Le 2 août 2026 marque l’entrée en application du cœur opérationnel de l’AI Act dans l’Union européenne. À partir de cette date, les entreprises qui développent, distribuent ou utilisent des systèmes d’intelligence artificielle doivent appliquer des obligations plus structurées, en particulier pour les usages considérés comme sensibles. Le changement ne se limite pas aux grands éditeurs technologiques. Il concerne aussi les employeurs, les acheteurs publics, les assureurs, les banques, les industriels et les services RH qui intègrent des outils d’IA dans leurs processus.
Les systèmes à haut risque entrent dans le régime AI Act
Le point central du 2 août 2026 concerne les systèmes à haut risque. Cette catégorie vise les usages susceptibles d’avoir un impact direct sur les droits fondamentaux, la sécurité ou l’accès à des services essentiels. Les exemples les plus observés portent sur le recrutement automatisé, l’évaluation de crédit, l’orientation scolaire, certains dispositifs médicaux, la gestion de travailleurs ou encore les outils utilisés par des administrations pour instruire des demandes.
Pour les fournisseurs, le AI Act impose une logique proche de celle d’un produit réglementé. Avant la mise sur le marché, l’organisation doit établir une analyse des risques, documenter le fonctionnement du système, assurer la qualité des données utilisées et prévoir une supervision humaine effective. La conformité ne repose donc plus seulement sur une déclaration commerciale. Elle exige des preuves conservées, contrôlables et mises à jour.
La documentation technique devient une pièce centrale. Elle doit décrire les finalités de l’outil, ses limites connues, les données d’entraînement pertinentes, les mesures de cybersécurité, les performances attendues et les procédures de contrôle. Pour une entreprise utilisatrice, cette exigence change la manière d’acheter une solution. Un logiciel d’IA ne peut plus être évalué uniquement sur son coût ou sa rapidité de déploiement. Les garanties juridiques, techniques et organisationnelles prennent une place déterminante dans les appels d’offres.
Les obligations de transparence concernent aussi certains usages moins sensibles. Lorsqu’une personne interagit avec un chatbot, reçoit un contenu généré artificiellement ou fait l’objet d’un traitement automatisé identifiable, l’information doit être claire. Les entreprises doivent donc revoir leurs interfaces, leurs notices internes et leurs parcours clients. Cette contrainte pousse les directions numériques à travailler avec les juristes, les responsables conformité et les métiers, car la conformité dépend autant du paramétrage technique que de l’usage réel sur le terrain.
DPO, directions métier et fournisseurs face aux contrôles
Le 2 août 2026 place le DPO dans une position plus exposée, même si l’AI Act ne lui confie pas seul la responsabilité de la conformité. Dans de nombreuses organisations, son expérience du RGPD le rend incontournable pour cartographier les traitements, vérifier les bases juridiques, analyser les risques pour les personnes et coordonner les échanges avec les équipes sécurité. Le sujet dépasse néanmoins la protection des données personnelles, car l’AI Act couvre aussi la robustesse, la traçabilité et la surveillance des systèmes.
La première mesure attendue dans les entreprises consiste à créer un registre des outils IA. Beaucoup d’usages sont déjà présents dans les services sans validation formelle, via des assistants de rédaction, des outils d’analyse de candidatures, des solutions de scoring ou des modules intégrés dans des logiciels métiers. Un inventaire fiable permet d’identifier les systèmes interdits, les systèmes à haut risque, les outils soumis à information et les usages qui restent faiblement encadrés.
Les achats et les directions juridiques doivent aussi revoir les contrats fournisseurs. Les clauses utiles portent sur l’accès à la documentation, les responsabilités en cas d’erreur, les mises à jour du modèle, la localisation des données, les audits possibles et la notification des incidents graves. Une entreprise qui déploie un outil sans obtenir ces éléments prend le risque de découvrir trop tard qu’elle ne dispose pas des preuves nécessaires en cas de contrôle ou de réclamation.
Les autorités nationales disposeront d’un rôle clé dans l’application du texte, avec une coordination européenne destinée à éviter des interprétations trop divergentes. Les contrôles devraient d’abord viser les secteurs les plus sensibles et les usages les plus massifs. Pour les entreprises, l’échéance impose une méthode pragmatique: inventorier, classer, documenter, former les équipes et arbitrer les usages à suspendre. Les organisations capables de prouver leurs choix, même progressivement, seront mieux placées que celles qui découvrent leurs outils d’IA au moment d’un audit.
À retenir
- Le cœur de l’AI Act s’applique le 2 août 2026 dans l’Union européenne.
- Les systèmes à haut risque devront être documentés, surveillés et encadrés.
- Les entreprises doivent inventorier leurs outils d’IA avant les contrôles.
- Les contrats fournisseurs deviennent essentiels pour prouver la conformité.
