AI Act : ce qui change pour une application qui utilise l'IA

L'AI Act, le règlement (UE) 2024/1689, est entré en vigueur le 1^er août 2024 et s'applique par étapes. Pour une entreprise qui fait développer une application utilisant l'IA, l'essentiel est déjà applicable : les pratiques interdites depuis le 2 février 2025, les règles de transparence depuis le 2 août 2026. Les obligations des systèmes à haut risque ont en revanche été reportées au 2 décembre 2027, voire au 2 août 2028, par un règlement de simplification publié en juillet 2026.

Cet article fait le point au 23 octobre 2026, dans des termes généraux. Il ne remplace pas un conseil juridique : si votre application touche un domaine sensible (recrutement, crédit, santé, éducation), faites valider votre analyse par un avocat spécialisé.

Le calendrier, après le report de juillet 2026

Le règlement (UE) 2024/1689 fixait ses dates à l'article 113. Le Conseil a adopté le 29 juin 2026 l'« omnibus numérique sur l'IA », devenu le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026 et entré en vigueur trois jours plus tard, juste avant l'échéance générale du 2 août 2026. Il modifie plusieurs de ces dates.

Trois précisions. Les deux nouvelles interdictions visent les systèmes qui génèrent des images intimes d'une personne identifiable sans son consentement, et les contenus pédocriminels. Le délai au 2 décembre 2026 pour le marquage des contenus générés ne vaut que pour les systèmes mis sur le marché avant le 2 août 2026. Enfin, l'obligation de maîtrise de l'IA (article 4) a été assouplie : fournisseurs et déployeurs doivent désormais « prendre des mesures » pour la favoriser auprès de leurs équipes, plutôt que la garantir.

Fournisseur ou déployeur : quel est votre rôle ?

L'AI Act répartit les obligations selon le rôle, défini à son article 3.

• Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. C'est lui qui porte l'essentiel des obligations de conception.
• Le déployeur utilise un système d'IA sous son autorité, dans un cadre professionnel. Ses obligations portent sur l'usage : suivre la notice, assurer un contrôle humain, informer les personnes concernées.

Le point qui surprend : une entreprise qui fait construire une application d'IA par un prestataire, puis la met en service sous son nom, peut être fournisseur, même sans avoir écrit une ligne de code. L'article 25 prévoit aussi qu'un déployeur devient fournisseur s'il appose son nom sur un système à haut risque ou le modifie substantiellement. Le fournisseur du modèle de langage sous-jacent a, de son côté, ses propres obligations au titre des modèles à usage général.

Dans un modèle où le prestataire reste éditeur et exploitant de l'application, la répartition change. Dans tous les cas, elle doit être écrite dans le contrat : qui est fournisseur, qui fournit la documentation, qui conserve les journaux.

Les quatre niveaux de risque

Interdit. L'article 5 interdit notamment la manipulation par des techniques subliminales, l'exploitation des vulnérabilités, la notation sociale, et la déduction des émotions d'une personne sur le lieu de travail ou dans un établissement d'enseignement, sauf raisons médicales ou de sécurité. Une fonction « d'analyse de l'humeur des salariés » ne se discute donc pas : elle est interdite depuis février 2025.

Haut risque. L'annexe III liste les domaines concernés : biométrie, infrastructures critiques, éducation, emploi et gestion des salariés (tri de CV, évaluation des performances, attribution des tâches selon le comportement), accès aux services essentiels (solvabilité, tarification de l'assurance vie et santé), répression, migration, justice. Un système de l'annexe III peut échapper au haut risque s'il n'influence pas substantiellement la décision, par exemple s'il exécute une tâche procédurale étroite (article 6, paragraphe 3) ; le fournisseur doit alors documenter son analyse. Un système de l'annexe III qui effectue un profilage de personnes reste toujours à haut risque.

Transparence. L'article 50 impose d'informer une personne qu'elle interagit avec une IA, sauf si c'est évident, de marquer les contenus générés dans un format lisible par machine, et de signaler les hypertrucages.

Risque minimal. La majorité des fonctions d'une application métier, comme celles décrites dans notre article sur l'IA dans une application métier, n'ont pas d'obligation spécifique au-delà de la maîtrise de l'IA.

Ce que la plupart des entreprises doivent faire dès maintenant

1. Inventorier les fonctions d'IA de vos applications et classer chacune dans un niveau de risque.
2. Vérifier qu'aucune n'est interdite, en particulier autour des salariés.
3. Appliquer la transparence : mention claire quand un utilisateur parle à un assistant, marquage des contenus générés quand vous en êtes le fournisseur.
4. Former les équipes qui utilisent ou paramètrent ces fonctions.
5. Documenter l'analyse quand un usage touche un domaine de l'annexe III sans être à haut risque.

L'AI Act ne remplace pas le RGPD : dès que des données personnelles passent par l'IA, les deux s'appliquent. Les obligations RGPD sont détaillées dans notre article dédié.

Si votre usage est à haut risque

Le fournisseur doit mettre en place une gestion des risques, une gouvernance des données d'entraînement, une documentation technique, une journalisation automatique, un contrôle humain effectif, et passer une évaluation de conformité avant la mise sur le marché, avec enregistrement dans la base de données de l'Union. Le déployeur, selon l'article 26, doit utiliser le système conformément à sa notice, confier le contrôle humain à des personnes compétentes et formées, veiller à la pertinence des données d'entrée qu'il maîtrise, et surveiller le fonctionnement.

Le report à décembre 2027 donne du temps, pas une exemption. Une application de tri de candidatures conçue aujourd'hui doit l'être en prévoyant ces exigences, sans quoi il faudra la reprendre avant l'échéance.

Les sanctions

L'article 99 fixe des plafonds d'amendes administratives :

Pour les PME et les jeunes entreprises, c'est le plus bas des deux montants qui s'applique. Le règlement 2026/1744 étend cette règle aux « petites entreprises de taille intermédiaire » (small mid-caps) pour les deux dernières lignes.

Ce qu'il faut écrire dans le contrat avec votre prestataire

• le rôle de chacun au sens de l'AI Act, fonction par fonction ;
• la liste des modèles d'IA utilisés et de leurs fournisseurs ;
• la documentation et les journaux remis au client ;
• la conduite à tenir si un usage change de niveau de risque.

Ces clauses s'ajoutent à celles d'un contrat de développement classique, détaillées dans notre article sur les clauses à vérifier. Les lignes directrices de la Commission et les normes techniques continuent de paraître : vérifiez leur état sur la page de la Commission européenne avant de figer une décision.

Par où commencer

Faites la liste des fonctions d'IA envisagées et posez, pour chacune, la question du niveau de risque avant d'écrire le cahier des charges. Chez LPR Studio, le prototype visuel est gratuit et présenté en visio sous 5 jours ouvrés : il montre où l'IA intervient, où l'utilisateur valide et ce qui s'affiche pour l'informer. Notre démarche part toujours de là.