AI Act entreprise obligations : ce qui s'applique vraiment à une entreprise qui utilise l'IA
AI Act entreprise obligations : au 7 septembre 2026, une entreprise qui utilise l'IA sans en produire porte deux obligations actives. Faire monter son personnel en maîtrise de l'IA, depuis le 2 février 2025, et signaler certains contenus générés qu'elle publie, depuis le 2 août 2026. Le reste a été repoussé.
De seize mois, précisément.
Ce que le calendrier de l'AI Act dit au 7 septembre 2026
Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024 et s'applique par vagues. Un second règlement, le (UE) 2026/1744 du 8 juillet 2026, en a déplacé une partie.
L'état réel, échéance par échéance.
- 2 février 2025, en vigueur : pratiques interdites de l'article 5, et maîtrise de l'IA de l'article 4. Date inchangée.
- 2 août 2025, en vigueur : modèles d'IA à usage général, gouvernance, autorités nationales, régime de sanctions.
- 2 août 2026, en vigueur : date générale d'application, dont la transparence de l'article 50, et début du contrôle.
- 2 décembre 2026 : deux nouvelles pratiques interdites, et fin du délai de marquage laissé aux fournisseurs.
- 2 décembre 2027, reporté : le haut risque de l'annexe III, attendu pour le 2 août 2026.
- 2 août 2028, reporté : le haut risque intégré dans des produits déjà réglementés, annexe I, attendu pour le 2 août 2027.
Une précaution de lecture s'impose. Beaucoup de pages en ligne, institutionnelles comprises, portent encore le calendrier antérieur et annoncent le haut risque pour le 2 août 2026. Vérifiez la date de mise à jour de ce que vous lisez : le questions-réponses de la CNIL, actualisé le 17 août 2026, fait référence côté français.
Vous préférez en parler de vive voix ?
Prendre rendez-vous avec France IACe que le règlement du 8 juillet 2026 a réellement repoussé
Le report ne porte pas sur l'AI Act entier. Il vise le chapitre III, sections 1 à 3, soit les articles 6 à 27.
C'est là que vit l'article 26, celui des déployeurs.
Il liste leurs obligations sur un système à haut risque : contrôle humain confié à des personnes compétentes, conservation des journaux six mois au moins, information des représentants du personnel et des salariés avant la mise en service sur le lieu de travail. Pour l'annexe III, elles s'appliqueront le 2 décembre 2027.
Motif invoqué au considérant 40 : les retards des normes et des autorités nationales.
Ce délai n'est pas une dispense. Il laisse quinze mois pour inventorier vos usages.
Les quatre niveaux de risque, et celui qui vous concerne
La Commission européenne présente le règlement en quatre niveaux, dont trois ne concernent pas la plupart des entreprises.
Le risque inacceptable, article 5, interdit certaines pratiques. Une seule parle directement à un dirigeant : un système qui infère les émotions de vos salariés sur le lieu de travail est interdit, hors raisons médicales ou de sécurité. Pas encadré, interdit.
Le haut risque, article 6 et annexe III, vise des cas d'usage nommés. Trois touchent une entreprise ordinaire : le recrutement et la sélection de candidatures, les décisions sur la promotion, le licenciement ou l'évaluation des performances, et l'évaluation de la solvabilité de personnes physiques.
Le risque de transparence, article 50, ne demande pas de dossier de conformité. Il demande de dire les choses.
Le risque minimal ne porte aucune obligation, et la Commission y range la grande majorité des systèmes utilisés dans l'Union, dont la rédaction d'un compte rendu.
Un mot de vocabulaire, parce que les obligations lourdes visent les fournisseurs. L'article 3 définit le déployeur comme toute personne utilisant un système d'IA sous sa propre autorité, hors usage personnel. Votre entreprise l'est dès le premier abonnement ouvert.
L'obligation de maîtrise de l'IA de l'article 4
Elle s'applique depuis le 2 février 2025, aux fournisseurs comme aux déployeurs. Elle demande des mesures pour que le personnel dispose d'une maîtrise de l'IA, c'est-à-dire d'une compréhension suffisante de ce que fait l'outil et de ce qu'il peut rater.
Son texte a changé le 27 juillet 2026.
L'ancienne rédaction demandait de « garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA ». La nouvelle demande de « favoriser le développement de la maîtrise de l'IA » et précise qu'elle « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu ». Motif donné au considérant 8 : la charge pesait trop sur les petites entreprises.
La Commission a répondu à la question que se posent nos lecteurs, dans ses questions-réponses du 27 juillet 2026. Une entreprise dont les salariés utilisent ChatGPT pour rédiger ou traduire est concernée, et ces personnes doivent être informées des risques propres à l'outil, l'hallucination étant l'exemple cité. C'est le sujet de notre article sur les risques de l'IA générative en entreprise.
La même source dit ce qui n'est pas demandé : ni mesure des connaissances des salariés, ni certificat, ni structure de gouvernance imposée. Un registre interne des formations documente la démarche, et renvoyer à la notice d'utilisation risque d'être inefficace.
La décision reste de direction : elle engage du temps et un budget. C'est l'objet de la formation IA dirigeant.
Signaler un contenu généré : ce que demande l'article 50
Deuxième obligation active depuis le 2 août 2026, et la seule vraiment nouvelle pour une entreprise ordinaire. La Commission a publié ses lignes directrices le 20 juillet 2026.
Deux paragraphes visent le déployeur.
Le premier porte sur les hypertrucages, c'est-à-dire les images, sons ou vidéos générés par une IA de façon à paraître authentiques. Si votre entreprise en publie, elle doit l'indiquer.
Le second porte sur les textes publiés pour informer le public sur des questions d'intérêt public. Il comporte une exception que peu de gens ont lue : elle tombe lorsque le contenu a fait l'objet d'un examen humain et qu'une personne assume la responsabilité éditoriale de la publication.
Une entreprise qui relit et assume ses publications n'a donc pas à les étiqueter.
Les sanctions, aux montants du règlement
L'article 99 s'applique depuis le 2 août 2025. Ses montants sont écrits ainsi.
- Pratiques interdites de l'article 5 : jusqu'à 35 000 000 EUR ou 7 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
- La plupart des autres manquements, dont l'article 26 et l'article 50 : jusqu'à 15 000 000 EUR ou 3 %, le montant le plus élevé étant retenu.
- Informations inexactes fournies aux autorités : jusqu'à 7 500 000 EUR ou 1 %, le montant le plus élevé étant retenu.
La règle s'inverse pour les PME : le paragraphe 6 plafonne chaque amende à ces pourcentages ou montants, le chiffre le plus faible étant retenu.
Un point circule mal. L'article 4 ne figure dans aucune liste de plafonds de l'article 99 : il relève du régime général que chaque État membre doit prévoir, effectif, proportionné et dissuasif, sans plafond harmonisé.
Où en est la France
Aucune autorité française n'est juridiquement désignée au 7 septembre 2026. La liste des autorités de surveillance du marché tenue par la Commission, mise à jour ce jour, fait figurer la France avec un astérisque devant la DGCCRF, la légende précisant que la décision nationale reste en attente d'adoption définitive.
Le texte censé opérer cette désignation a été adopté par le Sénat le 18 février 2026, puis transmis à l'Assemblée nationale, où le dossier n'a plus connu d'événement depuis le 23 avril 2026. La CNIL écrit se préparer à être désignée autorité de surveillance de marché.
Ce vide ne suspend rien : le règlement est d'application directe.
Ce que cet article ne tranche pas
L'article 86 ouvre à une personne visée par une décision fondée sur un système à haut risque un droit d'obtenir du déployeur des explications sur le rôle de ce système. Sa date d'application est incertaine. à valider : applicabilité de l'article 86 au 7 septembre 2026. Le report ne vise que le chapitre III sections 1 à 3, quand l'article 86 vit au chapitre IX. Aucune source officielle ne tranche
Cet article décrit un texte, il ne qualifie pas votre situation. Savoir si votre outil de tri de candidatures relève de l'annexe III est l'affaire d'un conseil juridique.
Ce que nous savons faire tient à l'article 4, et cela se prépare sur des usages réels plutôt que par une note de service : c'est la question par où commencer avec l'IA en entreprise.
L'article 4 ne demande pas un certificat, il demande que les personnes qui utilisent ces outils sachent ce qu'elles manipulent. C'est un travail de diffusion interne, décrit dans notre article sur l'acculturation à l'IA de vos collaborateurs.