AI Act : calendrier et obligations des entreprises

Le calendrier de l’AI Act après l’omnibus de 2026

Le règlement européen sur l’intelligence artificielle (règlement (UE) 2024/1689, souvent appelé AI Act ou RIA) s’applique par étapes. En juillet 2026, l’Union a décalé une partie des échéances : le règlement modificatif (UE) 2026/1744, dit « Digital Omnibus on AI », a été publié au Journal officiel le 24 juillet 2026 et il est entré en vigueur le 27 juillet 2026.

Tout ce qui est daté jusqu’au 2 août 2026 s’applique déjà. Les deux dernières lignes concernent l’IA à haut risque, qui ne vous touche que pour certaines finalités sensibles listées par le texte.

Ce que l’omnibus IA a changé, et ce qu’il n’a pas changé

L’omnibus est une modification ciblée qui donne du temps pour la partie la plus lourde du règlement, l’IA à haut risque. Les systèmes autonomes de l’annexe III, par exemple une IA qui présélectionne des candidatures ou évalue la solvabilité, doivent être conformes au 2 décembre 2027 au lieu du 2 août 2026. L’IA à haut risque intégrée à des produits soumis à la législation européenne (annexe I) passe du 2 août 2027 au 2 août 2028. Ce sont des dates fixes.

Rien ne change en revanche pour les pratiques interdites et la maîtrise de l’IA (depuis le 2 février 2025), pour les modèles à usage général (depuis le 2 août 2025) ni pour la transparence de l’article 50 (depuis le 2 août 2026). Seul assouplissement : le marquage des contenus produits par des systèmes déjà sur le marché avant le 2 août 2026 bénéficie d’une transition jusqu’au 2 décembre 2026.

PME qui utilise l’IA : ce qu’il faut faire maintenant

La plupart des TPE et PME ne développent pas d’IA, elles l’utilisent : chatbot sur le site, standard téléphonique IA, assistant de rédaction, fonctions IA du CRM ou du logiciel de paie. Pour elles, l’AI Act signifie aujourd’hui transparence envers les clients, maîtrise de l’IA dans l’équipe et vigilance face aux usages interdits ou à haut risque.

Pour un cabinet dentaire avec un chatbot de prise de rendez-vous, un hôtel avec un accueil téléphonique IA ou une boutique en ligne qui rédige ses fiches produits avec l’IA, les étapes 1, 2, 4 et 6 suffisent pour l’instant. Procédez dans l’ordre :

• 1. Recenser tous les outils d’IA : chatbots, assistants vocaux et téléphoniques, fonctions IA du CRM ou des logiciels RH, et outils utilisés de leur propre initiative par les salariés (générateurs de texte ou d’images). Notez qui s’en sert et pour quoi.
• 2. Repérer chaque point de contact où l’IA parle directement aux clients : fenêtre de chat, standard IA, réponses automatiques sur les messageries. Chacun doit comporter une mention claire.
• 3. Vérifier les images, sons et vidéos générés par IA que vous publiez : des personnes, lieux ou événements d’apparence réelle qui n’ont pas eu lieu ainsi doivent être signalés comme générés ou manipulés artificiellement.
• 4. Former l’équipe : chaque utilisateur doit savoir ce que fait l’outil, où il se trompe et quelles données ne doivent jamais y entrer. C’est votre obligation de maîtrise de l’IA.
• 5. Signaler les usages sensibles : si un outil aide à décider qui est recruté, qui obtient un crédit, comment un apprenant est évalué ou qui accède à un service essentiel, traitez-le comme un haut risque potentiel et préparez le 2 décembre 2027.
• 6. Tout consigner : une page listant outils, mentions et formations suffit pour commencer et vous servira si un client ou une autorité pose la question.

Chatbot et standard téléphonique IA : la mention de l’article 50

Depuis le 2 août 2026, les personnes doivent être informées qu’elles interagissent avec un système d’IA. L’omnibus n’a pas touché à cette obligation.

Formellement, l’article 50 répartit les obligations entre le fournisseur, qui développe le système et le met sur le marché, et le déployeur, l’entreprise qui l’utilise. Mais vos clients voient votre site et entendent votre standard, pas ceux de l’éditeur : vérifiez que la mention apparaît là où la conversation a lieu.

Les praticiens recommandent une mention visible dès le début de l’échange, et non perdue dans la politique de confidentialité ou les CGV. Par exemple :

• Chat du site : un premier message du type « Bonjour, je suis l’assistant IA du cabinet. Je peux vous aider à prendre ou déplacer un rendez-vous. Tapez “conseiller” pour parler à une personne. »
• Standard téléphonique IA : une annonce comme « Vous êtes en ligne avec l’assistant automatique à intelligence artificielle du salon » avant la première question.
• Messageries : la même phrase dans la première réponse automatique.

Maîtrise de l’IA : une obligation depuis février 2025

L’article 4 impose aux fournisseurs et aux déployeurs de veiller à ce que leur personnel, et les personnes utilisant l’IA pour leur compte, disposent d’un niveau suffisant de maîtrise de l’IA. Applicable depuis le 2 février 2025, l’obligation n’a pas été modifiée par l’omnibus.

Selon la lecture courante, elle n’impose ni programme type ni certificat. Une approche proportionnée suffit généralement pour une petite structure, autour de quatre éléments :

• une courte séance pour chaque utilisateur : ce que fait l’outil, où il se trompe, quand un humain doit vérifier le résultat ;
• des règles claires sur les données, par exemple pas de données de santé, de numéros d’identité ni de mots de passe dans des outils d’IA grand public ;
• une personne référente qui tient la liste des outils à jour et répond aux questions ;
• une note datée indiquant qui a été formé et quand, mise à jour à chaque nouvel outil.

Quand un usage de l’IA devient-il « à haut risque » ?

Un système n’est pas à haut risque parce qu’il s’agit d’IA. Tout dépend de sa finalité : relèvent du haut risque les usages listés à l’annexe III du règlement, ou l’IA servant de composant de sécurité d’un produit réglementé (annexe I).

Pour ces usages, les obligations à haut risque s’appliquent à partir du 2 décembre 2027. Elles vont bien au-delà de la mention de transparence et concernent le fournisseur comme l’entreprise utilisatrice. Si vous avez un outil de recrutement ou de scoring, demandez dès maintenant à l’éditeur comment il se mettra en conformité et ce qu’il attendra de vous.

Exemple : une entreprise de transport de 30 salariés fait classer les candidatures de chauffeurs par un module IA de son logiciel de recrutement. On est dans l’annexe III. L’optimisation des tournées par IA dans la même entreprise, non.

Pour une PME utilisatrice, les domaines de l’annexe III les plus susceptibles de se présenter sont :

• Emploi et RH : IA qui trie, filtre ou classe des CV et des candidatures, ou qui sert à gérer les salariés, par exemple pour répartir les tâches ou évaluer les performances.
• Crédit : IA qui évalue la solvabilité de personnes physiques ou établit un score de crédit.
• Éducation et formation : IA qui note des examens, évalue des apprenants ou décide des admissions.
• Accès aux services privés et publics essentiels : par exemple l’IA utilisée pour l’évaluation des risques de certains produits d’assurance.

En général pas à haut risque : chatbot de réservation et accueil téléphonique IA

La plupart des usages courants de l’IA dans une petite entreprise ne figurent pas à l’annexe III. Un chatbot qui donne les horaires et prend des rendez-vous, ou un standard IA qui répond aux questions fréquentes et prend des messages, n’exerce aucune des fonctions listées. Il en va de même pour la rédaction, la traduction ou le résumé d’e-mails.

Ces outils restent néanmoins soumis à la transparence de l’article 50, à l’obligation de maîtrise de l’IA et aux interdictions de certaines pratiques ; le RGPD s’applique aux données personnelles traitées.

La qualification suit la fonction, pas le nom du produit. Si vous confiez plus tard au même assistant la présélection de candidats ou la vérification de l’éligibilité d’un client à un financement, réévaluez-le. Les cas limites relèvent d’un conseil.

Sanctions, contrôle et soutien aux PME

L’AI Act est appliqué par les autorités nationales de chaque État membre. L’article 99 prévoit des plafonds d’amende gradués : le plus élevé pour les pratiques interdites, des niveaux inférieurs pour les autres manquements, comme des informations inexactes fournies aux autorités.

Selon plusieurs commentaires juridiques, pour les PME et les start-up, c’est le plus faible du montant fixe et du pourcentage du chiffre d’affaires qui s’applique, et non le plus élevé. Vérifiez le texte de l’article 99 avant de vous y fier.

Côté soutien, l’article 58 rend les bacs à sable réglementaires de l’IA, des environnements d’essai encadrés par les autorités, gratuits pour les PME et les start-up, hors coûts exceptionnels récupérables de manière proportionnée.

Ce guide est une information générale à jour en octobre 2026 et ne constitue pas un conseil juridique ; vérifiez votre situation avec un avocat ou l’autorité nationale compétente.