Depuis le 27 juillet 2026, le règlement européen sur l'intelligence artificielle (Règlement (UE) 2024/1689) ne suit plus le calendrier que la plupart des directions juridiques avaient noté dans leurs agendas. Le Digital Omnibus, entré en vigueur ce jour-là après sa publication au Journal officiel de l'UE le 24 juillet 2026, a reporté l'essentiel des obligations applicables aux systèmes d'IA à haut risque. Votre équipe conformité a peut-être passé des mois à préparer une échéance au 2 août 2026 qui, pour la majorité des systèmes autonomes de l'Annexe III (recrutement, évaluation de crédit, notation des salariés), ne s'applique plus avant le 2 décembre 2027.
Ce report ne signifie pas que le sujet peut attendre. Les obligations de transparence de l'article 50, l'interdiction des pratiques prohibées de l'article 5 et le régime applicable aux modèles d'IA à usage général restent, eux, inchangés dans leur calendrier. Et en France, la question de savoir qui contrôlera concrètement votre conformité n'est toujours pas tranchée à ce jour : la CNIL, la DGCCRF, l'Arcom et une douzaine d'autres autorités se partagent un projet de gouvernance que le Parlement n'a pas encore définitivement adopté.
Points clés à retenir
➤ Le Digital Omnibus a reporté les obligations pour les systèmes à haut risque autonomes de l'Annexe III au 2 décembre 2027, et à 2028 pour l'IA intégrée à des produits déjà réglementés (Digital Omnibus, entrée en vigueur le 27 juillet 2026).
➤ Les pratiques interdites de l'article 5 sont sanctionnables depuis le 2 février 2025 et restent l'échéance la plus stricte du texte, avec des amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
➤ 70 % des organisations françaises utilisent déjà l'IA ou prévoient de le faire, mais moins d'un quart d'entre elles disposent d'une politique de gouvernance IA formalisée (enquête CNIL/AFCDP, 2 390 DPO, 2025).
➤ La France n'a pas encore adopté par la loi son schéma de répartition des autorités compétentes ; le projet du gouvernement (9 septembre 2025) confie à la CNIL, la DGCCRF et l'Arcom l'essentiel de la surveillance.
Qu'est-ce que l'AI Act et où en est le calendrier réel en 2026 ?
AI Act : le nom usuel du Règlement (UE) 2024/1689, le premier texte horizontal au monde encadrant la mise sur le marché et l'usage des systèmes d'intelligence artificielle en fonction du risque qu'ils présentent pour les droits fondamentaux et la sécurité. Le texte est entré en vigueur le 1er août 2024, mais son application se déploie par étapes, et c'est précisément ce calendrier par étapes que le Digital Omnibus (Règlement (UE) 2026/1744) vient de rebattre.
Avant l'Omnibus, quatre dates structuraient le texte : le 2 février 2025 pour les pratiques interdites et l'obligation de culture IA du personnel, le 2 août 2025 pour les obligations relatives aux modèles à usage général et la désignation des autorités nationales, le 2 août 2026 pour l'essentiel des systèmes à haut risque, et le 2 août 2027 pour l'IA intégrée à des produits déjà couverts par une réglementation sectorielle (jouets, dispositifs médicaux, machines).
Le Digital Omnibus, proposé par la Commission le 19 novembre 2025 et définitivement adopté après l'accord du Conseil (29 juin 2026) et du Parlement (16 juin 2026), a modifié deux de ces quatre dates. Les obligations pour les systèmes à haut risque autonomes de l'Annexe III sont désormais dues le 2 décembre 2027, et celles pour l'IA intégrée à des produits réglementés le 2 août 2028. La raison officielle invoquée est le retard structurel pris par les États membres eux-mêmes : au moment de la proposition, la plupart n'avaient toujours pas désigné leurs autorités de surveillance de marché ni finalisé les normes harmonisées nécessaires pour évaluer la conformité des systèmes à haut risque. La France illustre ce retard presque à la lettre, comme le détaille la section sur les autorités françaises plus bas.
Deux échéances n'ont, en revanche, pas bougé : les pratiques interdites de l'article 5 restent sanctionnables depuis le 2 février 2025, et les obligations de transparence de l'article 50 (signalement du contenu généré par IA, information des utilisateurs interagissant avec un chatbot) s'appliquent toujours à compter du 2 août 2026, à l'exception de l'article 50(2) pour les systèmes déjà commercialisés à cette date.
Qui doit se conformer à l'AI Act ?
Le règlement s'applique selon le rôle que joue une organisation dans la chaîne de valeur de l'IA, pas selon sa taille ou son secteur. Fournisseur : toute entité qui développe un système d'IA ou le fait développer pour le mettre sur le marché sous son nom. Déployeur : toute entité qui utilise un système d'IA dans le cadre de son activité professionnelle, sans en être le fournisseur, ce qui couvre la grande majorité des entreprises françaises qui achètent un outil de scoring RH ou un chatbot de service client plutôt que de le construire elles-mêmes.
Le champ d'application est extraterritorial : une entreprise américaine ou britannique qui met un système d'IA sur le marché de l'Union, ou dont les sorties sont utilisées dans l'Union, entre dans le champ du texte au même titre qu'une entreprise établie à Paris ou à Lyon. Pour une entreprise française, la question opérationnelle n'est donc presque jamais « suis-je concerné ? », mais « quel rôle est-ce que je joue pour chacun des systèmes d'IA que j'utilise, et quel niveau de risque cela m'impose-t-il ? ».
La classification par niveau de risque
L'AI Act n'impose pas le même niveau d'obligations à tous les systèmes d'IA : il construit une pyramide à quatre niveaux, et l'essentiel du travail de mise en conformité consiste à positionner correctement chaque système sur cette pyramide avant de déterminer ce qu'il faut en faire.
| Niveau de risque | Exemples typiques | Obligations principales | Sanction maximale |
|---|---|---|---|
| Risque inacceptable (interdit) | Notation sociale généralisée, reconnaissance des émotions au travail ou à l'école, scraping non ciblé d'images faciales | Interdiction pure et simple depuis le 2 février 2025 | 35 M€ ou 7 % du CA mondial |
| Risque élevé | Recrutement et évaluation des salariés, scoring de crédit, dispositifs médicaux pilotés par IA, systèmes utilisés dans l'éducation | Gestion des risques, gouvernance des données, documentation technique, contrôle humain, marquage CE | 15 M€ ou 3 % du CA mondial |
| Risque limité | Chatbots, systèmes de génération de contenu, deepfakes | Obligations de transparence (article 50) : informer l'utilisateur qu'il interagit avec une IA | 15 M€ ou 3 % du CA mondial |
| Risque minimal | Filtres anti-spam, IA de recommandation à faible enjeu | Aucune obligation spécifique ; codes de conduite volontaires encouragés | Sans objet |
La classification n'est pas un exercice ponctuel. Un système initialement classé à risque limité peut basculer en haut risque si son usage évolue, par exemple si un chatbot de service client commence à influencer une décision d'éligibilité à un crédit. C'est cette instabilité de classification, plus que la complexité du texte lui-même, qui pousse la plupart des directions conformité à vouloir un inventaire vivant plutôt qu'un tableau Excel figé au moment de l'audit initial.
À ce stade de l'inventaire, beaucoup d'équipes découvrent qu'elles n'ont en réalité qu'une vision partielle des systèmes d'IA réellement déployés dans leur organisation, souvent introduits par un service métier sans validation centrale. Le module AI Governance de Secure Privacy a été conçu précisément pour ce point de friction : il permet d'enregistrer chaque système d'IA avec son niveau de risque, son cas d'usage et son responsable désigné, puis de le rattacher automatiquement aux obligations réglementaires qui s'y appliquent, AI Act compris.
Les obligations pour les systèmes à haut risque
Même reportées à décembre 2027 pour l'Annexe III autonome, ces obligations méritent d'être anticipées dès maintenant, car elles impliquent des changements de processus qui ne s'improvisent pas en quelques semaines.
Système de gestion des risques : un processus itératif et documenté, maintenu sur tout le cycle de vie du système, qui identifie les risques connus et raisonnablement prévisibles pour la santé, la sécurité et les droits fondamentaux, et qui prévoit des mesures d'atténuation proportionnées.
Gouvernance des données : les jeux de données d'entraînement, de validation et de test doivent être pertinents, suffisamment représentatifs, et examinés pour détecter les biais susceptibles d'affecter la santé, la sécurité ou les droits fondamentaux des personnes. Un système entraîné sur des données de recrutement historiquement déséquilibrées reste conforme sur le papier tant que ce déséquilibre a été identifié, documenté et corrigé autant que possible.
Documentation technique : un dossier détaillé, tenu à jour, décrivant l'architecture du système, ses capacités, ses limites connues et les résultats des tests de performance, à produire à toute demande d'une autorité de surveillance de marché.
Journalisation : le système doit générer automatiquement des journaux d'événements pendant toute la durée de son fonctionnement, conservés pendant une durée appropriée, pour permettre de retracer son comportement en cas d'incident ou de contrôle.
Contrôle humain : le déployeur doit pouvoir superviser effectivement le système, comprendre ses limites, et disposer d'un moyen concret d'interrompre ou d'ignorer sa sortie. Un simple bouton « valider » sans possibilité réelle de comprendre ou de contester la recommandation de l'IA ne satisfait pas cette exigence.
Exactitude, robustesse et cybersécurité : le système doit atteindre un niveau de performance approprié à son usage prévu, rester fiable face à des erreurs ou des tentatives de manipulation (empoisonnement des données, attaques adverses), et être protégé par des mesures de cybersécurité adaptées à son niveau de risque.
Toutes ces obligations rejoignent en pratique un exercice que les entreprises soumises au RGPD connaissent déjà : documenter, justifier, tracer. La différence est que l'AI Act demande de le faire pour le système lui-même, indépendamment de la présence ou non de données personnelles dans son fonctionnement.
Modèles d'IA à usage général et risque systémique
Les modèles d'IA à usage général (GPAI, pour general-purpose AI), c'est-à-dire les modèles entraînés sur de larges volumes de données et capables d'exécuter un éventail de tâches variées, sont soumis depuis le 2 août 2025 à un régime distinct des systèmes à haut risque classiques.
Obligations de base pour tout fournisseur de GPAI : tenir une documentation technique sur l'entraînement et les tests du modèle, fournir aux fournisseurs en aval l'information nécessaire pour qu'ils comprennent les capacités et limites du modèle, mettre en place une politique de respect du droit d'auteur européen, et publier un résumé suffisamment détaillé des contenus utilisés pour l'entraînement.
Modèles présumés présenter un risque systémique : tout modèle dont la puissance de calcul d'entraînement cumulée dépasse 10^25 FLOPs est présumé présenter un risque systémique au sens du règlement. Le fournisseur doit notifier la Commission européenne dans un délai de deux semaines à compter du moment où ce seuil est atteint, sauf s'il peut démontrer, preuves à l'appui, que le modèle ne présente en réalité pas ce risque. Les modèles concernés, à la mi-2026, incluent les versions les plus avancées de plusieurs familles de modèles fondateurs actuellement déployées commercialement. Ces fournisseurs doivent en plus réaliser des évaluations contradictoires de leur modèle, documenter et signaler les incidents graves à l'AI Office de la Commission, et maintenir un niveau de cybersécurité adapté au modèle et à son infrastructure physique.
Pour une entreprise française qui ne développe pas elle-même de modèle fondateur mais qui en intègre un dans son propre produit, l'enjeu pratique est différent : vérifier que le fournisseur du modèle a bien rempli ses propres obligations, et documenter cette vérification dans son propre dossier de conformité en tant que déployeur.
Gouvernance et responsabilités organisationnelles
L'AI Act n'est pas qu'un texte technique : c'est un texte de gouvernance, qui suppose que la responsabilité de la conformité ne repose pas uniquement sur l'équipe qui a acheté ou construit le système d'IA.
Responsabilité du conseil d'administration : dans les organisations les plus exposées (systèmes à haut risque en production, GPAI à risque systémique), la direction doit pouvoir démontrer qu'elle a été informée des risques identifiés et qu'elle a validé les mesures d'atténuation, au même titre que pour un risque financier ou un risque cyber majeur.
Intégration dans le dispositif GRC : l'AI Act fonctionne mal comme un silo séparé du reste du dispositif de gouvernance, risque et conformité. Les entreprises qui gèrent déjà leurs risques RGPD, leurs risques fournisseurs et leurs risques cybersécurité dans un cadre commun ont un avantage structurel : elles peuvent rattacher l'IA à ce cadre existant plutôt que d'en créer un nouveau à partir de rien.
Attribution des rôles : qui décide qu'un système d'IA peut être déployé, qui valide sa classification de risque, qui est responsable du dossier de documentation technique, qui répond en cas de contrôle. L'enquête CNIL/AFCDP 2025 montre que 55 % des délégués à la protection des données considèrent que le règlement IA fait déjà partie de leurs attributions, et 71 % souhaiteraient que ce périmètre soit formellement élargi, ce qui traduit un décalage réel entre la pratique actuelle et une répartition des rôles clairement documentée dans la plupart des organisations.
Le module Governance Maturity de Secure Privacy permet de benchmarker ce niveau de préparation par rapport aux attentes réglementaires et de produire un rapport de maturité destiné au conseil d'administration, plutôt que de laisser cette évaluation à l'appréciation informelle d'une seule équipe.
L'articulation avec le RGPD
La plupart des systèmes d'IA à haut risque traitent des données personnelles, ce qui signifie que l'AI Act et le RGPD s'appliquent presque toujours simultanément, sans que l'un dispense de l'autre.
Analyses d'impact distinctes, objets différents : l'analyse d'impact relative à la protection des données (AIPD, article 35 du RGPD) évalue le risque pour les données personnelles ; l'analyse d'impact sur les droits fondamentaux (AIPD-IA ou FRIA, article 27 de l'AI Act) évalue un périmètre plus large, incluant la discrimination ou l'accès à un service essentiel, et ne s'impose qu'à certains déployeurs de systèmes à haut risque (organismes publics, banques, assureurs, notamment). Ce ne sont pas deux versions du même document : ce sont deux instruments avec des déclencheurs et des objets partiellement différents. En pratique, la documentation déjà réunie pour l'AIPD RGPD peut nourrir l'analyse exigée par l'AI Act, dans la mesure où les éléments requis par le RGPD y figurent déjà, ce qui évite de repartir de zéro.
Base légale et transparence : un système d'IA de recrutement qui traite des données de candidats doit reposer sur une base légale RGPD valide, tout en respectant en parallèle les exigences de contrôle humain et de documentation technique de l'AI Act. Les deux textes convergent également sur le droit à l'explication : le RGPD encadre déjà les décisions fondées exclusivement sur un traitement automatisé (article 22), et l'AI Act renforce cette exigence pour les systèmes à haut risque en imposant une information plus détaillée sur la logique du système, sans se substituer à l'obligation RGPD.
Pour les entreprises qui ont déjà investi dans une cartographie des données RGPD, ce travail constitue une base directement réutilisable pour l'inventaire des systèmes d'IA exigé par l'AI Act, à condition d'étendre la cartographie existante aux flux de données spécifiques à l'entraînement et à l'inférence des modèles.
Sanctions et autorités de contrôle : le cas particulier de la France
Le régime de sanctions de l'article 99 du règlement comporte trois paliers. Le palier le plus élevé, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, s'applique aux violations des pratiques interdites de l'article 5. Le palier intermédiaire, jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires, couvre l'essentiel des manquements aux obligations relatives aux systèmes à haut risque et aux modèles GPAI. Le palier le plus bas, jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires, sanctionne la fourniture d'informations inexactes, incomplètes ou trompeuses à une autorité de contrôle. Dans chaque cas, c'est le montant le plus élevé des deux qui s'applique.
Reste une question que la France n'a pas encore tranchée en 2026 : qui, concrètement, prononcera ces sanctions sur le territoire français ? Le règlement impose à chaque État membre de désigner une ou plusieurs autorités de surveillance de marché, mais la France a choisi un modèle fragmenté plutôt qu'un guichet unique. Le schéma présenté par le gouvernement le 9 septembre 2025 propose la répartition suivante :
| Autorité | Domaine de compétence | Rôle principal |
|---|---|---|
| CNIL | Biométrie, emploi, éducation, migration, protection des droits fondamentaux | Autorité pilote pour les pratiques interdites et une large part des systèmes à haut risque |
| DGCCRF | Produits et services de consommation courante | Coordination générale et point de contact unique au sens de l'article 70 du règlement |
| Arcom | Contenus audiovisuels et numériques, deepfakes | Contrôle des obligations de transparence de l'article 50 |
| ACPR et AMF | Banque, assurance, marchés financiers | Systèmes à haut risque utilisés dans le scoring de crédit et l'évaluation des risques financiers |
| ANSSI et PEReN | Support technique transversal | Expertise cybersécurité et technique partagée entre autorités |
Ce schéma n'a, à ce jour, pas encore été définitivement adopté par le Parlement. La composante numérique du projet de loi DDADUE, qui doit conférer formellement à la CNIL sa compétence de surveillance de marché, a été adoptée par le Sénat le 17 février 2026, mais le parcours législatif complet reste en cours au moment de la rédaction de cet article. La CNIL, de son côté, a déjà commencé à agir dans le cadre de ses missions existantes de protection des données, sans attendre l'aboutissement du texte : dans son programme de travail 2026, elle identifie l'IA comme l'un des trois axes structurants de ses contrôles, aux côtés de la cybersécurité et du commerce en ligne.
Cette fragmentation inquiète une partie des praticiens. Un directeur juridique et conformité d'une entreprise technologique confiait ainsi au MagIT que la multiplication des autorités compétentes risquait de nuire à l'harmonisation de la mise en œuvre du règlement et d'ajouter une complexité que le texte n'avait pas vocation à créer. Pour une entreprise qui opère dans plusieurs secteurs à la fois, par exemple une fintech qui utilise l'IA pour le scoring de crédit et pour son service client, cela signifie concrètement pouvoir répondre à la fois à l'ACPR et à la CNIL sur le même système, avec des attentes documentaires qui ne sont pas encore totalement harmonisées entre autorités.
Feuille de route pratique pour se préparer
Le report des échéances par le Digital Omnibus donne un délai supplémentaire, pas une raison de reporter le travail. Voici une séquence en cinq phases pour l'utiliser efficacement.
Phase 1 (immédiate) : inventaire. Recenser tous les systèmes d'IA effectivement utilisés dans l'organisation, y compris ceux introduits par des équipes métier sans validation centrale, et attribuer à chacun un rôle (fournisseur ou déployeur) et un niveau de risque provisoire.
Phase 2 (1 à 3 mois) : classification et priorisation. Affiner la classification de chaque système, identifier lesquels relèvent de pratiques interdites (à corriger immédiatement) et lesquels sont susceptibles de basculer en haut risque avant l'échéance de décembre 2027.
Phase 3 (3 à 6 mois) : constitution des dossiers. Pour chaque système à haut risque identifié, engager la constitution de la documentation technique, du système de gestion des risques et des procédures de contrôle humain, en réutilisant autant que possible les analyses d'impact RGPD déjà réalisées.
Phase 4 (6 à 12 mois) : gouvernance et rôles. Formaliser qui, dans l'organisation, valide le déploiement d'un nouveau système d'IA, qui répond en cas de contrôle, et comment le conseil d'administration est informé des risques résiduels acceptés.
Phase 5 (continu) : veille réglementaire. Suivre l'adoption effective du schéma français de désignation des autorités compétentes, les normes harmonisées publiées par le CEN-CENELEC, et toute nouvelle modification du calendrier par la Commission, puisque le Digital Omnibus a démontré que ce calendrier n'est pas figé.
Passer de cinq feuilles de calcul disjointes à un inventaire unique et vivant des systèmes d'IA, rattaché automatiquement aux bonnes obligations réglementaires, est précisément le type de bascule que les équipes conformité repoussent le plus souvent, faute de temps plutôt que faute de volonté.
Erreurs courantes et lacunes d'implémentation
Confondre l'échéance reportée avec une dispense. Le report à décembre 2027 ne concerne que les systèmes autonomes de l'Annexe III. Les pratiques interdites, le régime GPAI et les obligations de transparence de l'article 50 s'appliquent déjà.
Traiter la classification comme un exercice unique. Un système classé à risque limité aujourd'hui peut basculer en haut risque dès que son usage change, sans qu'aucune modification technique n'ait été apportée au système lui-même.
Négliger les systèmes achetés plutôt que construits. La majorité des entreprises françaises sont déployeurs, pas fournisseurs. Cela n'allège pas leurs obligations, cela les redéfinit : vérifier la documentation du fournisseur, assurer un contrôle humain effectif, former les utilisateurs.
Dupliquer plutôt que réutiliser le travail RGPD. Reconstruire une analyse d'impact IA de zéro, sans repartir de l'AIPD RGPD existante, double la charge de travail pour un résultat souvent moins cohérent.
FAQ
L'AI Act s'applique-t-il déjà aux entreprises françaises en 2026 ?
Oui, partiellement. Les pratiques interdites de l'article 5 sont sanctionnables depuis le 2 février 2025, et les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Seules les obligations les plus lourdes, celles des systèmes à haut risque autonomes de l'Annexe III, ont été reportées au 2 décembre 2027 par le Digital Omnibus.
Qu'est-ce que le Digital Omnibus a changé concrètement ?
Il a reporté l'échéance de conformité pour les systèmes à haut risque autonomes de l'Annexe III du 2 août 2026 au 2 décembre 2027, et celle pour l'IA intégrée à des produits déjà réglementés au 2 août 2028. Les autres échéances du règlement restent inchangées.
Quelle autorité contrôle l'AI Act en France ?
Aucune autorité unique n'a encore été définitivement désignée par la loi. Le schéma proposé par le gouvernement en septembre 2025 confie l'essentiel du contrôle à la CNIL, avec la DGCCRF comme point de contact coordinateur et l'Arcom sur les questions de contenus manipulateurs, mais ce schéma reste en cours d'adoption parlementaire.
Une PME est-elle concernée par l'AI Act ?
Oui, si elle utilise un système d'IA classé à risque limité ou élevé, quelle que soit sa taille. Le règlement prévoit néanmoins des mesures d'accompagnement spécifiques, comme un accès prioritaire aux bacs à sable réglementaires, pour alléger la charge de mise en conformité des PME.
Quelle est la différence entre l'AIPD du RGPD et l'analyse d'impact de l'AI Act ?
L'AIPD (article 35 RGPD) évalue le risque pour les données personnelles. L'analyse d'impact sur les droits fondamentaux (FRIA, article 27 de l'AI Act) évalue un périmètre plus large incluant la discrimination, et ne s'impose qu'à certains déployeurs de systèmes à haut risque. Les deux peuvent s'appuyer sur une documentation commune.
Quelles sont les amendes prévues par l'AI Act ?
Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 millions d'euros ou 3 % pour l'essentiel des manquements liés au haut risque et aux modèles GPAI, et jusqu'à 7,5 millions d'euros ou 1 % pour la fourniture d'informations trompeuses à une autorité de contrôle.
Faut-il déclarer un incident grave à une autorité en 72 heures ?
Non, ce délai concerne les violations de données personnelles au sens du RGPD. L'article 73 de l'AI Act prévoit des délais distincts pour les incidents graves : 15 jours par défaut, 2 jours pour les incidents graves et généralisés, et 10 jours en cas de décès. Les deux obligations peuvent s'appliquer simultanément à un même événement.
Comment savoir si un modèle d'IA générative présente un « risque systémique » ?
Un modèle est présumé présenter un risque systémique lorsque sa puissance de calcul d'entraînement cumulée dépasse 10^25 FLOPs. Le fournisseur doit alors notifier la Commission européenne dans un délai de deux semaines, sauf s'il démontre que ce n'est pas le cas.
Piloter tout cela à la main, système par système, dans des tableaux distincts pour le RGPD et pour l'AI Act, cesse de tenir la route dès que l'inventaire dépasse une poignée d'outils. Le module AI Governance de Secure Privacy centralise l'enregistrement des systèmes d'IA, leur classification de risque, le suivi des décisions automatisées et la documentation prête pour l'audit, en s'appuyant sur la même cartographie de données déjà utilisée pour votre conformité RGPD. Réservez une démonstration pour voir comment relier votre inventaire IA existant à vos obligations AI Act, phase par phase.