Skip to main content
Niveau : Avancé · Prérequis : Travail et société · Temps de lecture : ~9 min
Le cadre juridique de l’IA en Europe a beaucoup bougé, y compris très récemment. Cette page fait le point sur ce qui s’applique aujourd’hui, ce qui arrive, et ce que vous devez faire dans chaque cas. Elle vise l’utilité pratique plutôt que l’exhaustivité juridique, et ne remplace évidemment pas l’avis d’un juriste sur votre situation particulière.
Ce chapitre est daté. Les informations ci-dessous reflètent l’état du droit au 4 août 2026, après l’entrée en vigueur du Digital Omnibus sur l’IA. Sur un sujet aussi mouvant, vérifiez toujours la date de la source que vous consultez : une grande partie du contenu disponible en ligne décrit encore le calendrier d’avant juillet 2026.

​
L’AI Act : où en est-on vraiment ?

Le règlement européen sur l’intelligence artificielle (règlement (UE) 2024/1689) est entré en vigueur le 1er août 2024, avec une application progressive. Il a été modifié pour la première fois par le Digital Omnibus on AI : le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Cet omnibus a essentiellement reporté les obligations relatives aux systèmes à haut risque, sans toucher au reste. Voici le calendrier consolidé :
Le report ne concerne que le haut risque. Les interdictions, la littératie en IA, les obligations GPAI, la transparence et les sanctions restent pleinement applicables. L’idée répandue selon laquelle « l’AI Act a été repoussé » est donc largement fausse : l’essentiel de ce qui touche un utilisateur professionnel ordinaire est déjà en vigueur.

​
Ce que l’article 50 vous impose depuis le 2 août 2026

C’est l’échéance la plus directement opérationnelle pour la majorité des organisations. Elle concerne toute entité qui déploie un système d’IA, pas seulement ceux qui en développent.
Tout système conçu pour interagir directement avec des personnes physiques (agent conversationnel, assistant, standard vocal) doit le faire savoir, sauf si c’est manifeste pour une personne raisonnablement avertie. Concrètement : une mention claire à l’ouverture d’un chatbot, pas une ligne enfouie dans les mentions légales.
Les fournisseurs de systèmes générant du texte, de l’image, du son ou de la vidéo doivent marquer ces sorties dans un format lisible par machine, détectable comme généré ou manipulé artificiellement. Un délai transitoire court jusqu’au 2 décembre 2026 pour les systèmes déjà présents sur le marché européen avant le 2 août 2026 ; ceux mis sur le marché après cette date s’appliquent immédiatement.
Quiconque diffuse une image, un son ou une vidéo constituant un deepfake doit indiquer que le contenu a été généré ou manipulé artificiellement. Des aménagements existent pour les usages artistiques, satiriques ou fictionnels, où la mention doit être faite sans nuire à l’œuvre.
Les textes générés par IA et publiés dans le but d’informer le public sur des questions d’intérêt général doivent être signalés, sauf lorsqu’ils ont fait l’objet d’une relecture humaine et qu’une personne physique ou morale assume la responsabilité éditoriale de leur publication.
Les déployeurs d’un système de reconnaissance des émotions ou de catégorisation biométrique doivent en informer les personnes exposées et traiter les données conformément au RGPD.
La Commission européenne a publié des lignes directrices sur l’article 50 ainsi qu’un code de bonnes pratiques sur le marquage des contenus. C’est la source de référence à consulter avant d’engager une mise en conformité : elle précise les cas limites bien mieux que le texte du règlement seul.

​
L’obligation de littératie en IA (article 4)

Souvent oubliée, elle s’applique pourtant depuis février 2025 et concerne toutes les organisations qui fournissent ou déploient des systèmes d’IA. Elle impose de prendre des mesures pour garantir un niveau suffisant de compétence en IA chez les personnes qui utilisent ces systèmes en leur nom, compte tenu de leurs connaissances, du contexte et des personnes affectées.
En clair : former vos équipes n’est pas une bonne pratique, c’est une obligation légale. Elle est peu spectaculaire, mais elle est en vigueur, et le régime de sanctions est applicable depuis le 2 août 2026. Si vous suivez ce cours dans un cadre professionnel, vous participez déjà à cette conformité.

​
Les niveaux de risque

Risque inacceptable

Interdit depuis février 2025 : notation sociale, exploitation de vulnérabilités, reconnaissance des émotions au travail et à l’école, police prédictive individuelle, moissonnage non ciblé d’images faciales.

Haut risque

Recrutement, éducation, crédit, services essentiels, biométrie, infrastructures critiques, justice. Gestion des risques, qualité des données, documentation, journalisation, supervision humaine. Applicable en décembre 2027.

Risque limité

Chatbots, générateurs de contenu, hypertrucages. Obligations de transparence de l’article 50, applicables maintenant.

Risque minimal

La grande majorité des usages : correction de texte, filtres anti-spam, recommandations. Aucune obligation spécifique, mais l’article 4 et le RGPD continuent de s’appliquer.
Les sanctions sont significatives : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, et jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres manquements. Ce régime est pleinement applicable depuis le 2 août 2026.

​
Le RGPD : le socle qui n’a jamais disparu

L’AI Act ne remplace pas le RGPD ; il s’y ajoute. Dès qu’un traitement porte sur des données personnelles (et c’est le cas plus souvent qu’on ne le croit), les obligations habituelles s’appliquent intégralement.
1

Base légale et finalité

Chaque traitement a besoin d’une base légale et d’une finalité déterminée. « On teste l’IA sur nos données clients pour voir » n’en est pas une.
2

Minimisation

Ne transmettez au modèle que les données nécessaires. Pseudonymisez ou supprimez les identifiants directs quand la tâche ne les exige pas, c’est aussi le meilleur remède aux biais discriminatoires.
3

Sous-traitance et transferts

Votre fournisseur d’IA est un sous-traitant : contrat, garanties, localisation des traitements, encadrement des transferts hors UE. Vérifiez si vos entrées servent à entraîner ses modèles : la réponse diffère souvent entre offre grand public et offre professionnelle.
4

Analyse d'impact (AIPD)

Un traitement innovant à grande échelle ou portant sur des données sensibles impose généralement une analyse d’impact préalable. L’usage de l’IA sur des données RH, de santé ou de clients en fait fréquemment partie.
5

Décision automatisée

L’article 22 encadre les décisions produisant des effets juridiques ou significatifs prises sur le seul fondement d’un traitement automatisé. Une supervision humaine réelle (et pas seulement un bouton de validation) est la réponse habituelle.
La CNIL publie des recommandations spécifiques sur l’IA, régulièrement mises à jour et rédigées de façon accessible. C’est la ressource la plus directement utilisable en français pour articuler RGPD et IA.

​
La CSRD : quand l’IA entre dans le reporting extra-financier

Pour les entreprises soumises au reporting de durabilité, l’empreinte de l’IA n’est pas un sujet à part : elle s’inscrit dans les postes existants : consommation d’énergie, émissions du Scope 2 pour l’électricité, Scope 3 pour les services cloud et le matériel acheté. Le périmètre a été fortement resserré par la directive « Omnibus I », adoptée par le Conseil le 24 février 2026 et publiée au Journal officiel le 26 février 2026 :
Même hors obligation, la logique reste utile : un fournisseur soumis à la CSRD vous interrogera sur vos propres impacts au titre de sa chaîne de valeur. Beaucoup d’organisations non assujetties se retrouvent ainsi à devoir produire des données, mieux vaut les avoir anticipées.

​
Les normes volontaires : structurer sans attendre

Le droit fixe un plancher. Les référentiels normatifs, eux, donnent des méthodes.

ISO/IEC 42001

Publiée en décembre 2023, c’est la norme de système de management de l’IA. Certifiable, elle structure gouvernance, analyse des risques, rôles et amélioration continue. Utile comme colonne vertébrale d’une démarche, et de plus en plus demandée en appel d’offres.

AFNOR SPEC 2314

Publiée en 2024, le Référentiel général pour l’IA frugale : méthodologie de mesure par analyse de cycle de vie, 31 fiches de bonnes pratiques, et règles d’encadrement des allégations de frugalité. En français, gratuit, directement opérationnel.

ISO/IEC 23894

Lignes directrices sur le management du risque appliqué à l’IA. Complète utilement ISO 42001 pour qui doit formaliser une analyse de risques défendable.

Normes harmonisées européennes

En cours d’élaboration par le CEN-CENELEC, elles donneront présomption de conformité à l’AI Act. Leur calendrier conditionne largement la mise en œuvre concrète des obligations haut risque.

​
Une grille de première évaluation

Avant de déployer un système d’IA, cinq questions permettent de situer rapidement votre niveau d’obligation :
1

Le système relève-t-il d'une pratique interdite ?

Notation sociale, reconnaissance des émotions au travail ou à l’école, exploitation de vulnérabilités : si oui, le projet s’arrête là. Ces interdictions sont en vigueur.
2

Touche-t-il à un domaine à haut risque ?

Recrutement, éducation, crédit, santé, services essentiels, biométrie, justice. Si oui, préparez dès maintenant la documentation, la gestion des risques et la supervision humaine : décembre 2027 arrive vite pour un système déjà déployé.
3

Interagit-il avec des personnes ou produit-il du contenu diffusé ?

Si oui, l’article 50 s’applique immédiatement : information sur la nature IA, marquage des contenus synthétiques, signalement des hypertrucages.
4

Traite-t-il des données personnelles ?

Si oui : base légale, minimisation, contrat de sous-traitance, éventuellement analyse d’impact. Vérifiez l’usage de vos données par le fournisseur.
5

Les utilisateurs sont-ils formés ?

L’article 4 l’exige, sans seuil ni exception. Une sensibilisation documentée est le minimum défendable.

​
Ce qu’il faut retenir

  • L’AI Act a été amendé en juillet 2026 : seul le haut risque est reporté (décembre 2027 et août 2028).
  • La transparence (art. 50) et le régime de sanctions sont applicables depuis le 2 août 2026, avec un délai de grâce au 2 décembre 2026 pour le marquage machine des systèmes préexistants.
  • L’obligation de littératie en IA est en vigueur depuis février 2025 et concerne toutes les organisations.
  • Le RGPD continue de s’appliquer intégralement et reste, en pratique, la contrainte la plus fréquente.
  • La CSRD a vu son champ réduit d’environ 80 %, mais l’effet de chaîne de valeur touche aussi les non-assujettis.
  • ISO/IEC 42001 et AFNOR SPEC 2314 offrent des cadres méthodologiques à mobiliser sans attendre.
Reste à traduire tout cela dans votre organisation. C’est l’objet de la page suivante.

​
Testez vos connaissances

Non. Le report ne concerne que les systèmes à haut risque (décembre 2027 pour l’annexe III, août 2028 pour l’annexe I). Les pratiques interdites et l’obligation de littératie en IA sont en vigueur depuis février 2025, les obligations des modèles à usage général depuis août 2025, et surtout la transparence de l’article 50 ainsi que le régime de sanctions s’appliquent depuis le 2 août 2026. L’idée répandue selon laquelle « l’AI Act a été repoussé » dans son ensemble est donc largement fausse : l’essentiel de ce qui touche un utilisateur professionnel ordinaire est déjà en vigueur aujourd’hui.