Niveau : Avancé · Prérequis : Travail et société · Temps de lecture : ~9 min
L’AI Act : où en est-on vraiment ?
Le règlement européen sur l’intelligence artificielle (règlement (UE) 2024/1689) est entré en vigueur le 1er août 2024, avec une application progressive. Il a été modifié pour la première fois par le Digital Omnibus on AI : le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Cet omnibus a essentiellement reporté les obligations relatives aux systèmes à haut risque, sans toucher au reste. Voici le calendrier consolidé :Le report ne concerne que le haut risque. Les interdictions, la littératie en IA, les obligations GPAI, la transparence et les sanctions restent pleinement applicables. L’idée répandue selon laquelle « l’AI Act a été repoussé » est donc largement fausse : l’essentiel de ce qui touche un utilisateur professionnel ordinaire est déjà en vigueur.
Ce que l’article 50 vous impose depuis le 2 août 2026
C’est l’échéance la plus directement opérationnelle pour la majorité des organisations. Elle concerne toute entité qui déploie un système d’IA, pas seulement ceux qui en développent.Informer que l'on interagit avec une IA
Informer que l'on interagit avec une IA
Tout système conçu pour interagir directement avec des personnes physiques (agent conversationnel, assistant, standard vocal) doit le faire savoir, sauf si c’est manifeste pour une personne raisonnablement avertie. Concrètement : une mention claire à l’ouverture d’un chatbot, pas une ligne enfouie dans les mentions légales.
Marquer les contenus synthétiques
Marquer les contenus synthétiques
Les fournisseurs de systèmes générant du texte, de l’image, du son ou de la vidéo doivent marquer ces sorties dans un format lisible par machine, détectable comme généré ou manipulé artificiellement. Un délai transitoire court jusqu’au 2 décembre 2026 pour les systèmes déjà présents sur le marché européen avant le 2 août 2026 ; ceux mis sur le marché après cette date s’appliquent immédiatement.
Signaler les hypertrucages
Signaler les hypertrucages
Quiconque diffuse une image, un son ou une vidéo constituant un deepfake doit indiquer que le contenu a été généré ou manipulé artificiellement. Des aménagements existent pour les usages artistiques, satiriques ou fictionnels, où la mention doit être faite sans nuire à l’œuvre.
Signaler les textes d'information publique
Signaler les textes d'information publique
Les textes générés par IA et publiés dans le but d’informer le public sur des questions d’intérêt général doivent être signalés, sauf lorsqu’ils ont fait l’objet d’une relecture humaine et qu’une personne physique ou morale assume la responsabilité éditoriale de leur publication.
Reconnaissance des émotions et biométrie
Reconnaissance des émotions et biométrie
Les déployeurs d’un système de reconnaissance des émotions ou de catégorisation biométrique doivent en informer les personnes exposées et traiter les données conformément au RGPD.
L’obligation de littératie en IA (article 4)
Souvent oubliée, elle s’applique pourtant depuis février 2025 et concerne toutes les organisations qui fournissent ou déploient des systèmes d’IA. Elle impose de prendre des mesures pour garantir un niveau suffisant de compétence en IA chez les personnes qui utilisent ces systèmes en leur nom, compte tenu de leurs connaissances, du contexte et des personnes affectées.En clair : former vos équipes n’est pas une bonne pratique, c’est une obligation légale. Elle est peu spectaculaire, mais elle est en vigueur, et le régime de sanctions est applicable depuis le 2 août 2026. Si vous suivez ce cours dans un cadre professionnel, vous participez déjà à cette conformité.
Les niveaux de risque
Risque inacceptable
Interdit depuis février 2025 : notation sociale, exploitation de vulnérabilités, reconnaissance des émotions au travail et à l’école, police prédictive individuelle, moissonnage non ciblé d’images faciales.
Haut risque
Recrutement, éducation, crédit, services essentiels, biométrie, infrastructures critiques, justice. Gestion des risques, qualité des données, documentation, journalisation, supervision humaine. Applicable en décembre 2027.
Risque limité
Chatbots, générateurs de contenu, hypertrucages. Obligations de transparence de l’article 50, applicables maintenant.
Risque minimal
La grande majorité des usages : correction de texte, filtres anti-spam, recommandations. Aucune obligation spécifique, mais l’article 4 et le RGPD continuent de s’appliquer.
Le RGPD : le socle qui n’a jamais disparu
L’AI Act ne remplace pas le RGPD ; il s’y ajoute. Dès qu’un traitement porte sur des données personnelles (et c’est le cas plus souvent qu’on ne le croit), les obligations habituelles s’appliquent intégralement.1
Base légale et finalité
Chaque traitement a besoin d’une base légale et d’une finalité déterminée. « On teste l’IA sur nos données clients pour voir » n’en est pas une.
2
Minimisation
Ne transmettez au modèle que les données nécessaires. Pseudonymisez ou supprimez les identifiants directs quand la tâche ne les exige pas, c’est aussi le meilleur remède aux biais discriminatoires.
3
Sous-traitance et transferts
Votre fournisseur d’IA est un sous-traitant : contrat, garanties, localisation des traitements, encadrement des transferts hors UE. Vérifiez si vos entrées servent à entraîner ses modèles : la réponse diffère souvent entre offre grand public et offre professionnelle.
4
Analyse d'impact (AIPD)
Un traitement innovant à grande échelle ou portant sur des données sensibles impose généralement une analyse d’impact préalable. L’usage de l’IA sur des données RH, de santé ou de clients en fait fréquemment partie.
5
Décision automatisée
L’article 22 encadre les décisions produisant des effets juridiques ou significatifs prises sur le seul fondement d’un traitement automatisé. Une supervision humaine réelle (et pas seulement un bouton de validation) est la réponse habituelle.
La CSRD : quand l’IA entre dans le reporting extra-financier
Pour les entreprises soumises au reporting de durabilité, l’empreinte de l’IA n’est pas un sujet à part : elle s’inscrit dans les postes existants : consommation d’énergie, émissions du Scope 2 pour l’électricité, Scope 3 pour les services cloud et le matériel acheté. Le périmètre a été fortement resserré par la directive « Omnibus I », adoptée par le Conseil le 24 février 2026 et publiée au Journal officiel le 26 février 2026 :Même hors obligation, la logique reste utile : un fournisseur soumis à la CSRD vous interrogera sur vos propres impacts au titre de sa chaîne de valeur. Beaucoup d’organisations non assujetties se retrouvent ainsi à devoir produire des données, mieux vaut les avoir anticipées.
Les normes volontaires : structurer sans attendre
Le droit fixe un plancher. Les référentiels normatifs, eux, donnent des méthodes.ISO/IEC 42001
Publiée en décembre 2023, c’est la norme de système de management de l’IA. Certifiable, elle structure gouvernance, analyse des risques, rôles et amélioration continue. Utile comme colonne vertébrale d’une démarche, et de plus en plus demandée en appel d’offres.
AFNOR SPEC 2314
Publiée en 2024, le Référentiel général pour l’IA frugale : méthodologie de mesure par analyse de cycle de vie, 31 fiches de bonnes pratiques, et règles d’encadrement des allégations de frugalité. En français, gratuit, directement opérationnel.
ISO/IEC 23894
Lignes directrices sur le management du risque appliqué à l’IA. Complète utilement ISO 42001 pour qui doit formaliser une analyse de risques défendable.
Normes harmonisées européennes
En cours d’élaboration par le CEN-CENELEC, elles donneront présomption de conformité à l’AI Act. Leur calendrier conditionne largement la mise en œuvre concrète des obligations haut risque.
Une grille de première évaluation
Avant de déployer un système d’IA, cinq questions permettent de situer rapidement votre niveau d’obligation :1
Le système relève-t-il d'une pratique interdite ?
Notation sociale, reconnaissance des émotions au travail ou à l’école, exploitation de vulnérabilités : si oui, le projet s’arrête là. Ces interdictions sont en vigueur.
2
Touche-t-il à un domaine à haut risque ?
Recrutement, éducation, crédit, santé, services essentiels, biométrie, justice. Si oui, préparez dès maintenant la documentation, la gestion des risques et la supervision humaine : décembre 2027 arrive vite pour un système déjà déployé.
3
Interagit-il avec des personnes ou produit-il du contenu diffusé ?
Si oui, l’article 50 s’applique immédiatement : information sur la nature IA, marquage des contenus synthétiques, signalement des hypertrucages.
4
Traite-t-il des données personnelles ?
Si oui : base légale, minimisation, contrat de sous-traitance, éventuellement analyse d’impact. Vérifiez l’usage de vos données par le fournisseur.
5
Les utilisateurs sont-ils formés ?
L’article 4 l’exige, sans seuil ni exception. Une sensibilisation documentée est le minimum défendable.
Ce qu’il faut retenir
- L’AI Act a été amendé en juillet 2026 : seul le haut risque est reporté (décembre 2027 et août 2028).
- La transparence (art. 50) et le régime de sanctions sont applicables depuis le 2 août 2026, avec un délai de grâce au 2 décembre 2026 pour le marquage machine des systèmes préexistants.
- L’obligation de littératie en IA est en vigueur depuis février 2025 et concerne toutes les organisations.
- Le RGPD continue de s’appliquer intégralement et reste, en pratique, la contrainte la plus fréquente.
- La CSRD a vu son champ réduit d’environ 80 %, mais l’effet de chaîne de valeur touche aussi les non-assujettis.
- ISO/IEC 42001 et AFNOR SPEC 2314 offrent des cadres méthodologiques à mobiliser sans attendre.
Testez vos connaissances
Quiz : Le Digital Omnibus de juillet 2026 a-t-il repoussé l'ensemble des obligations de l'AI Act ?
Quiz : Le Digital Omnibus de juillet 2026 a-t-il repoussé l'ensemble des obligations de l'AI Act ?
Non. Le report ne concerne que les systèmes à haut risque (décembre 2027 pour l’annexe III, août 2028 pour l’annexe I). Les pratiques interdites et l’obligation de littératie en IA sont en vigueur depuis février 2025, les obligations des modèles à usage général depuis août 2025, et surtout la transparence de l’article 50 ainsi que le régime de sanctions s’appliquent depuis le 2 août 2026. L’idée répandue selon laquelle « l’AI Act a été repoussé » dans son ensemble est donc largement fausse : l’essentiel de ce qui touche un utilisateur professionnel ordinaire est déjà en vigueur aujourd’hui.