IA sur mesure · AI Act

AI Act :ce que doit faire votre entreprise.

Réserver un diagnostic

Mis à jour le 16 octobre 2026 · Par l’équipe KLYRA

L’essentiel

En bref

Le règlement européen sur l’IA (AI Act) concerne toute entreprise qui utilise un système d’IA dans son activité, le « déployeur », et celle qui en fait développer un et le met en service sous son nom, le « fournisseur ».
Pour les usages courants (assistant de rédaction, tri des demandes, recherche dans des documents), les règles qui s’appliquent déjà sont surtout la maîtrise de l’IA du personnel, depuis le 2 février 2025, et la transparence envers les personnes qui échangent avec une IA, depuis le 2 août 2026.
Les usages à haut risque, comme le tri des candidatures ou l’évaluation des salariés, ont des obligations lourdes ; le règlement (UE) 2026/1744, dit « omnibus », les a reportées au 2 décembre 2027.
Cette page résume le texte officiel au 16 octobre 2026 : elle ne remplace pas l’avis d’un juriste.

Les rôles

Fournisseur, déployeur : quel est votre rôle ?

Les obligations dépendent du rôle et de l’usage, presque pas de la taille de l’entreprise. Une même entreprise peut tenir les deux rôles.

Déployeur

Toute personne ou entreprise qui utilise un système d’IA sous sa propre autorité, sauf pour une activité personnelle non professionnelle. Un cabinet qui fait résumer ses contrats par un assistant du marché est déployeur.

Fournisseur

Celui qui développe ou fait développer un système d’IA et le met sur le marché, ou en service, sous son propre nom ou sa propre marque, à titre onéreux ou gratuit. Une entreprise qui fait construire un assistant et le déploie sous son nom peut l’être.

Le fournisseur du modèle

Les fournisseurs de modèles d’IA à usage général ont leurs propres obligations depuis le 2 août 2025 : documentation technique, informations pour ceux qui intègrent le modèle, politique de respect du droit d’auteur. Elles visent ces fournisseurs, pas l’entreprise qui utilise leur modèle, sauf si vous modifiez vous-même un modèle.

Changer de rôle

Un déployeur devient fournisseur d’un système à haut risque s’il le commercialise sous son nom, s’il le modifie substantiellement, ou s’il en change la destination au point de le rendre à haut risque (article 25). Exemple : détourner un assistant généraliste pour filtrer des candidatures.

Le calendrier

Ce qui s’applique, et depuis quand.

Calendrier de l’article 113, tel que modifié par le règlement (UE) 2026/1744.

Date	Ce qui s’applique	Qui est concerné
2 février 2025	Dispositions générales, dont la maîtrise de l’IA (article 4), et pratiques interdites (article 5)	Tous les fournisseurs et déployeurs
2 août 2025	Obligations des fournisseurs de modèles d’IA à usage général, gouvernance, sanctions	Surtout les fournisseurs de modèles et les États
27 juillet 2026	Entrée en vigueur du règlement (UE) 2026/1744 : article 4 réécrit, règles du haut risque reportées	Tous
2 août 2026	Application générale du règlement, dont la transparence (article 50)	Fournisseurs et déployeurs des systèmes concernés
2 décembre 2026	Deux nouvelles pratiques interdites ; fin du délai de marquage des contenus générés pour les systèmes mis sur le marché avant le 2 août 2026	Fournisseurs et déployeurs concernés
2 décembre 2027	Règles des systèmes à haut risque de l’annexe III : emploi, éducation, crédit, services essentiels…	Fournisseurs et déployeurs de ces systèmes
2 août 2028	Règles des systèmes à haut risque intégrés à des produits de l’annexe I : jouets, ascenseurs, dispositifs médicaux…	Fabricants de ces produits et leurs fournisseurs d’IA

Aujourd’hui

Les obligations qui s’appliquent déjà.

La maîtrise de l’IA (article 4)

Fournisseurs et déployeurs « prennent des mesures pour favoriser » la maîtrise de l’IA de leur personnel et des personnes qui utilisent les systèmes pour leur compte, selon leurs connaissances et le contexte d’usage. Depuis le 27 juillet 2026, le texte précise qu’il n’oblige pas à garantir un niveau précis pour chaque personne.

Les pratiques interdites (article 5)

Manipulation causant un préjudice important, exploitation des vulnérabilités, notation sociale, déduction des émotions sur le lieu de travail (sauf raisons médicales ou de sécurité)… Une entreprise ordinaire y touche rarement, mais analyser les émotions de ses salariés en fait partie.

La transparence (article 50)

Un système qui échange directement avec des personnes doit leur faire savoir qu’elles parlent à une IA, sauf si c’est évident. Le fournisseur d’un système qui génère du texte, des images, du son ou de la vidéo marque ses contenus dans un format lisible par machine, sauf s’il ne fait que mettre en forme ou ne modifie pas substantiellement les données fournies. Le déployeur qui publie un hypertrucage, ou un texte généré pour informer le public sur des questions d’intérêt public, l’indique, sauf, pour le texte, relecture humaine sous responsabilité éditoriale.

Le RGPD, toujours

Le règlement sur l’IA ne remplace pas le RGPD. Dès qu’un système traite des données personnelles, les règles habituelles s’appliquent : base légale, information, durée de conservation, contrats avec les sous-traitants. La CNIL publie des recommandations sur l’usage de l’IA générative.

Haut risque

Quand votre usage devient « à haut risque ».

L’annexe III du règlement liste les usages à haut risque. Celui qui concerne le plus d’entreprises est l’emploi : les systèmes destinés au recrutement ou à la sélection (offres d’emploi ciblées, analyse et filtrage des candidatures, évaluation des candidats) et ceux qui servent à décider des promotions ou des licenciements, à attribuer des tâches selon le comportement ou à évaluer les performances. On y trouve aussi, entre autres, l’évaluation de la solvabilité des personnes, hors détection des fraudes, et l’éducation.

Il existe une exception : un système de l’annexe III n’est pas à haut risque s’il ne présente pas de risque important, par exemple parce qu’il accomplit une tâche procédurale étroite ou une tâche préparatoire à une évaluation relevant de l’annexe III. Il reste toutefois à haut risque s’il fait du profilage de personnes, et le fournisseur qui invoque l’exception documente son évaluation et enregistre le système (article 6).

Le déployeur d’un système à haut risque doit notamment l’utiliser selon sa notice, confier le contrôle humain à des personnes compétentes et habilitées, conserver les journaux au moins six mois et, s’il est employeur, informer les représentants du personnel et les salariés concernés avant de le mettre en service sur le lieu de travail (article 26). Pour les systèmes de l’annexe III, ces règles s’appliquent à partir du 2 décembre 2027.

Par où commencer

Se mettre en règle en cinq étapes.

1
Lister les outils d’IA utilisés
Assistants grand public, fonctions IA de vos logiciels, outils sur mesure : qui les utilise, pour quoi faire, avec quelles données.
2
Donner un rôle à chaque usage
Déployeur dans la plupart des cas, fournisseur pour ce que vous faites développer à votre nom. Repérez les usages qui touchent l’emploi ou des décisions sur des personnes.
3
Écrire une règle d’usage
Ce qui est permis, ce qui ne l’est pas (des données clients dans un assistant grand public non vérifié, par exemple), et qui valide quoi.
4
Former
Une session par outil : ce qu’il fait, ce qu’il ne sait pas faire, comment vérifier une réponse. C’est la réponse concrète à l’article 4.
5
Afficher la transparence
Une mention « assistant IA » à la première interaction, et le marquage des contenus générés quand l’article 50 l’exige.

Les sanctions

Les plafonds d’amende, et le cas des PME.

Le règlement fixe des plafonds (article 99) ; les États membres déterminent le régime des sanctions et tiennent compte des intérêts des PME, des jeunes pousses et des petites entreprises à moyenne capitalisation. En France, le projet de loi qui désigne les autorités de contrôle et organise ces sanctions était encore en discussion au Parlement au 16 octobre 2026 : adopté par le Sénat le 18 février 2026, il a été transmis à l’Assemblée nationale.

Manquement	Plafond général	Pour une PME
Pratique interdite (article 5)	35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le plus élevé des deux	Le plus faible des deux
Obligations listées à l’article 99, dont celles des déployeurs de systèmes à haut risque et la transparence	15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le plus élevé des deux	Le plus faible des deux
Informations inexactes ou trompeuses données aux autorités	7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial, le plus élevé des deux	Le plus faible des deux

L’omnibus

Ce que le règlement 2026/1744 a changé.

Adopté le 8 juillet 2026 et publié au Journal officiel de l’Union européenne le 24 juillet, le règlement (UE) 2026/1744 est entré en vigueur le 27 juillet 2026. Ce n’est plus une proposition : c’est le texte applicable.

Ce qui change : l’article 4 est assoupli (des mesures pour favoriser la maîtrise de l’IA, sans niveau garanti) ; les règles des systèmes à haut risque sont reportées au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I) ; deux pratiques interdites s’ajoutent au 2 décembre 2026, sur les images intimes produites sans consentement et sur les contenus pédopornographiques ; les plafonds d’amende les plus favorables s’étendent aux petites entreprises à moyenne capitalisation, sauf pour les pratiques interdites.

Ce qui ne change pas : la maîtrise de l’IA et les pratiques interdites s’appliquent toujours depuis 2025, et l’article 50 depuis le 2 août 2026. Seuls les systèmes déjà mis sur le marché avant cette date ont un délai pour le marquage des contenus générés, jusqu’au 2 décembre 2026.

Sans excès

Ce que vous n’avez pas besoin de faire.

Vous utilisez un assistant grand public pour rédiger des mails ? Vous êtes déployeur : l’article 4 vous concerne (former vos équipes), et c’est l’essentiel pour l’AI Act. Le RGPD compte davantage : ne collez pas de données clients dans un outil dont vous n’avez pas vérifié les conditions.

Inutile d’acheter un « audit AI Act » complet pour un usage courant. Une liste des outils, une règle d’usage et une formation suffisent souvent. Une analyse approfondie se justifie pour les usages de l’annexe III, ou quand vous faites développer un système à votre nom.

Inutile de tout arrêter. Le règlement encadre des usages ; il n’interdit que les pratiques listées à l’article 5.

Questions fréquentes

Les questions qu'on nous pose sur l’AI Actet nos réponses

Mon entreprise est-elle concernée par l’AI Act ?

Oui, dès qu’elle utilise un système d’IA dans son activité professionnelle : elle en est alors « déployeur ». Les obligations dépendent ensuite de l’usage : légères pour un assistant de rédaction, lourdes pour le recrutement ou l’évaluation du personnel.

La formation à l’IA est-elle obligatoire ?

Pas au sens d’une formation certifiante : l’article 4 demande de prendre des mesures pour favoriser la maîtrise de l’IA du personnel, depuis le 2 février 2025. Depuis le 27 juillet 2026, le texte précise qu’il n’impose pas de garantir un niveau précis par personne. Il ne fixe ni format ni certificat : une formation adaptée à vos outils et à leurs limites répond à l’esprit du texte.

Faut-il dire à nos clients qu’ils parlent à une IA ?

Oui, depuis le 2 août 2026, sauf si c’est évident dans le contexte. L’article 50 demande que les personnes qui échangent directement avec un système d’IA en soient informées, de manière claire, au plus tard à la première interaction.

Utiliser l’IA pour trier des CV, est-ce autorisé ?

Ce n’est pas interdit, mais c’est un usage à haut risque (annexe III, emploi). À partir du 2 décembre 2027, le déployeur devra notamment assurer un contrôle humain par des personnes compétentes, conserver les journaux, informer les représentants du personnel et les personnes concernées par les décisions. Le RGPD s’applique, lui, dès aujourd’hui.

L’omnibus a-t-il reporté toute l’application de l’AI Act ?

Non. Il a reporté les règles des systèmes à haut risque, au 2 décembre 2027 ou au 2 août 2028 selon les cas. La maîtrise de l’IA, les pratiques interdites et la transparence de l’article 50 s’appliquent déjà.

Quelles sanctions risque une PME ?

Des amendes plafonnées : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour une pratique interdite, 15 millions ou 3 % pour les autres obligations listées à l’article 99, dont la transparence. Pour une PME, c’est le plus faible des deux montants qui s’applique. Les États fixent le régime et tiennent compte de la viabilité économique des PME.

Pour aller plus loin

Sources

Vérifiées le 16 octobre 2026.

Diagnostic · 30 min · Sans engagement

Vos usages de l’IA, passés au crible de l’AI Act

30 minutes pour lister avec vous les outils d’IA que vous utilisez ou voulez construire, et repérer ceux qui demandent plus qu’une formation.