AI Act au 2 août 2026, le règlement européen sur l’intelligence artificielle devient applicable dans sa généralité. Depuis l’accord politique du 7 mai qui a reporté une partie des obligations à décembre 2027, un raccourci circule dans les entreprises : « l’AI Act est repoussé, on verra plus tard ». C’est faux aux trois quarts. Voici le tri exact entre ce qui s’applique déjà, ce qui arrive le 2 août et ce qui est réellement reporté.
Que s’applique-t-il déjà, avant même le 2 août ?
Deux blocs sont en vigueur depuis longtemps. Depuis février 2025, les pratiques interdites : notation sociale, manipulation exploitant les vulnérabilités, certaines identifications biométriques en temps réel. Depuis août 2025, les obligations des fournisseurs de modèles d’IA à usage général (GPAI) pour les nouveaux modèles : documentation technique, transparence sur les données d’entraînement, respect du droit d’auteur. S’y ajoute l’obligation de maîtrise de l’IA par le personnel : toute organisation qui utilise l’IA doit s’assurer que ses équipes en comprennent le fonctionnement et les limites. Celle-ci concerne déjà toutes les entreprises, y compris celles qui se croient hors sujet.
Que change concrètement le 2 août 2026 ?
Deux choses. L’application générale du règlement d’abord : gouvernance nationale, pouvoirs de contrôle et régime de sanctions deviennent pleinement opérationnels. La mise en conformité des modèles GPAI historiques ensuite : les modèles mis sur le marché avant août 2025 doivent être conformes à cette date. Les sanctions prévues donnent l’échelle : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 7,5 millions ou 1 % pour les manquements de transparence.
Qu’est-ce qui est reporté à décembre 2027, exactement ?
| Obligation | Échéance |
|---|---|
| Pratiques interdites | En vigueur depuis février 2025 |
| Maîtrise de l’IA par le personnel | En vigueur depuis février 2025 |
| Modèles GPAI nouveaux | En vigueur depuis août 2025 |
| Application générale, sanctions, GPAI historiques | 2 août 2026 |
| Systèmes à haut risque de l’annexe III (recrutement, éducation, services essentiels…) | Reporté au 2 décembre 2027 |
Le report ne concerne donc que les obligations lourdes des systèmes à haut risque listés à l’annexe III : gestion des risques, données de qualité, supervision humaine, enregistrement. Dix-sept mois de répit pour s’y préparer, pas pour l’oublier.
Par où commencer quand on n’a encore rien fait ?
Par l’inventaire, et il réserve des surprises : l’IA est déjà dans l’entreprise via les outils métiers, le tri de candidatures du logiciel RH, le scoring du CRM, l’assistant du support client. Chacun de ces usages traite des données personnelles, ce qui signifie que l’AI Act et le RGPD s’appliquent ensemble. Le registre des traitements est le meilleur point de départ de la cartographie : chaque traitement existant qui mobilise de l’IA doit être identifié, classé par niveau de risque et rattaché à son fournisseur.
Le registre de DPO SUITE permet justement de marquer les traitements qui utilisent un système d’IA et d’en sortir la liste en un clic, ce qui donne la cartographie AI Act sans refaire le travail. Voir le module registre.
Ensuite, former : l’obligation de maîtrise s’applique déjà et ne demande pas d’attendre un décret. Une demi-journée de sensibilisation des équipes utilisatrices, documentée, met l’organisation dans le sens du règlement.
FAQ
Mon entreprise utilise ChatGPT : est-elle concernée par l’AI Act ?
Oui, au minimum par l’obligation de maîtrise de l’IA par le personnel et par les règles de transparence. Le déploiement d’un outil d’IA générative suppose aussi une analyse RGPD des données qui y transitent.
Le report à décembre 2027 concerne-t-il tout le monde ?
Non. Il vise uniquement les systèmes à haut risque de l’annexe III. Les pratiques interdites, la formation du personnel, les obligations GPAI et le régime de sanctions suivent leur calendrier initial.
Qui contrôle l’AI Act en France ?
La gouvernance nationale se met en place autour de plusieurs autorités, dont la CNIL pour les aspects liés aux données personnelles. Les pouvoirs de contrôle deviennent opérationnels avec l’application générale du 2 août 2026.
AI Act et RGPD : lequel s’applique à mon projet d’IA ?
Les deux, dès que des données personnelles sont traitées, ce qui est le cas de la grande majorité des projets. L’analyse d’impact RGPD et la documentation AI Act se construisent d’ailleurs sur la même cartographie.
Source : Commission européenne, cadre réglementaire de l’IA.
