IA Act : quelles obligations pour une entreprise qui utilise l'IA ?

Votre entreprise est-elle concernée ?

Le règlement (UE) 2024/1689, appelé AI Act ou RIA, distingue deux rôles. Le fournisseur développe un système d'IA, ou le met en service sous son propre nom. Le déployeur l'utilise sous son autorité, dans un cadre professionnel (article 3).

Dès que vos salariés utilisent un outil d'IA pour leur travail, votre entreprise est déployeur. Cela vaut pour un assistant comme ChatGPT, Claude ou Copilot qui sert à rédiger ou à traduire, pour un logiciel qui trie des candidatures, pour un assistant conversationnel sur votre site. La Commission prend elle-même l'exemple d'employés qui écrivent des textes publicitaires ou traduisent avec ChatGPT.

Une entreprise peut aussi devenir fournisseur sans l'avoir cherché : en mettant un système en service sous son propre nom, ou en détournant un outil vers un usage à haut risque (article 25). Demandez à chaque prestataire qui tient quel rôle.

Qu'impose l'article 4 sur la maîtrise de l'IA ?

Depuis le 2 février 2025, fournisseurs et déployeurs doivent s'occuper de la maîtrise de l'IA de leur personnel, et des personnes qui utilisent l'IA pour leur compte. L'objectif est que chacun sache ce que fait l'outil, ce qu'il peut rater et comment s'en servir dans son métier.

Le règlement (UE) 2026/1744, appelé « omnibus numérique », est entré en vigueur le 27 juillet 2026 et a réécrit cet article. L'obligation reste, en plus léger : l'entreprise prend des mesures pour soutenir le développement de cette maîtrise, sans devoir garantir un niveau précis pour chaque personne. En novembre 2025, la Commission avait proposé de faire porter cette tâche aux États ; le texte adopté la laisse aux entreprises.

Selon les questions-réponses de la Commission, mises à jour le 20 octobre 2026, aucune formation n'est imposée et aucun certificat n'est exigé. Elle conseille de partir du rôle de l'entreprise, des outils qu'elle utilise et de leurs risques, puis d'adapter les actions au niveau de chacun. L'entreprise peut garder une trace interne de ce qu'elle a fait. Les autorités nationales contrôlent ce point depuis le 2 août 2026.

Une charte d'usage de l'IA, qui dit quels outils utiliser, pour quoi faire et avec quelles données, est souvent la première de ces mesures. Une formation peut en faire partie : la page formation IA financée par l'OPCO dit comment la faire prendre en charge.

Quels usages de l'IA sont interdits ?

Depuis le 2 février 2025, l'article 5 interdit certaines pratiques, quel que soit le rôle de l'entreprise. Parmi elles, celles qu'une PME peut croiser :

• Déduire les émotions d'un salarié au travail, ou d'un élève, sauf pour des raisons médicales ou de sécurité.
• Noter des personnes d'après leur comportement social ou leur personnalité, puis les traiter défavorablement dans un autre contexte ou de façon disproportionnée.
• Manipuler une personne, ou exploiter sa vulnérabilité (âge, handicap, situation sociale ou économique), au point de lui causer un préjudice important.
• Classer des personnes d'après leurs données biométriques pour en déduire leurs opinions politiques, leur appartenance syndicale, leur religion ou leur orientation sexuelle.
• Constituer une base de reconnaissance faciale en aspirant sans cible des images d'internet ou de vidéosurveillance.
• À partir du 2 décembre 2026, une neuvième interdiction ajoutée par l'omnibus : générer des images intimes réalistes d'une personne identifiable sans son consentement, ou des contenus pédopornographiques.

Quels usages sont à haut risque, et pour quand ?

L'annexe III du règlement liste les usages à haut risque. Une PME en croise surtout cinq. L'omnibus a reporté les obligations qui s'y attachent au 2 décembre 2027, au lieu du 2 août 2026. Pour l'IA intégrée à des produits déjà réglementés (machines, jouets, dispositifs médicaux), elles s'appliqueront le 2 août 2028.

• Recrutement : diffuser des offres ciblées, trier ou filtrer les candidatures, évaluer les candidats.
• Gestion du personnel : décider d'une promotion ou d'une fin de contrat, répartir les tâches d'après le comportement ou la personnalité, suivre et évaluer la performance.
• Crédit : évaluer la solvabilité d'un particulier ou lui attribuer une note, hors détection de fraude.
• Assurance vie et santé : évaluer le risque d'une personne et fixer son tarif.
• Formation : décider d'une admission, évaluer les acquis.

Que doit faire une entreprise qui utilise un système à haut risque ?

Le report n'est pas une exemption : un outil de tri de CV choisi aujourd'hui devra suivre ces règles au 2 décembre 2027. L'article 26 demande au déployeur de :

• l'utiliser selon la notice du fournisseur ;
• confier la surveillance humaine à des personnes compétentes, formées et qui ont l'autorité pour intervenir ;
• veiller, quand il les contrôle, à ce que les données fournies au système soient pertinentes pour l'usage prévu ;
• suivre son fonctionnement, signaler un risque ou un incident grave, et suspendre son usage si besoin ;
• garder au moins six mois les journaux du système qui sont sous son contrôle ;
• informer les représentants du personnel et les salariés concernés avant de le mettre en service au travail ;
• prévenir les personnes visées par une décision prise ou aidée par le système ;
• faire l'analyse d'impact du RGPD quand elle est due, avec les informations fournies par le fournisseur.

Quelles règles de transparence s'appliquent depuis le 2 août 2026 ?

L'article 50 s'applique depuis le 2 août 2026, sans report. Il répartit les obligations entre fournisseur et déployeur :

• Assistant conversationnel : les personnes doivent savoir qu'elles parlent à une IA, sauf si c'est évident. L'obligation pèse sur le fournisseur ; si vous mettez un tel assistant en service sous votre nom, vérifiez qui la porte.
• Contenus générés : le fournisseur marque les images, sons, vidéos et textes générés pour qu'une machine puisse les détecter. Un outil déjà sur le marché avant le 2 août 2026 a jusqu'au 2 décembre 2026.
• Hypertrucages (deepfakes) : le déployeur qui diffuse une image, un son ou une vidéo générés ou retouchés, et qui ressemblent au réel, doit le dire.
• Textes publiés pour informer le public sur un sujet d'intérêt général : le déployeur signale qu'ils viennent d'une IA, sauf s'ils ont été relus par une personne qui en porte la responsabilité éditoriale.
• Reconnaissance des émotions ou catégorisation biométrique, là où elles restent permises : le déployeur informe les personnes exposées.

Quel calendrier retenir ?

Les dates, telles qu'elles se lisent au 5 novembre 2026 :

• 1er août 2024 : entrée en vigueur du règlement.
• 2 février 2025 : pratiques interdites et maîtrise de l'IA.
• 2 août 2025 : règles des modèles d'IA à usage général, qui visent ceux qui les développent.
• 27 juillet 2026 : entrée en vigueur de l'omnibus numérique (règlement (UE) 2026/1744) et nouvelle rédaction de l'article 4.
• 2 août 2026 : application générale du règlement, règles de transparence, contrôle et sanctions par les autorités nationales.
• 2 décembre 2026 : neuvième interdiction ; fin du délai de marquage pour les outils génératifs déjà sur le marché.
• 2 décembre 2027 : usages à haut risque de l'annexe III (recrutement, gestion du personnel, crédit, assurance, formation).
• 2 août 2028 : IA intégrée à des produits réglementés (annexe I).

Quelles sanctions ?

L'article 99 prévoit jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour une pratique interdite, et jusqu'à 15 millions ou 3 % pour un manquement aux obligations des déployeurs ou de transparence. Pour une PME, le plafond est le plus bas des deux montants.

Le contrôle revient d'abord aux autorités de surveillance du marché de chaque État. Le Bureau de l'IA de la Commission surveille les modèles d'IA à usage général.

Que change un agent IA sur mesure ?

Un agent ne suffit pas à rendre une entreprise conforme, mais sa conception peut rendre ces règles plus simples à tenir au quotidien :

• Des sources citées : chaque réponse renvoie aux documents d'où elle vient. Vos équipes voient d'où sort une affirmation, repèrent une erreur et apprennent les limites de l'outil en s'en servant.
• Une validation humaine : l'agent prépare (une réponse, un devis, un document), une personne de l'entreprise valide avant l'envoi. Le règlement exige cette surveillance humaine pour le haut risque ; vous en prenez l'habitude dès le premier agent.
• Des données gardées chez vous : vos fichiers restent dans vos dossiers, lus en lecture seule. Ce que l'agent en retient est chiffré avec une clé propre à votre entreprise, sur des serveurs en France et une base de données dans l'Union européenne.
• Un usage connu : chaque agent fait une tâche que vous avez choisie. Vous savez quelle IA sert à quoi, ce qui fait la première ligne de votre inventaire.

Et le choix du modèle ?

Vous choisissez le modèle : Claude, des modèles d'OpenAI, ou Mistral si vous préférez un modèle français. Ils tournent en Europe, sans conservation de vos données.

Le détail de l'hébergement et du chiffrement est dans la page « Où vont nos données avec une IA d'entreprise ? ». Ce qu'est un agent, et comment en déployer un, est dans le guide agent IA en entreprise.

Quelle checklist pour le dirigeant ?

Dix points à passer en revue avec vos équipes :

• Lister les outils d'IA utilisés dans l'entreprise, y compris ceux que les salariés ont adoptés d'eux-mêmes, et à quoi ils servent.
• Vérifier qu'aucun usage ne tombe dans les pratiques interdites, à commencer par l'analyse des émotions des salariés.
• Repérer les usages à haut risque (recrutement, évaluation du personnel, crédit, assurance) et préparer le 2 décembre 2027.
• Demander à chaque prestataire s'il est fournisseur, si vous êtes déployeur, et ce qu'il fournit comme notice.
• Prévoir une action de maîtrise de l'IA adaptée à chaque rôle, et en garder une trace.
• Écrire une charte d'usage : quels outils, pour quoi faire, avec quelles données.
• Garder une relecture humaine sur tout ce qui engage l'entreprise : devis, réponses aux clients, contrats.
• Signaler à vos clients qu'ils parlent à une IA quand c'est le cas, et dire qu'une image, un son ou une vidéo réalistes que vous publiez ont été générés.
• Savoir où vont vos données, si le fournisseur peut s'entraîner dessus, et ce que dit votre analyse RGPD.
• Relire le calendrier chaque semestre : il a déjà changé une fois.

Questions fréquentes

L'AI Act s'applique-t-il à une PME qui utilise seulement ChatGPT ?

Oui, pour la maîtrise de l'IA : une entreprise dont les salariés utilisent un outil d'IA au travail est déployeur, et doit prendre des mesures pour qu'ils sachent s'en servir et en connaissent les limites. Le reste dépend de l'usage : interdit, à haut risque, soumis à transparence, ou sans règle particulière.

La formation à l'IA est-elle obligatoire pour les salariés ?

Aucune formation précise n'est imposée et aucun certificat n'est exigé, selon la Commission. L'entreprise doit prendre des mesures pour soutenir la maîtrise de l'IA de son personnel, adaptées à ses usages, et peut garder une trace interne de ce qu'elle a fait.

Qu'a changé le Digital Omnibus en 2026 ?

Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a allégé l'article 4 sur la maîtrise de l'IA, reporté les obligations des usages à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I), et ajouté une interdiction qui s'applique le 2 décembre 2026. Les règles de transparence n'ont pas été reportées : elles s'appliquent depuis le 2 août 2026.

Le 2 août 2026 reste-t-il la date clé ?

C'est la date d'application générale du règlement, celle des règles de transparence et du début des contrôles. Les obligations des usages à haut risque, prévues à l'origine pour cette date, ont été reportées au 2 décembre 2027.

Un agent IA sur mesure est-il un système à haut risque ?

Pas en soi : tout dépend de son usage. Un agent qui trie des mails, prépare des devis ou retrouve des documents ne figure pas dans l'annexe III. Un agent qui filtre des candidatures ou évalue des salariés y figure.

Faut-il déclarer ses outils d'IA quelque part ?

Une entreprise privée qui utilise un outil n'a pas à l'enregistrer dans la base de l'Union européenne. Cet enregistrement concerne les fournisseurs de systèmes à haut risque et les autorités publiques qui les utilisent.

Qui contrôle le respect du règlement ?

Les autorités de surveillance du marché de chaque État membre, depuis le 2 août 2026. Le Bureau de l'IA de la Commission surveille les modèles d'IA à usage général.