L’AI Act en entreprise : ce qu’il exige et ce qu’il faut faire

Depuis le 2 août 2026, le règlement européen sur l’intelligence artificielle (AI Act) s’applique et les autorités peuvent déjà le superviser. Beaucoup d’entreprises attendent encore 2027 parce qu’elles ont lu qu’il « a été reporté ». Seule une partie l’a été. Cet article explique ce qui est en vigueur aujourd’hui, ce qui vient ensuite et ce que doit faire une organisation qui utilise ou développe de l’IA.

Ce qui est en vigueur et ce qui a été reporté

L’AI Act (règlement (UE) 2024/1689) s’applique par phases. En juillet 2026 est entré en vigueur l’Omnibus numérique sur l’IA (règlement (UE) 2026/1744), qui a reporté les obligations des systèmes à haut risque. Le reste du calendrier n’a pas bougé :

• Depuis le 2 février 2025 : pratiques interdites et obligation de maîtrise de l’IA.
• Depuis le 2 août 2025 : obligations des fournisseurs de modèles d’IA à usage général, comme ceux qui se trouvent derrière GPT, Claude ou Gemini, et structure de gouvernance.
• Depuis le 2 août 2026 : application générale, supervision des autorités et obligations de transparence.
• 2 décembre 2026 : une nouvelle pratique interdite (générer du contenu sexuel non consenti ou du matériel d’abus sexuel d’enfants) et fin du délai pour marquer le contenu généré par l’IA dans les systèmes déjà sur le marché.
• 2 décembre 2027 : obligations de haut risque pour les usages de l’annexe III, comme l’emploi, le crédit, les assurances vie et santé, l’éducation ou les infrastructures critiques.
• 2 août 2028 : haut risque de l’IA intégrée dans des produits réglementés (annexe I).

Ce qui touche le plus le quotidien d’une entreprise est déjà exigible : ce qui est interdit, former ceux qui utilisent l’IA et prévenir quand une personne parle à une IA.

La première question : utilisez-vous l’IA des autres ou mettez-vous la vôtre en service ?

Le règlement répartit les obligations selon le rôle de l’organisation pour chaque système, et presque toutes les entreprises ont les deux :

• Vous êtes déployeur quand vous utilisez, sous votre autorité, un système d’IA d’un tiers : l’assistant d’entreprise, l’agent fourni avec votre CRM, l’outil qui trie les CV.
• Vous êtes fournisseur quand vous développez un système ou un agent, ou le faites développer, et le mettez en service sous votre nom : le chatbot client construit par votre équipe ou un agent interne sur vos données.

Il y a une nuance importante (article 25) : si vous apposez votre nom ou votre marque sur un système à haut risque d’un autre, le modifiez substantiellement ou changez sa destination jusqu’à le rendre à haut risque, vous assumez les obligations du fournisseur. Et construire un agent sur un modèle à usage général ne fait pas de vous le fournisseur du modèle, mais bien celui du système que vous mettez en service.

Ce que vous devez déjà respecter

Pratiques interdites

Depuis février 2025 sont interdits, entre autres, les systèmes qui manipulent les personnes de manière nuisible, la notation sociale, la reconnaissance des émotions au travail et dans les établissements d’enseignement (sauf raisons médicales ou de sécurité) et la catégorisation biométrique pour déduire des données sensibles. C’est l’infraction aux amendes les plus élevées.

En pratique : vérifiez qu’aucun usage, le vôtre ou celui d’un fournisseur, ne relève de ces catégories.

Maîtrise de l’IA

L’article 4 oblige fournisseurs et déployeurs à prendre des mesures pour que leur personnel, et ceux qui utilisent l’IA en leur nom, aient un niveau suffisant de connaissances. La Commission a précisé qu’il n’y a besoin ni d’un certificat ni d’un niveau précis. Ce qu’il faut, c’est une formation adaptée au rôle de chacun et au risque des systèmes utilisés, et il convient de garder trace de ce qui a été fait. Renvoyer le personnel aux instructions d’utilisation ne suffit généralement pas.

En pratique : un programme de formation par profils (qui utilise un assistant, qui décide avec l’aide d’un système, qui le construit) et un registre de ceux qui l’ont reçue. Si un fournisseur utilise de l’IA pour vous, incluez-le dans son contrat.

Transparence

Depuis le 2 août 2026, l’article 50 impose :

• que celui qui parle à un chatbot ou à un agent sache qu’il s’agit d’une IA, sauf si c’est évident ;
• que les fournisseurs d’IA générative marquent le contenu qu’ils génèrent de façon à ce qu’il puisse être détecté ;
• que celui qui publie des deepfakes indique que le contenu est artificiel, et que celui qui publie des textes générés par l’IA pour informer le public sur des questions d’intérêt général le dise aussi, sauf si une personne les a relus et assume la responsabilité éditoriale.

En juin 2026, la Commission a publié un code de bonnes pratiques, volontaire, sur la manière de marquer et d’étiqueter le contenu généré par l’IA, avec une icône européenne commune.

En pratique : passez en revue vos chatbots et agents face au client, vos campagnes et le contenu que vous publiez généré avec l’IA.

Si l’un de vos systèmes est à haut risque

Le haut risque de l’annexe III arrive le 2 décembre 2027, et ce n’est pas beaucoup de temps : il faut savoir quels systèmes le sont, préparer ceux qui les supervisent et avoir les journaux en ordre. Dans une entreprise, les cas les plus courants sont la sélection et l’évaluation de personnes, l’octroi de crédit et la fixation des prix des assurances vie et santé. En mai 2026, la Commission a publié un projet de lignes directrices avec des exemples de ce qui est et n’est pas à haut risque.

Si vous utilisez un système à haut risque d’un tiers, l’article 26 vous demande :

• de l’utiliser selon les instructions du fournisseur ;
• de confier le contrôle humain à des personnes ayant la compétence, la formation et l’autorité pour l’arrêter ;
• si vous contrôlez les données d’entrée, qu’elles soient pertinentes et représentatives ;
• de surveiller son fonctionnement, d’informer le fournisseur des risques et incidents graves et de suspendre l’utilisation en cas de risque ;
• de conserver les journaux qu’il génère au moins six mois ;
• d’informer les travailleurs et leurs représentants avant de l’utiliser au travail, ainsi que les personnes sur lesquelles il décide ou aide à décider.

Les organismes publics, les entreprises qui fournissent des services publics et ceux qui utilisent l’IA pour évaluer la solvabilité ou fixer les prix des assurances vie et santé doivent en outre réaliser une analyse d’impact sur les droits fondamentaux avant de l’utiliser (article 27).

Si vous êtes fournisseur d’un système à haut risque, s’y ajoutent la gestion des risques, la qualité des données, la documentation technique, l’enregistrement automatique des événements, la transparence envers les utilisateurs, la conception pour le contrôle humain, l’exactitude et la robustesse (articles 9 à 15), un système de gestion de la qualité et l’évaluation de la conformité.

Ce que vous risquez

Les amendes maximales sont :

• 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites ;
• 15 millions ou 3 % pour le non-respect des autres obligations, y compris celles de transparence et celles du déployeur ;
• 7,5 millions ou 1 % pour la fourniture d’informations incorrectes aux autorités.

Le montant le plus élevé s’applique, sauf aux PME et aux petites entreprises à moyenne capitalisation, auxquelles s’applique le plus faible. En Espagne, la supervision revient à l’Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), et le projet de loi organique pour le bon usage et la gouvernance de l’IA, qui précise le régime de sanctions, est en cours d’examen aux Cortes.

Par où commencer : un plan en six étapes

1. Faites l’inventaire. Listez tous les systèmes et agents d’IA de l’organisation : les vôtres, ceux des fournisseurs et ceux qui viennent dans les outils que vous utilisez déjà (CRM, bureautique, service client). Pour chacun : à quoi il sert, qui en est responsable, quelles données il utilise et qui est le fournisseur. Sans inventaire, on ne peut rien classer.
2. Classez chaque système par risque et par rôle, avec votre conseil juridique, et consignez le raisonnement.
3. Retirez ce qui est interdit. C’est déjà sanctionnable.
4. Formez les personnes selon leur rôle et conservez le registre.
5. Respectez la transparence dans les chatbots, agents et contenus générés.
6. Préparez le haut risque : désignez qui supervise chaque système, assurez-vous que les journaux sont conservés et définissez comment les incidents sont détectés et notifiés.

L’AI Act n’est pas qu’une affaire d’IT : il implique la direction, le juridique ou la protection des données, l’IT et les ressources humaines.

Le problème de fond : pouvoir le démontrer

Être conforme, ce n’est pas seulement faire : c’est pouvoir le démontrer quand une autorité, un client ou un auditeur le demande. Et c’est là la difficulté. Les entreprises n’ont plus un système d’IA : elles ont des dizaines d’agents de fournisseurs différents, chacun avec ses propres journaux. Avec un inventaire dans un tableur et des documents faits à la main, l’inventaire vieillit, les journaux sont dispersés et le contrôle humain n’est pas tracé.

La façon durable est de tirer la preuve de ce que les systèmes font déjà : quel agent a agi, avec quelles données, avec quel modèle, combien cela a coûté et qui l’a approuvé.

Comment nous vous aidons

Nous le faisons avec notre service AI Governance, sur Regentic.AI, la plateforme d’observabilité et de gouvernance d’agents d’IA dont Zemsania est le distributeur exclusif en Europe :

• Inventaire vivant des agents, bases de connaissances et intégrations, les vôtres et ceux de tiers, connectés sans les réécrire par OpenTelemetry, MCP, REST ou A2A.
• Règles déterministes de coût, de latence, d’erreurs et de données sensibles : d’abord alerter, ensuite bloquer.
• Politiques et approbations là où une personne doit décider, avec le contrôle tracé.
• Preuves de l’AI Act tirées des données réelles, avec des rapports scellés et expliqués en langage naturel pour la direction et pour le délégué à la protection des données.

Nous commençons par un recensement de vos agents, nous les connectons et les observons, puis nous gouvernons. La plateforme apporte la preuve ; la classification du risque est déclarée par votre organisation.

Cet article est informatif et ne remplace pas le conseil juridique de votre organisation.