Pour une entreprise déployeur, c’est-à-dire qui utilise des systèmes d’IA sans les développer, l’AI Act impose depuis le 2 août 2026 trois choses : former ses équipes à l’usage de l’IA, signaler les contenus générés qu’elle publie et les systèmes d’analyse des émotions qu’elle utilise, et ne recourir à aucune pratique interdite. Le reste, en particulier les obligations attachées aux systèmes à haut risque, a été repoussé au 2 décembre 2027 par le règlement omnibus entré en vigueur le 27 juillet 2026. Ce report n’est pas une pause. C’est le délai qui reste pour savoir quels outils, dans l’entreprise, prennent déjà des décisions sur des personnes.
Il y a un an, nous écrivions que l’AI Act s’applique déjà, même si vous ne développez aucune IA. C’est toujours vrai. Mais deux choses ont changé depuis, et nous devons les corriger : le calendrier des systèmes à haut risque, que la version d’origine du règlement fixait au 2 août 2026 pour la plupart d’entre eux, et la formulation de l’obligation de maîtrise de l’IA, qui a été assouplie. Cet article fait le point deux mois après la date d’application générale, sur ce qui est certain, ce qui a été reporté, et ce qui reste flou.
Ce que l’omnibus a changé
Le règlement (UE) 2026/1744 du 8 juillet 2026, dit omnibus sur l’IA, a été publié au Journal officiel de l’Union européenne le 24 juillet et il est entré en vigueur le 27 juillet 2026, soit six jours avant la date d’application générale de l’AI Act. La Commission l’avait proposé le 19 novembre 2025. Il modifie le règlement (UE) 2024/1689 sur plusieurs points qui concernent directement les entreprises utilisatrices.
| Point | Avant l’omnibus | Après l’omnibus |
|---|---|---|
| Systèmes à haut risque de l’annexe III (recrutement, crédit, éducation, accès aux services essentiels) | 2 août 2026 | 2 décembre 2027 |
| Systèmes à haut risque intégrés à des produits réglementés (annexe I) | 2 août 2027 | 2 août 2028 |
| Maîtrise de l’IA (article 4) | Garantir un niveau suffisant de maîtrise | Prendre des mesures pour favoriser la maîtrise de l’IA du personnel |
| Marquage technique des contenus générés, systèmes déjà sur le marché | 2 août 2026 | 2 décembre 2026 |
| Pratiques interdites | Liste de 2024 | Ajout des systèmes générant des contenus intimes non consentis, au 2 décembre 2026 |
| Données sensibles pour corriger les biais | Encadrement limité | Traitement autorisé lorsqu’il est strictement nécessaire |
| Allègements | Réservés aux PME | Étendus aux entreprises de taille intermédiaire de petite taille |
Le report des systèmes à haut risque est la modification la plus visible. Elle répond à un problème concret : les normes techniques harmonisées sur lesquelles les entreprises devaient s’appuyer n’étaient pas prêtes. Les lignes directrices de la Commission sur la classification des systèmes à haut risque n’existent d’ailleurs qu’à l’état de projet, publié le 19 mai 2026 et soumis à consultation jusqu’au 23 juin.
L’assouplissement de l’article 4 est plus subtil, et il a été mal compris. L’obligation de maîtrise de l’IA n’a pas été supprimée, ni transférée aux seuls États. Le texte final demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel. On passe d’une obligation de résultat, un niveau suffisant à garantir, à une obligation de moyens. La différence est réelle, mais elle ne dispense de rien : une entreprise qui n’a pris aucune mesure reste en défaut.
Les trois obligations du déployeur depuis le 2 août 2026
Former les équipes, et pouvoir le démontrer
L’obligation de maîtrise de l’IA s’applique depuis le 2 février 2025, mais son contrôle par les autorités nationales n’est possible que depuis le 2 août 2026, selon la foire aux questions de la Commission mise à jour le 27 juillet 2026. Le règlement ne prévoit pas d’amende spécifique pour l’article 4 : ce sont les États membres qui fixent des sanctions proportionnées.
En pratique, l’obligation reste celle que nous décrivions en 2025, avec un ton moins impératif : une entreprise dont les équipes utilisent un assistant génératif doit avoir organisé leur formation, adaptée à leur métier et aux risques de leur usage, et en garder la trace. Une session enregistrée, une note d’usage diffusée et un émargement constituent une preuve. Un discours en réunion n’en constitue pas.
Signaler ce qui doit l’être
L’article 50 du règlement, applicable depuis le 2 août 2026, répartit les obligations de transparence entre fournisseur et déployeur, et la répartition mérite d’être connue parce qu’elle est souvent inversée.
Le fournisseur doit faire en sorte qu’une personne sache qu’elle interagit avec une IA, et marquer techniquement les contenus générés pour qu’ils soient détectables. Le déployeur, lui, doit informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique, signaler les hypertrucages qu’il diffuse, et signaler les textes générés par IA qu’il publie pour informer le public sur des sujets d’intérêt public, sauf s’ils ont fait l’objet d’une relecture humaine et d’un contrôle éditorial.
Les lignes directrices publiées par la Commission le 20 juillet 2026 précisent que l’information est due au plus tard lors de la première interaction ou de la première exposition, et que les contenus produits avant le 2 août 2026 n’ont pas à être marqués rétroactivement. Un code de bonnes pratiques sur la transparence des contenus générés, publié dans sa version finale le 10 juin 2026, comporte une section consacrée aux déployeurs. Il est volontaire, mais la Commission l’a reconnu comme un outil adéquat pour démontrer la conformité.
Le manquement à l’article 50 relève du plafond intermédiaire du régime de sanctions : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial.
Vérifier qu’aucun outil ne relève d’une pratique interdite
Les pratiques interdites s’appliquent depuis le 2 février 2025, et les sanctions correspondantes, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial, depuis le 2 août 2025. Pour un déployeur, le point le plus concret reste l’interdiction de la reconnaissance des émotions sur le lieu de travail et dans l’enseignement, hors raisons médicales ou de sécurité. Un outil d’analyse du ton des conversations avec les clients qui évaluerait aussi l’état émotionnel des salariés mérite un examen attentif. L’omnibus ajoute une interdiction au 2 décembre 2026, celle des systèmes générant des contenus intimes non consentis, qui concerne surtout les fournisseurs.
Pourquoi le report est un piège
Quatorze mois séparent aujourd’hui du 2 décembre 2027.
Les systèmes à haut risque de l’annexe III ne sont pas des projets d’innovation isolés. Ce sont, pour une large part, des outils de gestion ordinaires : un logiciel qui filtre ou classe des candidatures, un outil qui évalue les performances ou répartit les tâches des salariés, un module qui évalue la solvabilité d’un client particulier ou tarife une assurance santé ou vie. Ils sont souvent achetés par une direction métier, intégrés à un progiciel, activés par une mise à jour, et personne dans l’entreprise ne les a jamais qualifiés comme systèmes d’IA.
Or le jour où ces obligations s’appliqueront, le déployeur devra, en application de l’article 26 du règlement, utiliser le système conformément à sa notice, confier sa surveillance à des personnes compétentes et disposant de l’autorité nécessaire, conserver les journaux générés, informer les représentants du personnel avant toute mise en service sur le lieu de travail, et informer les personnes qui font l’objet de décisions. Certains déployeurs, dont ceux qui évaluent la solvabilité ou tarifent des assurances, devront aussi conduire une analyse d’impact sur les droits fondamentaux, que l’omnibus permet désormais d’articuler avec l’analyse d’impact déjà exigée par le RGPD.
Informer les représentants du personnel suppose de savoir quels outils sont concernés. Confier la surveillance humaine à une personne compétente suppose de l’avoir formée. Conserver des journaux suppose que le contrat avec l’éditeur le permette. Le vrai calendrier n’est donc pas décembre 2027 : c’est la date de renouvellement de chacun des contrats concernés, qui tombe souvent bien avant.
L’adoption, elle, n’attend pas le régulateur. Selon l’Insee, 18 % des entreprises implantées en France déclaraient utiliser au moins une technologie d’IA en 2025, contre 10 % un an plus tôt, et 58 % des entreprises de 250 salariés et plus. Selon la Banque de France, dans un bulletin du 3 septembre 2026 fondé sur une enquête auprès d’environ 7 000 entreprises, 67 % des entreprises de 20 salariés et plus utilisent l’IA générative. Le nombre d’outils à inventorier croît plus vite que la capacité des entreprises à les qualifier.
Ce qu’il faut demander à ses fournisseurs
Un déployeur dépend de son fournisseur pour presque tout ce que le règlement lui demandera. Il ne peut pas utiliser un système conformément à sa notice si l’éditeur ne la lui a pas remise. Il ne peut pas conserver des journaux que l’outil ne produit pas, ni signaler un contenu généré que le fournisseur n’a pas marqué. La conformité du déployeur se négocie donc, pour une large part, dans le contrat d’achat.
Quatre questions méritent d’être posées à chaque éditeur dès maintenant, et d’être inscrites au contrat lors du prochain renouvellement. Le système relève-t-il, selon vous, de l’une des catégories à haut risque de l’annexe III, et sur quelle analyse fondez-vous cette réponse ? Quelle notice d’utilisation et quelles instructions de surveillance humaine nous remettrez-vous ? Quels journaux le système produit-il, combien de temps sont-ils conservés, et y aurons-nous accès ? Comment les contenus générés sont-ils marqués, et à partir de quelle date ?
Un éditeur qui ne sait pas répondre à la première question n’a probablement pas encore fait le travail. Ce n’est pas forcément un motif de rupture, mais c’est une information à prendre en compte dans le calendrier, et un argument dans la négociation. Le rapport de force est d’ailleurs favorable au client tant que le contrat n’est pas renouvelé : une fois signé pour trois ans sans ces clauses, il ne l’est plus.
Ce qui reste flou en France
Deux mois après le 2 août, le dispositif français de contrôle n’est pas entièrement en place, et il serait malhonnête de le présenter autrement.
Le gouvernement a annoncé en septembre 2025 un schéma dans lequel la DGCCRF coordonne l’action des autorités de surveillance, avec l’appui technique de l’ANSSI et du pôle d’expertise de la régulation numérique. Un amendement gouvernemental a ensuite confié à la CNIL un rôle central sur les pratiques interdites, la reconnaissance des émotions, l’étiquetage des contenus et les systèmes à haut risque. Ce schéma passe par le projet de loi portant diverses dispositions d’adaptation au droit de l’Union, adopté par le Sénat le 18 février 2026 et transmis à l’Assemblée nationale. À la date où j’écris, son adoption définitive n’est pas intervenue.
Nous n’avons trouvé, à ce jour, aucun contrôle ni aucune sanction prononcés en France au titre de l’AI Act. Ce n’est pas une raison de se rassurer. Les premiers contrôles porteront vraisemblablement sur ce qui est simple à vérifier, une mention de transparence absente ou une formation non tracée, et c’est précisément ce qu’un déployeur peut corriger en quelques semaines.
L’inventaire à faire avant décembre 2027
L’outil qui manque dans la plupart des entreprises n’est ni juridique ni technique. C’est une liste. Elle tient en cinq colonnes et se construit en partant des usages, pas des projets.
- L’outil et son fournisseur, y compris les fonctions d’IA intégrées à des progiciels existants, qui sont les plus souvent oubliées.
- La décision qu’il influence, et sur qui : un client, un candidat, un salarié, un tiers. C’est cette colonne qui fait basculer un outil dans le haut risque.
- Le rôle de l’entreprise : déployeur dans l’immense majorité des cas, mais fournisseur si elle a apposé sa marque sur le système, en a modifié la finalité ou l’a intégré à un produit qu’elle distribue. Nous décrivions ces bascules involontaires dans notre article de 2025.
- La catégorie probable : pratique interdite, haut risque, obligation de transparence, ou usage sans obligation particulière.
- L’échéance du contrat, qui donne le vrai calendrier de mise en conformité, puisque c’est au renouvellement qu’on obtient de l’éditeur la notice, les journaux et les engagements nécessaires.
Cette liste a un intérêt qui dépasse le règlement. Elle oblige à savoir quelles données alimentent chaque outil, ce qui renvoie au sujet que nous traitions à propos de la gouvernance des données, préalable à tout projet d’IA. Un outil dont on ne connaît pas les données d’entrée ne peut être ni qualifié, ni surveillé, ni corrigé.
Notre position
Nous travaillons en data et en IA pour des clients qui sont, pour la plupart, des déployeurs. Notre conviction n’a pas changé depuis 2025 : le règlement n’est pas d’abord un sujet juridique, c’est un sujet documentaire. L’entreprise qui sait ce qu’elle utilise, sur quelles données et pour quelles décisions, est à quelques semaines de la conformité. Celle qui ne le sait pas a quatorze mois de retard, même si elle n’a encore rien enfreint.
Une entreprise de services numériques est d’ailleurs aux premières loges. Le recrutement est notre métier quotidien, et le tri automatisé de candidatures figure en toutes lettres parmi les usages à haut risque de l’annexe III. La règle que nous recommandons ici, distinguer un outil qui range de l’information d’un outil qui classe des personnes, est celle que nous appliquons à nos propres outils de recrutement.
Il faut enfin reconnaître une limite. Une partie du dispositif dépend encore de textes qui ne sont pas stabilisés : lignes directrices finales sur le haut risque, normes harmonisées, désignation formelle des autorités françaises. Un inventaire fait aujourd’hui devra être relu quand ces textes paraîtront. Il vaut pourtant mieux relire une liste que la découvrir. C’est le type de chantier que nous menons dans nos missions data et IA, et que nous décrivions à propos de la mise en production d’un LLM : le modèle n’est jamais la partie la plus longue.
Questions fréquentes
Qu’est-ce qu’un déployeur au sens de l’AI Act ?
Un déployeur est une personne physique ou morale qui utilise un système d’IA sous sa propre autorité dans le cadre d’une activité professionnelle. C’est le cas de la plupart des entreprises, qui achètent ou intègrent des outils plutôt que de les développer. Le déployeur se distingue du fournisseur, qui développe le système et le met sur le marché sous son nom. Une entreprise devient toutefois fournisseur si elle appose sa marque sur un système, en modifie la finalité ou l’intègre à un produit qu’elle distribue, et elle hérite alors d’obligations beaucoup plus lourdes.
Quelles obligations de l’AI Act s’appliquent depuis le 2 août 2026 ?
Depuis le 2 août 2026, les obligations de transparence de l’article 50 s’appliquent : le déployeur doit notamment signaler les hypertrucages qu’il diffuse, les textes générés par IA publiés pour informer le public sur des sujets d’intérêt public sans relecture humaine, et l’usage de systèmes de reconnaissance des émotions. L’obligation de maîtrise de l’IA, applicable depuis février 2025 et assouplie par le règlement omnibus, peut être contrôlée depuis cette même date. Les pratiques interdites s’appliquent depuis le 2 février 2025. Les obligations relatives aux systèmes à haut risque ont en revanche été reportées au 2 décembre 2027.
Le règlement omnibus a-t-il reporté l’AI Act ?
Il en a reporté une partie. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a décalé les obligations relatives aux systèmes à haut risque de l’annexe III au 2 décembre 2027, et celles relatives aux systèmes intégrés à des produits réglementés au 2 août 2028. Il a aussi assoupli l’obligation de maîtrise de l’IA et accordé un délai jusqu’au 2 décembre 2026 pour le marquage des contenus générés par les systèmes déjà sur le marché. Les obligations de transparence et les pratiques interdites n’ont pas été reportées.
Sources
- Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant le règlement (UE) 2024/1689, publié au JOUE le 24 juillet 2026 (report des systèmes à haut risque, nouvelle rédaction de l’article 4, délai pour le marquage des contenus, nouvelles pratiques interdites, article 4 bis, allègements).
- Commission européenne, AI Omnibus enters into force, 27 juillet 2026 (entrée en vigueur, échéances du 2 décembre 2027 et du 2 août 2028, interdiction ajoutée au 2 décembre 2026).
- Commission européenne, proposition de règlement omnibus sur l’IA, 19 novembre 2025.
- Règlement (UE) 2024/1689 du 13 juin 2024 sur l’intelligence artificielle (article 5 sur les pratiques interdites, article 26 sur les obligations des déployeurs de systèmes à haut risque, article 27 sur l’analyse d’impact, article 50 sur la transparence, article 99 sur les sanctions, annexe III).
- Commission européenne, AI literacy, questions and answers, mise à jour du 27 juillet 2026 (contrôle de l’article 4 à partir du 2 août 2026, absence d’amende spécifique).
- Commission européenne, lignes directrices sur les obligations de transparence, 20 juillet 2026 (répartition fournisseur et déployeur, moment de l’information, absence d’effet rétroactif).
- Commission européenne, code de bonnes pratiques sur les contenus générés par IA, version finale du 10 juin 2026 (section consacrée aux déployeurs, reconnaissance comme outil adéquat).
- Commission européenne, projet de lignes directrices sur la classification des systèmes à haut risque, 19 mai 2026.
- DGCCRF, la DGCCRF coordonnera l’action des autorités de surveillance en France, 9 septembre 2025.
- Next, le gouvernement prévoit de donner la régulation de l’IA à la CNIL, 13 février 2026.
- Sénat, dossier législatif du projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (adoption par le Sénat le 18 février 2026, transmission à l’Assemblée nationale).
- Insee, Insee Première n° 2120, 21 juillet 2026 (18 % des entreprises utilisant l’IA en 2025 contre 10 % en 2024, 58 % des entreprises de 250 salariés et plus).
- Banque de France, l’IA s’installe dans les entreprises françaises, Bulletin n° 266, 3 septembre 2026 (67 % des entreprises de 20 salariés et plus utilisant l’IA générative).
