EU AI Act
Le règlement (UE) 2024/1689 entre en application par étapes, et le paquet de simplification adopté en juin 2026 a repoussé les obligations des systèmes à haut risque au 2 décembre 2027. Voici l’état réel du calendrier.
Mis à jour le
Ce qui a changé en juin 2026
Fin 2025, la Commission a présenté un « digital omnibus » repoussant l’échéance des systèmes à haut risque. Un accord politique a été trouvé début mai 2026, le Parlement l’a approuvé le 16 juin, et le Conseil lui a donné son feu vert le 29 juin 2026.
Effet principal : les obligations des systèmes à haut risque de l’annexe III, attendues au 2 août 2026, s’appliquent désormais au 2 décembre 2027. Celles de l’annexe I — l’IA embarquée dans des produits déjà réglementés — passent au 2 août 2028.
Ce report ne touche ni les pratiques interdites, ni les obligations des modèles à usage général. Celles-là sont applicables aujourd’hui.
Le calendrier applicable
- 2 février 2025 — pratiques interdites (article 5) et obligation de littératie en IA (article 4) : applicables.
- 2 août 2025 — obligations des modèles d’IA à usage général (GPAI) : applicables.
- 2 août 2026 — obligations de transparence (article 50) : applicables. Un contenu généré ou manipulé par une IA doit être identifiable comme tel.
- 2 décembre 2026 — marquage lisible par machine (article 50(2)) pour les seuls systèmes déjà sur le marché ; nouvelle interdiction visant la nudification et le matériel pédocriminel généré.
- 2 décembre 2027 — systèmes à haut risque de l’annexe III, reportés depuis le 2 août 2026.
- 2 août 2028 — systèmes à haut risque de l’annexe I, embarqués dans des produits déjà réglementés.
Les deux dernières échéances dépendent de la publication du paquet de simplification au Journal officiel de l’Union européenne, attendue en juillet 2026. Tant qu’elle n’a pas eu lieu, le report reste politique, pas juridique.
Êtes-vous fournisseur ou déployeur ?
Le règlement répartit les obligations selon le rôle, pas selon la taille. Le fournisseur (article 3, point 3) met un système sur le marché sous son propre nom ; le déployeur (article 3, point 4) l’utilise sous sa propre autorité.
La plupart des entreprises sont déployeurs — et deviennent fournisseurs sans s’en apercevoir, dès qu’elles apposent leur marque sur un système tiers ou en modifient substantiellement la finalité. C’est la requalification la plus fréquente, et la plus coûteuse.
Ce que « haut risque » recouvre
L’annexe III liste des usages, pas des technologies : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs, accès aux services essentiels et au crédit, application de la loi, migration, justice.
Le tri de candidatures, la notation de crédit et la surveillance des salariés y figurent — trois usages largement déployés sans avoir jamais été qualifiés. À l’inverse, un assistant interne de recherche documentaire n’est, en règle générale, pas à haut risque.
Les sanctions
- Pratiques interdites (article 99, §3) : jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial annuel, le montant le plus élevé des deux.
- Autres manquements des opérateurs (article 99, §4) : jusqu’à 15 M€ ou 3 %.
- Informations incorrectes, incomplètes ou trompeuses fournies aux autorités (article 99, §5) : jusqu’à 7,5 M€ ou 1 %.
Pour les PME et les start-up, l’article 99(6) retient le plus faible des deux montants, et non le plus élevé.
Par où commencer
Le report donne du temps, pas une dispense. Trois chantiers gardent leur valeur quelle que soit l’échéance : l’inventaire des systèmes d’IA réellement en usage, leur qualification au sens du règlement, et la mise au propre des flux de données qui les alimentent.
Le troisième est de loin le plus long, et il conditionne les deux autres. C’est aussi celui qu’aucun outil ne fait à votre place — c’est le cœur du cadrage d’un projet d’IA.
Questions fréquentes
Le report du 2 août 2026 annule-t-il mes obligations ?
Non. Il déplace l’échéance des systèmes à haut risque de l’annexe III au 2 décembre 2027. Les pratiques interdites s’appliquent depuis le 2 février 2025 et les obligations des modèles à usage général depuis le 2 août 2025 : celles-là sont en vigueur.
Mon usage de ChatGPT est-il concerné par l’AI Act ?
En tant que déployeur, vous êtes concerné par les obligations de transparence et par l’obligation de littératie en IA de l’article 4, applicable depuis février 2025. Les obligations GPAI pèsent sur le fournisseur du modèle. En revanche, transmettre des données personnelles à un LLM externe relève d’abord du RGPD, indépendamment de l’AI Act.
AI Act ou RGPD : lequel s’applique ?
Les deux, sur des objets différents. Le RGPD encadre le traitement de données à caractère personnel. L’AI Act encadre la mise sur le marché et l’usage de systèmes d’IA, y compris lorsqu’ils ne traitent aucune donnée personnelle. Un système peut être conforme à l’un et pas à l’autre.
Qui contrôle l’application du règlement ?
Chaque État membre désigne ses autorités nationales de surveillance du marché, sous la coordination du Bureau européen de l’IA. En France, la CNIL demeure compétente pour le volet données personnelles.
L’EU AI Act est-il reporté à 2027 ?
Non, pas dans son ensemble. Seules les obligations des systèmes à haut risque de l’annexe III sont reportées au 2 décembre 2027, sous réserve de publication au Journal officiel de l’UE attendue en juillet 2026. Les pratiques interdites (2 février 2025), les obligations GPAI (2 août 2025) et la transparence (2 août 2026) restent en vigueur ou proches.
Que dois-je mettre en conformité avant août 2026 ?
L’article 50 sur la transparence s’applique au 2 août 2026 : tout contenu généré ou manipulé par une IA — texte, image, audio, vidéo — doit être identifiable comme tel, et l’utilisateur informé qu’il interagit avec une IA. C’est l’échéance la plus proche pour la majorité des entreprises déployant des assistants ou des générateurs.
Sources
Ressources sur ce sujet
- Peut-on envoyer des données clients à ChatGPT ? — Ce que le RGPD autorise vraiment quand vous transmettez des données à un LLM externe, et le montage on-premise qui rend l’usage défendable. À jour 2026.
- Mon système d’IA est-il à haut risque au sens de l’AI Act ? — Ce que l’annexe III de l’EU AI Act classe à haut risque, les cas les plus souvent mal qualifiés, et comment documenter la qualification. À jour 2026.
- EU AI Act, article 50 : que faire avant le 2 août 2026 ? — Les cinq obligations de transparence de l’article 50 de l’EU AI Act, applicables au 2 août 2026 : qui doit quoi, marquage des contenus IA, sanctions.
À lire aussi
- Agence IA — Les trois métiers que recouvre le mot « agence IA », les questions à poser avant de signer, et pourquoi la conformité AI Act se décide au cadrage. Paris.
- Consultant IA — Ce que fait un consultant IA en entreprise, quand il apporte plus qu’une agence ou un éditeur, et sur quoi le juger. Alexandre Orfèvre, Paris.