Publié le
Mis à jour le
Ce guide déroule, étape par étape, ce que l’AI Act demande à une entreprise qui utilise des systèmes d’IA sans les vendre. La fiche AI Act présente le règlement. Il suit le texte consolidé au 27 juillet 2026, après le règlement (UE) 2026/1744, dit « Digital Omnibus ». Ce guide ne remplace pas l’avis d’un juriste.
À retenir
Une entreprise qui utilise un système d’IA sous sa propre autorité est déployeur. Elle en devient fournisseur si elle le développe, ou dans trois cas de l’article 25.
Pratiques interdites et maîtrise de l’IA s’appliquent depuis le 2 février 2025, la transparence depuis le 2 août 2026.
Les obligations du déployeur d’un système à haut risque de l’annexe III s’appliquent à partir du 2 décembre 2027.
Par quoi commencer la mise en conformité AI Act ?
Commencez par l’inventaire de tous les systèmes d’IA utilisés, y compris le shadow AI : les outils que les salariés ont adoptés sans le déclarer. Pour chaque système, notez le fournisseur, la finalité, les données traitées et les personnes concernées. Le guide audit IA décrit cette observation des usages réels.
Êtes-vous déployeur ou fournisseur ?
Vous êtes déployeur si vous utilisez un système d’IA sous votre propre autorité, hors activité personnelle (article 3). Le fournisseur développe le système, ou le fait développer, et le met sur le marché ou en service sous son nom. Une ETI qui développe un outil d’IA pour son propre usage en est donc le fournisseur. Pour un outil acheté, elle reste en principe déployeur.
Un déployeur devient pourtant fournisseur d’un système à haut risque dans trois cas (article 25) :
il appose son nom ou sa marque sur un système à haut risque déjà sur le marché ;
il modifie substantiellement un tel système, qui reste à haut risque ;
il change la destination d’un système, même à usage général, et le rend ainsi à haut risque.
Comment classer vos usages par niveau de risque ?
Classez chaque usage : interdit, à haut risque, soumis à transparence ou sans obligation propre. L’article 5 liste les pratiques interdites, dont la reconnaissance des émotions sur le lieu de travail, sauf raison médicale ou de sécurité. L’annexe III liste huit domaines à haut risque, dont l’emploi : recrutement, promotion, licenciement, tâches attribuées selon le comportement ou les traits personnels, suivi des performances. Un système de l’annexe III échappe au haut risque s’il ne présente pas de risque important, par exemple s’il exécute une tâche procédurale étroite (article 6). Il reste à haut risque s’il réalise un profilage des personnes.
Exercice fictif. Une ETI de 900 salariés classe quatre usages relevés dans son inventaire.
Usage | Rôle | Niveau de risque | Décision |
|---|---|---|---|
Assistant de rédaction généraliste | Déployeur | Aucune obligation propre | Former et encadrer l’usage |
Agent conversationnel du site, acheté à un éditeur | Déployeur | Transparence | Vérifier que l’outil informe les visiteurs |
Logiciel de présélection des candidatures | Déployeur | Haut risque (annexe III, point 4) | Préparer l’article 26 |
Analyse des émotions des téléconseillers à partir de leur voix | Déployeur | Interdit (article 5) | Arrêter |
Organisation & Diagnostics
Structurez votre organisation avec un diagnostic clair
Nos audits révèlent les leviers concrets pour aligner vos équipes et vos process.
Quelles obligations pour le déployeur d’un système à haut risque ?
Le déployeur d’un système à haut risque l’utilise selon la notice, en garde le contrôle humain et en informe les personnes concernées (article 26). Concrètement, le déployeur doit :
confier le contrôle humain à des personnes qui ont la compétence, la formation, l’autorité et le soutien nécessaires (voir la fiche human in the loop) ;
veiller à la pertinence et à la représentativité des données d’entrée qu’il contrôle, ce qui limite les biais ;
surveiller le fonctionnement et suspendre l’usage en cas de risque, en prévenant le fournisseur et l’autorité de surveillance du marché ;
conserver au moins six mois les journaux qu’il contrôle ;
informer les représentants du personnel et les salariés concernés avant la mise en service sur le lieu de travail ;
prévenir les personnes concernées du recours à un système de l’annexe III pour une décision qui les vise.
Certains déployeurs réalisent aussi une analyse d’impact sur les droits fondamentaux avant la première utilisation. L’article 27 vise les organismes de droit public et les entités privées qui fournissent un service public. Il vise aussi les déployeurs qui évaluent la solvabilité de particuliers ou tarifent leur assurance vie et maladie. Si le traitement de données personnelles présente un risque élevé, le RGPD impose une analyse d’impact (article 35). L’article 26, paragraphe 9, prévoit d’y utiliser les informations du fournisseur. Une personne visée par une décision défavorable fondée sur un système de l’annexe III peut demander des explications au déployeur (article 86). Un système de l’annexe III mis sur le marché ou en service avant le 2 décembre 2027 n’y entre qu’en cas de modification importante de sa conception (article 111).
Que devez-vous faire dès maintenant ?
Même sans système à haut risque, plusieurs obligations s’appliquent déjà, en plus des interdictions de l’article 5. L’article 4 vous demande de favoriser la maîtrise de l’IA de votre personnel, sans exiger un niveau précis pour chaque personne. L’article 50 vous oblige à signaler un hypertrucage, et un texte généré par l’IA publié pour informer le public sur des questions d’intérêt public. Pour ce texte, l’obligation tombe après une relecture humaine ou un contrôle éditorial, si une personne physique ou morale en assume la responsabilité éditoriale. L’article 50 impose enfin d’informer les personnes exposées à un système de reconnaissance des émotions.
Quel calendrier et quelles sanctions ?
Les obligations entrent en application par étapes, selon l’article 113 consolidé :
2 février 2025 : pratiques interdites et maîtrise de l’IA ;
2 août 2025 : modèles d’IA à usage général, gouvernance, sanctions ;
2 août 2026 : application générale, dont la transparence ;
2 décembre 2026 : nouvelles interdictions, sur les images intimes sans consentement et les contenus d’abus sexuels sur enfants ;
2 décembre 2027 : systèmes à haut risque de l’annexe III ;
2 août 2028 : systèmes à haut risque de l’annexe I.
Les amendes atteignent 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour une pratique interdite (article 99). Elles atteignent 15 millions ou 3 % pour les obligations du déployeur et la transparence. Le règlement retient le plus élevé des deux montants, sauf pour les PME : le plus faible. L’Omnibus étend cette règle aux petites entreprises à moyenne capitalisation, hors pratiques interdites. Ces entreprises ne sont pas des PME et emploient moins de 750 personnes. Leur chiffre d’affaires ne dépasse pas 150 millions d’euros, ou leur bilan 129 millions (recommandation (UE) 2025/1099).
Quelle liste de contrôle pour un déployeur ?
Dix vérifications couvrent l’essentiel du parcours. Cette liste est une proposition Spentia, sans statistique de réussite ni portefeuille client revendiqué :
Inventaire des systèmes et des usages, y compris non déclarés.
Fiche par système : fournisseur, finalité, données, personnes concernées.
Rôle qualifié pour chaque système (article 25).
Absence de pratique interdite (article 5).
Usages de l’annexe III repérés, documentation du fournisseur obtenue.
Mesures de maîtrise de l’IA en place (article 4).
Règles de signalement des contenus générés (article 50).
Pour chaque système à haut risque : contrôle humain, journaux, information des salariés (article 26).
Analyses d’impact réalisées si elles s’imposent : RGPD en cas de risque élevé, droits fondamentaux si vous êtes visé.
Un responsable désigné et une revue annuelle de l’inventaire.
La fiche gouvernance de l’IA aide à répartir ces rôles. Le guide feuille de route IA intègre ces étapes au plan d’ensemble.
Foire aux questions
L’AI Act s’applique-t-il aux ETI et aux PME ?
L’AI Act s’applique-t-il aux ETI et aux PME ?
Oui : le règlement ne prévoit pas d’exemption selon la taille. Il plafonne en revanche les amendes des PME au plus faible des deux montants. La règle vaut aussi, hors pratiques interdites, pour les petites entreprises à moyenne capitalisation : moins de 750 personnes et sous des seuils financiers.
Quelles obligations AI Act pour un assistant comme ChatGPT ou Copilot ?
Quelles obligations AI Act pour un assistant comme ChatGPT ou Copilot ?
Pour un usage courant de rédaction ou de recherche, vous êtes déployeur sans obligation propre au haut risque. Vous devez favoriser la maîtrise de l’IA (article 4) et signaler les hypertrucages et certains textes publiés (article 50). Si vous détournez l’assistant vers une finalité de l’annexe III, comme le tri de candidatures, l’article 25 peut faire de vous un fournisseur : faites confirmer cette lecture par votre juriste.
Quand les obligations du haut risque s’appliquent-elles ?
Quand les obligations du haut risque s’appliquent-elles ?
Depuis le règlement (UE) 2026/1744, le 2 décembre 2027 pour l’annexe III et le 2 août 2028 pour l’annexe I. Les systèmes de l’annexe I sont des produits réglementés, ou des composants de sécurité de ces produits, soumis à une évaluation de conformité par un tiers (article 6).
Quelle différence entre AIPD et analyse d’impact sur les droits fondamentaux ?
Quelle différence entre AIPD et analyse d’impact sur les droits fondamentaux ?
L’AIPD relève du RGPD et s’impose pour les traitements de données personnelles à risque élevé (article 35). L’analyse d’impact sur les droits fondamentaux relève de l’AI Act et ne vise que certains déployeurs de systèmes à haut risque (article 27). L’article 27 permet d’y renvoyer ou d’en reprendre des parties plutôt que de tout refaire.
Sources
Règlement (UE) 2026/1744 du 8 juillet 2026 (Digital Omnibus sur l’IA), JO du 24 juillet 2026 : modifications de l’AI Act, dont les articles 3, 4, 25, 27, 99, 111 et 113. Texte français lu en entier. : EUR-Lex
AI Act consolidé au 27 juillet 2026, article 113 : calendrier d’application. : AI Act Service Desk
AI Act consolidé, article 3 : définitions du fournisseur, du déployeur et des petites entreprises à moyenne capitalisation. : AI Act Service Desk
AI Act consolidé, article 4 : maîtrise de l’IA, sans niveau imposé à chaque personne. : AI Act Service Desk
AI Act consolidé, article 5 : pratiques interdites, dont la reconnaissance des émotions sur le lieu de travail, et nouvelles interdictions de l’Omnibus. : AI Act Service Desk
AI Act consolidé, article 6 : exceptions au haut risque pour les systèmes de l’annexe III et règle du profilage. : AI Act Service Desk
AI Act consolidé, article 25 : cas où un déployeur devient fournisseur. : AI Act Service Desk
AI Act consolidé, article 26 : obligations des déployeurs de systèmes à haut risque. : AI Act Service Desk
AI Act consolidé, article 27 : analyse d’impact sur les droits fondamentaux ; paragraphe 4 remplacé par le règlement 2026/1744 (renvoi à l’AIPD). : AI Act Service Desk
AI Act consolidé, article 50 : transparence des déployeurs. : AI Act Service Desk
AI Act consolidé, article 86 : droit à l’explication des décisions individuelles. : AI Act Service Desk
AI Act consolidé, article 99 : sanctions, régime des PME (§ 6) et des petites entreprises à moyenne capitalisation (§ 6 bis). : AI Act Service Desk
AI Act, annexe III : domaines à haut risque, dont l’emploi (point 4) et le crédit et l’assurance (point 5). : AI Act Service Desk
Recommandation (UE) 2025/1099 de la Commission du 21 mai 2025, annexe, point 2 : petites entreprises à moyenne capitalisation (pas des PME, moins de 750 personnes, au plus 150 millions d’euros de chiffre d’affaires ou 129 millions d’euros de total de bilan). : EUR-Lex
RGPD, article 35 : analyse d’impact relative à la protection des données. : CNIL
L’exercice fictif et la liste de contrôle sont une construction méthodologique Spentia, sans statistique de réussite ni portefeuille client revendiqué.
