Ce qui est entré en vigueur le 2 août 2026
Le règlement européen sur l'intelligence artificielle (Règlement UE 2024/1689, dit « AI Act ») suit un calendrier progressif depuis son adoption en 2024. Le 2 août 2026 marque une étape clé : l'application complète des obligations pour les systèmes d'IA à haut risque déjà identifiés et mis en service avant cette date.
Ces systèmes couvrent notamment : la biométrie, les infrastructures critiques (énergie, eau, transport), l'éducation et la formation professionnelle, l'emploi et la gestion des ressources humaines (tri de CV, scoring automatique), l'accès aux services essentiels (crédit, assurance), la justice, et certains usages dans le secteur de la santé.
Concrètement, depuis le 2 août 2026, tout déployeur (l'entreprise qui utilise un système IA à haut risque) et tout fournisseur(l'entreprise qui le développe ou le commercialise) est soumis à des obligations contraignantes — passibles de sanctions allant jusqu'à 30 millions d'euros ou 6 % du chiffre d'affaires mondial.
Qui est concerné parmi les entreprises françaises ?
Contrairement à ce que beaucoup pensent, l'AI Act ne concerne pas que les startups IA ou les grandes tech. Il s'applique à toute organisation qui utilise un système IA à haut risque, qu'elle l'ait développé en interne ou acheté à un éditeur tiers.
Vous êtes probablement concerné si votre organisation :
- ◆Utilise un outil IA de scoring ou de présélection de candidats (RH)
- ◆S'appuie sur un système IA pour l'octroi de crédit ou l'évaluation de risque (banque, assurance)
- ◆Déploie un outil IA de diagnostic médical ou d'aide à la décision clinique (santé)
- ◆Recourt à la reconnaissance biométrique pour le contrôle d'accès
- ◆Utilise un outil IA dans des infrastructures critiques (gestion d'énergie, eau, transport)
Les PME et ETI ne sont pas exonérées. L'AI Act prévoit des obligations proportionnées pour les petites structures, mais les exigences fondamentales (documentation, traçabilité, supervision humaine) s'appliquent dès le premier déploiement.
AI Act et RGPD : deux règlements qui se renforcent
L'AI Act n'efface pas le RGPD — il le complète. Pour les systèmes IA à haut risque, les deux textes se superposent et créent des obligations cumulées sur la gouvernance des données.
En pratique, un système IA à haut risque utilise des données d'entraînement et des données en production. L'AI Act impose que ces données soient pertinentes, représentatives, exemptes d'erreurs et complètes. Si ces données sont personnelles — ce qui est souvent le cas en RH, santé ou crédit — le RGPD s'applique en parallèle : base légale, durée de conservation, droits des personnes concernées.
Résultat : les organisations qui n'ont pas encore mis en place une gouvernance data solide (cartographie des données, registre des traitements, contrôle qualité des datasets) se retrouvent en double non-conformité. L'AI Act rend urgente ce qui était déjà nécessaire pour le RGPD.
Les 5 premières actions à mener maintenant
Cartographier vos systèmes IA
Inventoriez tous les outils IA utilisés dans votre organisation — logiciels RH, outils de crédit scoring, assistants de diagnostic, systèmes de surveillance. Pour chacun, identifiez la catégorie de risque selon l'Annexe III de l'AI Act. Si vous n'avez pas de liste, commencez par un audit de vos contrats SaaS et des outils utilisés par chaque département.
Évaluer les obligations de votre rôle (fournisseur vs déployeur)
Si vous achetez un outil IA auprès d'un éditeur tiers : vous êtes déployeur, avec des obligations de supervision humaine, de tenue de logs (6 mois minimum), et d'information des utilisateurs affectés. Si vous développez ou modifiez un système IA : vous êtes fournisseur, avec des obligations plus lourdes (documentation technique, marquage CE, enregistrement dans la base de données UE).
Mettre en place la supervision humaine et la traçabilité
L'AI Act exige que les décisions prises par un système IA à haut risque soient supervisées par des humains qualifiés. Documentez qui supervise quoi, formalisez les procédures d'escalade, et assurez-vous que les logs d'utilisation sont conservés et accessibles. C'est une exigence minimale opposable dès maintenant.
Documenter la gouvernance des données d'entrée
Pour chaque système IA à haut risque, documentez les sources de données utilisées — origine, format, fréquence de mise à jour, contrôles qualité en place. Si ces données sont personnelles, vérifiez que la base légale RGPD est correctement documentée et que le registre des traitements est à jour. C'est le point de convergence entre AI Act et RGPD.
Désigner un référent AI Act et sensibiliser les équipes
L'AI Act demande qu'avant tout déploiement d'un système IA à haut risque sur le lieu de travail, les représentants des travailleurs et les salariés concernés soient informés. Désignez un référent interne (souvent le DPO ou le RSSI), formalisez une politique IA interne, et lancez une sensibilisation auprès des équipes RH, IT et achats.
Le calendrier AI Act à retenir
Par où commencer concrètement ?
La conformité AI Act ne se décrète pas en une réunion — elle se construit sur une base de gouvernance data solide. Avant même de rédiger une politique IA, il faut savoir quelles données circulent dans vos systèmes, qui les contrôle, et si leur qualité est documentée.
C'est exactement ce que révèle un diagnostic data structuré : les angles morts réglementaires, les données personnelles non cartographiées, les traitements sans base légale claire. Autant d'éléments qui exposent l'organisation à la fois sous le RGPD et sous l'AI Act.