AI Act : ce qui change pour les entreprises

L'AI Act européen est entré pleinement en vigueur en 2026 après une période de transition progressive. Pour de nombreuses entreprises, les obligations restent floues. Voici les points essentiels à retenir et les actions prioritaires à engager.

Le règlement adopte une approche par niveaux de risque. Les systèmes IA interdits (manipulation subliminale, scoring social) sont écartés d'emblée. Les systèmes à haut risque — IA dans le recrutement, le crédit, la sécurité, la santé, les infrastructures critiques — sont soumis aux obligations les plus lourdes. Les applications à risque limité ou minimal bénéficient d'exigences allégées.

Pour les systèmes à haut risque, les obligations portent sur six axes : documentation technique complète, traçabilité des données d'entraînement, supervision humaine, robustesse et exactitude, gestion des risques, et transparence vis-à-vis des utilisateurs. Ces systèmes doivent être enregistrés dans la base de données européenne de l'AI Act avant déploiement.

Les sanctions sont dissuasives. Une infraction pour système interdit peut atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial. Pour un système à haut risque non conforme : jusqu'à 15 millions d'euros ou 3% du CA. La CNIL et ses homologues européens sont les autorités de contrôle nationales.

Les premières procédures d'audit ont été lancées début 2026 dans plusieurs États membres. Elles ciblent prioritairement les systèmes IA dans les secteurs des ressources humaines, du crédit et de la surveillance. Les entreprises qui n'ont pas encore réalisé leur cartographie IA sont en position de faiblesse.

Trois actions à engager immédiatement : (1) cartographier tous vos systèmes IA en production et en projet, (2) qualifier leur niveau de risque selon la taxonomie AI Act, (3) mandater un responsable IA (rôle émergent, comparable au DPO RGPD) pour piloter la conformité.

L'AI Act n'est pas uniquement une contrainte. Il est aussi un avantage compétitif pour les entreprises qui s'y conforment proactivement : leurs systèmes IA bénéficient d'un label de confiance implicite, facilement valorisable auprès des clients, partenaires et investisseurs. La conformité est le nouveau différenciateur.

Un point rassurant pour la majorité des entreprises : la plupart de vos usages IA relèvent du risque limité ou minimal, et non du haut risque. Un assistant de rédaction interne, un outil de recommandation produit ou un chatbot de support ne déclenchent pas les obligations lourdes. L'enjeu immédiat est donc moins de tout documenter que de savoir classer correctement chaque système — et de repérer les rares usages réellement à haut risque (RH, crédit, biométrie, sécurité) qui, eux, demandent une préparation sérieuse.

La transparence est l'obligation la plus transverse et la plus simple à mettre en œuvre : informer clairement les personnes qu'elles interagissent avec une IA, et signaler les contenus générés ou manipulés par IA. Beaucoup d'entreprises peuvent traiter ce point en quelques semaines, ce qui envoie un signal de sérieux à leurs clients et partenaires bien avant l'échéance des contrôles.