IA Act (AI Act) : calendrier, obligations et sanctions — le résumé 2026

Quick Answer : l’IA Act (AI Act) résumé en 60 secondes

L’IA Act — ou AI Act, règlement (UE) 2024/1689 — est le premier cadre juridique au monde consacré spécifiquement à l’intelligence artificielle. Entré en vigueur le 1er août 2024, il s’applique directement dans tous les États membres, sans transposition nationale.

Ce qu’il faut retenir :

Approche par les risques : chaque système d’IA est classé dans l’une de 4 catégories — risque inacceptable (interdit), haut risque (obligations lourdes), risque limité (transparence), risque minimal (rien de spécifique).
Calendrier progressif : interdictions depuis le 2 février 2025, obligations GPAI depuis le 2 août 2025, application de l’essentiel du texte le 2 août 2026, application complète le 2 août 2027.
Sanctions : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites.
Tout le monde est concerné : le règlement s’applique aux « fournisseurs » qui développent l’IA, mais aussi aux « déployeurs » qui l’utilisent — donc à la quasi-totalité des entreprises.
Il se cumule avec le RGPD : un système d’IA qui traite des données personnelles doit respecter les deux textes simultanément.

Selon une étude du Center for Data Innovation publiée fin 2025, moins de 30 % des PME européennes ont commencé à se préparer. La prochaine échéance est imminente.

L’IA Act, c’est quoi ?

L’IA Act est un règlement européen — pas une directive. Il s’applique directement dans tous les États membres. Son objectif : encadrer le développement et l’utilisation de l’IA en Europe selon une approche fondée sur les risques.

Contrairement au RGPD qui encadre les données personnelles, l’IA Act encadre les systèmes d’IA eux-mêmes — leur conception, leur mise sur le marché et leur utilisation. Les deux textes sont complémentaires : un système d’IA qui traite des données personnelles doit être conforme au RGPD ET à l’IA Act.

Pourquoi cette réglementation maintenant ? L’explosion des modèles génératifs (ChatGPT, Mistral, Claude, Gemini) a accéléré la prise de conscience des risques : biais algorithmiques dans le recrutement, désinformation par les deepfakes, surveillance de masse par la reconnaissance faciale, décisions automatisées opaques affectant les droits fondamentaux. L’Europe a choisi de réguler avant que ces risques ne deviennent incontrôlables.

Une distinction structure tout le texte : le fournisseur conçoit et met sur le marché un système d’IA ; le déployeur l’utilise dans le cadre de son activité. Les deux ont des obligations — différentes, mais réelles.

IA Act : entrée en vigueur et calendrier d’application

Le règlement est entré en vigueur le 1er août 2024, mais son application est étalée entre février 2025 et août 2027.

Date	Ce qui s’applique
1er août 2024	Entrée en vigueur du règlement
2 février 2025	Interdiction des pratiques à risque inacceptable + obligation de littératie IA (article 4)
2 août 2025	Obligations pour les modèles d’IA à usage général (GPAI : Mistral, GPT, Claude, Llama…)
2 août 2026	Date clé : application de l’essentiel des obligations, dont celles des systèmes à haut risque de l’annexe III
2 août 2027	Application des règles de classification de l’article 6 pour les systèmes déjà couverts par une législation sectorielle (dispositifs médicaux, machines, jouets…)

Depuis le 2 février 2025, les systèmes présentant un risque inacceptable sont strictement interdits : manipulation subliminale ou trompeuse, exploitation des vulnérabilités liées à l’âge ou au handicap, notation sociale par les autorités publiques, catégorisation biométrique basée sur des données sensibles, scraping non ciblé d’images faciales. Si vous utilisez un outil qui analyse les émotions de candidats en entretien vidéo, vous êtes potentiellement en infraction depuis cette date.

Depuis le 2 août 2025, les fournisseurs de modèles GPAI sont soumis à des obligations de transparence et de documentation technique. Si vous intégrez un de ces modèles dans vos produits, vous bénéficiez de cette documentation — mais vous restez responsable de l’usage que vous en faites.

Le 2 août 2026 est la date que toute entreprise doit avoir en tête : à compter de ce jour, tous les fournisseurs et déployeurs de systèmes d’IA à haut risque listés à l’annexe III doivent être en conformité.

Les obligations par niveau de risque

Risque inacceptable — interdit

Systèmes strictement prohibés depuis février 2025 (voir calendrier ci-dessus). Aucune dérogation possible.

Haut risque — obligations lourdes

L’annexe III liste les domaines à haut risque : biométrie, infrastructures critiques, éducation, emploi (recrutement, évaluation, promotion), services essentiels (scoring de crédit, prestations sociales, assurance), répression, migration, justice.

Les obligations correspondantes : système de gestion de la qualité, documentation technique détaillée, journalisation automatique, transparence et information des utilisateurs, supervision humaine effective, précision, robustesse et cybersécurité, enregistrement dans la base de données européenne.

Point essentiel : même sans développer le système, le simple fait de le déployer dans un cas d’usage à haut risque vous soumet à des obligations de déployeur — supervision humaine, information des personnes, analyse d’impact sur les droits fondamentaux.

Risque limité — transparence

Les chatbots doivent informer l’utilisateur qu’il interagit avec une IA. Les contenus générés par IA (texte, image, audio, vidéo) doivent être signalés comme tels. Les deepfakes sont particulièrement visés : tout contenu synthétique doit être marqué de manière détectable par machine et compréhensible par l’humain.

Risque minimal — pas d’obligation spécifique

La grande majorité des systèmes actuels (filtres anti-spam, recommandations produits, correcteurs) relève du risque minimal. Aucune obligation spécifique, mais les bonnes pratiques sont encouragées.

Les sanctions prévues par l’IA Act

Les amendes varient selon la gravité de l’infraction :

Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites — le plafond le plus élevé du droit numérique européen, supérieur à celui du RGPD.
Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour les autres manquements.
Montants réduits pour les PME : les plafonds sont calculés proportionnellement, avec des montants réduits pour les micro-entreprises et les startups.

Les autorités nationales de surveillance (en France, probablement la CNIL) pourront également imposer des mesures correctives, des retraits du marché et des interdictions temporaires d’utilisation.

Le règlement prévoit aussi des mesures d’accompagnement : clause transitoire pour les systèmes déjà légalement sur le marché avant août 2026 (tant qu’ils ne subissent pas de « modification substantielle »), bacs à sable réglementaires pour tester des systèmes innovants, lignes directrices de la Commission européenne pour les PME.

IA Act et RGPD : deux règlements qui se cumulent

L’IA Act ne remplace pas le RGPD — il s’y ajoute. Exemples de chevauchement :

Un système de recrutement automatisé doit être conforme à l’IA Act (haut risque) ET au RGPD (profilage, décisions automatisées au sens de l’article 22).
Un chatbot qui collecte des données personnelles doit informer l’utilisateur qu’il interagit avec une IA (IA Act) ET respecter les obligations de transparence et de consentement du RGPD.
L’entraînement d’un modèle sur des données personnelles doit respecter les principes de minimisation et de finalité du RGPD, tandis que l’IA Act exige des données d’entraînement pertinentes, représentatives et exemptes d’erreurs pour les systèmes à haut risque.

Le droit à l’explication se renforce : l’article 22 du RGPD donne déjà le droit de ne pas être soumis à une décision exclusivement automatisée ; l’IA Act exige en plus une supervision humaine effective pour tous les systèmes à haut risque. Un système d’IA ne doit jamais prendre seul une décision ayant un impact significatif sur une personne.

Pour l’articulation complète des deux textes, voir notre guide IA et RGPD.

Comment se préparer avant le 2 août 2026

Six étapes concrètes, dans l’ordre :

Cartographier les systèmes d’IA utilisés : quels outils sont déployés dans votre organisation, pour quels usages ? Ce recensement est le préalable à tout.
Classifier les risques : pour chaque système, déterminer sa catégorie selon le règlement. Consultez l’annexe III pour vérifier si vos usages sont classés à haut risque.
Évaluer la conformité : les systèmes à haut risque respectent-ils les exigences de transparence, traçabilité et supervision humaine ? Une AIPD peut être requise côté RGPD.
Documenter : même pour les systèmes à risque minimal, documenter les usages et les précautions prises. Cette documentation sera précieuse en cas de contrôle.
Former les équipes : l’obligation de littératie IA (article 4) est en vigueur depuis février 2025. Une charte IA couplée à une formation IA structurée matérialise cette conformité.
Contacter vos fournisseurs : demander la documentation technique et les certificats de conformité pour les systèmes d’IA que vous utilisez.

Ce qu’on refuse de promettre

« L’IA Act interdit d’utiliser l’IA en entreprise. » Faux. La grande majorité des usages (assistants, automatisation, analyse de données) relève du risque minimal et ne fait l’objet d’aucune restriction. Le règlement cible les usages à risque élevé, pas l’IA en général.

« On a jusqu’à 2027, rien ne presse. » Faux. Les interdictions et l’obligation de littératie IA s’appliquent depuis février 2025, les obligations GPAI depuis août 2025, et l’essentiel du texte au 2 août 2026. L’échéance 2027 ne concerne que les systèmes déjà couverts par une législation sectorielle.

« Un logiciel peut vous rendre conforme à l’IA Act en un clic. » Non. La conformité IA Act est une démarche de gouvernance : inventaire, classification, documentation, formation, supervision humaine. Des outils aident à documenter et auditer — aucun ne remplace la démarche.

FAQ

L’IA Act, c’est quoi en une phrase ?

L’IA Act (règlement UE 2024/1689, aussi appelé AI Act ou règlement IA) est le premier cadre juridique au monde consacré spécifiquement à l’intelligence artificielle. Entré en vigueur le 1er août 2024, il encadre la conception, la mise sur le marché et l’utilisation des systèmes d’IA en Europe selon une approche fondée sur les risques : plus le risque pour les droits fondamentaux est élevé, plus les obligations sont lourdes.

Quand l’IA Act entre-t-il en vigueur ?

L’IA Act est entré en vigueur le 1er août 2024, avec une application progressive : 2 février 2025 pour les pratiques interdites, 2 août 2025 pour les modèles d’IA à usage général (GPAI), 2 août 2026 pour l’essentiel des obligations (la date clé pour les entreprises), et 2 août 2027 pour les systèmes à haut risque déjà couverts par une législation sectorielle (dispositifs médicaux, machines, jouets).

L’IA Act s’applique-t-il aux entreprises qui utilisent l’IA sans la développer ?

Oui. L’IA Act distingue les « fournisseurs » (qui développent) et les « déployeurs » (qui utilisent). Les déployeurs de systèmes à haut risque ont des obligations spécifiques : supervision humaine, information des personnes concernées, utilisation conforme aux instructions du fournisseur. Utiliser un outil de tri automatisé de CV, par exemple, vous rend déployeur d’un système d’IA à haut risque dans le domaine de l’emploi.

Quelles sont les sanctions prévues par l’IA Act ?

Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, jusqu’à 15 millions ou 3 % pour les autres manquements. Des montants réduits sont prévus pour les PME et startups. Les autorités nationales de surveillance pourront aussi imposer des mesures correctives, des retraits du marché et des interdictions temporaires d’utilisation.

Quelle est la différence entre l’IA Act et le RGPD ?

Le RGPD encadre le traitement des données personnelles. L’IA Act encadre les systèmes d’intelligence artificielle eux-mêmes — leur conception, leur mise sur le marché et leur utilisation. Les deux textes sont complémentaires et s’appliquent simultanément à un même système : un outil de recrutement automatisé doit respecter l’IA Act (haut risque) ET le RGPD (profilage, article 22).

Mon chatbot est-il concerné par l’IA Act ?

Oui, au minimum au titre des obligations de transparence (risque limité) : vous devez informer les utilisateurs qu’ils interagissent avec une IA. Si le chatbot prend des décisions impactant les droits des personnes (éligibilité à un service, par exemple), il pourrait être classé à haut risque. L’analyse dépend de l’usage concret, pas de la technologie.

Comment me préparer concrètement avant août 2026 ?

Cinq étapes : inventorier tous les systèmes d’IA utilisés dans l’entreprise, les classifier selon les catégories de risque du règlement, demander la documentation technique à vos fournisseurs pour les systèmes à haut risque, former vos équipes (obligation de littératie IA de l’article 4, en vigueur depuis février 2025), et documenter toute la démarche. En cas de contrôle, la preuve de votre mise en conformité est votre meilleur atout.

Sources : Règlement (UE) 2024/1689 — IA Act, Service-public.fr — AI Act : quels changements pour les entreprises, CNIL — Intelligence artificielle, Center for Data Innovation (2025).

Pour aller plus loin : notre guide IA et RGPD, notre guide charte IA en entreprise, notre guide AIPD pour projet IA et notre guide IA souveraine.

Classer vos systèmes, documenter vos choix de modèles et d’hébergement, décider ce qui passe en production et ce qui n’y passera pas : c’est exactement le travail que couvre notre cabinet de conseil IA — et, quand la solution doit être construite puis opérée, notre agence IA.