AI Act 2026 : ce qui change le 2 août pour les entreprises
EN BREF
- Date clé : 2 août 2026 — application des règles sur l’IA à haut risque, transparence et sanctions.
- Régulateur en France : la CNIL, désignée officiellement le 12 février 2026.
- Sanction maximale : 35 M€ ou 7 % du chiffre d’affaires mondial.
- Temps de lecture : 7 minutes.
Le 2 août 2026 est désormais entouré au feutre rouge dans le calendrier de tous les juristes, DPO et dirigeants d’entreprise européens. À cette date, la majorité des dispositions de l’AI Act — le règlement européen sur l’intelligence artificielle — devient pleinement applicable. Pour la première fois au monde, un cadre juridique horizontal et contraignant encadre la conception, la commercialisation et l’usage des systèmes d’IA. Et la France, par la voix de la CNIL, vient officiellement d’en devenir le bras armé national.
Cet article fait le point sur ce qui change concrètement, sur les acteurs concernés et sur les actions à engager d’ici la rentrée pour ne pas se retrouver hors-clous au moment de l’entrée en vigueur.
1. Un calendrier à plusieurs étages
L’AI Act est entré en vigueur le 1er août 2024, mais son application a été échelonnée pour laisser aux entreprises le temps de s’adapter.
| Date | Ce qui s’applique |
|---|---|
| 2 février 2025 | Pratiques interdites (notation sociale, manipulation comportementale, biométrie en temps réel) |
| 2 août 2025 | Obligations sur les modèles d’IA à usage général (GPT, Claude, Gemini) |
| 2 août 2026 | IA à haut risque, transparence (article 50), base d’enregistrement, sanctions |
| 2 décembre 2026 | Étiquetage obligatoire des contenus générés par IA |
| 2 août 2027 | IA haut risque intégrées à des produits régulés (jouets, dispositifs médicaux, machines) |
Le Digital Omnibus de mai 2026
Le 7 mai 2026, le Conseil et le Parlement européens ont conclu un accord politique provisoire destiné à simplifier l’AI Act. Deux assouplissements méritent d’être retenus :
- le délai pour mettre en place les bacs à sable réglementaires nationaux est repoussé au 2 août 2027 ;
- la grâce pour appliquer les obligations de transparence sur les contenus générés par IA est ramenée de 6 à 3 mois, fixant le 2 décembre 2026 comme nouvelle échéance.
2. Quels systèmes sont concernés ?
L’AI Act repose sur une approche par les risques. Quatre catégories coexistent et imposent des obligations très différentes.
Risque inacceptable (interdit). Notation sociale par les pouvoirs publics, manipulation cognitive ciblant les personnes vulnérables, reconnaissance biométrique à distance en temps réel dans l’espace public.
Risque élevé (Annexe III). Éducation et formation professionnelle, gestion de l’emploi (tri de CV, évaluation des salariés), accès aux services essentiels (crédit, prestations sociales), application de la loi, justice, migration, dispositifs médicaux. Autorisés mais soumis à de lourdes obligations.
Risque limité. Chatbots, assistants conversationnels, contenus générés par IA. L’obligation principale est la transparence : l’utilisateur doit savoir qu’il interagit avec une machine ou consulte un contenu synthétique.
Risque minimal. La grande majorité des usages courants (filtres anti-spam, IA dans les jeux, recommandations basiques). Aucune obligation spécifique.
Pour les organisations qui développent ou déploient un système classé haut risque, l’addition est conséquente : système de gestion des risques, qualité des données documentée, journalisation automatique, supervision humaine effective, robustesse, cybersécurité, déclaration de conformité avant mise sur le marché et enregistrement dans la base de données européenne.
3. La CNIL, régulateur national de l’IA
Le 12 février 2026, le gouvernement français a déposé l’amendement n°442 modifiant la loi Informatique et Libertés pour confier à la CNIL la mise en œuvre de l’AI Act en droit interne. L’autorité, déjà référente pour le RGPD, hérite donc d’une mission élargie.
Concrètement, elle dispose désormais du pouvoir de :
- sanctionner les pratiques interdites (jusqu’à 35 millions d’euros ou 7 % du CA mondial),
- auditer la transparence des systèmes haut risque,
- instruire les plaintes émanant de salariés, candidats, patients ou usagers.
La CNIL a accumulé 486 millions d’euros d’amendes RGPD sur les douze derniers mois — la même rigueur s’appliquera à l’AI Act.
Son programme de travail 2026 confirme deux secteurs prioritaires : le travail (recrutement algorithmique, surveillance des salariés, transcriptions automatiques en centre d’appels et visioconférence) et la santé (consultation publique HAS-CNIL ouverte jusqu’au 16 avril 2026 sur le bon usage de l’IA dans le soin).
4. Trois actions concrètes à engager avant l’été
Action 1 — Cartographier ses systèmes d’IA
L’angle mort le plus fréquent est tout simplement de ne pas savoir où l’IA est utilisée dans l’entreprise. Outils RH, CRM, solutions de cybersécurité, plateformes marketing intègrent souvent des fonctions d’IA sans que la DSI en ait une vision consolidée. Première étape : recenser tous les systèmes, identifier le fournisseur, la finalité, les données traitées et le niveau de risque.
Action 2 — Former les équipes à la « littératie IA »
L’article 4 du règlement impose à toutes les organisations de garantir un « niveau suffisant de littératie en matière d’IA » à leurs collaborateurs. Cette obligation est en vigueur depuis février 2025 et concerne tout le monde, du dirigeant au technicien support. Politique interne, modules de formation et référent IA dédié constituent le minimum vital.
Action 3 — Mettre à jour les contrats fournisseurs
Si vous achetez une solution intégrant de l’IA, vous êtes déployeur au sens de l’AI Act. Révisez les contrats SaaS pour obtenir : la documentation technique, les engagements sur la qualité des données d’entraînement, les clauses de coopération en cas d’audit CNIL, et les modalités d’opt-out sur l’entraînement des modèles.
5. Et le RGPD dans tout ça ?
L’AI Act ne remplace pas le RGPD : il s’y superpose. Tout traitement de données personnelles par un système d’IA reste pleinement soumis au RGPD et, depuis septembre 2025, à l’EU Data Act qui impose la portabilité et l’interopérabilité. La directive NIS2 ajoute, pour les opérateurs critiques, des obligations renforcées de cybersécurité.
Cette « triade réglementaire » (RGPD + NIS2 + Data Act) constitue désormais l’armature de la gouvernance numérique européenne, à laquelle l’AI Act apporte un quatrième pilier. La conformité ne se conçoit plus en silos mais comme un système intégré, avec un DPO et un référent IA qui doivent travailler main dans la main.
6. Une opportunité, pas seulement une contrainte
Au-delà du juridique, l’AI Act crée une différenciation par la confiance. Dans un monde saturé d’offres SaaS « IA-powered » dont la robustesse et l’éthique restent floues, afficher un système conforme et auditable devient un argument commercial. Les premiers retours du terrain montrent déjà que les directions achats des grands comptes intègrent la conformité AI Act dans leurs grilles d’évaluation fournisseurs.
Pour les TPE et PME, l’enjeu n’est pas de tout révolutionner mais d’aborder la conformité par étapes, en s’appuyant sur les outils gratuits proposés par la CNIL et sur les futurs bacs à sable réglementaires nationaux. Reporter le sujet à 2027 serait une erreur stratégique : les contrôles commenceront dès la rentrée 2026 et la jurisprudence se construira vite.
À retenir
- 2 août 2026 : application des règles haut risque, transparence, sanctions.
- 2 décembre 2026 : étiquetage obligatoire des contenus générés par IA.
- Régulateur français : la CNIL, avec pouvoirs de sanction, audit et plaintes.
- Sanctions : jusqu’à 35 M€ ou 7 % du CA mondial.
- À faire dès maintenant : cartographier, former, réviser les contrats.
Cet article s’inscrit dans la veille numérique mensuelle de Num Compagny.
