AI Act au 2 août 2026 : les nouvelles obligations expliquées

L'AI Act franchit son échéance la plus importante le 2 août 2026 : les systèmes d'IA à haut risque doivent être conformes dès aujourd'hui, sous peine de sanctions administratives.

Cela concerne tout outil d'IA qui prend des décisions automatisées dans des domaines sensibles — recrutement, scoring de crédit, évaluation scolaire, surveillance des salariés. Les obligations sont désormais pleinement opérationnelles : documentation technique, gouvernance des données, supervision humaine, journalisation. Parallèlement, les règles de transparence s'appliquent à une sphère bien plus large, qui touche presque tous les sites et applications dotés d'un chatbot ou générant du contenu automatiquement.

Chez ConsilioWEB, nous accompagnons des PME qui intègrent des briques IA dans leurs sites et applications métier. Ces derniers mois, les questions sur la conformité se multiplient. Cet article vous donne une lecture opérationnelle de ce qui change aujourd'hui, de qui est concerné, des obligations précises à respecter, et des premières mesures à mettre en place sans attendre.

Ce qui change exactement le 2 août 2026

L'AI Act en trois vagues d'obligations

L'AI Act européen suit un calendrier d'application progressif depuis son entrée en vigueur le 1er août 2024. Les obligations se déploient par vagues. Comprendre ce découpage évite de confondre ce qui est déjà exigible et ce qui reste à venir.

Vague 1 — Février 2025. Interdiction des pratiques d'IA jugées inacceptables : manipulation subliminale, notation sociale par les autorités publiques, reconnaissance biométrique en temps réel dans les espaces publics à des fins répressives. Cette vague est derrière nous.

Vague 2 — Août 2025. Obligations pour les fournisseurs de modèles d'IA à usage général (GPAI). Les grands modèles de langage — GPT, Claude, Gemini, Mistral — devaient respecter des règles de transparence, d'évaluation des risques systémiques, et de documentation. L'AI Office européen supervise directement ces acteurs. Notre article sur les modèles open source Mistral et la souveraineté IA en France remet ces obligations dans leur contexte industriel.

Vague 3 — 2 août 2026. C'est l'échéance d'aujourd'hui. Elle concerne les systèmes à haut risque listés à l'Annexe III du règlement. Concrètement : les outils de tri de CV, les systèmes de scoring de crédit, les logiciels d'évaluation scolaire, et certains systèmes de surveillance des comportements salariés.

Vague 4 — Août 2027. Dernière étape. Elle visera les systèmes à haut risque intégrés dans des produits réglementés par d'autres législations européennes — dispositifs médicaux, véhicules, ascenseurs. Les fabricants de ces produits bénéficient d'un délai supplémentaire.

Ce que le règlement impose désormais en pratique

À compter du 2 août 2026, une entreprise qui déploie ou développe un système à haut risque doit avoir mis en place cinq dispositifs distincts. Ces dispositifs couvrent la gestion des risques, la gouvernance des données, la documentation technique, la journalisation automatique, et la supervision humaine. Chacun fait l'objet d'une section détaillée plus bas.

En parallèle, les obligations de transparence s'appliquent de façon beaucoup plus large. Elles concernent pratiquement toute entreprise qui deploy un chatbot ou produit des contenus générés par IA. Ces deux régimes — haut risque et transparence — sont distincts. Une PME peut être soumise à l'un sans relever de l'autre.

Êtes-vous concerné ? Les cas PME typiques

La question mérite une réponse franche. La grande majorité des PME françaises ne développent pas elles-mêmes des systèmes à haut risque. En revanche, beaucoup utilisent des outils SaaS qui en intègrent. Et en tant que déployeur, on n'échappe pas à toutes les obligations.

Quand votre activité est directement dans le périmètre

Voici les cas les plus fréquents observés dans l'écosystème PME :

Recrutement assisté par IA. Un outil qui trie automatiquement des CV, classe des candidats ou calcule un score de pertinence entre dans la catégorie haut risque (Annexe III, point 4). Cela inclut les modules de scoring intégrés dans les ATS (Applicant Tracking Systems) et les plateformes RH du marché. Même si vous n'avez pas développé l'outil, vous en êtes déployeur. Vous avez des obligations.

Scoring de crédit ou d'assurance. Si votre activité inclut une évaluation automatisée de la solvabilité, du risque de défaut ou du profil assurantiel d'un client, vous tombez dans l'Annexe III, point 5. Cela concerne les fintech, les courtiers, et les acteurs du crédit à la consommation.

Outils éducatifs avec évaluation automatisée. Une plateforme e-learning qui note automatiquement les apprenants, sélectionne des parcours personnalisés ou attribue des certifications relève de l'Annexe III, point 3. Les organismes de formation qui s'appuient sur ce type d'outil doivent en tenir compte dès maintenant.

Surveillance comportementale des salariés. Les systèmes de monitoring de productivité fondés sur l'analyse comportementale — évaluation des frappes clavier, scoring d'engagement, analyse des expressions en visioconférence — tombent dans le périmètre selon leur configuration exacte. La frontière n'est pas toujours évidente. En cas de doute, l'hypothèse de travail prudente est de les considérer à haut risque.

Biométrie pour le contrôle d'accès. Certains systèmes de reconnaissance faciale ou d'empreintes utilisés en contexte professionnel peuvent relever de l'Annexe III selon leur finalité et leur portée.

Quand vous n'êtes probablement pas concerné

Un chatbot de service client, un outil de génération de texte marketing, un assistant de rédaction interne, ou un outil d'analyse de données sans impact sur des décisions individuelles ne relèvent pas de l'Annexe III. Ils restent soumis aux obligations de transparence, mais pas aux exigences de documentation lourde.

Un outil réservé exclusivement à vos collaborateurs, sans impact sur des tiers (clients, candidats, citoyens), reste généralement hors périmètre. Cette limite n'est toutefois pas absolue : un outil d'évaluation des performances salariés fondé sur l'IA peut basculer dans le haut risque selon ses modalités.

Systèmes à haut risque : les nouvelles obligations

L'AI Act catégorise les risques en quatre niveaux

Le règlement distingue quatre catégories d'IA : inacceptable (interdite), haut risque, risque limité, et risque minimal. Les obligations du 2 août 2026 concernent uniquement la catégorie haut risque.

Un système entre dans cette catégorie soit parce qu'il est intégré dans un produit soumis à une réglementation de sécurité (Annexe I), soit parce qu'il appartient à l'un des huit domaines de l'Annexe III. Pour les PME, c'est presque toujours l'Annexe III qui s'applique.

L'Annexe III couvre huit domaines :

• Identification et catégorisation biométriques
• Gestion des infrastructures critiques
• Éducation et formation professionnelle
• Emploi et gestion des travailleurs
• Accès aux services essentiels (crédit, assurance, aide sociale)
• Forces de l'ordre
• Gestion des migrations et des frontières
• Administration de la justice et processus démocratiques

Les cinq obligations clés pour les systèmes à haut risque

1. Système de gestion des risques

Vous devez identifier, analyser et atténuer les risques avant la mise en service du système. Ce processus est continu — il ne s'arrête pas au déploiement initial. La documentation doit couvrir les risques prévisibles et les mesures correctives adoptées. En cas de modification significative du système, la procédure doit être relancée depuis le début.

2. Gouvernance des données d'entraînement

Les jeux de données utilisés pour entraîner ou affiner le modèle doivent être documentés. Cela inclut leur origine, leur représentativité, les biais détectés, et les corrections apportées. Cette obligation vise les fournisseurs en premier lieu. Cependant, en tant que déployeur, vous restez co-responsable si vous personnalisez le modèle sur vos propres données.

3. Documentation technique

Un dossier technique complet doit être maintenu et accessible aux autorités nationales sur demande. Ce dossier décrit l'architecture du système, ses objectifs déclarés, ses performances mesurées, ses limites identifiées, et les tests effectués avant le déploiement. Pour les PME qui utilisent un outil tiers, la documentation du fournisseur doit être accessible et complétée par votre propre description des conditions de déploiement.

4. Journalisation automatique

Le système doit enregistrer automatiquement ses opérations clés. Ces logs permettent une auditabilité a posteriori en cas de contestation, d'enquête ou de plainte utilisateur. Une durée de conservation minimale de trois ans est généralement recommandée, selon le secteur.

5. Supervision humaine obligatoire

C'est sans doute la contrainte la plus structurante pour les PME. Chaque décision significative automatisée doit pouvoir être examinée, contestée et corrigée par un humain. En pratique, les décisions de recrutement ou d'octroi de crédit générées par IA ne peuvent pas être définitives sans validation humaine effective. La supervision doit être réelle, pas seulement formelle sur le papier.

Deux autres obligations complètent ce dispositif : la déclaration de conformité (EU Declaration of Conformity) avant la mise sur le marché, et l'enregistrement du système dans la base de données européenne des systèmes à haut risque. Notre article sur les agents IA navigateurs en 2026 explore comment ces systèmes autonomes complexifient concrètement la question de la supervision humaine.

Transparence : chatbots, contenus générés, deepfakes

Ces obligations concernent un périmètre bien plus large que les seuls systèmes à haut risque. Pratiquement toute entreprise qui déploie une IA en contact avec des utilisateurs est concernée par au moins un volet de cette section.

Identifier clairement les chatbots comme des IA

Si votre site utilise un chatbot — service client, FAQ automatisée, assistant virtuel — vous devez informer vos utilisateurs qu'ils interagissent avec un système d'IA, et non avec un humain. Cette information doit être claire, visible, et préalable à l'interaction. Elle ne peut pas être enfouie dans les conditions générales d'utilisation.

La règle souffre d'une seule exception notable : lorsque l'utilisateur a lui-même demandé à interagir avec une IA de façon explicite et consciente. Un assistant vocal présenté d'emblée comme tel entre dans ce cas. Notre guide sur l'agent vocal IA pour l'accueil téléphonique détaille comment implémenter ces interfaces en respectant les bonnes pratiques UX et réglementaires.

Marquer les contenus générés par IA

Les contenus audio, vidéo ou images générés artificiellement doivent être marqués de manière machine-lisible. L'objectif est de permettre leur détection automatique par des outils tiers. En pratique, les principaux logiciels du marché intègrent progressivement des métadonnées au standard C2PA pour répondre à cette exigence.

Pour votre blog ou vos supports marketing, l'usage d'images générées par IA ne nécessite pas de mention visible pour le lecteur final — mais un marquage technique est recommandé. En revanche, toute vidéo deepfake à caractère réaliste impliquant une personne réelle doit être explicitement signalée. Nous avons analysé les enjeux de l'IA vidéo générative pour les PME dans un article dédié.

Le cas particulier des deepfakes

Un deepfake représentant une personne réelle sans son consentement se situe à l'intersection de deux régimes. D'un côté, l'AI Act impose le marquage du contenu généré. De l'autre, le RGPD s'applique si des données biométriques sont traitées sans consentement. La combinaison peut exposer votre entreprise à deux séries de sanctions distinctes. Il faut également tenir compte du droit à l'image en droit français, qui s'applique indépendamment des deux règlements européens.

Par ailleurs, l'AI Act interdit explicitement les deepfakes électoraux et les contenus générés pour manipuler des processus démocratiques. Ce point dépasse le cadre des PME, mais il illustre la portée politique du texte.

Contenu textuel : les nuances de l'obligation

Le règlement est plus nuancé sur le texte. Un contenu textuel entièrement généré par IA est soumis au marquage machine-lisible. L'obligation de mention visible pour le lecteur n'est pas absolue. En revanche, un article présenté comme rédigé par un expert humain identifié, alors qu'il est entièrement généré automatiquement, constituerait une pratique trompeuse. La transparence reste la règle d'or.

Les sanctions désormais applicables

Le règlement prévoit trois paliers de sanctions administratives. Ces montants représentent le maximum légal pour chaque type d'infraction. L'autorité nationale retient le montant le plus élevé entre le pourcentage du chiffre d'affaires mondial annuel et un plancher absolu.

Les sanctions de l'AI Act selon le type d'infraction

Pour les PME, les planchers absolus servent de référence principale. Leur chiffre d'affaires mondial est généralement inférieur aux seuils qui rendraient le pourcentage plus élevé. Par exemple, 3 % d'un CA de 2 M€ représente 60 000 € — bien en dessous des 15 M€ de plancher. C'est donc le plancher qui s'applique comme maximum théorique. En pratique, le montant réel prononcé est proportionné à la situation de l'entreprise.

Proportionnalité et position des régulateurs

Pour les PME et les microentreprises, le règlement impose explicitement aux autorités de tenir compte de la taille de l'entreprise, de la gravité de l'infraction, de la bonne foi, et des mesures correctives adoptées. Ce n'est pas un blanc-seing. C'est néanmoins une nuance importante à connaître.

Les autorités européennes ont adopté une posture pédagogique pour les deux premières années d'application. L'objectif affiché est d'accompagner les entreprises vers la conformité, pas de sanctionner des manquements involontaires et isolés. En revanche, les violations délibérées, les pratiques frauduleuses, et les systèmes clairement interdits n'ont droit à aucune indulgence.

Qui contrôle en France ?

En France, la CNIL a été désignée autorité nationale de surveillance de l'AI Act. Elle peut recevoir des plaintes, mener des investigations, et prononcer des sanctions administratives. L'AI Office européen supervise directement les fournisseurs de modèles GPAI et coordonne les autorités nationales entre elles.

Pour les secteurs réglementés, les autorités sectorielles restent également compétentes : l'AMF pour la finance, l'ANSM pour les dispositifs médicaux. Le chevauchement CNIL + AMF + RGPD est fréquent en pratique. Notamment pour les systèmes de recrutement qui traitent des CV, la CNIL peut intervenir sous deux fondements distincts.

Check-list de mise en conformité en 7 points

Cette check-list s'adresse aux PME qui veulent évaluer leur situation et prioriser leurs actions. Elle suit une logique progressive, du plus simple au plus structurant.

1. Cartographiez tous vos systèmes IA

Listez chaque outil intégrant de l'IA dans votre activité : SaaS tiers, intégrations API, modèles développés ou affinés en interne. Pour chacun, notez le fournisseur, l'objectif de l'outil, le domaine d'application, et la population impactée (clients, salariés, candidats). Cet inventaire est votre point de départ. Sans lui, aucune autre étape n'est possible.

2. Identifiez le niveau de risque de chaque système

Pour chaque outil de votre inventaire, vérifiez s'il appartient aux catégories de l'Annexe III. Le critère principal est le suivant : le système prend-il des décisions qui affectent des droits, des opportunités ou des conditions de vie de personnes réelles ? En cas de doute, consultez l'outil de classification interactif de l'AI Office européen, ou faites-vous accompagner par un conseil juridique spécialisé en droit du numérique.

3. Clarifiez votre rôle pour chaque outil

Si vous achetez un SaaS clé en main : vous êtes déployeur. Si vous développez ou affinez le modèle sur vos propres données : vous êtes fournisseur (obligations plus lourdes). Si vous revendez un outil IA à d'autres : vous pouvez être distributeur ou importateur, avec leurs obligations propres. Cette distinction change radicalement ce que vous devez faire.

4. Exigez la documentation de vos fournisseurs SaaS

Tout fournisseur d'un système à haut risque a l'obligation légale de vous remettre sa documentation technique et sa déclaration de conformité. Envoyez une demande formelle à vos fournisseurs RH, CRM ou de scoring. L'absence de réponse ou de document est un signal d'alerte sérieux : votre fournisseur n'est peut-être pas en conformité. Réduisez votre exposition ou changez d'outil.

5. Formalisez la supervision humaine

Pour chaque décision automatisée à impact significatif, définissez par écrit un processus humain de validation. Qui valide ? Avec quels critères ? Comment la personne concernée peut-elle contester la décision ? Ces processus doivent être connus de vos équipes et effectivement mis en œuvre. Un processus de supervision qui n'existe que sur le papier ne satisfait pas les exigences du règlement.

6. Affichez les mentions de transparence

Ajoutez une mention visible sur toutes les interfaces où un chatbot ou un agent IA interagit avec vos utilisateurs. Vérifiez que vos CGU et votre politique de confidentialité mentionnent explicitement l'utilisation de systèmes d'IA. Adaptez également la rédaction de vos emails automatiques si un modèle d'IA en génère le contenu.

7. Constituez votre dossier de conformité

Même si vous n'êtes pas encore dans le viseur de la CNIL, constituez un dossier simple mais traçable : inventaire des systèmes, documentation reçue des fournisseurs, description des processus de supervision humaine, journaux de modifications. Ce dossier est votre protection en cas de contrôle ou de litige. Mettez-le à jour à chaque changement d'outil ou d'usage significatif.

Pour aller plus loin sur la maîtrise technique de votre chaîne IA, notre article sur les LLM locaux et la souveraineté des données offre des pistes concrètes pour les entreprises qui veulent reprendre le contrôle. Par ailleurs, le bilan IA de l'été 2026 replace ces enjeux réglementaires dans le contexte des évolutions technologiques majeures en cours.

Questions fréquentes sur l'AI Act

Mon chatbot de service client est-il concerné par les obligations du 2 août 2026 ?

Non, pas par les obligations "systèmes à haut risque." Un chatbot client standard ne figure pas dans l'Annexe III. En revanche, il est soumis aux obligations de transparence : vous devez informer vos utilisateurs qu'ils interagissent avec une IA. Cette mention doit être claire et préalable à l'échange — pas enfouie dans les CGU. Cette obligation s'applique depuis août 2025 déjà.

Je n'utilise que des outils SaaS tiers. Ai-je quand même des obligations ?

Oui. En tant que déployeur, vous avez des responsabilités précises. Pour les systèmes à haut risque, vous devez vérifier que votre fournisseur respecte ses obligations, former vos équipes à l'utilisation de l'outil, et assurer une supervision humaine effective des décisions automatisées. Vous ne pouvez pas déléguer l'intégralité de la conformité au fournisseur. Si votre fournisseur n'est pas en conformité, vous êtes exposé.

L'AI Act s'applique-t-il aux entreprises hors UE qui vendent en France ?

Oui. Le règlement suit une logique territoriale : il s'applique à tout système d'IA mis sur le marché européen ou utilisé sur le territoire de l'UE, quel que soit le siège social du fournisseur. Un SaaS américain ou asiatique utilisé par votre PME française doit respecter l'AI Act. En pratique, les grands éditeurs internationaux se conforment progressivement — mais vérifiez case by case.

Quelles sont les prochaines échéances après le 2 août 2026 ?

La prochaine grande étape est août 2027, date à laquelle les systèmes à haut risque intégrés dans des produits réglementés (dispositifs médicaux, équipements de sécurité) devront être conformes. Par ailleurs, la Commission européenne est attendue pour publier des lignes directrices complémentaires tout au long de 2026 et 2027, notamment sur les critères précis de classification de l'Annexe III.

Comment constituer un dossier de conformité sans service juridique dédié ?

Commencez par l'inventaire de vos outils (point 1 de la check-list). Ensuite, demandez à chaque fournisseur SaaS sa déclaration de conformité AI Act. Conservez ces documents et ajoutez votre propre description des processus de supervision humaine. Un tableur structuré suffit pour les premières étapes. Le recours à un conseil juridique spécialisé devient pertinent si vous développez ou affinez des modèles en interne, ou si vous opérez dans un secteur réglementé.

L'AI Act, levier de confiance autant que contrainte

L'AI Act n'est pas uniquement une obligation à subir. C'est aussi une opportunité de structurer votre usage de l'IA et d'afficher, vis-à-vis de vos clients et partenaires, une démarche responsable et transparente. Les entreprises qui anticipent la conformité gagnent un avantage concurrentiel réel. Notamment face à des clients grands comptes, qui intègrent désormais l'AI Act dans leurs critères d'évaluation des fournisseurs.

Pour la plupart des PME françaises, l'enjeu immédiat reste l'inventaire et la vérification de la conformité des outils SaaS déjà en production. La majorité des usages courants — chatbots, assistants marketing, outils de rédaction — ne tombent pas dans la catégorie haut risque. Cependant, les obligations de transparence concernent presque tout le monde.

La prochaine étape réglementaire (août 2027) laisse encore du temps pour les secteurs les plus complexes. L'essentiel aujourd'hui est de ne pas rester dans l'ignorance de sa propre situation réelle.

Vous intégrez de l'IA dans vos produits, votre site ou vos applications métier et vous souhaitez sécuriser votre conformité AI Act ? L'équipe de ConsilioWEB, basée à Ussel en Corrèze, audite vos intégrations IA, vous aide à documenter vos systèmes et à mettre en place les mentions de transparence requises. Contactez-nous via le formulaire de devis pour un premier échange sans engagement.

Pour aller plus loin

• Texte officiel de l'AI Act — EUR-Lex — le règlement complet en français, avec les Annexes I et III
• AI Office européen — actualités officielles, lignes directrices et outil de classification interactif
• Guide pratique CNIL sur l'intelligence artificielle — ressources adaptées aux entreprises françaises, avec fiches sectorielles
• EU AI Act Explorer — Future of Life Institute — outil de navigation interactive dans le texte du règlement par article et par domaine