Mis à jour le 23 octobre 2026. Cette version intègre le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique », publié au Journal officiel le 24 juillet 2026 : il reporte les obligations relatives aux systèmes à haut risque, réécrit l’obligation de maîtrise de l’IA et ajoute de nouvelles interdictions.
Le règlement (UE) 2024/1689, dit AI Act, est le premier cadre juridique général consacré à l’intelligence artificielle. Entré en vigueur le 1er août 2024, il s’applique par étapes jusqu’en 2028. Il ne réglemente pas la technologie en elle-même, mais ses usages, selon le niveau de risque qu’ils font peser sur la santé, la sécurité et les droits fondamentaux.
Il concerne toute la chaîne de valeur : fournisseurs qui développent ou commercialisent un système d’IA, déployeurs qui l’utilisent dans un cadre professionnel, importateurs et distributeurs. Il s’applique aussi aux acteurs établis hors de l’Union dès lors que les résultats produits par le système sont utilisés dans l’Union.
L’essentiel en 5 points
- Quatre niveaux de risque : inacceptable (interdit), élevé (obligations strictes), transparence (chatbots, contenus générés), minimal (aucune obligation spécifique).
- Déjà en vigueur : les interdictions et l’obligation de maîtrise de l’IA depuis le 2 février 2025, les règles sur les modèles d’IA à usage général depuis le 2 août 2025, les obligations de transparence depuis le 2 août 2026.
- Reporté par le règlement de 2026 : les obligations des systèmes à haut risque, au 2 décembre 2027 (recrutement, éducation, crédit…) et au 2 août 2028 (IA intégrée à des produits réglementés).
- Maîtrise de l’IA assouplie : les entreprises doivent prendre des mesures pour la favoriser, sans être tenues de garantir un niveau précis à chaque salarié. Aucun certificat n’est exigé.
- Sanctions : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites.
Calendrier
Les dates d’application, après le règlement de 2026
- 1er août 2024En vigueur
Entrée en vigueur du règlement. Aucune obligation n’est encore applicable.
- 2 février 2025En vigueur
Interdiction des pratiques à risque inacceptable et obligation relative à la maîtrise de l’IA (article 4).
- 2 août 2025En vigueur
Obligations des fournisseurs de modèles d’IA à usage général (GPAI), gouvernance et régime des sanctions.
- 2 août 2026En vigueur
Application générale du règlement, dont les obligations de transparence (article 50) : informer les personnes qui échangent avec une IA, signaler les hypertrucages. Les systèmes d’IA générative mis sur le marché à partir de cette date doivent marquer leurs contenus de façon détectable par machine.
- 2 décembre 2026Ajouté en 2026
Nouvelles interdictions : systèmes générant des images intimes non consenties ou du matériel pédocriminel. Fin du délai de quatre mois accordé aux fournisseurs de systèmes d’IA générative déjà sur le marché avant le 2 août 2026 pour marquer leurs contenus (article 50, paragraphe 2).
- 2 décembre 2027Reporté
Obligations des systèmes à haut risque de l’annexe III : recrutement et gestion des travailleurs, éducation, accès au crédit et aux services essentiels, biométrie… (initialement prévues au 2 août 2026).
- 2 août 2028Reporté
Obligations des systèmes à haut risque intégrés à des produits déjà réglementés (annexe I) : dispositifs médicaux, jouets, véhicules… (initialement prévues au 2 août 2027).
Le principe
Quatre niveaux de risque
- InacceptableInterdit
Notation sociale, manipulation ou exploitation des vulnérabilités, reconnaissance des émotions au travail et à l’école, catégorisation biométrique fondée sur des données sensibles, constitution de bases de reconnaissance faciale par moissonnage d’images, police prédictive fondée sur le seul profilage.
- ÉlevéObligations strictes
Systèmes utilisés dans des domaines sensibles : recrutement et gestion du personnel, éducation et évaluation, accès au crédit et à l’assurance, infrastructures critiques, justice, migration, ou IA intégrée à des produits réglementés.
- TransparenceObligation d’informer
Assistants conversationnels, contenus générés ou modifiés par IA, hypertrucages : les personnes doivent savoir qu’elles interagissent avec une IA ou qu’un contenu a été généré.
- MinimalPas d’obligation spécifique
La grande majorité des usages courants : filtres anti-spam, recommandations, outils d’aide à la rédaction utilisés sans finalité sensible.
Qui doit faire quoi
Les principales obligations
Fournisseurs de systèmes à haut risque
- Système de gestion des risques et de la qualité
- Documentation technique et qualité des données
- Évaluation de conformité et marquage CE
- Surveillance après commercialisation
Déployeurs de systèmes à haut risque
- Utilisation conforme à la notice et contrôle humain
- Conservation des journaux générés
- Information des représentants du personnel avant une mise en service sur le lieu de travail
- Analyse d’impact sur les droits fondamentaux pour certains déployeurs (organismes publics, crédit, assurance)
Fournisseurs de modèles à usage général
- Documentation technique et information des intégrateurs
- Politique de respect du droit d’auteur
- Résumé des données d’entraînement
- Pour les modèles à risque systémique (entraînement au-delà de 1025 opérations) : évaluations, gestion des risques, signalement des incidents graves, cybersécurité
Toutes les organisations
- Mesures en faveur de la maîtrise de l’IA par le personnel
- Information des utilisateurs face à un assistant conversationnel
- Signalement des contenus générés ou hypertrucages diffusés
Maîtrise de l’IA
L’article 4, réécrit en 2026
Depuis le 2 février 2025, l’article 4 s’applique à tous les fournisseurs et déployeurs, quelle que soit la catégorie de risque. Dans sa rédaction issue du règlement (UE) 2026/1744, il leur demande de prendre des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et par les personnes qui utilisent des systèmes d’IA pour leur compte. Le texte précise qu’il ne les contraint pas à garantir un niveau spécifique.
La Commission et les États membres doivent soutenir ces efforts, en particulier ceux des PME. Aucun certificat n’est exigé : ce qui compte, ce sont des actions adaptées aux métiers et au contexte d’utilisation, qu’il est utile de documenter.
Sanctions
Trois niveaux d’amendes
- 35 M€ou 7 % du CA mondialPratiques interdites
- 15 M€ou 3 % du CA mondialAutres manquements, notamment aux obligations relatives au haut risque et à la transparence
- 7,5 M€ou 1 % du CA mondialInformations inexactes ou incomplètes fournies aux autorités
Le montant le plus élevé des deux s’applique, sauf pour les PME et les jeunes pousses, pour lesquelles c’est le plus faible. Le règlement de 2026 étend ces aménagements aux petites entreprises de taille intermédiaire.
En France
Ce que l’AI Act ne remplace pas
L’AI Act s’ajoute aux règles existantes. Le RGPD continue de s’appliquer dès que des données personnelles sont traitées, notamment celles des salariés et des candidats. En droit du travail, le comité social et économique est consulté sur l’introduction de nouvelles technologies dans l’entreprise (Code du travail, art. L. 2312-8). Pour les systèmes de recrutement, ces obligations s’appliquent dès aujourd’hui, sans attendre décembre 2027.
Passer à l’action
Six étapes pour une entreprise
- Recenser les usagesLister les outils d’IA utilisés, y compris ceux que les salariés emploient de leur propre initiative.
- Qualifier le niveau de risqueRepérer les usages interdits, à haut risque (recrutement, évaluation, crédit) ou soumis à transparence.
- Vérifier les fournisseursDemander la documentation et les garanties prévues par le règlement pour les systèmes à haut risque.
- Former par métierDévelopper la maîtrise de l’IA selon les usages réels de chaque fonction, et garder la trace des actions menées.
- Encadrer par une charteFixer ce qui est autorisé, les données à ne jamais confier et la vérification attendue des résultats.
- Associer le CSE et le DPOConsulter les représentants du personnel et articuler la démarche avec la conformité RGPD.
Questions fréquentes
Vos questions sur l’AI Act
Les obligations sur les systèmes à haut risque s’appliquent-elles depuis août 2026 ?
Non. Le règlement (UE) 2026/1744 les a reportées au 2 décembre 2027 pour les systèmes de l’annexe III (recrutement, éducation, crédit…) et au 2 août 2028 pour les systèmes intégrés à des produits réglementés.
La formation à l’IA est-elle obligatoire ?
Les organisations doivent prendre des mesures pour favoriser la maîtrise de l’IA par leur personnel. Depuis la modification de juillet 2026, elles ne sont pas tenues de garantir un niveau spécifique, et aucun certificat n’est exigé.
Une PME qui utilise ChatGPT est-elle concernée ?
Oui, au titre de la maîtrise de l’IA et, le cas échéant, de la transparence. Les obligations lourdes ne visent que les usages à haut risque, comme le tri automatisé de candidatures.
L’AI Act s’applique-t-il aux entreprises hors de l’Union ?
Oui, dès lors que leurs systèmes sont mis sur le marché de l’Union ou que leurs résultats y sont utilisés.
Sources
- Règlement (UE) 2024/1689 du 13 juin 2024 (AI Act), EUR-Lex.
- Règlement (UE) 2026/1744 du 8 juillet 2026, EUR-Lex, consulté le 23 octobre 2026.
- White & Case, « EU AI Omnibus enters into force, amending the AI Act », 4 août 2026 (calendrier du marquage des contenus).
- LexisVeille, « Omnibus numérique : le règlement simplifiant les règles européennes sur l’IA est publié », 24 juillet 2026.
- Commission européenne, AI Act Service Desk, article 4.
Cet article présente le règlement à des fins d’information ; il ne constitue pas un conseil juridique. Pour l’effet de l’IA sur l’emploi, voir IA et emploi en France : ce que disent les données.
Développer la maîtrise de l’IA dans vos équipes
Diagnostic des usages, formations par métier et accompagnement, avec Mprog.
