AI Act : ce qu’il prévoit et quelles obligations s’appliquent déjà aux entreprises

L’AI Act, le règlement (UE) 2024/1689, classe les systèmes d’intelligence artificielle selon leur niveau de risque et concerne aussi les entreprises qui les utilisent, pas seulement celles qui les développent. En octobre 2026, les interdictions, les mesures de maîtrise de l’AI et les obligations de transparence sont déjà applicables. Pour les systèmes à haut risque, en revanche, le Digital Omnibus a reporté les échéances au 2 décembre 2027 et au 2 août 2028.

Ce que prévoit l’AI Act en bref

L’AI Act est un règlement européen : il s’applique donc directement dans tous les États membres, sans transposition. Il ne réglemente pas la technologie en elle-même, mais ses usages : plus un système peut affecter la santé, la sécurité et les droits des personnes, plus il entraîne d’obligations. C’est la même approche fondée sur le risque que les entreprises connaissent avec le risk management.

Il existe quatre niveaux, plus un régime distinct pour les grands modèles à usage général :

• Risque inacceptable : pratiques interdites, comme la manipulation qui exploite les vulnérabilités des personnes, la notation sociale ou la reconnaissance des émotions sur le lieu de travail (sauf pour des raisons médicales ou de sécurité).
• Haut risque : systèmes utilisés dans des domaines sensibles, par exemple le recrutement, l’évaluation de la solvabilité, l’éducation, les infrastructures critiques, ou intégrés dans des produits réglementés comme les machines et les dispositifs médicaux.
• Risque de transparence : chatbots, contenus générés ou manipulés (deepfakes), systèmes qui interagissent avec les personnes.
• Risque minimal : la grande majorité des usages en entreprise, comme les filtres antispam, la traduction, l’extraction de données à partir de documents. Aucune obligation spécifique au-delà de la maîtrise de l’AI.
• Modèles d’AI à usage général (les modèles qui font fonctionner les assistants génératifs) : des obligations pour ceux qui les développent et les mettent sur le marché, pas pour ceux qui les utilisent.

À qui il s’applique : fournisseur ou déployeur

Le règlement distingue les rôles. Le fournisseur développe un système d’AI, ou le fait développer, et le met sur le marché sous son propre nom. Le déployeur est celui qui utilise un système d’AI sous sa propre autorité dans le cadre d’une activité professionnelle. Viennent ensuite les importateurs et les distributeurs.

Une PME qui utilise un assistant génératif, un logiciel RH avec des fonctions de tri des CV ou un ERP doté de modules prédictifs est presque toujours déployeur. Attention toutefois : si vous apposez votre marque sur un système à haut risque, ou si vous le modifiez de manière substantielle, vous pouvez devenir fournisseur à votre tour, avec des obligations bien plus lourdes. L’AI Act s’applique aussi aux fournisseurs établis hors de l’UE lorsque les résultats du système sont utilisés en Europe.

Le calendrier à jour en octobre 2026

L’AI Act est entré en vigueur le 1er août 2024 et s’applique par étapes. Voici les dates qui comptent après les modifications de 2026 :

Ce que le Digital Omnibus a changé

Le paquet de simplification proposé par la Commission en novembre 2025 est devenu le règlement (UE) 2026/1744, publié au Journal officiel de l’UE le 24 juillet 2026 et en vigueur depuis le 27 juillet, quelques jours avant l’échéance initiale du 2 août 2026 pour le haut risque.

Les principales modifications :

• Report du haut risque : 2 décembre 2027 pour les systèmes de l’annexe III, 2 août 2028 pour ceux intégrés dans des produits. Il s’agit d’un report, pas d’une suppression : les exigences et les obligations restent les mêmes.
• Maîtrise de l’AI recalibrée : fournisseurs et déployeurs ne doivent plus « garantir » un niveau suffisant de compétences, mais prendre des mesures pour les développer au sein du personnel. La Commission et les États membres doivent soutenir les entreprises, en particulier les PME.
• Nouvelle interdiction à partir du 2 décembre 2026 pour les systèmes qui génèrent des images intimes ou sexuellement explicites de personnes identifiables sans leur consentement.
• Simplifications documentaires et concernant le système de gestion de la qualité pour les PME et les small mid-caps.

Les obligations de transparence n’ont pas été reportées : elles s’appliquent depuis le 2 août 2026. Seule exception : le marquage lisible par machine des contenus générés, qui, pour les systèmes déjà sur le marché avant cette date, est décalé au 2 décembre 2026.

Les obligations qui s’appliquent dès aujourd’hui

Pratiques interdites

Vérifiez qu’aucun outil utilisé ne relève des pratiques interdites. Le cas le plus proche des entreprises est la reconnaissance des émotions des salariés, par exemple dans les centres d’appels ou pendant les entretiens : elle est interdite, sauf pour des raisons médicales ou de sécurité.

Maîtrise de l’AI

Quiconque utilise des systèmes d’AI doit prendre des mesures pour développer des compétences adaptées chez les personnes qui s’en servent, en tenant compte de leur rôle et du contexte. Aucune attestation ni aucun nombre minimal d’heures n’est exigé : une formation ciblée, des instructions d’utilisation claires et une trace de ce que vous avez fait suffisent.

Transparence

Depuis le 2 août 2026, si un chatbot sur votre site répond aux clients, les personnes doivent savoir qu’elles échangent avec une machine. Si vous publiez des images, des sons ou des vidéos réalistes générés ou manipulés par l’AI, vous devez l’indiquer. Il en va de même pour les textes générés publiés pour informer le public sur des questions d’intérêt public, sauf relecture humaine sous responsabilité éditoriale.

Les sanctions prévues par l’article 99 vont jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, et jusqu’à 15 millions ou 3 % pour les autres obligations. Pour les PME, c’est le plus faible des deux montants qui s’applique.

La loi italienne sur l’AI (loi 132/2025)

L’Italie a complété l’AI Act par une loi-cadre nationale, la loi n° 132 du 23 septembre 2025, en vigueur depuis le 10 octobre 2025. Elle ne fait pas doublon avec le règlement européen, mais ajoute des principes et des règles dans certains domaines. Pour les entreprises, ces points comptent surtout :

• Travail (art. 11) : l’employeur doit informer les salariés de l’utilisation de l’AI dans les cas et selon les modalités déjà prévus pour les systèmes de décision ou de surveillance automatisés.
• Professions intellectuelles (art. 13) : l’AI ne peut exercer que des activités instrumentales et de soutien, et le professionnel doit indiquer au client quels systèmes il utilise, de manière claire et simple.
• Autorités (art. 20) : l’AgID et l’ACN sont les autorités nationales pour l’AI, tandis que la Banque d’Italie, la CONSOB et l’IVASS assurent la surveillance dans leurs secteurs respectifs.
• Mineurs (art. 4) : en dessous de 14 ans, l’accès aux systèmes d’AI nécessite le consentement des titulaires de l’autorité parentale.
• Infractions (art. 26) : nouvelle circonstance aggravante pour les infractions commises au moyen de l’AI et nouveau délit de diffusion illicite de contenus générés ou altérés (deepfakes).

La loi habilite le gouvernement à adopter, dans un délai de douze mois, les décrets visant à adapter le droit italien à l’AI Act, notamment en matière de pouvoirs de surveillance et de sanctions. Le Conseil des ministres y a travaillé en 2026 : avant de mettre en place des procédures internes, vérifiez dans la Gazzetta Ufficiale quels décrets ont été publiés et à partir de quand ils s’appliquent.

Que faire dans l’entreprise : une checklist pratique

1. Faites l’inventaire des outils d’AI utilisés, y compris ceux intégrés dans des logiciels que vous utilisez déjà (CRM, RH, comptabilité, service client).
2. Classez chaque usage par niveau de risque et clarifiez votre rôle : déployeur ou fournisseur.
3. Rédigez une politique interne précisant quels outils peuvent être utilisés, avec quelles données et sous quel contrôle humain.
4. Organisez la formation par rôle et conservez une trace des activités réalisées.
5. Informez les salariés lorsque l’AI intervient dans le recrutement, la gestion ou la surveillance, comme l’exige la loi italienne.
6. Vérifiez la transparence des chatbots et des contenus générés publiés à l’extérieur.
7. Demandez aux fournisseurs de la documentation, des instructions d’utilisation et des engagements contractuels, surtout si les systèmes peuvent relever du haut risque à partir de 2027.

Il en va de même pour les logiciels qui utilisent l’AI pour lire des documents et préparer des données de durabilité, comme Envify : ce sont des usages à faible impact, mais il est utile de savoir quelles données sont traitées et qui vérifie les résultats. La gouvernance de l’AI fait aussi son entrée dans les questionnaires ESG des clients et des banques (nous en parlons dans les questionnaires ESG des banques), et une bonne gestion des données ESG repose sur les mêmes principes : savoir d’où viennent les informations et qui les contrôle. Sur les usages de l’AI dans le reporting, vous pouvez aussi lire AI et reporting de durabilité.

Questions fréquentes