AI Act : le calendrier d’application et vos obligations en 2026
Échéances clés de l’AI Act, classification des systèmes à haut risque et obligations concrètes pour les entreprises en 2026. Comment préparer votre mise en conformité.
· 10 min de lecture
Le règlement européen sur l’intelligence artificielle, dit AI Act (règlement (UE) 2024/1689), est entré en vigueur le 1er août 2024. Mais ses obligations ne s’appliquent pas toutes en même temps : le législateur a prévu une entrée en application échelonnée jusqu’en 2027. En 2026, plusieurs jalons majeurs deviennent contraignants. Voici ce qu’il faut retenir.
Une approche par niveau de risque
L’AI Act ne régule pas la technologie en elle-même, mais ses usages, classés en quatre niveaux de risque :
- Risque inacceptable : pratiques interdites (notation sociale, manipulation, identification biométrique de masse à de rares exceptions près…).
- Haut risque : systèmes utilisés dans des domaines sensibles (emploi, crédit, éducation, infrastructures critiques, justice…) — le cœur des obligations.
- Risque limité : obligations de transparence (par exemple signaler qu’un contenu est généré par IA, ou qu’on dialogue avec un chatbot).
- Risque minimal : la grande majorité des usages, sans obligation spécifique.
Le calendrier d’application
2 février 2025
Entrée en application des interdictions visant les pratiques à risque inacceptable, et des obligations de littératie en IA : les organisations doivent veiller à un niveau suffisant de compétence des personnes qui conçoivent et utilisent ces systèmes.
2 août 2025
Application des règles sur les modèles d’IA à usage général (GPAI, dont les grands modèles de langage), de la gouvernance européenne et du régime de sanctions.
2 août 2026
Jalon central : application de la majorité des obligations, notamment pour les systèmes à haut risque listés à l’annexe III (emploi, accès aux services essentiels, etc.).
2 août 2027
Application aux systèmes à haut risque intégrés dans des produits déjà réglementés (dispositifs médicaux, machines, jouets…), soumis à une évaluation de conformité.
Fournisseur ou déployeur : qui porte quelles obligations ?
L’AI Act ne s’adresse pas qu’aux éditeurs de modèles. Il distingue plusieurs rôles, et la plupart des organisations sont concernées au titre de déployeur — c’est-à-dire d’utilisateur professionnel d’un système d’IA.
Le fournisseur
Celui qui développe un système d’IA ou le met sur le marché sous son nom. Il porte l’essentiel des obligations pour les systèmes à haut risque : conception, documentation, évaluation de conformité.
Le déployeur
Celui qui utilise un système d’IA dans le cadre de son activité. Il doit notamment assurer une supervision humaine, utiliser le système conformément à sa notice et surveiller son fonctionnement.
Point d’attention : une organisation peut changer de statut. Un déployeur qui modifie substantiellement un système à haut risque, ou l’exploite sous sa propre marque, peut être requalifié en fournisseur — avec les obligations correspondantes.
Le cas particulier des modèles à usage général
Les modèles d’IA à usage général (GPAI), dont les grands modèles de langage, font l’objet d’un régime dédié applicable depuis août 2025. Leurs fournisseurs doivent notamment fournir une documentation technique, publier un résumé des contenus utilisés pour l’entraînement et respecter le droit d’auteur.
Les modèles présentant un risque systémique — au-delà d’un certain seuil de puissance de calcul — sont soumis à des exigences renforcées : évaluation des risques, tests contradictoires, suivi des incidents et cybersécurité. Pour une entreprise qui intègre ces modèles via API, l’enjeu est de savoir ce que fait réellement le fournisseur et de le documenter dans sa propre chaîne de conformité.
Ce qu’exige un système à haut risque
Si l’un de vos systèmes d’IA tombe dans la catégorie « haut risque », vous devez notamment mettre en place :
- un système de gestion des risques sur tout le cycle de vie ;
- une gouvernance des données d’entraînement, de validation et de test ;
- une documentation technique et une journalisation traçable ;
- de la transparence et une information claire des utilisateurs ;
- une supervision humaine effective ;
- un niveau approprié de robustesse, d’exactitude et de cybersécurité.
Le non-respect des interdictions peut être sanctionné jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu.
Par où commencer en 2026 ?
La première étape n’est pas juridique mais factuelle : cartographier vos systèmes d’IA et déterminer lesquels relèvent du haut risque. C’est précisément ce que GovernIA industrialise — inventaire des usages, classification au regard de l’AI Act, génération de la documentation et suivi du plan d’actions.
Évaluer vos besoins de conformité IA
Sources et références
GovernIA, la plateforme d’audit augmentée par l’IA
Industrialisez vos audits IA, RGPD, NIS2, ISO 27001 et DORA sur une plateforme collaborative cabinet/client, hébergée en France.