L'AI Act est le règlement européen sur l'intelligence artificielle. Beaucoup d'articles publiés avant l'été 2026 donnent le 2 août 2026 comme date butoir pour les systèmes à haut risque. Ce n'est plus exact : un paquet de simplification, le « Digital Omnibus », a déplacé ces échéances.
Le calendrier, date par date
Selon la page de la Commission européenne consacrée au cadre réglementaire :
- 2 août 2025 : les règles sur les modèles d'IA à usage général (GPAI) et la gouvernance deviennent applicables.
- 2 août 2026 : application générale du règlement, avec quelques exceptions. Les obligations de transparence de l'article 50 entrent en vigueur à cette date.
- 2 décembre 2027 : les systèmes à haut risque de l'annexe III (recrutement, éducation, biométrie, par exemple) sont concernés. Cette échéance remplace août 2026.
- 2 août 2028 : les systèmes à haut risque intégrés à des produits réglementés (annexe I) sont concernés.
Le paquet « Digital Omnibus » a été adopté le 19 novembre 2025, avec un accord politique le 7 mai 2026, et est entré en vigueur le 27 juillet 2026.
Ce qui s'applique déjà à une PME
Le report ne dispense de rien. La transparence est déjà en vigueur, et elle concerne beaucoup de situations courantes : un chatbot sur un site, un assistant vocal, un contenu généré par IA qui peut être pris pour un contenu humain. Il faut informer la personne qu'elle interagit avec une IA.
Pour une PME, une démarche réaliste tient en quatre étapes :
- Recenser tous les systèmes d'IA utilisés, y compris ceux intégrés à des logiciels tiers.
- Classer chaque système selon son niveau de risque.
- Informer les utilisateurs quand ils interagissent avec une IA.
- Documenter les systèmes à haut risque avant décembre 2027.
Attention aux articles périmés
Le piège, c'est de lire des guides écrits au printemps 2026 qui annoncent août 2026 comme une échéance pour le haut risque. Vérifiez toujours la date de publication du guide, et reportez-vous au texte officiel ou aux pages de la Commission.
Pour comprendre les enjeux de traçabilité et de sécurité côté agents, voir aussi notre article sur les contrôles avant mise en production.
Fournisseur ou utilisateur : deux rôles, deux obligations
L'AI Act distingue le fournisseur, qui développe ou commercialise un système d'IA, et l'utilisateur (ou déployeur), qui l'emploie dans son activité. Une PME qui utilise un chatbot fourni par un éditeur n'a pas les mêmes obligations que l'éditeur, mais elle reste responsable de la façon dont elle l'utilise, et de l'information donnée à ses clients.
Questions à poser à vos fournisseurs
- Le système entre-t-il dans une catégorie à haut risque selon l'annexe III ?
- Quelle information est donnée aux personnes qui interagissent avec le système ?
- Où sont stockées les données, et qui peut les consulter ?
- Quelle documentation technique le fournisseur tient-il à disposition ?
Ces questions se posent dès maintenant, même si les obligations les plus lourdes arrivent plus tard : un contrat signé aujourd'hui doit prévoir la conformité de demain.
Sources
- Commission européenne, « Regulatory framework for AI », consultée le 28 octobre 2026.
- Ce texte ne constitue pas un avis juridique. Pour une mise en conformité, consultez un juriste spécialisé.
