IA Act : ce qui s'applique depuis le 2 août 2026

Mise à jour du 5 octobre 2026 : le calendrier a changé depuis la rédaction de cet article. Le règlement (UE) 2026/1744 (« omnibus numérique sur l’IA »), publié au Journal officiel de l’UE le 24 juillet 2026 et en vigueur depuis le 27 juillet, reporte les obligations des systèmes à haut risque de l’annexe III au 2 décembre 2027, et celles des systèmes de l’annexe I (IA intégrée à des produits réglementés) au 2 août 2028. Le 2 août 2026 reste la date d’application des obligations de transparence (article 50). Les passages concernés ci-dessous ont été corrigés.

Depuis 2024, l’Union européenne applique progressivement l’IA Act, le premier cadre réglementaire au monde sur l’intelligence artificielle. La plupart des dirigeants l’ont rangé dans la case « on verra plus tard ». Le problème : la prochaine échéance pour les usages à haut risque, désormais fixée au 2 décembre 2027, n’est plus « plus tard » — et elle vise précisément les usages que beaucoup d’entreprises viennent d’adopter (RH, recrutement, scoring).

Cet article n’est pas un cours de droit. C’est une lecture terrain, pour un dirigeant de PME ou une DSI d’ETI, de ce qui s’applique vraiment et de ce qu’il faut avoir préparé.

Ce que franchit l’IA Act le 2 août 2026

Le règlement s’applique par vagues successives. Deux jalons sont déjà derrière nous : les pratiques interdites (notation sociale, manipulation, certaines biométries) sont proscrites depuis début 2025, et les obligations des modèles d’IA à usage général (GPAI) — les grands modèles type GPT, Claude ou Gemini — s’appliquent à leurs fournisseurs depuis le 2 août 2025.

La marche suivante concerne les systèmes d’IA à haut risque listés à l’annexe III du règlement. Initialement fixée au 2 août 2026, elle a été reportée au 2 décembre 2027 par le règlement (UE) 2026/1744 ; ce qui s’applique depuis le 2 août 2026, ce sont les obligations de transparence de l’article 50 (signaler une interaction avec une IA, les hypertrucages et les contenus générés par IA). Les systèmes à haut risque de l’annexe III sont, en clair, les IA utilisées pour :

• le recrutement et la gestion des ressources humaines (tri de CV, évaluation, décisions de promotion) ;
• l’accès au crédit et à des services essentiels ;
• la biométrie, l’éducation, les infrastructures critiques ;
• certains usages dans la justice et les services publics.

C’est précisément là que le sujet devient concret : le tri automatique de candidatures est l’un des premiers usages « sérieux » de l’IA dans les entreprises françaises.

Rappel : les 4 niveaux de risque de l’IA Act

Pour situer cette échéance, un rappel de la logique du règlement : l’IA Act classe les systèmes d’IA en 4 catégories de risques, avec des obligations proportionnelles :

• Risque inacceptable : usages interdits (notation sociale, reconnaissance faciale en temps réel par les autorités publiques sauf exception…) — proscrits depuis début 2025.
• Risque élevé : obligations strictes (documentation, transparence, conformité…). Exemple : IA pour le recrutement, la justice, la santé. C’est la catégorie visée par l’échéance du 2 décembre 2027 (initialement le 2 août 2026).
• Risque limité : obligations de transparence (l’utilisateur doit savoir qu’il interagit avec une IA), applicables depuis le 2 août 2026.
• Risque minimal : pas d’obligations spécifiques (ex : filtres anti-spam).

Et les collectivités ?

Les entreprises ne sont pas seules concernées : les collectivités locales qui utilisent des IA pour la gestion des services publics (gestion des déchets, optimisation des transports, surveillance urbaine…) portent leurs propres obligations :

• Respecter les interdictions : pas de notation sociale, pas de reconnaissance faciale généralisée.
• Assurer la transparence auprès des citoyens.
• Garantir l’accessibilité : les systèmes IA ne doivent pas créer de discriminations.

Pour les structures qui manquent de ressources en interne — collectivités comme entreprises —, nous pouvons mobiliser un consultant IA spécialisé conformité et gouvernance afin de mener ce chantier à leurs côtés.

Êtes-vous « déployeur » d’une IA à haut risque ?

Un point que beaucoup manquent : les obligations ne pèsent pas que sur ceux qui développent l’IA. Elles pèsent aussi sur ceux qui la déploient — c’est-à-dire vous, si vous utilisez un outil du marché pour un usage à haut risque.

Utiliser ChatGPT pour reformuler un e-mail ou Copilot pour accélérer un tableur ne vous rend pas « à haut risque ». Mais brancher une IA sur votre vivier de candidats pour les classer, oui. Dans ce cas, vous portez des obligations de supervision humaine, d’information des personnes concernées et de traçabilité, même si l’éditeur a fait sa part.

D’où la première action, avant toute conformité : savoir où l’IA est réellement utilisée chez vous — y compris les usages non officiels, ce fameux shadow IA qui échappe à la DSI.

Le calendrier confirmé — et ce qui reste en discussion

Sur les faits établis : le 2 août 2025 pour les GPAI, le 2 août 2026 pour la transparence (article 50), le 2 décembre 2027 pour le haut risque de l’annexe III et le 2 août 2028 pour celui de l’annexe I. Ces dates figurent dans le texte du règlement, tel que modifié par le règlement (UE) 2026/1744.

Le paquet de simplification (souvent désigné « Digital Omnibus ») a en effet abouti : après un accord politique début mai, la position du Parlement européen du 16 juin 2026 et la décision du Conseil du 29 juin, le règlement (UE) 2026/1744 du 8 juillet 2026 a été publié au Journal officiel de l’UE le 24 juillet 2026 et est entré en vigueur le 27 juillet. Il réétale les obligations « haut risque » (2 décembre 2027 pour l’annexe III, 2 août 2028 pour l’annexe I) et laisse jusqu’au 2 décembre 2026 aux fournisseurs d’IA générative déjà sur le marché avant le 2 août 2026 pour le marquage lisible par machine des contenus. Notre conseil : ne prenez pas ce report pour un répit. Une entreprise prête aujourd’hui le restera au 2 décembre 2027 ; l’inverse n’est pas vrai — et les obligations déjà applicables (pratiques interdites, GPAI, transparence) le restent.

Les sanctions : pensées pour être dissuasives

L’IA Act reprend la logique du RGPD — des amendes calibrées sur le chiffre d’affaires mondial :

Le montant retenu est le plus élevé des deux, sauf pour les PME, jeunes pousses comprises, pour lesquelles c’est le plus faible (article 99 du règlement) ; le règlement (UE) 2026/1744 étend cette règle aux petites entreprises à moyenne capitalisation, hors pratiques interdites. Comme pour le RGPD, l’enjeu réel n’est pas tant l’amende maximale théorique que le risque réputationnel et la charge de mise en conformité dans l’urgence.

La checklist IA Act pour une PME ou une ETI

Pas besoin d’un cabinet à six chiffres pour démarrer. Six actions couvrent l’essentiel :

1. Cartographier vos usages IA — quels outils, pour quoi, sur quelles données, qui les utilise (officiellement et officieusement).
2. Identifier les usages à haut risque — surtout RH, recrutement, scoring, accès à des services.
3. Nommer un référent IA — une personne qui pilote le sujet, pas un comité fantôme.
4. Documenter et tracer — pour chaque usage sensible : finalité, données, fournisseur, garde-fous.
5. Garantir la supervision humaine — aucune décision touchant une personne ne doit être 100 % automatique.
6. Former vos équipes — le règlement impose de prendre des mesures de littératie IA (maîtrise de l’IA) pour vos équipes ; c’est aussi la meilleure protection contre les usages sauvages.

Par où commencer concrètement

La conformité IA Act n’est pas un projet juridique isolé : c’est le prolongement d’une gouvernance de l’IA saine, qui sert aussi votre performance. Une entreprise qui sait où et comment elle utilise l’IA prend de meilleures décisions et se met en conformité presque « gratuitement ».

Chez Foxpilot, nous abordons le sujet par l’usage, pas par la peur : un état des lieux, une classification des usages, des garde-fous proportionnés. Nous ne remplaçons pas votre conseil juridique — nous rendons la mise en conformité opérationnelle et compréhensible pour vos équipes. C’est l’objet de notre accompagnement gouvernance IA & AI Act, et le point de départ naturel reste un diagnostic IA de votre situation réelle.

Et si vous devez monter en compétence en interne, nos formations IA intègrent le volet conformité.

L’échéance du 2 août 2026 n’est pas une contrainte de plus : c’est l’occasion de mettre de l’ordre dans vos usages IA avant qu’ils ne se multiplient sans contrôle.