AI Act 2026 : Guide complet de conformité IA pour les entreprises

Qu'est-ce que l'AI Act (Artificial Intelligence Act) ?

Une définition de l'AI Act

L'AI Act (règlement (UE) 2024/1689 du 13 juin 2024) est la réglementation européenne sur l'intelligence artificielle. Entré en vigueur le 1er août 2024, il encadre le développement, la mise sur le marché et l'utilisation des systèmes et modèles d'IA dans l'Union européenne, en les classant selon 4 niveaux de risque.

Mise à jour de septembre 2026 : ce guide intègre le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l'IA », publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Il ne change pas l'architecture par niveaux de risque, mais il décale les obligations des systèmes à haut risque et ajoute de nouvelles échéances. Le 2 août 2026 n'est donc plus la date d'application complète du texte.

AI Act vs RGPD : quelle différence ?

Le RGPD encadre les traitements de données personnelles. L'AI Act encadre les systèmes d'IA eux-mêmes, qu'ils traitent ou non des données personnelles. Les deux textes sont complémentaires et s'appliquent en même temps dès qu'une IA traite des données personnelles : un outil de tri de CV relève à la fois de l'annexe III de l'AI Act et, très souvent, d'une analyse d'impact au sens de l'article 35 du RGPD. Pour cette seconde étape, voir notre méthode d'AIPD en 5 étapes.

AI Act Omnibus 2026 : ce qui change vraiment

Le règlement (UE) 2026/1744 est issu de la proposition de la Commission COM(2025) 836 du 19 novembre 2025. Il a été adopté par le Parlement européen le 16 juin 2026 et par le Conseil le 29 juin 2026. Voici ce qu'il modifie, article par article.

Le haut risque est reporté, pas supprimé

• Systèmes à haut risque de l'annexe III (emploi, crédit, éducation, services essentiels...) : les sections 1 à 3 du chapitre III s'appliquent à partir du 2 décembre 2027 au lieu du 2 août 2026 (article 113, troisième alinéa, point c) i), tel que modifié).
• Systèmes à haut risque de l'annexe I (IA intégrée à des produits réglementés) : à partir du 2 août 2028 au lieu du 2 août 2027 (article 113, troisième alinéa, point c) ii)).
• Machines : le règlement (UE) 2023/1230 passe de la section A à la section B de l'annexe I. Les machines intégrant de l'IA relèvent désormais d'une approche sectorielle, portée par le règlement machines lui-même. Les autres produits de la section A (dispositifs médicaux, jouets...) restent dans le régime de l'AI Act.

Les exigences de fond ne sont pas allégées : gestion des risques, qualité des données, documentation technique, contrôle humain et enregistrement dans la base de données de l'UE restent dus. Seule la date change.

Ce qui n'a pas bougé

• Les pratiques interdites (article 5) s'appliquent depuis le 2 février 2025.
• Les obligations des fournisseurs de modèles d'IA à usage général s'appliquent depuis le 2 août 2025.
• Les obligations de transparence de l'article 50 (chatbots, contenus de synthèse, hypertrucages) s'appliquent depuis le 2 août 2026, comme prévu à l'origine. Voir notre actualité sur la transparence au 2 août 2026.

Ce qui est ajouté

• Deux nouvelles pratiques interdites à l'article 5, paragraphe 1, points b bis) et b ter) : les systèmes qui génèrent des images intimes ou sexuellement explicites réalistes d'une personne identifiable sans son consentement, et ceux qui génèrent du matériel pédopornographique. Applicables à partir du 2 décembre 2026.
• Marquage des contenus générés : les fournisseurs de systèmes génératifs mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour se conformer à l'article 50, paragraphe 2 (article 111, paragraphe 4).
• Maîtrise de l'IA : l'article 4 est réécrit. Fournisseurs et déployeurs doivent désormais « prendre des mesures pour favoriser » la maîtrise de l'IA de leur personnel, sans obligation de garantir un niveau donné pour chaque individu.
• Détection des biais : un nouvel article 4 bis autorise, à titre exceptionnel et sous garanties, le traitement de catégories particulières de données personnelles pour détecter et corriger les biais des systèmes à haut risque, en plus des conditions du RGPD.

Ce que ça change pour les DPO d'ETI

Si votre entreprise déploie une IA tierce (SaaS RH, scoring crédit, outil de recrutement), vous êtes déployeur au sens de l'article 26 : utilisation conforme à la notice, contrôle humain, conservation des journaux, information des salariés concernés. Pour les déployeurs de systèmes de l'annexe III, ces obligations démarrent le 2 décembre 2027. Les 16 mois gagnés servent à cartographier et à demander leur documentation aux fournisseurs, pas à attendre. Pour un système mis en service avant cette date, l'article 111, paragraphe 2, ne rend le chapitre III applicable qu'en cas de modification importante de sa conception, sauf pour les systèmes utilisés par des autorités publiques, qui doivent être conformes au plus tard le 2 août 2030.

Qui est concerné par l'AI Act ?

La mise en conformité à l'AI Act concerne :

• toutes les organisations (entreprises, associations, organismes de recherche, etc.) qui fournissent, distribuent, importent ou déploient des systèmes d'IA ;
• dont le siège est situé dans l'un des États membres de l'Union européenne ;
• et/ou qui mettent des systèmes d'IA sur le marché de l'Union, ou dont les résultats sont utilisés dans l'Union.

Exemple : une entreprise américaine qui vend un logiciel de recrutement par IA à des entreprises françaises est soumise à l'AI Act.

Quels sont les 4 niveaux de risque de l'AI Act ?

L'AI Act classe les systèmes d'IA en 4 catégories de risque, chacune avec ses propres obligations. L'Omnibus ne modifie pas cette architecture.

Niveau 1 : l'IA à risque inacceptable

Les systèmes d'IA à risque inacceptable sont interdits par l'article 5 : ils contreviennent aux valeurs de l'UE et portent atteinte aux droits fondamentaux. Interdits depuis le 2 février 2025 : la notation sociale, l'exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation sociale, ou encore le moissonnage non ciblé d'images faciales pour constituer des bases de reconnaissance faciale. Deux interdictions supplémentaires s'appliquent à partir du 2 décembre 2026 (voir la section Omnibus ci-dessus).

Niveau 2 : l'IA à haut risque

Systèmes susceptibles d'avoir un impact significatif sur la santé, la sécurité ou les droits fondamentaux. L'annexe III définit 8 domaines :

• Identification et catégorisation biométrique
• Gestion d'infrastructures critiques
• Éducation et formation professionnelle
• Emploi et gestion des travailleurs (tri de CV, évaluation de salariés)
• Accès aux services essentiels (scoring de crédit, aides sociales)
• Application de la loi
• Migration et contrôles aux frontières
• Administration de la justice

Pour classer un système dans ces domaines, la Commission a publié des lignes directrices sur l'annexe III. Les obligations correspondantes s'appliquent à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I).

Niveau 3 : l'IA à risque limité

Systèmes qui interagissent avec des personnes ou produisent des contenus : chatbots, générateurs d'images ou de textes, hypertrucages. Obligation principale, à l'article 50 : informer la personne qu'elle interagit avec une IA, et marquer les contenus générés. Applicable depuis le 2 août 2026.

Exemple : mention « Cette conversation est gérée par un assistant virtuel » ou « Cette image a été générée par IA ».

Niveau 4 : l'IA à risque minime

Tous les autres systèmes d'IA : filtres anti-spam, correcteurs orthographiques, IA de jeux vidéo... Pas d'obligation particulière au-delà de la maîtrise de l'IA (article 4). Un code de conduite volontaire est recommandé.

Comment se mettre en conformité avec l'AI Act ?

Voici le parcours de conformité, à adapter à votre rôle (fournisseur ou déployeur).

1. Réaliser une cartographie des systèmes d'IA

Les obligations s'appliquent à chaque système d'IA et non à l'entreprise dans son ensemble. Cartographiez tous les systèmes existants et les projets intégrant de l'IA, y compris les IA tierces déployées (SaaS, API). Notez pour chacun sa date de mise en service : elle conditionne le régime transitoire de l'article 111.

2. Évaluer les niveaux de risque des systèmes existants et en projet

Évaluez le niveau de risque selon :

• le secteur d'activité (banque, santé, RH, etc.) ;
• les cas d'utilisation concrets, au regard des 8 domaines de l'annexe III ;
• la nature du modèle (modèle d'IA à usage général ou non) ;
• les types de données utilisées (personnelles, sensibles) ;
• le produit hôte : relève-t-il de l'annexe I, et dans quelle section ?

3. Classer les systèmes d'IA en fonction des niveaux de risque

Classez chaque système : minime, risque limité, haut risque ou inacceptable. Un système inacceptable doit être retiré. Dans les autres cas, adaptez les actions au niveau de risque et à la date d'application qui le concerne.

4. Mettre en conformité un système à haut risque

Pour un fournisseur de système à haut risque, les étapes sont :

1. Mettre en place un système de gestion des risques
2. Valider la qualité et la non-discrimination des données
3. Évaluer la précision et la robustesse, garantir la cybersécurité
4. Garantir un contrôle humain
5. Respecter l'obligation de transparence et d'information
6. Tenir les journaux d'activité
7. Concevoir la documentation technique
8. Procéder à la déclaration de conformité
9. Apposer le marquage CE
10. Enregistrer le système dans la base de données de l'UE

Appliquer l'AI Act à sa chaîne de sous-traitance

L'AI Act ne s'arrête pas à votre périmètre interne : si vous achetez ou intégrez un système d'IA fourni par un tiers, vous gardez des obligations de déployeur. Documentation, transparence et évaluation des risques se jouent sur toute la chaîne. Pour structurer cet examen, voir notre méthode d'audit IA des sous-traitants, et pour encadrer les usages internes, notre guide de la charte IA en entreprise.

Quand l'AI Act entre-t-il en vigueur ? Le calendrier après l'Omnibus

L'AI Act est entré en vigueur le 1er août 2024, mais il s'applique par étapes. Le calendrier ci-dessous tient compte du règlement (UE) 2026/1744.

• 1er août 2024 : entrée en vigueur du règlement (UE) 2024/1689
• 2 février 2025 : pratiques interdites (article 5) et maîtrise de l'IA (article 4)
• 2 août 2025 : obligations des fournisseurs de modèles d'IA à usage général, gouvernance et sanctions
• 27 juillet 2026 : entrée en vigueur de l'Omnibus (règlement (UE) 2026/1744)
• 2 août 2026 : obligations de transparence de l'article 50
• 2 décembre 2026 : deux nouvelles pratiques interdites, et marquage des contenus pour les systèmes génératifs mis sur le marché avant le 2 août 2026
• 2 août 2027 : fin du délai pour les modèles d'IA à usage général mis sur le marché avant le 2 août 2025
• 2 décembre 2027 : obligations des systèmes à haut risque de l'annexe III
• 2 août 2028 : obligations des systèmes à haut risque de l'annexe I
• 2 août 2030 : mise en conformité des systèmes à haut risque utilisés par des autorités publiques

Pour savoir quelle autorité contrôlera ces échéances en France, voir notre guide sur les autorités compétentes AI Act.

Sanctions AI Act : que risquez-vous ?

L'article 99 prévoit trois paliers d'amendes administratives :

• jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour une pratique interdite (article 5) ;
• jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements, dont les obligations des systèmes à haut risque et la transparence de l'article 50 ;
• jusqu'à 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes, incomplètes ou trompeuses aux autorités.

Le montant le plus élevé des deux s'applique, sauf pour les PME et les start-ups, pour lesquelles c'est le plus bas (article 99, paragraphe 6). Ces amendes se cumulent potentiellement avec celles du RGPD quand le système traite des données personnelles.

Questions fréquemment posées

Qu'est-ce que l'AI Act ?

L'AI Act (règlement (UE) 2024/1689) est le cadre juridique européen de l'intelligence artificielle. Il encadre le développement, la mise sur le marché et l'utilisation des systèmes d'IA dans l'Union selon 4 niveaux de risque. Il a été modifié par le règlement (UE) 2026/1744 dit « omnibus numérique sur l'IA ».

Quand l'AI Act entre-t-il en vigueur ?

L'AI Act est entré en vigueur le 1er août 2024 et s'applique par étapes : interdictions depuis le 2 février 2025, modèles d'IA à usage général depuis le 2 août 2025, transparence depuis le 2 août 2026. Depuis l'Omnibus, les obligations des systèmes à haut risque s'appliquent le 2 décembre 2027 (annexe III) et le 2 août 2028 (annexe I).

Le 2 août 2026 est-il toujours une échéance AI Act ?

Oui, mais plus pour le haut risque. Le 2 août 2026 reste la date d'application des obligations de transparence de l'article 50 (chatbots, contenus générés, hypertrucages). Les obligations des systèmes à haut risque de l'annexe III ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744.

Qui est concerné par l'AI Act ?

Toute organisation qui fournit, distribue, importe ou déploie des systèmes d'IA dans l'Union européenne, y compris une entreprise établie hors de l'UE dès lors que son système est mis sur le marché européen ou que ses résultats sont utilisés dans l'Union.

Quels sont les 4 niveaux de risque de l'AI Act ?

1) Risque inacceptable : pratiques interdites (notation sociale, manipulation). 2) Haut risque : obligations strictes (recrutement, crédit, éducation). 3) Risque limité : obligations de transparence (chatbots, contenus générés). 4) Risque minime : pas d'obligation spécifique au-delà de la maîtrise de l'IA.

Quelles sont les sanctions AI Act ?

Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour une pratique interdite, 15 millions d'euros ou 3 % pour la plupart des autres manquements, et 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes aux autorités (article 99).

Quelle différence entre AI Act et RGPD ?

Le RGPD encadre les données personnelles, l'AI Act encadre les systèmes d'intelligence artificielle. Les deux sont complémentaires et s'appliquent simultanément dès qu'une IA traite des données personnelles.

L'Omnibus a-t-il supprimé des obligations AI Act ?

Non. Le règlement (UE) 2026/1744 reporte les obligations des systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I), assouplit la rédaction de l'obligation de maîtrise de l'IA et bascule les machines vers une approche sectorielle. Il ajoute aussi deux pratiques interdites applicables à partir du 2 décembre 2026. Les exigences de fond du haut risque restent inchangées.

Leto vous accompagne dans votre conformité AI Act et RGPD

Leto centralise votre conformité RGPD et AI Act dans un seul outil : cartographie des systèmes d'IA, évaluation des niveaux de risque, modèles d'AIPD, formation des équipes et veille réglementaire. Hari, l'IA de Leto, vous aide à documenter chaque système sans repartir d'une page blanche.

👉 Demander une démo

Ressources pour aller plus loin

• Règlement (UE) 2024/1689, texte officiel (EUR-Lex)
• Règlement (UE) 2026/1744, omnibus numérique sur l'IA (EUR-Lex)
• Questions-réponses de la CNIL sur l'AI Act
• Commission européenne : cadre réglementaire de l'IA
• La feuille de route RIA du Club DPO
• Qu'est-ce que le RGPD ? Guide complet 2026
• ISO 42001 : norme IA et conformité