AI Act 2026 : le calendrier des obligations pour les entreprises françaises

Publié le 13 juillet 2026 — YBL Optima

L’AI Act franchit une étape majeure le 2 août 2026. Ce règlement européen encadre l’intelligence artificielle par niveau de risque. Il s’applique déjà en partie depuis 2025. Mais la majorité des obligations pour les systèmes à haut risque entrent en vigueur cet été. Comme pour NIS2, les entreprises françaises doivent composer avec un calendrier européen dense en 2026. Cet article détaille le calendrier de l’AI Act. Il couvre les entreprises concernées, les obligations à respecter, et les sanctions encourues en cas de non-conformité.

AI Act : de quoi parle ce règlement européen ?

L’AI Act est le premier règlement au monde à encadrer l’intelligence artificielle de façon aussi complète. Il classe les systèmes d’IA selon leur niveau de risque : risque inacceptable, risque élevé, risque limité, et risque minimal. Un système à risque inacceptable est purement et simplement interdit. La notation sociale généralisée ou la manipulation comportementale en font partie. Un système à haut risque reste autorisé, mais sous conditions strictes. Cette catégorie couvre un champ large. On y trouve les outils de recrutement automatisé, la notation de crédit, les dispositifs médicaux pilotés par IA, les systèmes biométriques d’identification. On y trouve aussi la gestion des infrastructures critiques comme l’eau ou l’énergie, ainsi que certains usages dans l’éducation et la justice. Un système à risque limité, comme un chatbot classique, doit seulement informer l’utilisateur qu’il échange avec une IA. Un système à risque minimal, comme un filtre anti-spam, ne subit aucune obligation particulière.

Le calendrier complet d’entrée en application

Le calendrier de l’AI Act s’étale sur plusieurs années, par blocs successifs.

Février et août 2025 : les premières obligations

Dès le 2 février 2025, les interdictions générales sont entrées en vigueur. Elles couvrent aussi une exigence de culture de l’IA, appelée AI literacy, pour les organisations qui déploient des systèmes d’IA. Le 2 août 2025, les obligations concernant les modèles d’IA à usage général, dits GPAI, sont entrées en application à leur tour. Elles visent les grands modèles de langage et les IA génératives les plus puissantes. Un fournisseur de modèle GPAI doit tenir une documentation technique à jour. Il doit aussi publier un résumé de ses données d’entraînement protégées par le droit d’auteur, et respecter la réglementation européenne en la matière. Les modèles jugés à risque systémique, en raison de leur puissance de calcul, subissent des obligations renforcées. Ils doivent évaluer leurs risques, réaliser des tests de robustesse, et signaler les incidents graves à la Commission européenne.

2 août 2026 : l’échéance clé pour les systèmes à haut risque

À partir du 2 août 2026, la majorité des obligations applicables aux systèmes d’IA à haut risque deviennent pleinement opposables. Cela concerne aussi les déployeurs, c’est-à-dire les entreprises qui utilisent ces systèmes sans les avoir développés elles-mêmes. Une entreprise qui achète un logiciel de recrutement basé sur l’IA doit donc, elle aussi, respecter ces obligations, même si elle n’a rien développé en interne.

2027 et 2028 : les échéances repoussées par le Digital Omnibus

Le Digital Omnibus a réajusté une partie du calendrier initial. Les systèmes à haut risque listés en annexe III, ceux qui fonctionnent de façon autonome, bénéficient désormais d’un délai jusqu’au 2 décembre 2027. Les systèmes d’IA intégrés dans des produits déjà réglementés par ailleurs, comme certains dispositifs médicaux, ont jusqu’au 2 août 2028 pour se conformer à l’article 6(1) du texte.

AI Act : quelles obligations pour les entreprises concernées ?

À partir du 2 août 2026, une entreprise qui déploie un système d’IA à haut risque doit mettre en œuvre plusieurs mesures. Elle doit garantir une supervision humaine réelle des décisions automatisées, pas seulement théorique. Informer clairement les personnes concernées lorsqu’elles interagissent avec un système d’IA ou en subissent les effets. Et enfin documenter ses traitements, gérer les risques de façon continue, et tenir des registres précis de l’utilisation du système. Ces obligations pèsent sur les développeurs de systèmes d’IA. Elles pèsent aussi sur leurs clients, qui les déploient au quotidien. Avant sa mise sur le marché, un système à haut risque doit passer par une évaluation de conformité. C’est un peu l’équivalent du marquage CE pour un produit industriel. Cette évaluation vérifie plusieurs points : la qualité des données d’entraînement, la robustesse du système face aux erreurs, et la présence de mécanismes de correction en cas de dérive. Une entreprise qui achète ce type de système doit vérifier un point simple : son fournisseur a-t-il bien réalisé cette évaluation avant de le déployer ?

AI Act : quelles sanctions en cas de non-conformité ?

Les sanctions de l’AI Act varient selon la gravité du manquement. Une entreprise qui développe ou utilise une IA interdite risque jusqu’à 35 millions d’euros d’amende, ou 7 % de son chiffre d’affaires mondial. Un manquement sur un système à haut risque non conforme peut coûter jusqu’à 15 millions d’euros, ou 3 % du chiffre d’affaires mondial. Un simple défaut de transparence, moins grave, reste plafonné à 7,5 millions d’euros, ou 1 % du chiffre d’affaires. Ces montants placent l’AI Act parmi les textes européens les plus dissuasifs, dans la lignée du RGPD ou de NIS2.

Digital Omnibus : l’UE assouplit-elle vraiment l’AI Act ?

Le Digital Omnibus a suscité un débat animé. Certains y voient un simple ajustement technique du calendrier. D’autres dénoncent un recul face à la pression des grandes entreprises technologiques. Dans les faits, le texte ne change pas les grands principes de l’AI Act. Il repousse certaines échéances pour les systèmes les plus complexes à mettre en conformité, sans réduire le niveau d’exigence attendu à terme. Pour une entreprise française, ce report ne doit pas être vu comme un signal pour ralentir sa préparation. Les obligations de fond restent identiques ; seul le calendrier de certaines catégories change.

Comment anticiper l’AI Act dans votre entreprise ?

Quelques actions concrètes permettent d’aborder l’échéance du 2 août 2026 sans précipitation :

• Cartographiez tous les systèmes d’IA utilisés dans votre entreprise, qu’ils soient développés en interne ou achetés à un éditeur.
• Classez chaque système selon son niveau de risque au sens de l’AI Act : inacceptable, élevé, limité ou minimal.
• Mettez en place une supervision humaine réelle pour tout système à haut risque, avec une personne capable d’intervenir sur une décision automatisée.
• Documentez vos traitements et conservez des registres d’utilisation, prêts à être présentés en cas de contrôle.
• Formez vos équipes à l’AI literacy, une obligation déjà en vigueur depuis février 2025 et souvent négligée.
• Désignez un référent interne pour l’AI Act, à l’image du délégué à la protection des données pour le RGPD. Cette personne suivra l’évolution du texte et centralisera les questions de conformité.
• Vérifiez les clauses contractuelles de vos fournisseurs de logiciels d’IA : elles doivent préciser qui, du fournisseur ou de votre entreprise, porte quelle part des obligations de conformité.

FAQ : les questions fréquentes sur l’AI Act

L’AI Act s’applique-t-il aux entreprises qui utilisent l’IA sans la développer ?

Oui. Les obligations visent aussi bien les développeurs de systèmes d’IA que les déployeurs, c’est-à-dire les entreprises qui utilisent ces outils au quotidien, même achetés auprès d’un éditeur.

Quelle est la date la plus importante à retenir pour 2026 ?

Le 2 août 2026. C’est la date à laquelle la majorité des obligations applicables aux systèmes d’IA à haut risque deviennent pleinement opposables.

Le Digital Omnibus supprime-t-il des obligations de l’AI Act ?

Non, il repousse certaines échéances pour les systèmes les plus complexes, notamment jusqu’en 2027 et 2028. Les principes et le niveau d’exigence du texte restent les mêmes.

Quelles sanctions risque une entreprise non conforme à l’AI Act ?

Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour une IA interdite, 15 millions d’euros ou 3 % pour un système à haut risque non conforme, et 7,5 millions d’euros ou 1 % pour un défaut de transparence.

Un simple chatbot d’assistance client entre-t-il dans le champ de l’AI Act ?

Oui, mais avec un niveau d’obligations très léger. Un chatbot classique relève du risque limité : il doit seulement informer l’utilisateur qu’il échange avec une intelligence artificielle, sans autre obligation lourde de conformité.

Faut-il un délégué dédié à l’AI Act comme pour le RGPD ?

Le texte ne l’impose pas formellement pour toutes les entreprises. Mais dans la pratique, désigner un référent interne facilite grandement le suivi des obligations, la mise à jour des registres, et la coordination avec les fournisseurs de systèmes d’IA.

AI Act et RGPD : une gouvernance à construire ensemble

Beaucoup de systèmes d’IA traitent aussi des données personnelles. L’AI Act et le RGPD s’appliquent alors en parallèle, avec des exigences qui se recoupent souvent : transparence envers les personnes concernées, documentation des traitements, gestion des risques. Une entreprise qui a déjà structuré sa conformité RGPD dispose d’une base solide pour aborder l’AI Act. Mieux vaut confier ces deux chantiers à une gouvernance commune plutôt qu’à deux équipes qui travaillent chacune de leur côté, sans se coordonner.

Ce qu’il faut retenir sur l’AI Act

L’AI Act impose un cadre progressif mais exigeant à toutes les entreprises qui développent ou utilisent des systèmes d’intelligence artificielle. L’échéance du 2 août 2026 marque un tournant. Les obligations sur les systèmes à haut risque deviennent pleinement applicables. Cela vaut aussi pour les entreprises qui se contentent d’utiliser un outil acheté ailleurs. Le Digital Omnibus a repoussé certains délais, sans alléger le fond du texte. Les entreprises qui cartographient dès maintenant leurs systèmes d’IA arriveront à cette échéance sans mauvaise surprise. Elles gagneront aussi une longueur d’avance sur leurs concurrents moins préparés.