AI Act : ce qui s'applique, et quand

Votre rôle : déployeur, parfois fournisseur

Le règlement attache les obligations à un rôle, pas à une taille d'entreprise.

Déployeur : toute personne qui utilise un système d'IA sous sa propre autorité, sauf pour un usage personnel non professionnel (art. 3, point 4). Une entreprise dont les salariés rédigent avec un assistant conversationnel est déployeur.
Fournisseur : celui qui développe ou fait développer un système d'IA et le met sur le marché ou en service sous son nom ou sa marque, à titre onéreux ou gratuit (art. 3, point 3). Une entreprise qui met en service sur son site un agent conversationnel conçu pour elle peut l'être.
Le passage de l'un à l'autre : un déployeur devient fournisseur d'un système à haut risque s'il le commercialise sous son nom, le modifie substantiellement ou en change la destination pour en faire un système à haut risque (art. 25, § 1).

Utiliser ChatGPT, Copilot ou Mistral ne fait pas de vous le fournisseur du modèle : les obligations des modèles d'IA à usage général (documentation, droit d'auteur, résumé des données d'entraînement) pèsent sur leurs éditeurs depuis le 2 août 2025.

Quatre niveaux d'usage

Interdits (art. 5) : manipulation, exploitation des vulnérabilités, notation sociale, reconnaissance des émotions au travail et à l'école, catégorisation biométrique sensible, moissonnage d'images faciales, certaines prédictions d'infraction et identification biométrique en temps réel par la police.
Haut risque (art. 6 et annexe III) : notamment le recrutement, les décisions sur les salariés, la solvabilité et la note de crédit, la tarification en assurance vie et maladie. Le détail et le report.
Transparence (art. 50) : agents conversationnels, contenus générés, hypertrucages.
Tous les autres usages : aucune obligation propre au-delà de l'article 4 (maîtrise de l'IA) et, bien sûr, du RGPD et du droit du travail.

Ce qui s'applique à toute entreprise aujourd'hui

Obligatoire un texte l'impose, avec sa dateRecommandé une autorité le recommandeBonne pratique notre avis, rien ne l'impose

ObligatoirePrendre des mesures de maîtrise de l'IA
Former et informer le personnel qui utilise l'IA, selon ses connaissances et le contexte. Obligation de moyens depuis sa réécriture : aucun niveau individuel à garantir, aucun certificat exigé. Le texte de l'article 4.
Art. 4, applicable depuis le 2 février 2025 ; rédaction issue du règlement (UE) 2026/1744 depuis le 27 juillet 2026
ObligatoireNe pas utiliser de pratique interdite
Parmi les huit interdits, celui qui touche le plus les entreprises : déduire les émotions d'une personne sur le lieu de travail, sauf raisons médicales ou de sécurité. Le 2 décembre 2026 s'ajoutent les outils utilisés pour générer des images intimes d'une personne sans son consentement et du matériel pédopornographique.
Art. 5, depuis le 2 février 2025 ; points b bis et b ter ajoutés par le règlement (UE) 2026/1744, applicables le 2 décembre 2026
ObligatoireSignaler certains contenus et agents conversationnels
Informer qu'on échange avec une IA, signaler les hypertrucages et les textes d'intérêt public générés sans relecture éditoriale. Ce que l'article 50 impose.
Art. 50, applicable depuis le 2 août 2026
ObligatoireAppliquer le RGPD aux données confiées à l'IA
L'AI Act ne remplace pas le RGPD : base légale, information, contrat avec l'éditeur, analyse d'impact si le risque est élevé. RGPD et IA.
Règlement (UE) 2016/679, en vigueur depuis le 25 mai 2018
RecommandéÉcrire une charte d'utilisation de l'IA générative
Usages autorisés et interdits, données à ne pas saisir. Le modèle de charte.
CNIL, questions-réponses sur l'IA générative, 18 juillet 2024
Bonne pratiqueTenir un inventaire des outils, y compris ceux qu'on n'a pas choisis
Comptes gratuits, fonctions IA ajoutées aux logiciels : on ne peut pas encadrer ce qu'on ne connaît pas. Le registre des usages.
Notre avis ; la Commission admet un registre interne comme trace de l'article 4

Le calendrier, après l'omnibus de juillet 2026

Date	Ce qui s'applique	Texte
1er août 2024	Entrée en vigueur du règlement (UE) 2024/1689	Art. 113
2 février 2025	Article 4 (maîtrise de l'IA) et pratiques interdites de l'article 5 applicables	Art. 113, a)
2 août 2025	Modèles d'IA à usage général, gouvernance, régime des sanctions	Art. 113, b)
27 juillet 2026	Entrée en vigueur du règlement (UE) 2026/1744 : nouvel article 4	Règlement (UE) 2026/1744
2 août 2026	Application générale, transparence de l'article 50 ; contrôle de l'article 4 par les autorités nationales	Art. 113 ; FAQ de la Commission
2 décembre 2026 (à venir)	Deux nouvelles pratiques interdites (images intimes non consenties, matériel pédopornographique) ; fin du délai de marquage des contenus générés par les outils déjà sur le marché (art. 50, § 2)	Art. 113, a), modifié ; art. 111, § 4
2 décembre 2027 (à venir)	Haut risque de l'annexe III : recrutement, évaluation des salariés, crédit, assurance vie et maladie…	Art. 113, c), i), modifié
2 août 2028 (à venir)	Haut risque de l'annexe I (composants de sécurité de produits réglementés)	Art. 113, c), ii), modifié

Le détail, dont la règle des systèmes déjà en service, est dans notre guide le calendrier de l'AI Act après l'omnibus.

Ce que le règlement (UE) 2026/1744 a changé

Haut risque reporté : du 2 août 2026 au 2 décembre 2027 pour l'annexe III, au 2 août 2028 pour l'annexe I (art. 113 modifié).
Article 4 réécrit : « favoriser le développement » de la maîtrise de l'IA, sans niveau individuel à garantir.
Deux interdits ajoutés, applicables le 2 décembre 2026 ; pour un déployeur, l'utilisation n'est interdite que s'il emploie l'outil dans le but de générer ce matériel (art. 5, § 1 bis).
Marquage des contenus générés : les éditeurs d'outils déjà sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 (art. 111, § 4).
Petites entreprises à moyenne capitalisation : pour les amendes des paragraphes 4 et 5 de l'article 99 (obligations des opérateurs, informations inexactes), le montant le plus faible des deux, comme pour les PME (art. 99, § 6 bis) ; pour une pratique interdite, le plafond reste le plus élevé des deux. Leurs intérêts sont aussi pris en compte dans les sanctions (art. 99, § 1).
Analyse d'impact sur les droits fondamentaux : elle peut renvoyer à l'AIPD du RGPD (art. 27, § 4).

Sanctions

Le règlement fixe des plafonds d'amende administrative (art. 99) : jusqu'à 35 000 000 EUR ou 7 % du chiffre d'affaires annuel mondial pour une pratique interdite, 15 000 000 EUR ou 3 % pour les obligations des opérateurs, dont celles du déployeur (art. 26) et la transparence (art. 50), 7 500 000 EUR ou 1 % pour des informations inexactes données aux autorités ; le plus élevé des deux étant retenu. Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au plus faible des deux (art. 99, § 6). Pour les petites entreprises à moyenne capitalisation, le plus faible ne vaut que pour les amendes des paragraphes 4 et 5 (art. 99, § 6 bis) : pour une pratique interdite, le plafond reste 35 000 000 EUR ou 7 %, le plus élevé des deux. L'article 4 ne figure pas dans cette liste : selon la Commission, ses sanctions relèvent du droit national et doivent être proportionnées.

Qui contrôle en France

Au 7 novembre 2026, aucune loi publiée ne désigne les autorités françaises de surveillance du marché. Le projet de loi d'adaptation au droit de l'Union européenne, déposé au Sénat en novembre 2025, a été amendé par le Gouvernement en février 2026 (amendement n° 442, adopté par le Sénat) : il confierait l'essentiel du contrôle à la CNIL (pratiques interdites, transparence, haut risque lié à l'emploi et à la biométrie), l'ACPR gardant les outils des établissements financiers qui évaluent la solvabilité ou tarifent, et la DGCCRF la formation professionnelle. Ce n'est pas encore la loi : nous mettrons cette page à jour à sa publication au Journal officiel.

Sources officielles, lues le 7 novembre 2026 :

L'AI Act pour une entreprise : ce qui s'applique, et quand