AI Act : ce qui s'applique en août 2026
Le règlement européen sur l'IA entre en application générale le 2 août 2026. Qui est concerné, quelles obligations, quelles sanctions et comment s'y préparer.
L’essentiel en 5 points
- Le règlement européen sur l’IA entre en application générale le 2 août 2026, terme d’une entrée en application échelonnée commencée en 2024 ; les obligations des systèmes à haut risque sont reportées à décembre 2027 et août 2028.
- Les déployeurs sont concernés, pas seulement les fournisseurs de modèles : utiliser un système d’IA en entreprise crée des obligations.
- Le cœur du dispositif : classifier les systèmes par niveau de risque, documenter, gouverner, assurer la transparence.
- La maîtrise de l’IA (article 4) est une obligation légale depuis février 2025. Le règlement (UE) 2026/1744 l’a réécrite le 27 juillet 2026 en obligation de moyens : prendre des mesures pour favoriser la maîtrise de l’IA, sans garantir un niveau précis.
- Les sanctions vont jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, avec des paliers inférieurs pour les autres manquements.
La réponse rapide
Entré en vigueur en août 2024, le règlement entre en application générale le 2 août 2026 : à partir de cette date, les autorités nationales de surveillance peuvent le contrôler. Les obligations des systèmes à haut risque, elles, sont reportées à décembre 2027 et août 2028. Le calendrier est progressif : interdiction des usages inacceptables en février 2025, puis obligations des modèles à usage général en août 2025.
La bonne question n’est pas « suis-je fournisseur d’IA ? » mais « où et comment mon organisation utilise-t-elle de l’IA ? ». Car le règlement pèse aussi sur les déployeurs, c’est-à-dire les utilisateurs professionnels. La mise en conformité tient en quatre temps : cartographier les systèmes en usage, les classer par niveau de risque, documenter et gouverner ceux qui l’exigent, et former les équipes. Le reste de cet article détaille chacun de ces temps.
Déployeurs et pas seulement fournisseurs
L’erreur la plus répandue consiste à croire que l’AI Act ne concerne que les entreprises qui construisent des modèles. Le règlement distingue plusieurs rôles, dont deux touchent la quasi-totalité des organisations : le fournisseur, qui développe ou met sur le marché un système d’IA, et le déployeur, qui l’utilise dans un cadre professionnel.
Un cabinet qui automatise l’analyse de contrats, un service RH qui trie des candidatures avec un outil de scoring, une entreprise qui intègre un agent conversationnel dans son support client : tous sont des déployeurs. À ce titre, ils portent des obligations propres, notamment lorsqu’ils utilisent un système classé à haut risque. Le niveau d’exigence ne dépend pas de la taille de l’organisation mais de l’usage et de la classification du système.
Le cœur du dispositif : classer selon le niveau de risque
L’AI Act ne traite pas toutes les IA de la même façon. Il organise les obligations selon quatre niveaux de risque.
Les usages inacceptables sont interdits depuis février 2025 : notation sociale généralisée, manipulation subliminale, certaines formes de reconnaissance biométrique. Un système qui relève de cette catégorie ne se met pas en conformité, il se retire.
Les systèmes à haut risque concentrent l’essentiel des obligations, applicables en décembre 2027 pour l’annexe III et en août 2028 pour ceux intégrés à des produits réglementés : IA utilisée dans le recrutement, l’accès au crédit, l’éducation, certains services publics, ou intégrée à des produits déjà réglementés. Ils supposent une documentation technique, une gestion des risques, un contrôle humain, une journalisation et un contrôle de la qualité des données.
Les systèmes à risque limité relèvent surtout de la transparence : informer les personnes qu’elles interagissent avec une IA, signaler les contenus générés ou manipulés. Les systèmes à risque minimal, enfin, ne portent pas d’obligation spécifique.
Sans cartographie préalable, impossible de savoir dans quelle catégorie tombe chaque système. C’est pourquoi l’inventaire est la toute première étape.
Documentation, gouvernance, transparence
Pour les systèmes qui l’exigent, trois familles d’obligations structurent la conformité.
La documentation consiste à décrire ce que fait le système, sur quelles données il s’appuie, quelles sont ses limites et comment ses performances sont mesurées. Elle doit être tenue à jour et disponible pour les autorités de surveillance.
La gouvernance répartit les responsabilités en interne : qui valide la mise en production d’un système, qui supervise son fonctionnement, qui trace les décisions. Le contrôle humain des systèmes à haut risque n’est pas un principe abstrait : il suppose des personnes identifiées, capables de comprendre et d’interrompre le système.
La transparence s’exerce à l’égard des personnes concernées : elles doivent savoir quand elles interagissent avec une IA et quand un contenu a été généré artificiellement.
La maîtrise de l’IA, une obligation que la formation permet de remplir
L’article 4 du règlement impose aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l’IA par leur personnel et par les personnes qui utilisent ces systèmes pour leur compte. Applicable depuis février 2025, il a été réécrit par le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026 : l’obligation reste contraignante, mais c’est une obligation de moyens, qui ne contraint pas à garantir un niveau précis de maîtrise par chaque personne. La Commission et les États membres soutiennent ces efforts. Garder une trace des mesures prises reste utile, même si le texte ne l’exige pas.
Autrement dit, prendre des mesures pour favoriser la maîtrise de l’IA est une obligation du texte ; former ses équipes est la mesure la plus directe pour la remplir. Un programme d’acculturation à l’IA en documente la mise en œuvre : contenus, émargements, évaluation. La compétence attendue est proportionnée : elle couvre la compréhension des risques, des limites et du bon usage des systèmes, pas une expertise technique universelle.
Sur le plan budgétaire, une action de formation structurée entre dans le champ du plan de développement des compétences et peut être financée par un OPCO. L’obligation légale et le financement se rejoignent, ce qui en fait souvent le premier chantier concret à lancer.
Les sanctions : des plafonds, pas des montants automatiques
Le règlement prévoit des sanctions par palier, dont les plafonds varient selon la nature du manquement. Les pratiques interdites exposent aux montants les plus élevés, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. Les autres manquements aux obligations relèvent de paliers inférieurs, et la transmission d’informations inexactes aux autorités d’un palier plus bas encore. Les montants effectifs tiennent compte de la gravité, de la durée et de la taille de l’entreprise. L’enjeu n’est donc pas la sanction maximale théorique mais le fait de pouvoir démontrer, en cas de contrôle, une démarche de conformité documentée.
Un plan de mise en conformité en quatre étapes
- Cartographier. Recenser tous les systèmes d’IA en usage ou en projet, y compris les outils SaaS embarquant de l’IA. Sans inventaire, aucune obligation ne peut être correctement identifiée.
- Classer. Attribuer à chaque système son niveau de risque au sens du règlement. C’est cette classification qui détermine l’intensité des obligations.
- Documenter et gouverner. Pour les systèmes à haut risque, produire la documentation, définir le contrôle humain, organiser la journalisation et les rôles de validation.
- Former. Prendre les mesures en faveur de la maîtrise de l’IA attendues par l’article 4, adaptées aux profils (acculturation à l’IA pour les équipes, briefing IA pour la direction), en s’appuyant sur un financement OPCO.
Pour la démarche d’ensemble adaptée aux petites et moyennes structures, le guide AI Act pour les PME complète cet article sur les obligations.
Par où commencer
La première étape est un état des lieux : quels systèmes d’IA sont utilisés, par qui, pour quels usages, et dans quelle catégorie de risque ils tombent. C’est un exercice de quelques jours qui produit une cartographie et un plan d’action priorisé, sans bloquer les usages en cours.
Colombani.ai accompagne cette démarche par son conseil en conformité AI Act (cartographie des systèmes, classification des risques, documentation et gouvernance) et forme les équipes à la maîtrise de l’IA attendue par le règlement avec la formation Conformité IA, dispensée par un organisme certifié Qualiopi et pour laquelle une prise en charge par l’OPCO peut être demandée. Le formateur est titulaire de la certification Claude Certified Architect Professional, délivrée par Anthropic.
Sources
Questions fréquentes
Qui est concerné par l'AI Act à partir d'août 2026 ?
Pas seulement les fournisseurs de modèles. Le règlement vise aussi les déployeurs, c'est-à-dire toute organisation qui utilise un système d'IA dans un cadre professionnel : une entreprise qui intègre un assistant IA dans son service client, un cabinet qui automatise l'analyse de documents, un service RH qui trie des candidatures. Le niveau d'obligation dépend du niveau de risque du système utilisé, pas de la taille de l'organisation.
Qu'est-ce qui devient obligatoire le 2 août 2026 ?
C'est la date d'application générale du règlement, entré en vigueur en 2024 avec une entrée en application échelonnée : interdictions des usages inacceptables depuis février 2025, obligations des modèles à usage général depuis août 2025, puis application générale le 2 août 2026. À partir de cette date, les obligations de transparence de l'article 50 s'appliquent et les autorités nationales de surveillance sont opérationnelles. Pour les systèmes à haut risque, l'AI Omnibus entré en vigueur le 27 juillet 2026 a reporté les échéances : décembre 2027 pour l'annexe III, août 2028 pour ceux intégrés à des produits réglementés.
Quelles sont les sanctions prévues par l'AI Act ?
Le règlement fixe des plafonds par palier. Les pratiques interdites exposent aux sanctions les plus lourdes, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Les autres manquements aux obligations relèvent de paliers inférieurs, et la fourniture d'informations inexactes aux autorités d'un palier plus bas encore. Les montants réels sont modulés par la gravité et par la taille de l'entreprise.
La maîtrise de l'IA est-elle une obligation légale ?
Oui. L'article 4 du règlement impose aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA par leur personnel et les personnes qui utilisent ces systèmes pour leur compte. Depuis le 27 juillet 2026 (règlement (UE) 2026/1744), c'est une obligation de moyens : elle ne contraint pas à garantir un niveau précis de maîtrise par chaque personne. Former ses équipes reste la mesure la plus directe pour la remplir, et une action de formation structurée peut être financée par un OPCO, sous réserve de sa décision.
Par où commencer une mise en conformité AI Act ?
Par un inventaire des systèmes d'IA en usage et leur classification par niveau de risque. Sans cette cartographie, impossible de savoir quelles obligations s'appliquent. Vient ensuite la documentation des systèmes concernés, la mise en place d'une gouvernance interne (rôles, journalisation, contrôle humain) et la formation des équipes. Un audit initial de quelques jours suffit à produire la cartographie et un plan d'action priorisé.