IA Act : l'échéance du 2 août 2026, ce que votre entreprise doit avoir préparé

Depuis 2024, l’Union européenne applique progressivement l’IA Act, le premier cadre réglementaire au monde sur l’intelligence artificielle. La plupart des dirigeants l’ont rangé dans la case « on verra plus tard ». Le problème : la prochaine échéance, le 2 août 2026, n’est plus « plus tard » — c’est dans quelques semaines, et elle vise précisément les usages que beaucoup d’entreprises viennent d’adopter (RH, recrutement, scoring).

Cet article n’est pas un cours de droit. C’est une lecture terrain, pour un dirigeant de PME ou une DSI d’ETI, de ce qui s’applique vraiment et de ce qu’il faut avoir préparé.

Ce que franchit l’IA Act le 2 août 2026

Le règlement s’applique par vagues successives. Deux jalons sont déjà derrière nous : les pratiques interdites (notation sociale, manipulation, certaines biométries) sont proscrites depuis début 2025, et les obligations des modèles d’IA à usage général (GPAI) — les grands modèles type GPT, Claude ou Gemini — s’appliquent à leurs fournisseurs depuis le 2 août 2025.

La marche du 2 août 2026 concerne les systèmes d’IA à haut risque listés à l’annexe III du règlement. En clair, les IA utilisées pour :

• le recrutement et la gestion des ressources humaines (tri de CV, évaluation, décisions de promotion) ;
• l’accès au crédit et à des services essentiels ;
• la biométrie, l’éducation, les infrastructures critiques ;
• certains usages dans la justice et les services publics.

C’est précisément là que le sujet devient concret : le tri automatique de candidatures est l’un des premiers usages « sérieux » de l’IA dans les entreprises françaises.

Rappel : les 4 niveaux de risque de l’IA Act

Pour situer cette échéance, un rappel de la logique du règlement : l’IA Act classe les systèmes d’IA en 4 catégories de risques, avec des obligations proportionnelles :

• Risque inacceptable : usages interdits (notation sociale, reconnaissance faciale en temps réel par les autorités publiques sauf exception…) — proscrits depuis début 2025.
• Risque élevé : obligations strictes (documentation, transparence, conformité…). Exemple : IA pour le recrutement, la justice, la santé. C’est la catégorie visée par l’échéance du 2 août 2026.
• Risque limité : obligations de transparence (l’utilisateur doit savoir qu’il interagit avec une IA).
• Risque minimal : pas d’obligations spécifiques (ex : filtres anti-spam).

Et les collectivités ?

Les entreprises ne sont pas seules concernées : les collectivités locales qui utilisent des IA pour la gestion des services publics (gestion des déchets, optimisation des transports, surveillance urbaine…) portent leurs propres obligations :

• Respecter les interdictions : pas de notation sociale, pas de reconnaissance faciale généralisée.
• Assurer la transparence auprès des citoyens.
• Garantir l’accessibilité : les systèmes IA ne doivent pas créer de discriminations.

Pour les structures qui manquent de ressources en interne — collectivités comme entreprises —, nous pouvons mobiliser un consultant IA spécialisé conformité et gouvernance afin de mener ce chantier à leurs côtés.

Êtes-vous « déployeur » d’une IA à haut risque ?

Un point que beaucoup manquent : les obligations ne pèsent pas que sur ceux qui développent l’IA. Elles pèsent aussi sur ceux qui la déploient — c’est-à-dire vous, si vous utilisez un outil du marché pour un usage à haut risque.

Utiliser ChatGPT pour reformuler un e-mail ou Copilot pour accélérer un tableur ne vous rend pas « à haut risque ». Mais brancher une IA sur votre vivier de candidats pour les classer, oui. Dans ce cas, vous portez des obligations de supervision humaine, d’information des personnes concernées et de traçabilité, même si l’éditeur a fait sa part.

D’où la première action, avant toute conformité : savoir où l’IA est réellement utilisée chez vous — y compris les usages non officiels, ce fameux shadow IA qui échappe à la DSI.

Le calendrier confirmé — et ce qui reste en discussion

Sur les faits établis : le 2 août 2026 pour le haut risque, le 2 août 2025 pour les GPAI. Ces dates figurent dans le texte du règlement.

En parallèle, un paquet de simplification (souvent désigné « Digital Omnibus ») a avancé au niveau européen courant 2026 : un accord politique a été trouvé début mai, puis un vote du Parlement européen est intervenu mi-juin 2026 selon la presse spécialisée, avec à la clé un possible réétalement des obligations « haut risque » de l’annexe III (l’horizon évoqué est fin 2027). À l’heure où nous mettons à jour cet article (juillet 2026), le texte n’est pas encore publié au Journal officiel de l’UE : tant que cette publication n’a pas eu lieu, le calendrier du règlement d’origine reste la seule référence juridique. Notre conseil : ne pariez pas sur un report. Une entreprise prête au 2 août 2026 le restera quel que soit le calendrier final ; l’inverse n’est pas vrai — et les obligations déjà en vigueur (pratiques interdites, GPAI) ne bougent pas.

Les sanctions : pensées pour être dissuasives

L’IA Act reprend la logique du RGPD — des amendes calibrées sur le chiffre d’affaires mondial :

Le montant retenu est le plus élevé des deux. Comme pour le RGPD, l’enjeu réel n’est pas tant l’amende maximale théorique que le risque réputationnel et la charge de mise en conformité dans l’urgence.

La checklist IA Act pour une PME ou une ETI

Pas besoin d’un cabinet à six chiffres pour démarrer. Six actions couvrent l’essentiel :

1. Cartographier vos usages IA — quels outils, pour quoi, sur quelles données, qui les utilise (officiellement et officieusement).
2. Identifier les usages à haut risque — surtout RH, recrutement, scoring, accès à des services.
3. Nommer un référent IA — une personne qui pilote le sujet, pas un comité fantôme.
4. Documenter et tracer — pour chaque usage sensible : finalité, données, fournisseur, garde-fous.
5. Garantir la supervision humaine — aucune décision touchant une personne ne doit être 100 % automatique.
6. Former vos équipes — le règlement impose une littératie IA minimale ; c’est aussi la meilleure protection contre les usages sauvages.

Par où commencer concrètement

La conformité IA Act n’est pas un projet juridique isolé : c’est le prolongement d’une gouvernance de l’IA saine, qui sert aussi votre performance. Une entreprise qui sait où et comment elle utilise l’IA prend de meilleures décisions et se met en conformité presque « gratuitement ».

Chez Foxpilot, nous abordons le sujet par l’usage, pas par la peur : un état des lieux, une classification des usages, des garde-fous proportionnés. Nous ne remplaçons pas votre conseil juridique — nous rendons la mise en conformité opérationnelle et compréhensible pour vos équipes. C’est l’objet de notre accompagnement gouvernance IA & AI Act, et le point de départ naturel reste un diagnostic IA de votre situation réelle.

Et si vous devez monter en compétence en interne, nos formations IA intègrent le volet conformité.

L’échéance du 2 août 2026 n’est pas une contrainte de plus : c’est l’occasion de mettre de l’ordre dans vos usages IA avant qu’ils ne se multiplient sans contrôle.