AI Act en 2026 : la checklist concrète que les entreprises doivent vérifier maintenant

Pourquoi 2026 est une année de transition difficile à lire

En 2026, la question n’est plus de savoir si l’AI Act finira par concerner les entreprises. Le règlement européen est entré dans une nouvelle phase d’application et de contrôle. Mais toutes ses dispositions ne sont pas devenues obligatoires au même moment.

Les pratiques interdites, les modèles d’IA à usage général, la transparence et les systèmes à haut risque suivent des calendriers différents. Certaines échéances ont en outre été modifiées par le règlement européen 2026/1744, entré en vigueur le 27 juillet 2026.

Pour une entreprise, la bonne méthode ne consiste donc pas à télécharger une politique générique de conformité. Elle commence par un inventaire précis : quelle IA est utilisée, par qui, dans quel but, avec quelles données et sous la responsabilité de quelle entité ? Ce guide propose une démarche opérationnelle. Il ne remplace pas une analyse juridique adaptée à un produit, un secteur ou un pays.

1. Commencez par inventorier tous les systèmes d’IA utilisés

Une entreprise ne peut pas classer un risque qu’elle n’a pas identifié. L’inventaire doit dépasser la liste des grands outils officiellement achetés par la direction informatique. Des fonctions d’IA peuvent être intégrées dans un logiciel de recrutement, un CRM, une plateforme publicitaire, un service de cybersécurité, une application financière ou un outil de création sans que son nom commercial contienne le mot « IA ».

Il faut rechercher les outils internes, les services SaaS comportant des fonctions d’IA, les modèles externes accessibles par une interface ou une API, les assistants génératifs utilisés directement par les salariés, les automatisations prenant part à une décision et les expérimentations conduites par une équipe sans déploiement officiel.

Pour chaque système, une fiche minimale devrait indiquer sa finalité, son fournisseur, les utilisateurs autorisés, les données reçues, les personnes affectées et la version employée. Elle doit aussi distinguer l’expérimentation d’un usage réel : un test avec des données fictives ne soulève pas les mêmes questions qu’un système utilisé pour présélectionner des candidats ou attribuer une limite de crédit.

2. Déterminez votre rôle juridique

L’AI Act ne distribue pas les obligations uniquement selon la technologie. Il tient également compte du rôle occupé par chaque organisation. Un fournisseur développe un système ou un modèle d’IA, ou le fait développer, puis le commercialise ou le met en service sous son propre nom ou sa propre marque.

Un déployeur utilise professionnellement un système d’IA sous son autorité. Une entreprise employant un outil externe pour assister son service clientèle peut ainsi être un déployeur sans avoir créé le modèle. Un importateur établi dans l’Union met sur le marché un système portant le nom ou la marque d’une entité située dans un pays tiers. Un distributeur rend un système disponible sur le marché européen sans être le fournisseur ou l’importateur.

Pour les modèles d’IA à usage général, ou GPAI, les obligations particulières visent principalement leurs fournisseurs. Une entreprise qui appelle simplement l’API d’un modèle externe n’en devient pas automatiquement le fournisseur. La situation peut néanmoins changer lorsqu’elle modifie substantiellement un système, lui donne une nouvelle finalité sensible ou le commercialise sous sa propre marque.

Exemple : une entreprise achète un assistant externe et l’utilise en interne pour résumer des réunions. Elle est probablement déployeur. Si elle transforme la solution, la rebaptise et la vend comme son propre produit, une analyse plus approfondie de son éventuel rôle de fournisseur devient nécessaire.

3. Interdit, réglementé ou soumis à transparence : un tri en trois couleurs

BIZCONIA propose ici une classification pratique en trois couleurs. Elle ne constitue pas une terminologie officielle de l’Union européenne.

ROUGE — Ce niveau doit déclencher un examen immédiat. Il couvre notamment certains usages manipulateurs ou trompeurs causant un préjudice, l’exploitation de vulnérabilités, certaines formes de notation sociale, certaines prédictions individuelles d’infraction fondées uniquement sur le profilage, ainsi que plusieurs usages biométriques ou de reconnaissance des émotions. La majorité des interdictions s’applique depuis le 2 février 2025. Une interdiction supplémentaire concernant certains systèmes générant ou manipulant du contenu intime non consenti ou du matériel pédopornographique doit s’appliquer le 2 décembre 2026.

ORANGE — Les usages liés au recrutement, à l’éducation, au crédit, aux infrastructures critiques, aux services essentiels, à la biométrie, à la migration ou à la justice peuvent entrer dans les catégories à haut risque. Les obligations applicables aux systèmes autonomes relevant de l’annexe III doivent désormais entrer en application le 2 décembre 2027. Celles concernant certains systèmes intégrés à des produits réglementés de l’annexe I sont reportées au 2 août 2028. Le report n’efface pas les obligations pouvant déjà découler du RGPD, du droit du travail, des règles antidiscrimination, de la cybersécurité ou du droit sectoriel.

BLEU — Depuis le 2 août 2026, l’article 50 impose des obligations de transparence pour certains systèmes interactifs ou génératifs. Selon le système et l’usage, il peut falloir informer une personne qu’elle interagit avec une IA, permettre la détection de certains contenus générés, signaler certains deepfakes ou informer les personnes exposées à des outils de reconnaissance des émotions ou de catégorisation biométrique.

Toutes les retouches et toutes les utilisations d’un assistant rédactionnel ne reçoivent pas automatiquement le même traitement. La finalité, l’importance de la transformation, la présence d’un contrôle humain et le rôle de l’entreprise comptent.

4. Vérifiez les obligations déjà applicables en 2026

Depuis le 2 février 2025, la plupart des pratiques interdites sont prohibées. Les entreprises doivent également examiner les exigences relatives aux compétences et à la maîtrise de l’IA par les personnes qui utilisent ces systèmes pour leur compte, en tenant compte des modifications apportées au cadre en 2026.

Depuis le 2 août 2025, les obligations visant les fournisseurs de modèles GPAI sont applicables. Elles concernent notamment la documentation, les informations destinées aux intégrateurs, le respect du droit d’auteur et la publication d’un résumé du contenu d’entraînement. Des exigences supplémentaires concernent les modèles présentant un risque systémique.

Depuis le 2 août 2026, la majorité du règlement est applicable, les obligations de transparence de l’article 50 sont entrées en application et les pouvoirs de contrôle de l’AI Office ainsi que des autorités nationales sont opérationnels.

Le 2 décembre 2026 expire notamment la période d’adaptation prévue pour l’obligation de marquage et de détection visant certains systèmes génératifs mis sur le marché avant le 2 août 2026. La nouvelle interdiction concernant certains contenus intimes non consentis et matériels pédopornographiques entre également en application.

Le 2 décembre 2027, les principales règles concernant les systèmes à haut risque de l’annexe III doivent s’appliquer. Le 2 août 2028, ce sera le tour de certaines règles visant les systèmes à haut risque intégrés à des produits réglementés de l’annexe I. Dire que « l’AI Act s’applique depuis août 2026 » est donc exact, mais incomplet.

5. Si vous utilisez ChatGPT, Gemini, Claude ou un autre modèle externe

Utiliser un grand modèle externe ne rend pas automatiquement une entreprise conforme ou non conforme. Il faut examiner l’usage réel. Commencez par identifier l’entité contractuelle qui fournit le service. Vérifiez ensuite la version du modèle, la région de traitement, les conditions d’utilisation, les réglages de conservation, les options permettant d’exclure les données de l’entraînement et les engagements de sécurité.

L’entreprise doit savoir quelles catégories de données les salariés peuvent transmettre, si des informations personnelles ou confidentielles sont envoyées, si les sorties peuvent influencer une décision concernant une personne, si une validation humaine est obligatoire et si les journaux permettent de retrouver la version employée.

Une règle interne disant simplement « utilisez l’IA avec prudence » sera rarement suffisante. Il faut transformer cette consigne en permissions concrètes : données autorisées, usages interdits, personnes responsables et procédure d’incident.

6. Votre documentation résisterait-elle à un contrôle ?

La documentation doit raconter la vie réelle du système, pas seulement sa présentation commerciale. Pour chaque usage significatif, l’entreprise devrait pouvoir retrouver le nom et la version du système, sa finalité autorisée, le service responsable, le fournisseur, les catégories de données traitées, les contrats, la classification retenue, les tests, les contrôles humains, les incidents et les changements de version.

Un registre n’a de valeur que s’il reste vivant. Lorsqu’un fournisseur remplace un modèle, modifie ses conditions ou ajoute une fonction agentique, la fiche correspondante doit être réexaminée.

7. Quelles équipes doivent être impliquées ?

La conformité à l’AI Act ne peut pas être abandonnée au seul service juridique. L’équipe informatique sait comment le système est intégré. La sécurité évalue les accès, les fuites et les attaques. Les spécialistes des données examinent la qualité et la provenance des informations. Les métiers connaissent la décision que l’outil influence réellement.

Les ressources humaines doivent intervenir lorsqu’un système touche au recrutement ou à la gestion des travailleurs. La conformité et le délégué à la protection des données doivent évaluer l’articulation avec le RGPD. La direction doit décider quels risques sont acceptables et attribuer clairement les responsabilités.

Une PME n’a pas nécessairement besoin d’un grand comité permanent. Elle peut désigner un responsable, tenir un registre central et imposer une validation multidisciplinaire aux usages sensibles.

8. La checklist BIZCONIA en 10 points

Avant de considérer le dossier comme prêt, vérifiez les dix éléments suivants.

9. Trois situations concrètes d’entreprise

PME et marketing — Une PME utilise une IA générative pour produire des campagnes. Son rôle probable est celui de déployeur. Elle doit vérifier les données envoyées, la validation éditoriale et les obligations de transparence éventuellement liées aux contenus. La prochaine action consiste à inscrire l’outil au registre et à définir les données autorisées.

Recrutement — Une entreprise utilise un outil d’IA pour trier des candidatures. Parce que ce système peut influencer l’accès à l’emploi, le niveau de prudence doit être élevé. L’entreprise doit documenter les critères, préserver une supervision humaine et préparer le régime à haut risque applicable en décembre 2027, sans attendre cette date pour respecter le RGPD ou les règles antidiscrimination.

Logiciel intégrant un modèle général — Un éditeur incorpore un modèle GPAI externe dans son produit. Il peut être fournisseur du système final sans être le fournisseur du modèle général. Il doit obtenir la documentation du fournisseur GPAI, répartir les responsabilités contractuelles et analyser la finalité de son propre produit. Une modification substantielle ou une commercialisation sous sa marque peut changer son rôle.

Ces exemples sont pédagogiques et ne constituent pas des avis juridiques personnalisés.

10. Ce qui n’est pas encore pleinement obligatoire

Le point le plus important à retenir est simple : le report des règles à haut risque n’est pas un report général de l’AI Act. En octobre 2026, les obligations de transparence et celles visant les fournisseurs de GPAI sont déjà applicables. Les pratiques interdites peuvent déjà faire l’objet de contrôles.

En revanche, les principales exigences du régime à haut risque ne s’appliqueront pas avant décembre 2027 pour les systèmes de l’annexe III et août 2028 pour ceux intégrés aux produits de l’annexe I. Une entreprise n’est donc pas tenue de présenter comme déjà obligatoire chaque contrôle prévu par ce futur régime.

Elle aurait néanmoins tort d’attendre la veille de l’échéance : reconstruire l’historique des données, des tests et des décisions après plusieurs années peut être beaucoup plus difficile que documenter le système dès aujourd’hui.

Ce que les entreprises doivent préparer pour 2027–2028

Les entreprises concernées par des usages sensibles doivent profiter de la période transitoire pour confirmer leur classification, organiser leur documentation, tester la supervision humaine et répartir les responsabilités contractuelles.

Elles devront suivre les normes harmonisées, les lignes directrices et les décisions des autorités. Le classement d’un système dépend notamment de sa finalité prévue et de son utilisation concrète ; une simple étiquette commerciale ne suffit pas.

Pour comprendre le cadre général, les sanctions et la compétition réglementaire internationale, l’analyse pilier de BIZCONIA est proposée dans les sources principales de cette page.

La priorité de 2026 n’est donc pas de rédiger cent pages de conformité pour chaque chatbot. Elle consiste à savoir précisément où l’IA intervient, quelles personnes elle affecte et qui sera capable d’expliquer son fonctionnement si une question survient.