L’essentiel en 5 points
- Le règlement européen sur l’IA s’applique pleinement le 2 août 2026, terme d’un déploiement échelonné commencé en 2024.
- Les déployeurs sont concernés, pas seulement les fournisseurs de modèles : utiliser un système d’IA en entreprise crée des obligations.
- Le cœur du dispositif : classifier les systèmes par niveau de risque, documenter, gouverner, assurer la transparence.
- La littératie IA (article 4) est une obligation légale depuis février 2025 : former ses équipes n’est pas optionnel.
- Les sanctions vont jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, avec des paliers inférieurs pour les autres manquements.
La réponse rapide
Le 2 août 2026 n’est pas l’entrée en vigueur de l’AI Act, c’est la date à laquelle l’essentiel de ses obligations devient pleinement applicable et contrôlable. Le règlement est entré en vigueur en 2024 avec un calendrier progressif : interdiction des usages inacceptables en février 2025, obligations des modèles à usage général en août 2025, puis application générale en août 2026.
La bonne question n’est pas « suis-je fournisseur d’IA ? » mais « où et comment mon organisation utilise-t-elle de l’IA ? ». Car le règlement pèse aussi sur les déployeurs, c’est-à-dire les utilisateurs professionnels. La mise en conformité tient en quatre temps : cartographier les systèmes en usage, les classer par niveau de risque, documenter et gouverner ceux qui l’exigent, et former les équipes. Le reste de cet article détaille chacun de ces temps.
Déployeurs et pas seulement fournisseurs
L’erreur la plus répandue consiste à croire que l’AI Act ne concerne que les entreprises qui construisent des modèles. Le règlement distingue plusieurs rôles, dont deux touchent la quasi-totalité des organisations : le fournisseur, qui développe ou met sur le marché un système d’IA, et le déployeur, qui l’utilise dans un cadre professionnel.
Un cabinet qui automatise l’analyse de contrats, un service RH qui trie des candidatures avec un outil de scoring, une entreprise qui intègre un agent conversationnel dans son support client : tous sont des déployeurs. À ce titre, ils portent des obligations propres, notamment lorsqu’ils utilisent un système classé à haut risque. Le niveau d’exigence ne dépend pas de la taille de l’organisation mais de l’usage et de la classification du système.
Le cœur du dispositif : classer par le risque
L’AI Act ne traite pas toutes les IA de la même façon. Il organise les obligations selon quatre niveaux de risque.
Les usages inacceptables sont interdits depuis février 2025 : notation sociale généralisée, manipulation subliminale, certaines formes de reconnaissance biométrique. Un système qui relève de cette catégorie ne se met pas en conformité, il se retire.
Les systèmes à haut risque concentrent l’essentiel des obligations applicables en août 2026 : IA utilisée dans le recrutement, l’accès au crédit, l’éducation, certains services publics, ou intégrée à des produits déjà réglementés. Ils supposent une documentation technique, une gestion des risques, une supervision humaine, une journalisation et un contrôle de la qualité des données.
Les systèmes à risque limité relèvent surtout de la transparence : informer les personnes qu’elles interagissent avec une IA, signaler les contenus générés ou manipulés. Les systèmes à risque minimal, enfin, ne portent pas d’obligation spécifique.
Sans cartographie préalable, impossible de savoir dans quelle catégorie tombe chaque système. C’est pourquoi l’inventaire est la toute première étape.
Documentation, gouvernance, transparence
Pour les systèmes qui l’exigent, trois familles d’obligations structurent la conformité.
La documentation consiste à décrire ce que fait le système, sur quelles données il s’appuie, quelles sont ses limites et comment ses performances sont mesurées. Elle doit être tenue à jour et disponible pour les autorités de surveillance.
La gouvernance répartit les responsabilités en interne : qui valide la mise en production d’un système, qui supervise son fonctionnement, qui trace les décisions. La supervision humaine des systèmes à haut risque n’est pas un principe abstrait, elle suppose des personnes identifiées, capables de comprendre et d’interrompre le système.
La transparence joue vis-à-vis des personnes concernées : elles doivent savoir quand elles interagissent avec une IA et quand un contenu a été généré artificiellement.
La littératie IA, une obligation qui tombe bien
L’article 4 du règlement impose aux fournisseurs et aux déployeurs de garantir un niveau suffisant de maîtrise de l’IA chez les personnes qui conçoivent ou utilisent ces systèmes. Cette disposition est en vigueur depuis février 2025 et devient pleinement contrôlable en août 2026.
Autrement dit, former ses équipes n’est plus une bonne pratique parmi d’autres, c’est une exigence explicite du texte. La compétence attendue est proportionnée : elle couvre la compréhension des risques, des limites et du bon usage des systèmes, pas une expertise technique universelle.
Bonne nouvelle sur le plan budgétaire : une action de formation structurée entre dans le champ du plan de développement des compétences et peut être financée par un OPCO. L’obligation légale et le financement se rejoignent, ce qui en fait souvent le premier chantier concret à lancer.
Les sanctions, avec prudence
Le règlement prévoit des sanctions par palier, dont les plafonds varient selon la nature du manquement. Les pratiques interdites exposent aux montants les plus élevés, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. Les autres manquements aux obligations relèvent de paliers inférieurs, et la transmission d’informations inexactes aux autorités d’un palier plus bas encore. Les montants effectifs tiennent compte de la gravité, de la durée et de la taille de l’entreprise. L’enjeu n’est donc pas la sanction maximale théorique mais le fait de pouvoir démontrer, en cas de contrôle, une démarche de conformité documentée.
Un plan de mise en conformité en quatre étapes
- Cartographier. Recenser tous les systèmes d’IA en usage ou en projet, y compris les outils SaaS embarquant de l’IA. Sans inventaire, aucune obligation ne peut être correctement identifiée.
- Classer. Attribuer à chaque système son niveau de risque au sens du règlement. C’est cette classification qui détermine l’intensité des obligations.
- Documenter et gouverner. Pour les systèmes à haut risque, produire la documentation, définir la supervision humaine, organiser la journalisation et les rôles de validation.
- Former. Mettre en place la littératie IA exigée par l’article 4, adaptée aux profils, en s’appuyant sur un financement OPCO.
Pour la démarche d’ensemble adaptée aux petites et moyennes structures, le guide AI Act pour les PME complète cet article sur les obligations.
Par où commencer
La première étape est un état des lieux : quels systèmes d’IA sont utilisés, par qui, pour quels usages, et dans quelle catégorie de risque ils tombent. C’est un exercice de quelques jours qui produit une cartographie et un plan d’action priorisé, sans bloquer les usages en cours.
Colombani.ai accompagne cette démarche via le conseil en conformité AI Act (cartographie des systèmes, classification des risques, documentation et gouvernance) et forme les équipes à la littératie IA exigée par le règlement avec la formation Conformité IA, certifiée Qualiopi et finançable OPCO. L’expertise est certifiée par Anthropic (Claude Certified Architect).