AI Act : que doit faire une entreprise qui met en œuvre l’IA (calendrier 2027, obligations, compétences en IA)

Le AI Act (règlement 2024/1689) est en vigueur depuis août 2024 et s’applique par étapes. En juillet 2026, l’Union a adopté le « Digital Omnibus » (règlement 2026/1744), qui a décalé certaines échéances, principalement pour les systèmes à haut risque. Pour une entreprise qui déploie l’IA dans ses processus, cela implique deux choses : une partie des obligations s’applique déjà, et pour une autre, les délais sont plus longs que ne l’indiquaient les premiers guides.

Ce texte clarifie ce qui concerne une entreprise qui déploie l’IA (dans la nomenclature du règlement : « déployeur »), les échéances à jour et par où commencer. Il ne constitue pas un conseil juridique ; pour les systèmes à haut risque, il est recommandé de faire vérifier la classification par un juriste.

Points essentiels

• Interdictions et compétences en IA applicables dès le 2 février 2025. Toute entreprise utilisant l’IA doit garantir à ses employés un niveau de compétences adéquat en IA (art. 4).
• Transparence vis-à-vis des utilisateurs à partir du 2 août 2026. Les chatbots, générateurs de contenu et deepfakes doivent être signalés.
• Systèmes à haut risque : échéances décalées. Annexe III (recrutement, score de crédit/évaluation de la solvabilité, éducation, biométrie) à partir du 2 décembre 2027 ; annexe I (IA dans des produits réglementés, p. ex. dispositifs médicaux) à partir du 2 août 2028.
• La majorité des déploiements business relèvent d’un risque minimal. Un assistant documentaire, un moteur de recherche de connaissances ou la prévision de la demande ne sont pas des systèmes à haut risque, mais restent soumis aux compétences IA et à la transparence.
• Amendes jusqu’à 35 M€ ou 7 % du chiffre d’affaires pour les pratiques interdites ; seuils réduits pour les PME et les petites entreprises à moyenne capitalisation.

Qu’est-ce que l’AI Act et qui est concerné

L’AI Act instaure des règles uniformes pour les systèmes d’IA dans toute l’UE. Les obligations dépendent de deux facteurs : le rôle de l’entreprise dans la chaîne de valeur et le niveau de risque du système.

Rôles définis par le règlement :

• Fournisseur (provider) : développe un système d’IA et le met sur le marché sous son propre nom ou sa marque.
• Déployeur (deployer) : utilise un système d’IA dans le cadre de son activité professionnelle. C’est le cas de la plupart des entreprises qui déploient l’IA.
• Importateur et distributeur : mettent sur le marché de l’UE des systèmes en provenance de pays tiers ou les redistribuent.

Le règlement a un effet extraterritorial : il s’applique également aux entreprises hors UE si les résultats de leurs systèmes d’IA sont utilisés dans l’Union.

Règle importante de l’art. 25 : une entreprise qui déploie sous sa propre marque un système à haut risque conçu par un tiers, qui le modifie substantiellement ou qui en change la destination vers un usage à haut risque devient fournisseur et endosse ses obligations.

Quatre niveaux de risque

La même technologie peut relever de catégories différentes selon l’usage. Un modèle de langage qui résume des documents en interne est à risque minimal. Le même modèle utilisé pour le pré‑tri de candidats en recrutement devient un système à haut risque.

Calendrier : ce qui s’applique déjà et ce qui est décalé

État après le Digital Omnibus (règlement 2026/1744, applicable depuis le 27 juillet 2026) :

• 1er août 2024 : entrée en vigueur de l’AI Act.
• 2 février 2025 : interdictions (art. 5) et compétences en matière d’IA (art. 4). En vigueur.
• 2 août 2025 : obligations des fournisseurs de modèles d’IA à usage général (GPAI), structure de supervision, régime des sanctions. En vigueur.
• 2 août 2026 : obligations de transparence (art. 50), bacs à sable réglementaires dans chaque État membre, application générale du règlement hors systèmes à haut risque. En vigueur.
• 2 décembre 2026 : fin de la période transitoire pour l’étiquetage des contenus synthétiques dans les systèmes mis sur le marché avant le 02.08.2026 ; nouvelles interdictions de l’art. 5.
• 2 décembre 2027 : systèmes à haut risque de l’annexe III (auparavant : 2 août 2026). Les systèmes mis sur le marché avant cette date ne sont soumis au régime qu’en cas de modification substantielle.
• 2 août 2028 : systèmes à haut risque de l’annexe I, c’est‑à‑dire l’IA dans des produits soumis à d’autres règles de l’UE (p. ex. dispositifs médicaux, machines) (auparavant : 2 août 2027).
• 2 août 2030 : systèmes à haut risque utilisés par les autorités publiques.

Le décalage des échéances ne change pas l’étendue des obligations. Pour un système à haut risque, mettre en place la documentation, la journalisation et la supervision humaine prend des mois ; 2027 est donc plus proche qu’il n’y paraît.

Obligations de l’entreprise qui déploie l’IA (déployeur)

Pour tout système d’IA, quel que soit le risque

Compétences en matière d’IA (art. 4). L’entreprise doit veiller à ce que les personnes qui exploitent des systèmes d’IA disposent de connaissances suffisantes sur leur fonctionnement, leurs limites et leurs risques, adaptées au contexte et aux publics concernés. Le règlement n’impose pas de forme précise ; en pratique, il s’agit de formations, de règles internes et d’instructions.

Transparence (art. 50). Si des employés ou des clients dialoguent avec un chatbot, ils doivent en être informés, sauf si c’est évident. Les contenus générés par l’IA et publiés dans des affaires d’intérêt public doivent être signalés comme générés. Les deepfakes doivent être signalés. Les systèmes de reconnaissance des émotions et de catégorisation biométrique exigent d’informer les personnes concernées.

Pour les systèmes à haut risque (art. 26 et 27)

• Utilisation conforme aux instructions du fournisseur. Le fournisseur doit fournir un mode d’emploi ; le déployeur doit s’y conformer.
• Supervision humaine. L’entreprise désigne des personnes compétentes, formées et habilitées à superviser le système, y compris pour ignorer ou renverser sa décision.
• Données d’entrée. Dans la mesure où l’entreprise contrôle les données d’entrée, elles doivent être adéquates et suffisamment représentatives de la finalité du système. La gestion des données d’entraînement relève du fournisseur, pas du déployeur.
• Surveillance et signalement. L’entreprise surveille le fonctionnement ; si elle constate un risque pour la santé, la sécurité ou les droits fondamentaux, elle suspend l’usage et informe le fournisseur ainsi que l’autorité de surveillance du marché. Les incidents graves doivent être signalés.
• Journaux. L’entreprise conserve les journaux générés automatiquement par le système (dans la mesure de son contrôle) pendant au moins 6 mois, sauf exigence plus longue d’autres textes.
• Salariés. Avant de déployer un système à haut risque sur le lieu de travail, l’entreprise informe les salariés et leurs représentants.
• Personnes concernées par les décisions. L’entreprise informe les personnes physiques qu’elles sont soumises à une décision assistée par un système à haut risque et, sur demande, explique le rôle du système dans la décision.
• Évaluation d’impact sur les droits fondamentaux (art. 27). Obligatoire pour les autorités publiques et les entités fournissant des services publics, ainsi que pour les entreprises qui utilisent l’IA pour l’évaluation de la solvabilité et la tarification du risque en assurance vie et santé.

Un registre interne des systèmes d’IA n’est pas une obligation légale explicite pour la plupart des déployeurs (l’enregistrement dans la base de données de l’UE concerne les fournisseurs et les autorités publiques), mais sans inventaire il est impossible de satisfaire aux autres obligations.

Compétences IA en pratique

L’art. 4 s’applique depuis février 2025 et concerne toute entreprise qui utilise l’IA, y compris via des outils prêts à l’emploi. Le renforcement des compétences devrait couvrir :

• Fonctionnement de l’outil : ce que le modèle sait faire, ce qu’il ne sait pas faire, d’où viennent les données utilisées pour répondre.
• Limites : hallucinations, dépendance à la qualité des données, nécessité de vérifier les résultats pour les tâches ayant un impact sur des personnes ou des finances.
• Données : ce qu’il est interdit d’introduire dans des modèles publics (données personnelles, secrets d’affaires, données clients) et la différence entre un chatbot public et un déploiement sous conditions commerciales.
• Rôle de l’humain : qui est responsable d’une décision assistée par l’IA et quand il doit la remettre en question.
• Procédures : où signaler un comportement erroné ou préoccupant du système.

Le niveau de détail dépend du rôle : différent pour la direction, pour les utilisateurs quotidiens et pour l’équipe IT qui maintient le système.

Concrètement lors d’un déploiement

D’un point de vue technique, l’essentiel des obligations de l’AI Act se traduit par des choix d’architecture à prendre dès le début du projet. Chez Startup House, pour les assistants IA, agents et bases de connaissances d’entreprise, nous appliquons des principes qui facilitent ensuite la conformité, quel que soit le niveau de risque :

• Réponses fondées sur des données client vérifiées (RAG) avec citation des sources, afin de limiter les hallucinations et permettre à l’utilisateur de vérifier l’origine de la réponse.
• Intégration aux politiques d’accès existantes (notamment Okta), pour que l’IA ne voie que les données auxquelles l’utilisateur est habilité.
• Déploiement dans le cloud du client et utilisation de modèles sous conditions commerciales : les données du client ne servent pas à entraîner des modèles publics d’IA.
• Journalisation des requêtes et des réponses dès la première version, et non en add‑on après coup.
• Humain dans la boucle là où l’IA assiste des décisions concernant des personnes ou des montants financiers : le système propose, l’humain valide.
• Transparence vis‑à‑vis de l’utilisateur : l’assistant se présente comme une IA et indique lorsqu’il ne connaît pas la réponse.
• Architecture permettant de remplacer le modèle (p. ex. passer d’OpenAI à Anthropic) sans reconstruire le système, car les exigences applicables aux modèles GPAI et les modèles eux‑mêmes évoluent plus vite que les systèmes d’entreprise.

Nous travaillons selon ISO 27001 et adaptons les projets aux exigences des clients des secteurs réglementés (fintech, santé, cybersécurité). La classification du risque et les obligations juridiques sont définies par le client avec son service juridique ; nous fournissons la partie technique : documentation, journaux, mécanismes de supervision et de transparence.

L’inventaire des systèmes d’IA, l’attribution des responsabilités et le suivi des échéances sont pris en charge par Compliance Copilot (page produit) : un agent IA de Startup House pour la surveillance continue de la conformité (notamment RGPD, DORA, NIST, ISO), qui signale les lacunes de documentation et de procédures avant qu’un audit ne les détecte.

Comment préparer l’entreprise : 5 étapes

1. Inventaire. Liste de tous les outils avec IA dans l’entreprise : des chatbots en service client et fonctions IA dans des SaaS aux modèles côté backend. Pour chacun : fournisseur, cas d’usage, qui l’utilise, quelles données en entrée.
2. Classification du risque. Attribution de chaque outil à l’une des quatre catégories en fonction de l’usage, pas de la technologie. Vérifier séparément si, pour l’un d’eux, l’entreprise ne devient pas fournisseur (marque propre, modification substantielle).
3. Audit des fournisseurs. Pour les systèmes à haut risque : le fournisseur fournira‑t‑il des instructions, une documentation et un support de journalisation ? Pour les outils GPAI (modèles à usage général) : le contrat commercial exclut‑il l’entraînement sur les données de l’entreprise ?
4. Politique d’usage de l’IA. Règles pour les employés : outils autorisés, interdiction d’introduire des données sensibles dans des modèles publics, obligation de vérifier les résultats, voie de signalement des problèmes, étiquetage des contenus générés par l’IA.
5. Compétences et procédures. Formations adaptées aux rôles, désignation des responsables de la supervision des systèmes, procédures de surveillance et de signalement des incidents. Pour les systèmes à haut risque : feuille de route vers la conformité avant décembre 2027 (annexe III) ou août 2028 (annexe I).

Sanctions en cas de non‑respect de l’AI Act

• Jusqu’à 35 M€ ou 7 % du chiffre d’affaires annuel mondial (le montant le plus élevé) : pratiques interdites.
• Jusqu’à 15 M€ ou 3 % : violation des autres obligations, y compris pour les systèmes à haut risque et la transparence.
• Jusqu’à 7,5 M€ ou 1,5 % : fourniture d’informations fausses ou incomplètes aux autorités.

Pour les PME et les startups, et après le Digital Omnibus également pour les petites entreprises à moyenne capitalisation, on applique le plus faible des deux montants. En plus des amendes, l’autorité de surveillance peut ordonner le retrait du système.

Voir aussi : Comment choisir une entreprise pour déployer l’IA : checklist de 20 questions et éléments de contrat · Microsoft 365 Copilot, ChatGPT Enterprise ou un assistant IA interne ?

Foire aux questions

L’AI Act s’applique‑t‑il aux petites et moyennes entreprises ?

Oui. Il n’existe pas d’exemption liée à la taille de l’entreprise ; les obligations dépendent du rôle et du niveau de risque du système. Les PME bénéficient de seuils d’amendes réduits, d’une documentation allégée pour les fournisseurs et de l’accès aux bacs à sable réglementaires que chaque État membre devait lancer d’ici août 2026.

L’usage de ChatGPT ou d’un autre chatbot en entreprise est‑il conforme à l’AI Act ?

Oui, à condition de respecter l’art. 4 (compétences des employés) et les règles internes de protection des données. Le problème survient lorsque l’entreprise utilise un modèle pour un usage à haut risque (p. ex. sélection de candidats) ou l’intègre à son propre produit sous sa marque : elle peut alors devenir fournisseur du système et endosser ses obligations.

Dois‑je reconstruire mon système d’IA actuel ?

Cela dépend de la catégorie. Les systèmes à risque minimal ne requièrent pas de changements au‑delà de la transparence s’ils dialoguent avec des utilisateurs. Les systèmes à haut risque mis sur le marché avant le 2 décembre 2027 ne sont soumis aux exigences qu’en cas de modification substantielle ; les nouveaux doivent s’y conformer à compter de cette date. Les systèmes relevant des interdictions (p. ex. reconnaissance des émotions des employés) devaient être arrêtés au 2 février 2025.

Quelle est la différence entre fournisseur et déployeur ?

Le fournisseur crée le système et le met sur le marché (p. ex. le producteur d’un modèle ou l’entreprise qui vend son propre outil d’IA). Le déployeur utilise le système dans son activité (p. ex. une banque utilisant un outil externe pour évaluer la solvabilité). L’évaluation de conformité, la documentation technique et l’enregistrement incombent au fournisseur ; la supervision humaine, la surveillance, les journaux et l’information des salariés incombent au déployeur.

Comment savoir si mon système est à haut risque ?

L’annexe III liste les domaines : biométrie, infrastructures critiques, éducation, emploi et gestion des salariés, accès aux services essentiels (dont évaluation de la solvabilité et assurances), application de la loi, migration, justice. L’annexe I couvre l’IA comme élément de sécurité de produits réglementés (dispositifs médicaux, machines, véhicules). Si le système opère dans ces domaines et influe sur des décisions concernant des personnes, il est à haut risque, sauf s’il n’exécute qu’une tâche auxiliaire étroite (exceptions prévues à l’art. 6, paragraphe 3).

Qu’en est‑il des modèles à usage général (GPAI) que nous utilisons via API ?

Les obligations pour les modèles GPAI (documentation, politique de droits d’auteur, et pour les modèles à risque systémique des tests supplémentaires) incombent à leurs fournisseurs et s’appliquent depuis le 2 août 2025. L’entreprise qui utilise un modèle via API est déployeur du système bâti sur ce modèle, avec des obligations dépendant de l’usage.

Quel est l’impact de l’AI Act sur le développement de l’IA dans les entreprises polonaises ?

L’AI Act encadre le déploiement de l’IA dans les entreprises. Il a un impact majeur sur l’innovation, la sécurité et la confiance des clients. Les entreprises en Pologne devraient intégrer ses exigences dans leur stratégie d’investissement et d’expansion.

L’AI Act s’applique‑t‑il à l’usage de l’IA en marketing et e‑commerce ?

Oui, les boutiques en ligne et les agences marketing doivent également respecter les dispositions pertinentes. L’IA utilisée pour créer du contenu, analyser les revenus ou optimiser les dépenses relève généralement d’un risque minimal. Des obligations supplémentaires peuvent découler de la manière dont les données et les contenus générés sont utilisés.

Comment préparer l’entreprise aux exigences de l’AI Act au quatrième trimestre 2026 ?

Commencez par analyser les outils d’IA disponibles et tester leur conformité. Des experts devraient identifier les risques, élaborer des check‑lists et des procédures de signalement des alertes. Avant de lancer de nouveaux déploiements, il faut également former les employés.

L’AI Act encadre‑t‑il l’usage de l’IA pour le recrutement et la rémunération ?

Oui, les systèmes d’IA qui assistent le recrutement, l’évaluation des employés et les décisions de rémunération peuvent être classés à haut risque. Ils exigent une supervision humaine appropriée, une documentation et un contrôle du fonctionnement. C’est essentiel pour protéger les droits des travailleurs et assurer la transparence des décisions.

Texte informatif ne constituant pas un conseil juridique. État du droit : octobre 2026, après l’entrée en vigueur du règlement 2026/1744 (Digital Omnibus).