Dans moins de deux mois, une échéance majeure va remodeler le paysage réglementaire de l’intelligence artificielle en Europe. Le 2 août 2026, le gros des dispositions de l’EU AI Act entre en vigueur — y compris les obligations pour les systèmes à haut risque, les exigences de transparence, et la mise en place de sandboxes réglementaires dans chaque État membre.
Pour les entreprises qui utilisent, développent ou déploient de l’IA, ce n’est plus une question de planification à long terme. C’est une question de conformité opérationnelle dans les prochaines semaines.
Rappel : l’EU AI Act, c’est quoi exactement ?
L’EU AI Act (Règlement IA) est la première loi complète au monde régulant l’intelligence artificielle. Adopté officiellement et publié au Journal Officiel de l’Union Européenne le 12 juillet 2024, il a une architecture à niveaux de risque.
Le calendrier d’application (désormais accéléré)
L’application s’est faite par étapes :
- Août 2024 : Entrée en vigueur (sans application des obligations)
- Février 2026 : Obligations relatives aux pratiques IA interdites (systèmes de notation sociale, manipulation sublimale, etc.)
- 🚨 2 août 2026 : L’essentiel du règlement s’applique — c’est la date clé
- Août 2027 : Obligations pour certains systèmes à haut risque dans des produits réglementés (médical, aviation, etc.)
Le 2 août 2026 est donc le grand moment de vérité pour la majorité des acteurs.
Ce qui s’applique à partir du 2 août 2026
1. Les systèmes à haut risque
C’est le cœur du règlement. Les fournisseurs et déployeurs de systèmes IA à haut risque doivent être en conformité. Qu’est-ce qu’un système à haut risque ?
La liste est large et couvre des secteurs clés :
- Infrastructures critiques : IA dans les réseaux électriques, eau, transport
- Éducation : systèmes qui notent des examens ou sélectionnent des étudiants
- Emploi : logiciels de tri de CV, évaluation de la performance, scoring de candidats
- Services essentiels : scoring de crédit bancaire, évaluation de solvabilité, primes d’assurance
- Biométrie : identification à distance, reconnaissance d’émotions, catégorisation
- Application de la loi : outils d’évaluation de la fiabilité de preuves, profilage
- Migration et contrôle aux frontières : examen automatisé de visas
- Justice : IA d’assistance aux décisions judiciaires
Pour ces systèmes, les obligations incluent :
- Documentation technique complète et mise à jour
- Gestion des risques formalisée tout au long du cycle de vie
- Gouvernance des données d’entraînement (biais, représentativité)
- Logs et traçabilité automatique
- Supervision humaine maintenue dans le processus décisionnel
- Exactitude, robustesse, cybersécurité garanties
- Notice de conformité avant mise sur le marché
2. Les obligations pour les autorités publiques
Les fournisseurs et déployeurs de systèmes à haut risque destinés à être utilisés par des autorités publiques devaient être en conformité depuis le 2 août 2026. Pour les marchés publics IA, la barre réglementaire est donc déjà haute.
3. Les sandboxes réglementaires
Chaque État membre est tenu d’avoir établi au minimum un sandbox IA réglementaire opérationnel d’ici le 2 août 2026. Ces espaces permettent aux entreprises innovantes de tester des applications IA dans des conditions contrôlées, avec une supervision réglementaire, avant déploiement commercial.
En France, l’ANSSI et la CNIL ont travaillé sur ces dispositifs — une opportunité pour les startups IA françaises d’obtenir un “label” implicite de conformité avant de commercialiser.
Ce qui est interdit (depuis février 2026)
Quelques pratiques sont purement et simplement interdites depuis le 2 février 2026 :
- Systèmes de notation sociale par des autorités publiques (scoring citoyen à la chinoise)
- Manipulation subliminale ou exploitation de vulnérabilités psychologiques
- Identification biométrique en temps réel dans les espaces publics (sauf exceptions très limitées pour les forces de l’ordre)
- Évaluation des émotions dans les lieux de travail et établissements scolaires (avec exceptions)
- Profilage pour prédire des comportements criminels basé sur des caractéristiques personnelles
Ce que les entreprises doivent faire MAINTENANT
Le temps presse. Voici un plan d’action pratique pour les entreprises qui n’ont pas encore entamé leur mise en conformité.
Étape 1 : Cartographie des systèmes IA (semaines 1-2)
La première étape est un inventaire complet de tous les systèmes IA utilisés dans l’entreprise — qu’ils soient développés en interne ou achetés à des tiers. Pour chacun, il faut déterminer :
- Dans quelle catégorie de risque il tombe (haut risque, risque limité, risque minimal)
- Qui est “fournisseur” et qui est “déployeur” au sens du règlement
- Quelles données il utilise et comment
Étape 2 : Évaluation des gaps de conformité (semaines 3-4)
Pour les systèmes identifiés comme à haut risque, réaliser un gap analysis par rapport aux obligations du règlement :
- Existe-t-il une documentation technique ?
- Un processus de gestion des risques est-il formalisé ?
- Les logs sont-ils conservés et accessibles ?
- La supervision humaine est-elle garantie dans les processus décisionnels critiques ?
Étape 3 : Plan de remédiation et gouvernance
Selon les gaps identifiés, définir un plan de remédiation priorisé. Les systèmes à haut risque déjà en production dans des domaines réglementés (RH, crédit, recrutement) sont prioritaires.
Il faut également désigner un responsable de la conformité IA — rôle émergent qui va devenir aussi courant que le DPO (Data Protection Officer) créé par le RGPD.
Étape 4 : Contrats fournisseurs
Si vous achetez des systèmes IA à des tiers (SaaS IA, APIs de modèles), vérifiez que vos contrats incluent :
- La documentation technique requise par l’AI Act
- Des garanties sur la gestion des données d’entraînement
- Des clauses d’audit
Les grands fournisseurs IA (OpenAI, Google, Anthropic, Mistral) ont tous commencé à publier des documents de conformité AI Act. Mais c’est au déployeur de s’assurer que l’usage concret respecte les obligations — la responsabilité ne se délègue pas entièrement au fournisseur.
Les sanctions : jusqu’à 35 millions d’euros ou 7% du CA mondial
Le règlement prévoit des amendes significatives, sur le modèle du RGPD :
| Violation | Amende maximale |
|---|---|
| Pratiques interdites (art. 5) | 35 M€ ou 7% du CA mondial (le plus élevé) |
| Non-conformité systèmes haut risque | 15 M€ ou 3% du CA mondial |
| Informations incorrectes aux autorités | 7,5 M€ ou 1% du CA mondial |
Pour les PME et startups, des règles proportionnées s’appliquent — les plafonds sont calculés sur le chiffre d’affaires effectif, avec un plancher adapté.
La position française : entre ambition et pragmatisme
La France a adopté une approche double. D’un côté, elle soutient une régulation forte de l’IA pour protéger les citoyens européens. De l’autre, elle a milité pour ne pas étouffer l’innovation — notamment dans le contexte de la montée en puissance de Mistral AI et d’autres champions français.
Le Digital Omnibus (mentionné dans une précédente analyse de l’EU AI Act comme potentiel report de certaines obligations à décembre 2027) a finalement eu un impact limité sur le calendrier du 2 août. Les obligations essentielles s’appliquent bien à cette date.
Pour l’écosystème startup français — avec des acteurs comme Mistral AI, Dust, ou AMI Labs — la conformité AI Act est un passage obligé pour accéder aux marchés enterprise européens. Mais c’est aussi un avantage compétitif face à des acteurs américains ou asiatiques moins familiers avec ce cadre.
Les ressources disponibles
Pour les entreprises qui veulent aller plus loin :
- artificialintelligenceact.eu : le site de référence avec le texte complet et la timeline
- digital-strategy.ec.europa.eu : les ressources officielles de la Commission européenne
- CNIL : publie des guides pratiques pour les entreprises françaises
- AI Regulatory Sandbox : contacter l’ANSSI pour les démarches
Ce qu’il faut retenir
- Le 2 août 2026, la majorité des dispositions de l’EU AI Act entre en vigueur
- Les systèmes IA à haut risque (RH, crédit, sécurité, biométrie, justice) sont soumis à des obligations strictes de documentation, traçabilité et supervision humaine
- Les pratiques interdites (scoring social, manipulation, identification biométrique en temps réel) sont applicables depuis février 2026
- Chaque État membre doit avoir un sandbox IA réglementaire opérationnel
- Sanctions : jusqu’à 35 M€ ou 7% du CA mondial pour les violations les plus graves
- Plan d’action prioritaire : inventaire des systèmes IA → gap analysis → remédiation → gouvernance
- Pour les startups françaises, la conformité AI Act est un avantage compétitif sur les marchés enterprise européens
- Il reste moins de 7 semaines : le moment d’agir, c’est maintenant
