AI Act : ce qui s’applique déjà à votre entreprise en octobre 2026

AI Act : ce qui s’applique déjà à votre entreprise en octobre 2026

—

par

Xavier Colnard
dans ,

Le règlement européen sur l’intelligence artificielle (AI Act, règlement (UE) 2024/1689) fait régulièrement les titres pour ses reports d’échéances. Pour autant, une entreprise française qui fournit ou utilise un système d’IA doit déjà respecter, au 6 octobre 2026, trois blocs d’obligations du texte. Le report des obligations liées aux systèmes à haut risque n’est donc pas un sursis : une partie du règlement est déjà pleinement applicable.

Point de situation, à destination des dirigeants de TPE et PME.

Ce qui est déjà en vigueur

Trois séries d’obligations s’appliquent d’ores et déjà.

  • Les pratiques interdites par l’article 5 s’appliquent depuis février 2025. C’est le cas, par exemple, de l’inférence d’émotions au travail, qui est interdite depuis cette date. Un outil RH qui prétendrait mesurer l’humeur ou l’engagement des salariés expose donc son éditeur comme son utilisateur.
  • Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026 : un candidat ou un client qui échange avec un chatbot doit en être clairement informé, sauf si le caractère artificiel de l’interlocuteur est évident.
  • Les obligations relatives aux modèles d’IA à usage général (GPAI) sont entrées en vigueur le 2 août 2025. Le code de bonnes pratiques sur la transparence des contenus générés, finalisé le 10 juin 2026, comporte une section pour les fournisseurs (marquage et détection) et une pour les déployeurs (étiquetage) ; il avait été signé par environ 190 organisations fin juillet 2026. L’adhésion reste volontaire, mais une entreprise qui ne le signe pas devra démontrer elle-même l’adéquation de ses mesures devant les autorités de surveillance du marché.

Ce que l’omnibus numérique a changé

Le règlement (UE) 2026/1744, dit « omnibus numérique sur l’IA », issu de la proposition COM(2025) 836 du 19 novembre 2025, est en vigueur depuis le 27 juillet 2026. Il ne remet pas en cause l’architecture du texte par niveaux de risque, mais il en décale les échéances :

  • les obligations applicables aux systèmes IA à haut risque de l’annexe III deviennent applicables le 2 décembre 2027 ;
  • l’article 6(1) (produits réglementés de l’annexe I) est repoussé au 2 août 2028, ainsi que certaines obligations pour les fournisseurs de modèles GPAI antérieurs à août 2025.

L’échéance du bac à sable réglementaire national passe du 2 août 2026 au 2 août 2027, et le texte crée la catégorie des « petites entreprises à moyenne capitalisation » (recommandation (UE) 2025/1099), qui bénéficie, avec les PME, d’un formulaire de documentation technique simplifié. Le Digital Omnibus a par ailleurs étendu les facilités initialement réservées aux PME — bacs à sable, accompagnement national, allègement documentaire — aux entreprises de moins de 750 salariés.

Le piège du « shadow IA »

L’AI Act ne distingue pas les outils officiellement déployés des usages informels des salariés : le « shadow IA » relève des mêmes obligations. Or, selon les chiffres relayés par Cybermalveillance.gouv.fr dans ses recommandations sur l’IA générative en entreprise, 45 % des salariés utilisent des outils d’IA non autorisés dans leurs fonctions, et 36 % d’entre eux y intègrent des données confidentielles. Un simple outil acheté sur étagère et jamais qualifié suffit à faire de votre entreprise un « déployeur » au sens du règlement, avec les obligations correspondantes.

IA et RH : un cumul de textes

Les outils de recrutement illustrent le cumul des régimes. Un outil de tri automatique de CV relève à la fois de l’annexe III de l’AI Act et, très souvent, d’une analyse d’impact au sens de l’article 35 du RGPD. L’article 22 du RGPD impose par ailleurs une intervention humaine réelle sur toute décision RH produisant des effets significatifs. Enfin, le déploiement d’un outil d’IA en entreprise peut exiger la consultation du Comité social et économique : six affaires ont été jugées sur ce point en 2025-2026, dont une suspension de ChatGPT en appel. Le rapport au Code du travail s’ajoute donc à l’AI Act et au RGPD, qui continient de s’appliquer en entier : l’AI Act ne remplace pas le RGPD, il s’y ajoute.

Trois actions à engager dès maintenant

Le report au 2 décembre 2027 ne supprime pas les obligations : il laisse du temps pour s’y préparer, alors que les interdictions de l’article 5, le RGPD et le Code du travail s’appliquent déjà. Nous recommandons trois chantiers immédiats :

  1. Établir l’inventaire de tous les outils d’IA utilisés dans l’entreprise, y compris les usages informels des salariés.
  2. Qualifier chaque usage au regard de la grille de risque de l’AI Act, sans attendre la disponibilité générale des outils d’évaluation.
  3. Documenter les mesures de maîtrise de l’IA prévues par l’article 4, et la formation des équipes qui l’accompagne.

Chez Karib2i, nous accompagnons les entreprises dans ce recensement et cette qualification, en articulant AI Act et RGPD. Le prochain article détaillera le « shadow IA » et la méthode pour l’encadrer concrètement.

Sources

Commentaires

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *