AI Act : les obligations des entreprises qui utilisent l’IA

On présente souvent l’AI Act comme un texte pour les géants de la tech. C’est inexact : le règlement (UE) 2024/1689 vise aussi les déployeurs, c’est-à-dire toute organisation qui utilise un système d’IA dans un cadre professionnel. Si vos équipes utilisent un assistant génératif, un chatbot sur votre site ou un outil d’aide au recrutement, vous êtes concerné. Voici ce qui s’applique, et quand.

Le calendrier, mis à jour en 2026

Les deux dernières dates résultent du règlement (UE) 2026/1744 (« omnibus numérique sur l’IA »), entré en vigueur le 27 juillet 2026, qui a reporté l’application des règles relatives au haut risque. Vérifiez toujours la version consolidée du texte.

Étape 1 : recenser vos usages de l’IA

Listez les outils d’IA utilisés dans l’entreprise, y compris les fonctionnalités d’IA intégrées à des logiciels que vous utilisez déjà (messagerie, bureautique, CRM, outils RH). Pour chacun : qui l’utilise, pour quoi faire, avec quelles données, et qui en est le fournisseur.

Étape 2 : qualifier votre rôle

Vous êtes déployeur si vous utilisez un système sous votre autorité. Vous pouvez devenir fournisseur si vous développez un système, si vous le commercialisez sous votre nom, ou si vous modifiez substantiellement un système à haut risque. Les obligations ne sont pas les mêmes : ce guide porte sur les déployeurs.

Étape 3 : écarter les pratiques interdites

L’article 5 interdit notamment la manipulation subliminale, l’exploitation des vulnérabilités, la notation sociale, la reconnaissance des émotions sur le lieu de travail et dans l’enseignement (sauf raisons médicales ou de sécurité), certaines catégorisations biométriques et la constitution de bases de reconnaissance faciale par moissonnage. À compter du 2 décembre 2026, l’omnibus y ajoute les systèmes générant des contenus intimes non consentis ou des contenus d’abus sexuels sur enfants. Vérifiez qu’aucun usage n’entre dans ces catégories.

Étape 4 : assurer la maîtrise de l’IA

L’article 4 impose de prendre des mesures pour que les personnes qui utilisent les systèmes d’IA aient un niveau suffisant de maîtrise : comprendre les capacités et les limites, les risques (erreurs, biais, confidentialité), les bons réflexes. L’omnibus de 2026 a reformulé cette obligation, mais il faut toujours pouvoir démontrer les mesures prises : politique d’usage, sensibilisation, traces de participation.

Étape 5 : respecter la transparence

Depuis le 2 août 2026, l’article 50 impose notamment :

• d’informer les personnes qu’elles interagissent avec une IA (un chatbot sur votre site, par exemple), sauf si c’est évident ;
• pour le déployeur d’un système qui crée des hypertrucages (images, sons, vidéos), d’indiquer que le contenu a été généré ou manipulé ;
• pour un texte publié pour informer le public sur des questions d’intérêt public, d’indiquer qu’il a été généré par l’IA, sauf relecture humaine avec responsabilité éditoriale ;
• d’informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique autorisé.

Étape 6 : anticiper le haut risque

Si un usage relève de l’annexe III — par exemple le tri de candidatures, l’évaluation de salariés, l’accès à l’éducation, l’évaluation de la solvabilité —, préparez dès maintenant les obligations de l’article 26 applicables à partir du 2 décembre 2027 : utilisation conforme à la notice du fournisseur, contrôle humain confié à des personnes compétentes, pertinence des données d’entrée, surveillance du fonctionnement, conservation des journaux au moins six mois, information des représentants du personnel et des salariés concernés, information des personnes faisant l’objet de décisions. Certains déployeurs (organismes publics, scoring de crédit, tarification en assurance vie et santé) devront aussi réaliser une analyse d’impact sur les droits fondamentaux.

N’oubliez pas le RGPD

Dès qu’un système d’IA traite des données personnelles, le RGPD s’applique en parallèle : base légale, information, minimisation, droit de ne pas faire l’objet d’une décision entièrement automatisée, et souvent analyse d’impact (AIPD). Les deux démarches gagnent à être menées ensemble.

Les sanctions

Jusqu’à 35 M€ ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, 15 M€ ou 3 % pour la plupart des autres obligations, 7,5 M€ ou 1 % pour des informations inexactes fournies aux autorités — le montant le plus faible s’appliquant aux PME.

Comment OK-GRC vous aide

OK-GRC intègre le référentiel AI Act à jour du calendrier 2026, relié à des mesures communes partagées avec ISO/IEC 42001 et le RGPD. Vous y recensez vos systèmes d’IA, suivez leurs risques, diffusez une politique d’utilisation de l’IA avec accusé de lecture et lancez un module de formation sur l’usage de l’IA, avec quiz et suivi des participations.