AI Act : le 2 août, l'Europe passe aux choses sérieuses
Dans quelques semaines, le règlement européen sur l'IA s'applique pleinement aux systèmes à haut risque. Sanctions, calendrier, report partiel : ce qu'il faut savoir, que vous soyez indépendant ou en entreprise.
Le compte à rebours est lancé : le 2 août 2026, l'AI Act entre dans une nouvelle phase d'application pour les systèmes dits « à haut risque ». Après des mois de préparation, le règlement européen quitte les présentations générales pour devenir un sujet opérationnel : qui fournit le système, dans quel contexte est-il utilisé et quelles preuves faut-il conserver ?
Le point le plus important est aussi le plus souvent oublié : l'AI Act ne classe pas une technologie dans l'absolu. Il examine un usage, les personnes touchées et le rôle de l'organisation qui met le système sur le marché ou l'utilise.
- Décrivez la décision réellement assistée ou automatisée.
- Identifiez les personnes touchées et la possibilité de corriger le résultat.
- Vérifiez la catégorie et le calendrier sur les textes officiels correspondant à cet usage.
Commencer par le cas d'usage, pas par le nom du modèle
Le même modèle peut alimenter un assistant de rédaction à faible risque et participer à un système de recrutement beaucoup plus encadré. Pour se situer, il faut décrire précisément la décision produite :
- le système informe-t-il ou décide-t-il ?
- une personne peut-elle corriger le résultat avant qu'il ait un effet ?
- le résultat concerne-t-il l'emploi, l'éducation, le crédit ou un service essentiel ?
- quelles données personnelles ou sensibles sont utilisées ?
- qui est responsable lorsque la chaîne comporte plusieurs fournisseurs ?
Cette cartographie évite deux erreurs opposées : considérer que toute IA est « à haut risque », ou supposer qu'un outil connu et largement utilisé serait automatiquement conforme.
Ce qui est attendu des systèmes à haut risque
Les obligations couvrent notamment la gestion des risques, la documentation technique, la qualité des données, la traçabilité, l'information des utilisateurs, la supervision humaine, la robustesse et la cybersécurité.
Concrètement, une équipe doit pouvoir expliquer :
- À quoi sert le système et dans quelles situations il ne doit pas être utilisé.
- Comment les performances ont été testées sur une population pertinente.
- Quels incidents sont surveillés et comment ils sont remontés.
- Quelle personne peut intervenir ou annuler une décision.
- Quelles versions du modèle, des données et des règles ont produit un résultat.
Une documentation n'est pas un dossier rédigé une fois pour toutes. Si le fournisseur change son modèle, si les données évoluent ou si l'organisation ajoute un nouveau public, l'évaluation doit être revue.
Un exemple concret : l'aide au recrutement
Imaginons un outil qui classe des candidatures. S'il se contente d'aider un recruteur à retrouver des dossiers selon des critères explicites, le risque n'est pas le même que s'il écarte automatiquement certains profils.
Il faut tester la qualité sur les emplois réellement concernés, rechercher des écarts entre groupes, permettre une revue humaine et conserver la raison du classement. Une simple mention « résultat généré par IA » ne suffit pas si la décision influence fortement l'accès à l'emploi.
À l'inverse, un assistant interne qui reformule une annonce, avec validation avant publication, implique généralement des obligations plus légères. La frontière vient de l'effet du système, pas de son interface.
Le report partiel ne vaut pas sursis général
Le « Digital Omnibus » adopté le 7 mai 2026 a repoussé au 2 décembre 2027 certaines obligations liées à l'Annexe III. Ce décalage ne couvre pas tous les usages et ne suspend pas les autres exigences déjà applicables.
Une organisation ne devrait donc pas utiliser le mot « report » comme conclusion. Elle doit identifier l'article et la catégorie qui correspondent à son cas, puis confirmer le calendrier avec une source officielle ou un conseil spécialisé.
Les sanctions et leur vraie portée
Le règlement prévoit des plafonds pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour certaines pratiques interdites, et 15 millions d'euros ou 3 % pour des manquements concernant les systèmes à haut risque.
Ces montants sont des plafonds, pas une amende automatique pour chaque erreur. Ils montrent néanmoins que la conformité doit entrer dans la gouvernance du produit au même titre que la sécurité ou la protection des données.
Le risque ne se limite pas à une sanction. Une organisation peut devoir arrêter un système, reprendre des décisions, prévenir des utilisateurs ou changer de fournisseur dans l'urgence. Préparer les preuves en amont coûte moins cher qu'une reconstruction après incident.
Une feuille de route réaliste pour une petite structure
Une PME ou un indépendant peut avancer sans monter immédiatement un programme gigantesque :
- dresser la liste des outils d'IA réellement utilisés, y compris ceux ajoutés sans procédure formelle.
- nommer un responsable pour chaque cas d'usage.
- noter le fournisseur, la version, les données envoyées et la décision assistée.
- classer les usages par impact potentiel.
- commencer par documenter et tester les cas les plus sensibles.
- ajouter dans les contrats les informations et garanties attendues du fournisseur.
- former les personnes qui valident les résultats.
Un tableau simple avec une ligne par usage vaut mieux qu'une politique générale que personne ne sait appliquer. Il devient ensuite possible d'ajouter les évaluations, les incidents et les dates de revue.
Créez un tableau avec quatre colonnes : usage, données envoyées, personne qui valide et conséquence d'une erreur. Trois lignes suffisent pour faire apparaître les premières priorités.
Et pour les usages courants ?
La majorité des assistants de rédaction, outils créatifs et fonctions internes reste dans des catégories limitées ou minimales, sous réserve de la manière dont ils sont utilisés. Des obligations de transparence peuvent tout de même s'appliquer, notamment lorsque des personnes interagissent avec un système ou lorsqu'un contenu artificiel pourrait les induire en erreur.
Le bon réflexe est de demander : « que se passe-t-il si le système se trompe ? ». Si la réponse est une reformulation à corriger, le dispositif peut rester léger. Si une personne perd une opportunité, un droit ou l'accès à un service, l'encadrement doit être beaucoup plus solide.
Ce qu'il faut faire cette semaine
Choisissez trois usages d'IA déjà présents dans votre organisation. Pour chacun, écrivez la finalité, les données utilisées, la personne qui valide et l'effet d'une erreur. Vous aurez une première cartographie exploitable et verrez immédiatement où il manque des informations.
Ce résumé aide à structurer la réflexion. Il ne remplace pas une analyse juridique adaptée. Les textes officiels et les précisions des autorités compétentes restent la référence pour confirmer la catégorie et le calendrier applicables à votre situation.