L'AI Act, sans panique et sans angle mort
Le règlement européen sur l'intelligence artificielle s'applique par étapes depuis 2025. Certaines obligations vous concernent déjà, d'autres ont été reportées. Je vous aide à faire la différence, puis à vous organiser.
Vous êtes probablement déployeur, pas fournisseur
Si vous utilisez un outil d'IA acheté sur étagère — assistant de rédaction, tri de candidatures, chatbot, analyse d'images — vous êtes déployeur au sens du règlement. Les obligations les plus lourdes pèsent sur ceux qui conçoivent ces systèmes.
Ce qui vous concerne déjà
La littératie IA de vos équipes et la transparence envers les personnes qui interagissent avec un système d'IA.
Ce qu'il faut préparer
L'inventaire de vos systèmes d'IA et leur classification : c'est le socle de tout le reste, et le report vous en laisse le temps.
Ce qui croise le RGPD
Dès qu'un système d'IA traite des données personnelles, les deux règlements s'appliquent ensemble. Le travail se mutualise.
Ce qui s'applique, ce qui a été reporté
Le calendrier a changé en juillet 2026 : le train de mesures « omnibus numérique » décale le bloc haut risque sans supprimer aucune obligation.
Interdictions et littératie IA
Les pratiques d'IA interdites sont proscrites. Toute organisation qui utilise l'IA doit assurer un niveau suffisant de maîtrise de l'IA à ses équipes (article 4).
Modèles à usage général et gouvernance
Obligations des fournisseurs de modèles à usage général (GPAI) : documentation technique, respect du droit d'auteur, transparence sur les données d'entraînement. Mise en place des autorités nationales.
Transparence et sanctions
L'article 50 s'applique : les personnes doivent savoir qu'elles interagissent avec une IA, et les contenus générés doivent être signalés. Le régime de sanctions et les pouvoirs d'enquête sont activés.
Marquage des contenus et nouvelle interdiction
Délai supplémentaire pour le marquage technique des contenus générés par des systèmes déjà sur le marché. Interdiction explicite des systèmes générant des contenus intimes non consentis.
Systèmes à haut risque (annexe III)
Recrutement, scoring de crédit, éducation, biométrie, infrastructures critiques : gestion des risques, documentation technique, journalisation, supervision humaine, évaluation de conformité.
Haut risque intégré à des produits réglementés (annexe I)
Dispositifs médicaux, machines, jouets connectés : les obligations principales s'appliquent à cette date.
Cinq étapes pour tenir le règlement
La même logique que le RGPD : savoir ce que vous utilisez, en évaluer le risque, le documenter, former vos équipes.
- Étape 1
Inventaire de vos systèmes d'IA
Tous les outils en usage, y compris ceux arrivés par la petite porte dans une équipe. Fournisseur, finalité, données utilisées, personnes concernées.
- Étape 2
Classification par niveau de risque
Interdit, haut risque, risque limité, risque minimal. Chaque système est qualifié et la qualification est justifiée par écrit.
- Étape 3
Obligations réellement applicables
Pour chaque système, ce que vous devez faire et à quelle date. Rien de plus, rien de moins.
- Étape 4
Littératie IA et transparence
Sensibilisation de vos équipes, mentions d'information, signalement des contenus générés.
- Étape 5
Gouvernance documentée
Une politique d'usage de l'IA, un référent désigné, un registre tenu à côté du registre RGPD, et un point de suivi à chaque échéance.
Ce que vous gardez à la fin
Les quatre niveaux de risque
Ce qu'on me dit sur l'IA
« Nous n'utilisons pas d'IA. »
C'est rarement vrai en 2026. Une fonction de résumé dans votre outil de messagerie, une aide à la rédaction, un filtre anti-spam avancé, un chatbot sur votre site : l'inventaire réserve presque toujours des surprises. Il dure une demi-journée.
« Puisque c'est reporté, on verra plus tard. »
Le report ne concerne que les obligations des systèmes à haut risque. Les interdictions, la littératie IA et la transparence de l'article 50 sont applicables aujourd'hui. Et l'inventaire, qui conditionne tout le reste, ne se fait pas en trois semaines.
« Notre fournisseur s'en occupe. »
Il porte les obligations du fournisseur, pas les vôtres. En tant que déployeur, vous restez tenu d'informer les personnes, de former vos équipes et, pour un système à haut risque, d'assurer la supervision humaine.
« Faut-il un nouveau registre ? »
Un inventaire des systèmes d'IA, oui. Il se tient à côté du registre des traitements et réutilise ses informations : finalités, données, sous-traitants. C'est pour cette raison que confier les deux sujets à la même personne fait gagner du temps.
Un premier échange, sans engagement
45 minutes pour savoir où vous en êtes sur le RGPD comme sur l'AI Act, ce qui est urgent et ce qui peut attendre.