.
Les systèmes déjà déployés appellent aussi une lecture attentive des dispositions transitoires. Pour certains systèmes à haut risque mis sur le marché ou en service avant août 2026, l’application dépend notamment de modifications importantes de leur conception après cette date. « Ancien » ne signifie donc ni automatiquement exempté, ni automatiquement soumis à toutes les nouvelles exigences.
La bonne porte d’entrée : l’usage, puis le rôle
Premier réflexe : inventorier les usages réels, y compris les outils achetés directement par un service et les assistants intégrés aux logiciels existants. Un inventaire utile décrit la finalité, les personnes concernées, les données mobilisées, l’influence du résultat sur une décision et le fournisseur. Une simple liste de marques ne suffit pas.
Deuxième question : l’entreprise est-elle fournisseur, déployeur, importateur ou distributeur ? Acheter un outil pour l’utiliser sous son autorité place généralement l’organisation dans le rôle de déployeur. Développer un système, ou le faire développer pour le commercialiser ou le mettre en service sous son nom, peut faire d’elle un fournisseur. Certaines modifications substantielles ou certains changements de destination peuvent également faire basculer les responsabilités.
La distinction est décisive. Le fournisseur d’un système à haut risque porte notamment la conformité de sa conception et l’évaluation requise. Le déployeur doit, lui, encadrer son utilisation. Un contrat peut répartir les tâches et organiser l’accès aux documents ; il ne fait pas disparaître les responsabilités légales.
Du recrutement au crédit : identifier les usages sensibles
Les ressources humaines en première ligne
Un outil destiné à filtrer les candidatures ou à évaluer les candidats entre dans les usages potentiellement à haut risque. Il en va de même de certains systèmes affectant les conditions de travail, la promotion, le licenciement ou l’évaluation des salariés. À l’inverse, un assistant qui reformule une annonce n’est pas automatiquement à haut risque parce qu’il est utilisé par les ressources humaines.
Le règlement prévoit des exceptions encadrées pour certains systèmes de l’annexe III qui ne présentent pas de risque important et n’influencent pas substantiellement la décision. Mais l’étiquette « aide à la décision » n’est pas une dispense. La réalité du processus compte. Un système de cette annexe réalisant du profilage de personnes demeure considéré comme à haut risque.
Services essentiels, éducation et usages interdits
L’évaluation de la solvabilité des personnes physiques, hors détection de fraude financière, figure parmi les usages sensibles. L’admission dans un établissement d’enseignement ou certaines décisions relatives aux prestations publiques aussi. L’entreprise doit examiner la finalité précise du système, pas seulement son secteur.
Avant même cette qualification, il faut vérifier les interdictions : certaines manipulations préjudiciables, certaines formes de notation sociale ou certains usages biométriques sont prohibés. La reconnaissance des émotions au travail et dans les établissements d’enseignement est notamment interdite, sauf raisons médicales ou de sécurité. Présenter un dispositif comme un outil de « bien-être » ne suffit pas à le rendre licite.
À haut risque, des obligations opérationnelles
Pour un fournisseur, le dossier comprend notamment gestion des risques, gouvernance des données, documentation technique, journalisation, contrôle humain, exactitude, robustesse et cybersécurité. S’y ajoutent, selon les dispositions applicables, évaluation de conformité, enregistrement, marquage et surveillance après commercialisation. La conformité doit accompagner le cycle de vie du système, pas seulement sa livraison.
Côté déployeur, les vérifications deviennent très concrètes :
- utiliser le système conformément aux instructions et confier sa supervision à des personnes compétentes, formées et suffisamment autonomes ;
- vérifier la pertinence et la représentativité des données d’entrée lorsqu’elles sont sous son contrôle ;
- surveiller le fonctionnement, conserver les journaux sous son contrôle pendant la durée requise et organiser les remontées d’incidents ;
- informer les personnes concernées lorsque le règlement l’exige, notamment les travailleurs et leurs représentants avant certains usages professionnels.
Une analyse d’impact sur les droits fondamentaux s’impose en outre à certains déployeurs, notamment des organismes publics, des entités privées fournissant des services publics et certains acteurs du crédit ou de l’assurance. Elle n’est pas obligatoire pour toute entreprise. Elle doit être articulée, lorsque nécessaire, avec l’analyse d’impact prévue par le RGPD, sans être confondue avec elle.
Chatbots et contenus générés : rendre l’IA visible
Un chatbot de service client n’est pas automatiquement à haut risque. En revanche, les règles de transparence prévoient que les personnes soient informées qu’elles interagissent avec une IA, sauf si cela ressort manifestement du contexte. Les fournisseurs concernés doivent aussi permettre le marquage, dans un format lisible par machine, de certains contenus synthétiques.
Pour les déployeurs, les hypertrucages doivent être signalés comme artificiels ou manipulés, avec des modalités adaptées notamment aux œuvres artistiques. Les textes générés pour informer le public sur des sujets d’intérêt public appellent également une divulgation, sauf notamment lorsqu’un contrôle humain ou éditorial existe et qu’une personne assume la responsabilité éditoriale. Toute image retouchée ou tout courriel assisté n’appelle donc pas mécaniquement la même mention.
Le fournisseur ne règle pas tout
Utiliser une interface de programmation donnant accès à un grand modèle ne transforme pas automatiquement une entreprise en fournisseur de modèle d’IA à usage général. Cela ne la dispense pas de qualifier le système qu’elle construit autour. La documentation du prestataire doit éclairer les capacités, les limites et les conditions d’intégration ; elle ne remplace ni les tests métier ni la maîtrise des données.
Et maintenant ? Si le calendrier initial demeure inchangé, les prochains mois devraient déplacer la conformité des présentations vers les preuves : inventaires tenus à jour, décisions de classement motivées, formations ciblées et contrôles testés. Les entreprises les mieux préparées seront probablement celles qui auront relié juridique, informatique, achats et métiers autour d’une question simple : pouvons-nous expliquer, documenter et corriger ce que notre IA fait aux personnes ?
