L'AI Act quand on utilise l'IA : ce qui s'applique déjà, ce qui arrive

On lit souvent que l’AI Act concerne OpenAI, Google ou Mistral AI, ceux qui fabriquent les modèles. C’est vrai, mais incomplet. Le règlement (UE) 2024/1689 vise aussi l’entreprise qui se sert de l’IA dans son activité. Il l’appelle le « déployeur ».

La définition tient en une ligne, à l’article 3, point 4 : est déployeur celui qui utilise « sous sa propre autorité un système d’IA », sauf pour un usage personnel non professionnel. Une entreprise dont les salariés se servent de ChatGPT, de Copilot ou d’un agent pour leur travail en est un, quelle que soit sa taille.

Ce résumé n’est pas un avis juridique : votre DPO ou votre conseil dira ce qui s’applique à votre cas.

Un calendrier modifié en juillet 2026

Le règlement est entré en vigueur le 1er août 2024 et s’applique par étapes. Le règlement omnibus (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a déplacé certaines échéances, surtout celles du haut risque. Les dates à retenir, reprises par la CNIL dans ses questions-réponses sur le règlement européen sur l’IA :

• 2 février 2025 : les pratiques à risque inacceptable sont interdites, et l’obligation de maîtrise de l’IA (article 4) s’applique.
• 2 août 2025 : obligations des fournisseurs de modèles d’IA à usage général, gouvernance européenne, régime de sanctions.
• 2 août 2026 : obligations de transparence (article 50), et contrôle par les autorités nationales.
• 2 décembre 2027 : obligations liées aux systèmes à haut risque de l’annexe III.
• 2 août 2028 : obligations liées aux systèmes à haut risque de l’annexe I.

Les deux dernières dates figurent à l’article 113, dans sa version modifiée. Le haut risque est reporté, pas supprimé.

Ce qui s’applique déjà

Les pratiques interdites. L’article 5 dresse une liste courte de pratiques bannies. Pour un employeur, la plus concrète est l’interdiction d’utiliser l’IA pour inférer les émotions des personnes sur le lieu de travail, sauf pour des raisons médicales ou de sécurité. Un outil qui prétendrait mesurer l’humeur des conseillers d’un centre d’appels poserait directement la question.

La maîtrise de l’IA. L’article 4 demande aux déployeurs de prendre des mesures « pour favoriser le développement de la maîtrise de l’IA » de leur personnel. Depuis l’omnibus, c’est une obligation de moyens : il ne s’agit pas de garantir un niveau de compétence à chaque salarié, mais de pouvoir montrer ce qu’on a fait. En pratique : savoir qui utilise quoi, former en conséquence, garder la trace des formations suivies.

La transparence. Depuis le 2 août 2026, l’article 50 demande aux déployeurs de signaler les hypertrucages, ces images, sons ou vidéos générés ou retouchés par une IA qui pourraient passer pour vrais. Un texte généré par une IA et publié pour informer le public sur des questions d’intérêt public doit aussi être signalé, sauf s’il a été relu sous une responsabilité éditoriale. Enfin, un assistant mis à la disposition des clients doit leur faire savoir qu’ils parlent à une IA : c’est d’abord l’affaire de son fournisseur, que vous êtes peut-être si vous l’avez construit.

Ce qui arrive : le haut risque

À partir du 2 décembre 2027, les usages de l’annexe III seront très encadrés. D’abord l’emploi : trier des candidatures, évaluer des candidats, aider à décider d’une promotion ou d’un licenciement, suivre les performances. Puis l’évaluation de la solvabilité de personnes, la tarification d’assurances vie et santé, l’accès à des services essentiels.

Selon l’article 26, le déployeur d’un tel système devra notamment :

• l’utiliser conformément à la notice du fournisseur ;
• confier le contrôle humain à des personnes qui ont la compétence, la formation et l’autorité nécessaires ;
• surveiller son fonctionnement, et prévenir le fournisseur et les autorités en cas d’incident grave ;
• conserver au moins six mois les journaux générés automatiquement, dans la mesure où il en a le contrôle ;
• informer les représentants du personnel et les salariés concernés avant de le mettre en service sur le lieu de travail.

Certains déployeurs devront aussi mener une analyse d’impact sur les droits fondamentaux avant la première utilisation (article 27) : organismes publics, entreprises qui fournissent un service public, ou qui évaluent la solvabilité de personnes ou tarifent une assurance vie ou santé.

Un logiciel d’IA de tri des CV, acheté cette année, mérite donc d’être regardé de près dès la signature.

Les sanctions

L’article 99 fixe des plafonds, pas des montants automatiques :

• jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites ;
• jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres manquements, dont les obligations des déployeurs (article 26) et la transparence (article 50) ;
• jusqu’à 7,5 millions d’euros ou 1 % pour des informations inexactes, incomplètes ou trompeuses fournies aux autorités.

Pour une grande entreprise, le plus élevé des deux montants sert de plafond. Pour une PME, c’est le plus faible.

Par où commencer

1. Faire l’inventaire des outils et des agents d’IA réellement utilisés, y compris ceux que personne n’a déclarés : c’est le Shadow IA et ses portes d’entrée.
2. Classer chaque usage : interdit, haut risque, transparence, minimal. Un registre, même simple, fait apparaître les cas de l’annexe III.
3. Écrire la règle et former ceux qui utilisent l’IA, à partir de la charte.
4. Désigner des responsables, surtout pour les agents d’IA, qui agissent seuls et doivent pouvoir être arrêtés.
5. Garder la trace des décisions, des formations et des incidents : c’est ce qu’on vous demandera de montrer.

Avant de mesurer l’usage, il faut aussi informer les salariés et consulter le CSE.

Pour situer votre entreprise, l’autodiagnostic AI Act pose huit questions, sans rien enregistrer. Le guide de l’AI Act reprend l’essentiel du règlement, et la page Conformité et AI Act montre comment Lanterne rapproche chaque obligation des preuves tirées de vos données.