AI Act : guide pour les entreprises en 2026
Le règlement européen AI Act (UE 2024/1689) est la première régulation mondiale encadrant l'intelligence artificielle. En vigueur depuis le 1er août 2024, son calendrier d'application a été réajusté par le Digital Omnibus (règlement UE 2026/1744, en vigueur depuis le 27 juillet 2026) : les obligations pour les systèmes IA à haut risque de l'annexe III deviennent applicables le 2 décembre 2027. Sanctions en cas de non-conformité : jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial.
Au-delà du calendrier et des sanctions, ce règlement clarifie deux questions de fond pour les entreprises : la souveraineté des données qui circulent dans les systèmes IA, et la chaîne de responsabilité quand un outil prend une décision sur une personne. La question vaut autant pour les outils officiellement déployés que pour les usages informels (le "shadow IA"), puisque le règlement ne distingue pas les deux.
Un règlement, pas une loi française : pourquoi ça compte
L'AI Act est un règlement européen, comme le RGPD. Un règlement est directement applicable dans les 27 États membres : il s'impose tel quel, dans les mêmes termes partout, sans qu'aucun texte national ne soit nécessaire pour lui donner effet. Il n'existera donc pas de loi française sur l'intelligence artificielle dont l'adoption conditionnerait vos obligations.
La loi DDADUE, toujours en navette parlementaire, ne crée aucune obligation nouvelle : elle désigne qui contrôle (la CNIL) et fixe les modalités de sanction au niveau national. Son retard ne suspend rien : les échéances du règlement courent déjà.
La comparaison avec NIS2 éclaire la différence. NIS2 est une directive : elle fixe des objectifs que chaque État traduit dans son droit. Résultat, ses obligations s'appliquent au Luxembourg depuis le 10 mai 2026 (loi du 5 mai) mais pas encore en France, dont la loi de transposition a été repoussée à l'automne, ce qui a valu au pays d'être renvoyé devant la Cour de justice de l'UE le 8 juillet 2026. Sur l'AI Act, ce décalage n'existe pas : les deux pays sont logés à la même enseigne, aux mêmes dates.
Ce guide s'adresse aux dirigeants, DSI, DPO et équipes IA des entreprises qui développent ou utilisent de l'intelligence artificielle. Il couvre : la classification des systèmes IA en 4 niveaux de risque, les obligations concrètes pour les systèmes haut risque, le calendrier 2026, les autorités compétentes en France et au Luxembourg, le budget indicatif. Sources officielles : règlement UE 2024/1689, Commission européenne, CNIL (France), CNPD (Luxembourg), AI Office.
Ce qui change maintenant
L'article 50 du règlement impose la transparence sur les systèmes qui dialoguent avec des personnes ou produisent du contenu. C'est la catégorie la plus répandue en entreprise, bien au-delà du haut risque.
Dire que c'est une machine
Le règlement demande au fournisseur de concevoir le système pour que la personne sache qu'elle dialogue avec une IA. L'obligation tombe si c'est évident pour une personne raisonnablement avertie. Côté déployeur, cela revient à vérifier que la solution retenue le fait réellement.
Marquer les contenus générés
Le fournisseur de l'outil génératif doit marquer ses sorties dans un format lisible par machine et détectable comme généré par IA. Le texte n'impose aucune technique (les usages vont vers les métadonnées C2PA et les filigranes numériques), il exige un résultat efficace, interopérable et robuste. Sursis au 2 décembre 2026 pour les systèmes déjà sur le marché.
Étiqueter les hypertrucages
Hypertrucage est le terme officiel français (Journal officiel du 23 janvier 2018) pour ce que la version française du règlement appelle « deep fake » : un contenu image, audio ou vidéo généré ou manipulé par IA qui ressemble à des personnes, lieux ou événements existants et paraîtrait faussement authentique. Ces contenus doivent être identifiés comme tels, de façon visible pour le public. C'est le déployeur qui porte cette obligation, pas seulement le fournisseur de l'outil.
Qui porte quoi, concrètement
L'article 50 répartit les obligations entre deux rôles, et la confusion coûte cher. Le fournisseur (l'éditeur de l'outil : OpenAI, Anthropic, Runway, Midjourney, ou vous-même si vous développez le système) conçoit les systèmes conversationnels pour qu'ils s'annoncent, et marque les contenus qu'ils produisent. Le déployeur (vous, si vous publiez) signale les hypertrucages et, pour les textes d'information d'intérêt public, leur origine.
En pratique les deux se rejoignent : vous restez responsable de ce que vous diffusez. Un outil qui ne marque pas ses productions vous expose, notamment sur les plateformes publicitaires qui rejettent depuis 2026 les contenus générés non déclarés. Vérifier la conformité de ses outils fait donc partie du travail de cadrage.
L'exemption, et ses limites
Une exemption existe, mais elle est plus étroite qu'on ne le lit souvent : elle vaut pour les textes publiés pour informer le public sur des questions d'intérêt public, lorsqu'un contrôle humain a eu lieu et qu'une personne assume la responsabilité éditoriale. Elle ne couvre ni les images, ni l'audio, ni la vidéo : pour ceux-là, la relecture humaine ne dispense pas de la divulgation. Sur une œuvre manifestement artistique ou satirique, l'obligation est allégée (divulgation appropriée qui n'entrave pas l'œuvre), jamais supprimée.
La sanction associée
Un manquement à l'article 50 relève de l'article 99 : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu. La Commission européenne surveille par ailleurs directement les IA intégrées aux très grandes plateformes, au titre du DSA.
Votre métier, votre situation
Les catégories du règlement restent abstraites tant qu'on ne les rapporte pas à un usage réel. Voici les situations que nous rencontrons le plus souvent, et ce qu'elles impliquent concrètement.
Marketing et communication
La situation : visuels, textes de blog, posts réseaux sociaux ou vidéos produits avec l'aide d'une IA générative.
Ce qu'il faut faire : marquer ces contenus dans un format lisible par machine. Attention à une confusion fréquente : la relecture humaine n'exempte que les textes d'information d'intérêt public, pas les visuels ni les vidéos, et pas le contenu commercial. Un visuel de campagne avec un personnage photoréaliste doit être signalé, même relu et validé.
E-commerce et service client
La situation : chatbot de support, assistant de recherche produit, descriptions de catalogue générées automatiquement.
Ce qu'il faut faire : annoncer dès le premier message que l'interlocuteur est une machine, et prévoir un passage vers un humain. Les fiches produits générées en masse, sans relecture, entrent dans l'obligation de marquage.
Médias et édition
La situation : articles rédigés ou traduits avec l'IA, illustrations de synthèse, voix off générées.
Ce qu'il faut faire : c'est le seul secteur où l'exemption éditoriale joue vraiment, et uniquement sur les textes traitant de questions d'intérêt public : contrôle humain et responsabilité éditoriale identifiée suffisent alors. Les illustrations de synthèse et les voix off générées, elles, restent soumises à la divulgation.
RH et recrutement
La situation : tri automatisé de candidatures, scoring de CV, évaluation de performance assistée, outil de présélection intégré à votre ATS.
Ce qu'il faut faire : c'est du haut risque, même si vous utilisez un outil du marché sans l'avoir développé. Vous êtes déployeur : supervision humaine effective, information des candidats et des représentants du personnel, conservation des journaux six mois minimum.
Banque, assurance et finance
La situation : scoring de dossiers de crédit, tarification assurantielle automatisée, détection de fraude qui refuse une opération.
Ce qu'il faut faire : haut risque au titre de l'accès aux services essentiels, avec en plus l'analyse d'impact sur les droits fondamentaux (FRIA). Au Luxembourg, la CSSF s'ajoute à la CNPD, et les régimes DORA et MiFID II se cumulent.
Collectivités et secteur public
La situation : chatbot de renseignement citoyen d'un côté, aide à l'instruction de dossiers d'aide sociale de l'autre.
Ce qu'il faut faire : le chatbot relève de la transparence, applicable depuis le 2 août 2026. L'aide à l'instruction qui influence l'attribution d'une prestation bascule en haut risque, avec analyse d'impact obligatoire pour les organismes publics. La frontière tient à l'effet sur la personne, pas à la technologie.
La question qui tranche presque tous les cas
Posez-vous une seule question : est-ce que ce système décide, ou aide à décider, quelque chose qui affecte une personne ?
- Oui, sur un domaine de l'annexe III (emploi, crédit, santé, éducation, justice, services sociaux, biométrie) : haut risque, échéance décembre 2027, chantier de fond à lancer maintenant.
- Non, mais le système parle aux gens ou produit du contenu : transparence, applicable depuis le 2 août 2026, chantier de quelques jours.
- Non, et aucun contact avec des personnes (antispam, logistique interne, optimisation technique) : rien au titre de l'AI Act, le RGPD continue de s'appliquer.
Le piège classique : un outil acheté sur étagère et jamais qualifié. Vous n'avez pas développé l'IA, mais vous en êtes le déployeur, et les obligations vous incombent.
En 30 secondes : suis-je concerné par l'AI Act ?
Tableau de décision rapide selon votre usage de l'IA. Si plusieurs lignes vous concernent, c'est la plus contraignante qui s'applique.
| Votre situation IA | Vous êtes | Échéance | Premier geste |
|---|---|---|---|
| Usage prohibé : notation sociale, manipulation cognitive, biométrie en temps réel en espace public hors cas autorisés. | Interdit | Effectif depuis le 2 février 2025 | Arrêter l'usage immédiatement. |
| Vous fournissez un modèle d'IA à usage général (GPAI) au-dessus des seuils Commission, ou un GPAI à risque systémique. | Concerné | Effectif depuis le 2 août 2025 | Documenter le modèle (article 53), résumé des données d'entraînement, politique droit d'auteur. |
| Système IA haut risque annexe III : tri de CV, scoring crédit, diagnostic santé, évaluation scolaire, justice, biométrie d'identification. | Concerné | 2 décembre 2027 (Digital Omnibus) | Inventaire + classification (méthodologie étapes 1 et 2). |
| Système IA intégré à un produit réglementé annexe I : dispositif médical, machine industrielle, jouet, véhicule, ascenseur. | Concerné | 2 août 2028 | Évaluation de conformité avec le régime sectoriel du produit. |
| Risque limité : chatbot client, génération de contenu marketing, recommandation produit, deepfake clairement identifié. | Concerné | Effectif depuis le 2 août 2026 (marquage machine des systèmes antérieurs : 2 décembre 2026) | Informer l'utilisateur qu'il interagit avec une IA, marquer les contenus de synthèse, étiqueter les hypertrucages. |
| Risque minimal : filtre antispam, IA de jeu, optimisation logistique interne sans impact sur des personnes. | Non concerné | - | Aucune obligation spécifique. Bonnes pratiques volontaires recommandées. |
Cas particulier PME et entreprises de moins de 750 employés : le Digital Omnibus a étendu les facilités initialement réservées aux PME (sandboxes, accompagnement national, allègement documentaire) aux entreprises de moins de 750 salariés. Les montants des sanctions appliquent la règle du moindre entre pourcentage du CA mondial et plafond fixe (article 99(6)).
Cas particulier multi-rôles : si vous êtes à la fois fournisseur (vous mettez l'IA sur le marché sous votre marque) et déployeur (vous l'utilisez en interne), les obligations des deux rôles s'appliquent. Détail dans la section rôles et responsabilités plus bas.
Le calendrier d'application de l'AI Act
L'AI Act n'entre pas en vigueur en une fois. Le règlement prévoit une application échelonnée, avec des dates clés qui rythment la conformité.
Dates clés
- 1er août 2024 : entrée en vigueur du règlement UE 2024/1689.
- 2 février 2025 : les pratiques interdites (risque inacceptable) deviennent effectives : notation sociale, manipulation comportementale, identification biométrique en temps réel dans l'espace public (sauf exceptions).
- 2 août 2025 : obligations pour les modèles d'IA à usage général (GPAI) : GPT, Claude, Mistral, Gemini. Transparence sur les données d'entraînement, respect du droit d'auteur, évaluation des risques systémiques.
- 2 décembre 2027 (échéance repoussée par le Digital Omnibus, règlement UE 2026/1744 en vigueur depuis le 27 juillet 2026) : application des obligations pour les systèmes haut risque de l'annexe III (RH, santé, crédit, justice, éducation, biométrie). CE marking, documentation technique, contrôle humain, enregistrement européen.
- 2 août 2028 (Digital Omnibus) : application de l'article 6(1) pour les systèmes IA intégrés à des produits réglementés annexe I (santé, transports, machines, jouets), avec mise en conformité des fournisseurs GPAI antérieurs à août 2025.
Le calendrier réajusté par le Digital Omnibus laisse aux entreprises qui déploient ou développent des systèmes IA haut risque jusqu'au 2 décembre 2027 pour atteindre la conformité (annexe III autonomes), et jusqu'au 2 août 2028 pour l'article 6(1) (systèmes intégrés annexe I). Les obligations sont substantielles : démarrer l'inventaire et la gap analysis dès 2026 reste la trajectoire raisonnable.
Les quatre niveaux de risque
L'AI Act classe les systèmes IA selon leur niveau de risque. Le niveau détermine les obligations applicables. Connaître à quelle catégorie appartient votre usage IA est la première étape.
1. Risque inacceptable
Usages totalement interdits dans l'Union par l'article 5 : notation sociale, manipulation cognitive, exploitation de vulnérabilités, police prédictive par profilage seul, scraping de visages, inférence d'émotions au travail et à l'école, catégorisation biométrique sensible, identification biométrique en temps réel dans l'espace public (sauf exceptions strictes). Le Digital Omnibus y a ajouté les systèmes conçus pour générer des images intimes non consenties ou des contenus pédocriminels. Sanction : jusqu'à 35 M€ ou 7 % du CA mondial.
2. Risque élevé
Les huit domaines de l'annexe III : identification biométrique à distance, infrastructures critiques, éducation et formation, emploi et RH, accès aux services essentiels (crédit, assurance, aides sociales), application de la loi, contrôle des frontières, justice et processus démocratiques. Un système qui prend ou influence une décision significative sur des personnes dans ces domaines est à haut risque : documentation, contrôle humain, CE marking, enregistrement européen.
3. Risque limité
Chatbots, assistants virtuels, génération de contenu : la catégorie la plus répandue en entreprise. Trois obligations depuis le 2 août 2026 (article 50) : prévenir que l'on dialogue avec une machine, marquer les contenus de synthèse dans un format lisible par machine, étiqueter les hypertrucages. Pas de CE marking. Sursis au 2 décembre 2026 pour le marquage des systèmes antérieurs, exemption pour les contenus à revue éditoriale humaine.
4. Risque minimal
Filtres antispam, recommandations basiques, IA dans les jeux vidéo, optimisation logistique interne sans impact sur des personnes. La grande majorité des usages courants. Aucune obligation au titre de l'AI Act, mais le RGPD, la cybersécurité et le droit du travail continuent de s'appliquer pleinement.
Les huit pratiques interdites en détail (article 5)
- Techniques subliminales ou manipulatrices qui altèrent le comportement et causent un préjudice significatif.
- Exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation économique.
- Notation sociale (social scoring) entraînant un traitement préjudiciable injustifié.
- Prédiction du risque criminel basée uniquement sur le profilage ou des traits de personnalité.
- Création non ciblée de bases de reconnaissance faciale par scraping d'internet ou de CCTV.
- Inférence des émotions sur le lieu de travail et dans les établissements éducatifs (sauf raisons médicales ou de sécurité).
- Catégorisation biométrique déduisant la race, les opinions politiques, la religion ou l'orientation sexuelle.
- Identification biométrique en temps réel dans l'espace public à des fins répressives, sauf exceptions strictes (recherche de victimes, menace imminente, suspects d'infractions graves) avec autorisation judiciaire ou administrative préalable.
Les huit domaines à haut risque (annexe III)
- Identification biométrique à distance (reconnaissance faciale, empreintes, voix).
- Infrastructures critiques : énergie, eau, transport, gestion du trafic.
- Éducation et formation : évaluation des apprenants, admission, allocation de moyens.
- Emploi et RH : tri de CV, évaluation des performances, décisions d'embauche ou de promotion.
- Accès aux services essentiels : crédit bancaire, assurance, aides sociales, services d'urgence.
- Application de la loi : prédiction d'infractions, évaluation de preuves.
- Contrôle des frontières et immigration : évaluation de demandes d'asile ou de visa.
- Administration de la justice et processus démocratiques.
Les obligations pour un système IA haut risque
Si votre système IA tombe dans la catégorie haut risque (annexe III), voici les six obligations concrètes à remplir avant le 2 décembre 2027 (échéance repoussée par le Digital Omnibus).
1. Système de gestion des risques
- Identification et évaluation des risques pour la santé, la sécurité et les droits fondamentaux.
- Processus itératif mis à jour pendant toute la durée de vie du système IA.
- Tests réguliers, analyse des biais, mitigation documentée.
2. Documentation technique exhaustive
- Description détaillée du système IA, architecture, modèles sous-jacents.
- Données d'entraînement, de validation et de test : sources, méthodes de collecte, qualité, biais connus.
- Performances attendues, limites, cas d'usage prévus et cas d'usage explicitement déconseillés.
- Notice d'utilisation à destination du déployeur.
3. Transparence et traçabilité
- Journalisation automatique des événements (logs) sur toute la durée de vie.
- Conservation des logs permettant l'audit et l'explication des décisions du système.
- Information claire à l'utilisateur final qu'il interagit avec un système IA haut risque.
4. Contrôle humain effectif (article 14)
- Le fournisseur doit concevoir le système pour qu'il puisse être efficacement supervisé par des personnes physiques pendant son utilisation (article 14).
- Interface homme-machine permettant de comprendre les capacités et limites du système.
- Capacité d'intervenir, de revoir, contester et corriger les décisions significatives.
- Mécanisme d'arrêt d'urgence permettant de désactiver le système en cas de dysfonctionnement.
- Le déployeur (article 26) doit ensuite mettre en œuvre cette supervision avec des personnes formées et autorisées.
5. Robustesse, précision et cybersécurité
- Niveau de précision documenté, acceptable pour l'usage prévu.
- Résilience aux erreurs, aux attaques adversariales, à la manipulation des entrées.
- Mesures de cybersécurité techniques et organisationnelles alignées avec l'état de l'art.
6. CE marking et enregistrement européen
- Évaluation de conformité avant mise sur le marché (auto-évaluation ou par organisme notifié selon le type).
- Apposition du marquage CE sur le système.
- Enregistrement du système dans la base de données européenne des systèmes IA haut risque.
- Déclaration de conformité UE signée, tenue à disposition des autorités.
Qui est responsable : fournisseur ou déployeur
Le règlement distingue plusieurs rôles avec des obligations distinctes. Comprendre lequel s'applique à votre situation est le prérequis de toute mise en conformité.
Fournisseur (provider)
Entité qui développe le système IA ou le fait développer, et qui le met sur le marché sous son propre nom. Exemples : OpenAI pour GPT, Anthropic pour Claude, Mistral pour ses modèles. Obligations complètes : documentation technique, conformité des données d'entraînement, CE marking, enregistrement européen, surveillance post-commercialisation.
Cas du fine-tuning : un acteur en aval (downstream modifier) ne devient fournisseur GPAI à part entière que si la modification atteint le seuil indicatif de la Commission, soit plus d'un tiers du compute ayant servi à entraîner le modèle d'origine (environ 3×10^21 FLOP avec les seuils actuels). En pratique, la grande majorité des fine-tunings réalisés par les entreprises ne franchit pas ce seuil. Quand il est franchi, seules s'appliquent les obligations spécifiques à la modification (documentation, résumé des données d'entraînement, politique de droit d'auteur) sur les données et le compute ajoutés.
Déployeur (deployer)
Entité qui utilise le système IA dans le cadre de son activité professionnelle, sous sa propre autorité. Exemples : une entreprise qui utilise un outil de tri de CV basé sur IA, un cabinet RH qui déploie un système d'évaluation des candidats, une banque qui automatise le scoring de demandes de crédit avec une solution tierce. Obligations principales (article 26) : utiliser le système conformément à la notice du fournisseur, assigner des personnes compétentes et formées à la supervision humaine, surveiller le fonctionnement et déclarer les incidents graves à l'autorité, conserver les logs au moins six mois, informer les travailleurs avant utilisation sur le lieu de travail, informer les personnes impactées par les décisions.
FRIA (Fundamental Rights Impact Assessment, article 27) : avant la première utilisation, certains déployeurs doivent réaliser une analyse d'impact sur les droits fondamentaux : organismes publics, entités privées fournissant un service public, et déployeurs de systèmes haut risque mentionnés aux points 5(b) et 5(c) de l'annexe III (services essentiels privés comme crédit, assurance vie/santé). Le FRIA est distinct du DPIA RGPD : un DPIA déjà réalisé peut le compléter mais ne le remplace pas.
Importateur et distributeur
L'importateur met sur le marché européen un système IA fabriqué hors UE. Le distributeur met à disposition sur le marché un système fourni par un tiers. Obligations de vérification de la conformité CE avant commercialisation, coopération avec les autorités, retrait du marché en cas de non-conformité constatée.
Les obligations se cumulent, ne se partagent pas. Une entreprise qui utilise ChatGPT Enterprise pour trier des CV doit respecter ses obligations de déployeur même si OpenAI respecte ses obligations de fournisseur. Le déployeur ne peut pas s'exonérer en renvoyant sur le fournisseur.
Chaîne de responsabilité et shadow IA
Cette logique de cumul forme une chaîne de responsabilité où chaque maillon doit pouvoir être identifié si une décision automatisée se trompe sur une personne : le fournisseur du modèle, le déployeur dans son contexte d'usage, et le manager ou l'employé qui utilise concrètement l'outil. Savoir qui assume quoi est précisément ce que le règlement vient mettre noir sur blanc.
En pratique, le sujet le plus difficile à traiter est le "shadow IA" : les usages informels d'outils grand public (ChatGPT gratuit, assistants intégrés à des outils SaaS divers) qui prennent ou aident à des décisions sur des personnes sans contrat, sans journalisation, sans visibilité au niveau direction. Le règlement ne distingue pas l'usage formel et l'usage informel. Dès qu'une décision touche une personne, les obligations s'imposent au déployeur, qu'il en ait eu conscience ou non.
Sanctions
Trois niveaux de sanctions
- Pratiques interdites (risque inacceptable) : jusqu'à 35 millions d'euros ou 7% du CA mondial annuel, le montant le plus élevé étant retenu.
- Autres infractions aux obligations (système haut risque non conforme, défaut de CE marking, transparence manquante) : jusqu'à 15 millions d'euros ou 3% du CA mondial.
- Informations incorrectes ou trompeuses fournies aux autorités : jusqu'à 7,5 millions d'euros ou 1% du CA mondial.
Les PME et startups bénéficient d'une protection mathématique explicite (article 99) : le montant retenu est le moindre entre le pourcentage du CA mondial et le montant fixe en euros, alors que pour les grandes entreprises c'est le plus élevé qui s'applique. Le règlement prévoit aussi des mécanismes de soutien : bacs à sable réglementaires (chaque État membre doit en créer au moins un avant le 2 août 2026), accompagnement par les autorités nationales, documents types.
Autorités compétentes en France et au Luxembourg
Le règlement européen laisse à chaque État membre le soin de désigner ses autorités nationales compétentes. La France et le Luxembourg ont fait des choix différents : système distribué d'un côté, point de contact unique de l'autre.
La CNIL en chef de file
La CNIL (Commission nationale de l'informatique et des libertés) a été désignée autorité de référence pour l'application de l'AI Act en France. Le projet de loi DDADUE volet numérique, validé au Sénat le 17 février 2026, modifie la loi Informatique et libertés de 1978 pour donner à la CNIL ces nouvelles compétences. Une quinzaine d'autorités sectorielles complètent le dispositif selon le domaine d'application du système IA : DGCCRF (consommation), Arcom (audiovisuel et numérique), ACPR (banque, assurance), AMF (marchés financiers), ANSM et HAS (santé), entre autres. L'ANSSI et le PEReN (Pôle d'expertise de la régulation numérique) interviennent en appui technique mutualisé sur les aspects cybersécurité et expertise IA, sans pouvoir d'application directe.
La CNPD, point de contact unique
Le Luxembourg a fait un choix plus centralisé. La CNPD (Commission nationale pour la protection des données) a été désignée dès novembre 2024, plaçant le Luxembourg parmi les premiers États membres à clarifier son cadre national. Elle joue plusieurs rôles : point de contact unique et coordination nationale, autorité de surveillance du marché par défaut, et organisme notifié pour les systèmes IA haut risque utilisés par les autorités répressives, l'immigration ou l'asile. Le projet de loi n° 8476 (introduit le 23 décembre 2024 à la Chambre des députés) précise la répartition entre autorités sectorielles : CSSF (services financiers), CAA (assurance), ILNAS (infrastructures critiques et marchés spécifiques), ALIA (contenu synthétique et deepfakes), ALMPS (dispositifs médicaux), JSA (systèmes IA dans la justice), OLAS (accréditation des organismes d'évaluation). L'ILR (Institut luxembourgeois de régulation) supervise les déployeurs de systèmes IA haut risque qui sont également opérateurs de services essentiels au sens NIS2 (recouvrement direct avec les obligations cybersécurité).
Au niveau européen
L'AI Office de la Commission européenne coordonne l'application au niveau de l'Union et supervise directement les fournisseurs de modèles d'IA à usage général (GPAI). Le European Artificial Intelligence Board (article 65), composé d'un représentant par État membre avec le Contrôleur européen de la protection des données comme observateur, assure la cohérence d'application entre les États membres.
Par où commencer : méthodologie en 5 étapes
Étape 1 : Inventaire des systèmes IA en usage
Recenser tous les systèmes IA utilisés dans l'entreprise : IA intégrée à des outils SaaS (ChatGPT Enterprise, Claude, outils marketing IA, ATS, logiciels RH), IA développée en interne, IA via intégrateurs. Ne pas oublier les usages informels (équipes qui utilisent ChatGPT gratuit en "shadow IA"). Livrable : registre des systèmes IA.
Étape 2 : Classification du risque
Pour chaque système : usage réel, données traitées, personnes impactées. Classification en inacceptable, haut risque, limité ou minimal selon les critères des annexes du règlement. Arbitrage des cas ambigus (par exemple un outil de génération de contenu marketing qui sert aussi à analyser des CV devient haut risque dans le second usage). Livrable : cartographie des risques.
Étape 3 : Gap analysis vs obligations
Pour les systèmes classés haut risque, audit par rapport aux six obligations : documentation disponible, système de gestion des risques en place, transparence et logs, contrôle humain effectif, robustesse démontrée, CE marking obtenu (ou en cours). Livrable : plan de mise en conformité priorisé.
Étape 4 : Mise en conformité
Selon les gaps : production de la documentation technique manquante, mise en place des procédures de contrôle humain, ajout de la journalisation, évaluation de conformité (auto ou par organisme notifié), obtention du CE marking, enregistrement européen. Formation des équipes qui déploient ou supervisent. Budget : 20 000 à 150 000 € HT selon complexité.
Étape 5 : Gouvernance continue
L'AI Act impose une gouvernance continue, pas un projet unique. Mise en place d'un comité IA, revue régulière des systèmes, surveillance des évolutions réglementaires (guidelines AI Office), mise à jour de la documentation. Désignation d'un responsable IA Act dans l'organisation (parfois fusionné avec le rôle DPO).
Durée totale typique : 4 à 7 mois pour une organisation moyenne avec 2 à 5 systèmes haut risque identifiés. Plus long pour les entreprises avec cartographie complexe ou forte culture IA shadow.
Questions fréquentes
Sources officielles
Cet article s'appuie exclusivement sur les textes et publications des autorités compétentes. Chaque échéance citée est vérifiable dans ces documents.
- Règlement (UE) 2024/1689 (AI Act), texte consolidé au Journal officiel de l'Union européenne.
- Règlement (UE) 2026/1744 (Digital Omnibus sur l'IA), publié au Journal officiel de l'UE le 24 juillet 2026, en vigueur le 27 juillet 2026.
- Commission européenne, cadre réglementaire sur l'IA et travaux de l'AI Office.
- CNIL, recommandations et doctrine sur l'intelligence artificielle (France).
- CNPD, autorité de référence et point de contact unique (Luxembourg).
Dernière vérification des sources : 2 août 2026.
Pour aller plus loin
NIS2 : guide de mise en conformité 2026
L'autre grande directive 2026 côté cybersécurité. Calendrier, seuils PME/ETI, obligations, méthodologie. Sanctions jusqu'à 10 M€.
Agence IA, intégrateur ou développeur IA : qui fait quoi en 2026
Grille des 3 segments du marché IA français 2026. Utile pour identifier le bon profil de prestataire sur votre projet IA (et sa conformité).
Notre offre automatisation IA
Intégrateur IA orienté automatisation métier : N8N, agents IA, intégrations CRM/ERP. Mise en œuvre compatible AI Act (contrôle humain, logs, transparence).
Automatisation IA pour PME : guide complet
Cas d'usage concrets, ROI typique, méthodologie de déploiement. Pour savoir ce qui relève du risque limité vs haut risque dans votre cas.
Un projet de mise en conformité AI Act ?
Décrivez votre besoin en quelques lignes. Un référent technique vous répond sous 24 heures ouvrables, sans engagement.