AI Act : les obligations des entreprises en 2026 et comment s'y conformer

Le règlement européen sur l'intelligence artificielle - l'AI Act - n'est plus un sujet théorique. Entré en vigueur le 1er août 2024, il est appliqué de façon progressive depuis : premières interdictions en février 2025, obligations pour les modèles d'IA à usage général en août 2025, puis le gros du texte - notamment les règles sur les systèmes à haut risque - depuis août 2026. Pour une entreprise qui utilise l'IA au quotidien (et c'est le cas de la plupart), la question n'est plus « est-ce que ça me concerne » mais « qu'est-ce que je dois faire, concrètement, maintenant ».

1. Comprendre la logique du texte : une approche par les risques

L'AI Act ne réglemente pas l'IA en général. Il classe chaque usage selon son niveau de risque, avec des obligations proportionnées :

• Risque inacceptable : interdit purement et simplement (notation sociale, manipulation comportementale, certains usages de reconnaissance biométrique). Concerne peu d'entreprises classiques.
• Risque élevé : encadré strictement. Recrutement et gestion RH assistés par IA, notation des candidats à une formation, scoring de crédit, systèmes touchant à la sécurité des personnes.
• Risque limité : obligations de transparence. Un chatbot doit se signaler comme tel ; un contenu généré par IA (deepfake, texte de synthèse à portée publique) doit être identifiable.
• Risque minimal : la grande majorité des usages courants (rédaction assistée, résumés, aide à la décision interne non critique). Pas d'obligation spécifique liée à l'AI Act, mais les bonnes pratiques de gouvernance restent recommandées.

Première étape concrète pour toute entreprise : cartographier les usages d'IA existants (outils utilisés, finalité, données traitées) pour savoir dans quelle catégorie ils tombent. Sans cet inventaire, impossible de prioriser les efforts de conformité.

2. L'obligation qui concerne déjà toutes les entreprises : la formation des équipes

C'est le point le moins connu et pourtant le plus large : l'article 4 de l'AI Act impose depuis février 2025 aux fournisseurs et aux utilisateurs professionnels de systèmes d'IA de garantir un « niveau suffisant de culture en matière d'IA » (« AI literacy ») à leur personnel. Concrètement, toute entreprise qui déploie de l'IA - un outil de rédaction, un assistant, un système de tri de CV - doit s'assurer que les collaborateurs qui l'utilisent comprennent son fonctionnement, ses limites et les risques associés.

Cette obligation ne dépend pas de la taille de l'entreprise ni du niveau de risque de l'usage : elle s'applique dès qu'il y a un système d'IA en jeu. C'est un des rares points de l'AI Act directement actionnable par la formation professionnelle, indépendamment du reste du calendrier réglementaire.

3. Les obligations spécifiques aux systèmes à haut risque

Si votre entreprise utilise ou développe un système classé à haut risque (Annexe III du règlement - RH, éducation, crédit, infrastructures critiques notamment), les obligations sont plus lourdes :

• Mise en place d'un système de gestion des risques documenté
• Gouvernance des données d'entraînement et de test
• Documentation technique et tenue de journaux (logs) d'utilisation
• Information claire des personnes concernées par une décision assistée par IA
• Supervision humaine effective, avec possibilité d'intervenir ou d'arrêter le système
• Évaluation de conformité avant mise sur le marché ou mise en service

Pour un employeur qui déploie un système à haut risque au travail (par exemple un outil de présélection de candidatures), l'obligation d'information des représentants du personnel avant déploiement s'ajoute aux obligations classiques du droit du travail français - un point de vigilance pour les DRH et les CSE.

4. Les sanctions : des montants qui justifient d'anticiper

Le règlement prévoit une échelle de sanctions administratives :

• Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites
• Jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour le non-respect des autres obligations, y compris celles liées aux systèmes à haut risque et à l'article 4
• Jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial pour la transmission d'informations inexactes aux autorités

Le texte prévoit des plafonds proportionnés pour les PME et jeunes entreprises (le montant le plus bas des deux étant retenu). Cela reste un niveau de risque financier suffisant pour justifier une démarche de mise en conformité structurée plutôt qu'une réaction dans l'urgence.

5. Plan d'action pour une PME : par où commencer

1. Inventoriez les outils et systèmes d'IA utilisés dans l'entreprise, y compris ceux adoptés spontanément par les équipes (voir notre article sur le Shadow IA)
2. Classez chaque usage selon les quatre niveaux de risque du règlement
3. Formez les équipes concernées pour répondre à l'obligation d'AI literacy de l'article 4 - c'est l'action la plus rapide à mettre en œuvre et elle couvre une obligation légale directe
4. Documentez les usages à risque élevé ou limité : finalité, données traitées, mesures de supervision humaine
5. Désignez un référent conformité IA en interne, en lien avec le DPO si l'entreprise en a un - les enjeux RGPD et AI Act se recoupent largement sur les données personnelles

Se former pour se conformer

Parce que l'obligation de formation (article 4) est l'un des rares leviers de conformité que chaque entreprise peut activer immédiatement, Maîtrise Avenir propose deux formations dédiées, certifiées Qualiopi et éligibles au financement OPCO :

• IA Act - Comprendre et se conformer au règlement européen sur l'IA : pour l'ensemble des collaborateurs qui utilisent l'IA, afin de répondre à l'obligation d'AI literacy de l'article 4
• IA Act - Parcours DPO et responsable conformité : pour les DPO, juristes et responsables conformité qui pilotent la mise en conformité de l'entreprise

Ce qu'il faut retenir

L'AI Act s'applique par étapes depuis 2024, avec l'essentiel des obligations sur les systèmes à haut risque en vigueur depuis août 2026. Toute entreprise qui utilise l'IA - même de façon simple - est concernée par l'obligation de formation de l'article 4. La démarche la plus efficace : cartographier ses usages, les classer par niveau de risque, former ses équipes et documenter. C'est un chantier de conformité qui se traite étape par étape, pas un mur réglementaire à affronter d'un coup.