AI Act 2026 : ce que votre entreprise doit faire avant le 2 août

En bref. L'AI Act européen, adopté le 13 juin 2024, entre en pleine application le 2 août 2026 pour les systèmes d'IA à haut risque. Si votre entreprise utilise un chatbot, un outil de scoring commercial, un ATS de recrutement ou un système de détection de fraude, vous êtes concerné. Les sanctions vont jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Cet article décrypte les obligations concrètes par profil métier, le calendrier et les étapes pour se mettre en conformité.

Pourquoi l'AI Act concerne votre entreprise, même si vous n'êtes pas dans la tech

L'AI Act ne vise pas seulement les éditeurs de solutions IA. Il s'applique à toute organisation qui déploie un système d'IA utilisé dans l'Union européenne, qu'elle soit établie en Europe ou non. Dès qu'une entreprise utilise un système d'IA dans le cadre de son activité professionnelle, elle est considérée comme « déployeur » au sens du règlement et porte des obligations propres.

Concrètement : si vous utilisez ChatGPT pour générer des emails commerciaux, un ATS avec scoring automatisé pour le recrutement, ou un outil de détection d'anomalies pour la fraude financière, vous êtes concerné.

Le calendrier : ce qui est déjà en vigueur et ce qui arrive

L'AI Act ne s'applique pas d'un coup. Le calendrier est échelonné sur plusieurs années.

2 février 2025 (déjà en vigueur). Les pratiques d'IA interdites sont effectives : manipulation subliminale, scoring social, exploitation des vulnérabilités, reconnaissance faciale en temps réel non autorisée. Obligation de culture IA (AI literacy) pour tout le personnel en contact avec des systèmes d'IA.

2 août 2025 (déjà en vigueur). Les fournisseurs de modèles d'IA à usage général (GPAI) comme OpenAI, Anthropic ou Google doivent respecter les obligations de gouvernance.

2 août 2026 (la deadline critique). L'ensemble des obligations relatives aux systèmes à haut risque deviennent applicables. C'est la date qui concerne la majorité des entreprises.

2 décembre 2027 / 2 août 2028. Extension aux systèmes IA intégrés à des produits réglementés (santé, transports, machines).

Les 4 niveaux de risque : dans quelle catégorie tombent vos outils IA ?

L'AI Act classe tous les systèmes IA en 4 niveaux de risque, chacun avec des obligations distinctes.

Risque inacceptable (interdit). Scoring social, manipulation subliminale, reconnaissance biométrique en temps réel non autorisée. Interdit depuis février 2025.

Haut risque (obligations lourdes). C'est la catégorie qui concerne le plus d'entreprises. Elle inclut : les systèmes de recrutement et d'évaluation des candidats, le scoring de crédit et l'évaluation de solvabilité, la détection de fraude dans les services financiers, les outils d'évaluation des élèves et étudiants, et les systèmes de gestion des infrastructures critiques. Obligations : documentation technique, supervision humaine, évaluation de conformité, enregistrement dans une base de données européenne.

Risque limité (obligations de transparence). Chatbots, deepfakes, systèmes de génération de contenu. Obligation principale : informer l'utilisateur qu'il interagit avec une IA.

Risque minimal (aucune obligation spécifique). Filtres anti-spam, correcteurs orthographiques, recommandations de contenu.

Ce que ça signifie concrètement par métier

Si vous êtes RH. Votre ATS (Applicant Tracking System) avec scoring automatisé est classé haut risque. Vous devez pouvoir expliquer les critères de classement, documenter le fonctionnement de l'algorithme, et garantir une supervision humaine des décisions.

Si vous êtes directeur commercial. Votre outil de scoring leads ou de prospection automatisée tombe probablement dans la catégorie risque limité. Obligation de transparence : les prospects doivent savoir qu'un système IA est impliqué dans le processus.

Si vous êtes directeur financier. Les outils de détection de fraude et d'évaluation de crédit sont classés haut risque. Mêmes obligations que pour les RH : documentation, supervision, traçabilité.

Si vous êtes en marketing. L'utilisation de ChatGPT ou Claude pour générer du contenu tombe dans la catégorie risque limité. Les obligations principales portent sur la transparence (signaler que le contenu est généré par IA) et l'étiquetage des deepfakes.

L'obligation de culture IA : effective depuis février 2025

Un point souvent négligé : l'article 4 de l'AI Act impose que tout le personnel en contact avec des systèmes d'IA dispose d'un niveau suffisant de « culture IA » (AI literacy). Cette obligation est en vigueur depuis le 2 février 2025.

Concrètement, cela signifie que si vos équipes utilisent des outils IA au quotidien, vous devez pouvoir démontrer qu'elles ont été formées aux fondamentaux : comprendre ce qu'est un système d'IA, identifier ses limites, reconnaître les situations à risque.

Pour répondre à cette obligation, DataBird propose deux formats complémentaires. Le programme Formations IA Entreprise démarre par une Journée IA collective : un format d'une journée qui pose rapidement un socle commun de culture IA pour l'ensemble de vos équipes, sans mobiliser plusieurs semaines. Pour un approfondissement individuel, la formation IA Générative (35 heures sur 4 semaines) couvre la compréhension des modèles, les limites (hallucinations, biais), les bonnes pratiques de prompting et le cadre réglementaire. Elle est éligible au CPF et certifiée RS.

Les sanctions : ce que vous risquez

Les sanctions prévues par l'AI Act sont significatives et varient selon la gravité de l'infraction.

Pour l'utilisation de pratiques interdites : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel. Pour le non-respect des obligations sur les systèmes à haut risque : jusqu'à 15 millions d'euros ou 3 % du CA mondial. Pour la fourniture d'informations incorrectes aux autorités : jusqu'à 7,5 millions d'euros ou 1 % du CA mondial.

Plan d'action : les 5 étapes pour se mettre en conformité

Étape 1 : inventaire. Listez tous les systèmes d'IA utilisés dans votre entreprise. Incluez les outils achetés (Copilot, ChatGPT Enterprise, outils RH) et les usages informels.

Étape 2 : classification. Pour chaque outil, déterminez sa catégorie de risque. Le recrutement, la finance et l'évaluation des personnes sont généralement classés haut risque.

Étape 3 : gap analysis. Identifiez les écarts entre votre situation actuelle et les obligations applicables. Documentation technique, supervision humaine, transparence : qu'est-ce qui manque ?

Étape 4 : formation des équipes. Assurez la conformité à l'obligation de culture IA. Le programme Formations IA Entreprise de DataBird démarre par une Journée IA collective pour sensibiliser rapidement l'ensemble des équipes, complétée si besoin par des formations métier certifiantes pour les profils les plus exposés.

Étape 5 : gouvernance continue. Mettez en place un processus de suivi : audit régulier des systèmes IA, mise à jour de la documentation, veille réglementaire.

En résumé

L'AI Act n'est pas un règlement lointain. Les premières obligations sont déjà en vigueur, et la date critique du 2 août 2026 approche. Pour la grande majorité des entreprises, les actions prioritaires sont l'inventaire des systèmes IA utilisés, la classification par niveau de risque, et la formation des équipes. Commencer dès maintenant, c'est éviter la précipitation et les risques de sanctions qui accompagnent une mise en conformité tardive.