AI Act et European AI Act : obligations, calendrier et plan d’action pour les entreprises depuis le 02/08/2026

Pour une organisation française, la priorité consiste désormais à recenser les usages, déterminer son rôle pour chaque système, écarter les pratiques interdites, qualifier les niveaux de risque et documenter une gouvernance proportionnée. Ce guide explique les exigences applicables, les échéances actualisées et les actions à conduire par les directions, DSI, services juridiques, DPO, RH, marketing et communication.

Information importante : cet article fournit une information générale et une méthode de préparation. Il ne constitue pas un avis juridique adapté à une situation particulière. Une qualification incertaine, un système à haut risque ou un traitement sensible doit être examiné avec le juriste, le DPO et, si nécessaire, un conseil spécialisé.

Ce qu’il faut retenir :

• L’AI Act concerne les concepteurs et vendeurs de solutions, mais aussi les organisations qui utilisent professionnellement des systèmes d’IA.
• Les obligations dépendent du rôle de l’organisation, de la destination du système et de son niveau de risque, pas simplement du nom commercial de l’outil.
• Les premières pratiques interdites s’appliquent depuis le 2 février 2025 et les organisations doivent prendre des mesures adaptées pour favoriser la maîtrise de l’IA par les personnes qui utilisent ces systèmes pour leur compte.
• Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026, notamment pour certains chatbots, deepfakes et contenus d’intérêt public.
• Les règles relatives aux systèmes à haut risque de l’annexe III s’appliqueront le 2 décembre 2027 ; celles de l’annexe I, le 2 août 2028.
• L’AI Act complète le RGPD : une organisation peut devoir respecter simultanément les deux règlements.
• Les sanctions maximales peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial selon la nature du manquement, avec des règles de plafonnement particulières pour les PME.

Qu’est-ce que l’AI Act ou European AI Act ?

L’AI Act est le règlement européen (UE) 2024/1689 qui établit des règles harmonisées pour la mise sur le marché, la mise en service et l’utilisation de systèmes d’intelligence artificielle dans l’Union européenne. Son objectif est de soutenir un marché intérieur de l’IA tout en assurant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux. 

Les expressions « AI Act », « European AI Act », « EU AI Act », « règlement IA » et « règlement européen sur l’intelligence artificielle » désignent donc le même cadre réglementaire. Le terme anglais est très utilisé dans les entreprises, tandis que les sources françaises institutionnelles emploient fréquemment « règlement sur l’intelligence artificielle » ou « règlement IA ».

Le règlement suit une logique fondée sur les risques. Il interdit certains usages, impose des exigences renforcées aux systèmes à haut risque, prévoit des obligations de transparence pour certains systèmes et laisse la plupart des usages à faible risque sans obligation sectorielle spécifique au titre de cette classification. 

Un règlement applicable au-delà des seules entreprises européennes

Le champ territorial est large. L’AI Act vise notamment les fournisseurs qui mettent un système ou un modèle d’IA à usage général sur le marché de l’Union, les déployeurs établis dans l’Union, les importateurs et les distributeurs. Il peut aussi concerner des fournisseurs ou déployeurs établis dans un pays tiers lorsque les sorties produites par le système sont utilisées dans l’Union européenne. 

Une entreprise française ne peut donc pas considérer qu’un service échappe au règlement uniquement parce que son éditeur ou son infrastructure est situé hors de l’Union. Elle doit vérifier le rôle de chaque acteur, le contrat, la destination du système et l’usage réel des sorties.

Qu’est-ce qu’un système d’IA au sens du règlement ?

Le règlement définit un système d’IA comme un système automatisé conçu pour fonctionner avec différents niveaux d’autonomie, susceptible de s’adapter après son déploiement et qui déduit, à partir des données reçues, comment générer des prédictions, des contenus, des recommandations ou des décisions pouvant influencer un environnement physique ou virtuel. 

Cette définition ne signifie pas que tout logiciel, toute règle métier ou toute automatisation est une IA. Les lignes directrices de la Commission invitent à examiner concrètement le fonctionnement du système, sa capacité d’inférence, ses entrées, ses sorties, son autonomie et son influence sur l’environnement. Ces lignes directrices constituent une aide officielle à l’interprétation, mais elles ne sont pas juridiquement contraignantes ; l’interprétation définitive appartient à la Cour de justice de l’Union européenne. 

Système d’IA et modèle d’IA à usage général : deux notions différentes

Un modèle d’IA à usage général, ou GPAI pour general-purpose AI, est un modèle capable d’accomplir une large variété de tâches et pouvant être intégré à de nombreux systèmes. Un grand modèle de langage peut servir de composant à un assistant de rédaction, un moteur de recherche interne, un chatbot ou un outil d’aide à la décision.

Le modèle et le système final ne se confondent pas. Les fournisseurs de modèles GPAI relèvent d’un régime spécifique portant notamment sur la documentation, la transparence et le droit d’auteur, avec des exigences supplémentaires pour les modèles présentant un risque systémique. Le système construit à partir de ce modèle doit, quant à lui, être analysé selon sa destination et son risque. Le code européen de bonnes pratiques GPAI est volontaire, mais il a été reconnu comme un outil adéquat permettant aux signataires de démontrer leur conformité. 

Pourquoi l’AI Act concerne aussi les entreprises et associations qui utilisent l’IA ? 

Une organisation utilisant un système d’IA sous sa propre autorité dans le cadre d’une activité professionnelle est généralement un déployeur au sens de l’AI Act. Cette définition couvre les entreprises privées, associations, administrations, établissements publics et autres personnes morales, quelle que soit leur taille.

Le règlement ne concerne donc pas uniquement les entreprises qui entraînent des modèles ou éditent des logiciels. Une PME utilisant un outil de présélection de candidatures, une association mettant en ligne un chatbot, un service communication générant une vidéo réaliste ou une DSI intégrant un modèle de langage à un outil interne doit au minimum identifier son rôle et qualifier l’usage.

Lorsque des salariés, freelances ou prestataires utilisent le système pour le compte et sous le contrôle d’une personne morale, cette personne morale reste le déployeur. L’entreprise ne peut pas transférer automatiquement sa responsabilité opérationnelle à l’utilisateur individuel en invoquant simplement l’usage d’un service tiers. 

Fournisseur, déployeur, importateur ou distributeur : identifier son rôle

Rôle	Définition simplifiée	Exemple	Point de vigilance
Fournisseur	Développe ou fait développer un système ou un modèle d’IA et le met sur le marché ou en service sous son nom ou sa marque.	Un éditeur propose un assistant conversationnel sous sa propre marque.	Il assume les obligations de conception, de documentation et de conformité applicables au système.
Déployeur	Utilise un système d’IA sous sa propre autorité dans un cadre professionnel.	Une entreprise utilise un outil d’IA pour la relation client, le recrutement ou la production de contenus.	Elle doit respecter les obligations liées à l’usage, au risque et à la transparence.
Importateur	Met sur le marché européen un système portant le nom ou la marque d’un acteur établi dans un pays tiers.	Une société européenne introduit dans l’Union une solution IA conçue par un éditeur non européen.	Elle doit vérifier les éléments de conformité requis avant la mise sur le marché.
Distributeur	Met un système d’IA à disposition dans la chaîne d’approvisionnement sans être le fournisseur ou l’importateur.	Un revendeur commercialise une solution d’IA d’un éditeur tiers.	Il assume des devoirs de contrôle et de coopération propres à son rôle.
Fabricant de produit	Met sur le marché un produit réglementé intégrant un système d’IA sous son nom ou sa marque.	Un fabricant commercialise un dispositif médical comportant un composant d’IA.	L’analyse doit articuler l’AI Act avec la réglementation sectorielle du produit.

Une même organisation peut cumuler plusieurs rôles. Un éditeur peut être fournisseur pour le produit qu’il vend et déployeur pour les outils d’IA utilisés par ses équipes. Le registre interne doit donc qualifier le rôle système par système, et non attribuer une étiquette unique à l’entreprise.

Quand un déployeur peut devenir fournisseur

Un déployeur, importateur, distributeur ou autre tiers peut être considéré comme le fournisseur d’un système à haut risque lorsqu’il le commercialise sous son propre nom ou sa propre marque, lui apporte une modification substantielle ou en modifie la destination de manière à le transformer en système à haut risque. 

Cette règle est particulièrement importante pour les DSI et éditeurs qui personnalisent fortement une solution tierce. Ajouter une interface ou paramétrer un outil ne produit pas automatiquement ce changement de rôle, mais une transformation profonde, un rebranding ou un nouvel usage sensible doit déclencher une analyse documentée. La répartition contractuelle des tâches est nécessaire, sans toujours suffire à modifier la qualification réglementaire résultant des faits.

Quelles sont les 4 catégories de risque de l’AI Act ?

La Commission européenne présente l’AI Act selon quatre niveaux pédagogiques : le risque inacceptable, le haut risque, le risque de transparence et le risque minimal ou nul. Cette grille aide à comprendre le règlement, mais la qualification juridique doit toujours être rattachée aux articles et annexes applicables. 

Catégorie	Principe	Exemples	Réponse attendue
Risque inacceptable	Certaines pratiques sont interdites.	Manipulation préjudiciable, exploitation de vulnérabilités, notation sociale ou certains usages biométriques.	Ne pas déployer, arrêter l’usage et procéder à une analyse juridique immédiate.
Haut risque	L’usage peut affecter fortement la sécurité, la santé ou les droits fondamentaux.	Recrutement, gestion des travailleurs, éducation, solvabilité, infrastructures critiques ou certains usages biométriques.	Mettre en place les exigences renforcées correspondant au rôle de l’organisation.
Risque de transparence	La personne doit être informée de l’interaction ou de la nature artificielle de certains contenus.	Chatbot, agent, avatar, deepfake ou certains textes d’intérêt public.	Informer clairement, étiqueter ou marquer selon le cas.
Risque minimal ou nul	Aucune obligation spécifique n’est attachée à cette catégorie au titre de l’approche par les risques.	Usage auxiliaire ou à faible impact, selon son fonctionnement réel.	Maintenir une gouvernance volontaire et respecter le RGPD, la cybersécurité, le droit du travail et les autres lois applicables.

Les pratiques interdites

Les pratiques interdites sont celles que le législateur européen juge incompatibles avec les valeurs de l’Union ou présentant un risque inacceptable pour les personnes. Les premières interdictions sont applicables depuis le 2 février 2025. 

Elles couvrent notamment, sous les conditions précises de l’article 5, les systèmes utilisant des techniques manipulatrices ou trompeuses causant un préjudice important, ceux qui exploitent certaines vulnérabilités liées à l’âge, au handicap ou à la situation socio-économique, la notation sociale, certaines formes de prédiction de criminalité, la constitution de bases de reconnaissance faciale par collecte non ciblée d’images, certains systèmes d’inférence des émotions sur le lieu de travail ou dans l’enseignement, certaines catégorisations biométriques et l’identification biométrique à distance en temps réel à des fins répressives, sauf exceptions très encadrées. 

Le règlement modificatif de 2026 ajoute des interdictions visant certains systèmes générant des contenus sexuels explicites ou intimes non consentis et du matériel d’abus sexuels sur mineurs. Ces nouvelles dispositions s’appliqueront le 2 décembre 2026. 

Une entreprise ne doit pas résumer cette vérification à une case « usage interdit : oui ou non » remplie par le seul fournisseur. Elle doit documenter la finalité prévue, la population touchée, les données utilisées, le contexte concret et les effets raisonnablement prévisibles.

Les systèmes d’IA à haut risque

Les systèmes à haut risque se répartissent principalement entre deux ensembles. Le premier concerne certains systèmes liés à des produits réglementés par les textes de l’annexe I. Le second regroupe les cas d’usage de l’annexe III, parmi lesquels figurent notamment les infrastructures critiques, l’éducation, l’emploi et la gestion des travailleurs, l’accès à certains services essentiels, certains usages biométriques, l’application de la loi, la migration, la justice et les processus démocratiques 

Un domaine sensible ne suffit toutefois pas à classer automatiquement chaque logiciel à haut risque. Il faut examiner la destination définie par le fournisseur, la fonction exercée, la manière dont la sortie influence une décision et les éventuelles exclusions prévues par le règlement.

Dans les ressources humaines, un système destiné à trier des candidatures, recommander une sélection, évaluer les performances, décider d’une promotion ou influencer un licenciement exige une vigilance particulière. Dans le marketing, un outil qui rédige des slogans n’est pas assimilable à un système évaluant la solvabilité d’une personne ou déterminant son accès à un service essentiel. La fonction réelle compte davantage que le mot « IA » dans la documentation commerciale.

Les obligations de transparence

Certains systèmes ne sont pas interdits ni nécessairement à haut risque, mais ils doivent respecter des obligations de transparence. L’article 50 concerne notamment les systèmes destinés à interagir directement avec des personnes, les systèmes générant des contenus synthétiques, les systèmes de reconnaissance des émotions ou de catégorisation biométrique, les deepfakes et certains textes publiés pour informer le public sur des questions d’intérêt public. 

Il faut distinguer deux responsabilités. Le fournisseur doit notamment concevoir certains systèmes interactifs pour informer les personnes et intégrer un marquage lisible par machine aux contenus synthétiques lorsque l’article 50 l’exige. Le déployeur doit notamment assurer l’information visible de certaines personnes exposées, signaler les deepfakes et identifier certains textes d’intérêt public en l’absence d’un examen humain ou d’un contrôle éditorial répondant aux conditions du règlement.

Les systèmes à risque minimal ou nul

La majorité des usages courants de l’IA peut relever d’un risque minimal ou nul au regard de la grille de l’AI Act. Cela ne signifie pas que ces usages échappent à toute règle. Le RGPD, la sécurité informatique, le secret des affaires, le droit d’auteur, le droit à l’image, la protection des consommateurs, le droit du travail ou les engagements contractuels peuvent continuer à s’appliquer.

Une fonctionnalité à faible risque peut aussi évoluer. Un assistant d’écriture utilisé d’abord pour reformuler des textes internes peut être connecté ultérieurement à un processus de recrutement ou à une décision concernant des personnes. Le registre IA doit donc prévoir une nouvelle qualification lors d’un changement de finalité, de version, de données ou d’intégration.

Quel est le calendrier de l’AI Act ?

Le calendrier de l’AI Act a été modifié en juillet 2026 : les règles relatives aux systèmes à haut risque de l’annexe III s’appliqueront le 2 décembre 2027 et celles relatives aux systèmes de l’annexe I le 2 août 2028. Ces dates remplacent les échéances plus anciennes encore visibles dans de nombreux articles en ligne. 

Date	Disposition principale	Conséquence opérationnelle
1er août 2024	Entrée en vigueur du règlement (UE) 2024/1689.	Début de l’application progressive du cadre.
2 février 2025	Application des premières pratiques interdites et des règles relatives à la maîtrise de l’IA.	Contrôler les usages prohibés et mettre en place des mesures adaptées pour les compétences des équipes.
2 août 2025	Application de la gouvernance et des principales obligations relatives aux modèles d’IA à usage général.	Échéance majeure pour les fournisseurs de modèles GPAI.
27 juillet 2026	Entrée en vigueur du règlement modificatif (UE) 2026/1744.	Prendre en compte le nouveau calendrier et les simplifications introduites par le Digital Omnibus.
2 août 2026	Application de la majorité des autres règles, dont les obligations de transparence de l’article 50.	Vérifier les chatbots, contenus synthétiques, deepfakes et informations destinées aux personnes.
2 décembre 2026	Application des nouvelles interdictions de 2026 et fin d’une période transitoire limitée pour le marquage de certains systèmes génératifs déjà sur le marché.	Ne pas interpréter cette échéance comme un report général de l’article 50.
2 août 2027	Au moins un bac à sable réglementaire doit être opérationnel dans chaque État membre.	Vérifier les dispositifs d’expérimentation encadrée accessibles à l’organisation.
2 décembre 2027	Application des règles du chapitre III aux systèmes à haut risque de l’annexe III.	Échéance centrale pour les usages sensibles comme le recrutement, l’éducation ou certains services essentiels.
2 août 2028	Application des règles du chapitre III aux systèmes à haut risque de l’annexe I.	Échéance concernant les systèmes intégrés à certains produits réglementés.

Ce qui s’applique déjà en août 2026

En août 2026, une organisation ne peut pas attendre les échéances de 2027 ou 2028 pour commencer sa préparation. Les pratiques interdites initiales s’appliquent déjà, les mesures de maîtrise de l’IA sont requises, les règles relatives aux modèles à usage général sont entrées en application et les obligations de transparence de l’article 50 sont effectives depuis le 2 août 2026. 

Le report ciblé des systèmes à haut risque doit être utilisé pour réaliser les inventaires, sécuriser les contrats, organiser le contrôle humain, obtenir la documentation des fournisseurs, construire les analyses d’impact nécessaires et tester les procédures d’incident. Le décalage d’une date ne réduit ni la complexité du chantier ni les autres obligations déjà applicables.

Pourquoi de nombreux calendriers en ligne sont devenus obsolètes

Des guides publiés avant l’adoption définitive du règlement (UE) 2026/1744 indiquent encore que l’essentiel des règles relatives aux systèmes à haut risque s’appliquerait en août 2026 ou août 2027. Ces informations étaient cohérentes avec le calendrier antérieur, mais elles ne reflètent plus le droit en vigueur au 3 août 2026.

Pour toute décision, il convient de vérifier le calendrier officiel du Service Desk de l’AI Act et le texte consolidé sur EUR-Lex. Natural-net recommande de dater chaque procédure interne et chaque support de formation afin de savoir sur quelle version du cadre l’analyse repose.

Quelles obligations s’appliquent à une entreprise française ?

Il n’existe pas une checklist unique applicable de manière identique à toutes les entreprises. Les obligations résultent de la combinaison du rôle de l’organisation, du système utilisé, de sa destination, du niveau de risque, des données traitées, du secteur et du public concerné.

La bonne méthode consiste à partir des usages réels et à rattacher chaque exigence à une base juridique. Cette approche évite deux erreurs opposées : sous-estimer les responsabilités d’un déployeur ou imposer à toute PME les obligations de marquage CE et de documentation technique qui pèsent principalement sur certains fournisseurs.

Situation	Obligations ou mesures principales	Référence
Fournisseur ou déployeur d’un système d’IA	Prendre des mesures proportionnées pour favoriser le développement de la maîtrise de l’IA par le personnel et les personnes utilisant les systèmes pour son compte.	Article 4 modifié par le règlement (UE) 2026/1744.
Organisation utilisant professionnellement une IA	Identifier son rôle, vérifier les pratiques interdites, qualifier le système et respecter les autres droits applicables.	Articles 2, 3, 5, 6 et 50.
Déployeur d’un système à haut risque	Utilisation conforme à la notice, contrôle humain compétent, surveillance, traitement des incidents, conservation des journaux sous contrôle, informations requises et coopération avec les autorités.	Article 26, à l’échéance applicable au système.
Fournisseur d’un système à haut risque	Gestion des risques, gouvernance des données, documentation, journalisation, transparence, contrôle humain, exactitude, robustesse, cybersécurité, système qualité et évaluation de conformité.	Articles 9 à 21, à l’échéance applicable.
Certains déployeurs publics, fournisseurs de services publics ou acteurs financiers ciblés	Réaliser une analyse d’impact sur les droits fondamentaux avant certains déploiements.	Article 27.
Fournisseur d’un modèle d’IA à usage général	Documenter le modèle, informer les fournisseurs en aval, respecter les obligations relatives au droit d’auteur et publier le résumé requis ; appliquer les exigences renforcées en cas de risque systémique.	Chapitre V.
Marketing ou communication utilisant une IA générative	Contrôler la transparence, la responsabilité éditoriale, la traçabilité, les droits sur les contenus, le RGPD et les règles sectorielles.	Article 50 et autres droits applicables.

La maîtrise de l’IA : une obligation à traduire en mesures proportionnées

Depuis la modification de 2026, les fournisseurs et les déployeurs doivent prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel et des autres personnes qui utilisent les systèmes pour leur compte. Ils doivent tenir compte des connaissances techniques, de l’expérience, de la formation, du contexte d’utilisation et des personnes susceptibles d’être affectées. 

Le texte précise qu’il n’impose pas de garantir un niveau individuel uniforme. Il ne fixe ni durée minimale de formation, ni certificat universel. Une démarche solide consiste à différencier les parcours : sensibilisation générale pour tous les utilisateurs, règles renforcées pour les métiers traitant des données confidentielles, formation au contrôle humain pour les responsables de décisions et compétences techniques pour les équipes développant ou intégrant les systèmes.

Les preuves possibles incluent la politique d’usage, les supports de formation, les listes de présence, les évaluations des besoins, les procédures d’escalade et les mises à jour communiquées lors d’un changement d’outil. Ces documents ne constituent pas à eux seuls une garantie de conformité, mais ils démontrent une démarche organisée.

Les obligations des déployeurs de systèmes à haut risque

Un déployeur de système à haut risque doit utiliser celui-ci conformément à sa notice, prendre les mesures techniques et organisationnelles appropriées et confier le contrôle humain à des personnes disposant des compétences, de la formation, de l’autorité et du soutien nécessaires. 

Lorsque le déployeur contrôle les données d’entrée, il doit veiller à leur pertinence et à leur représentativité au regard de la destination du système. Il doit surveiller le fonctionnement, informer le fournisseur et les autorités lorsque les conditions du règlement sont réunies, suspendre l’utilisation si un risque sérieux apparaît et signaler les incidents graves selon la procédure applicable.

Les journaux générés automatiquement et placés sous son contrôle doivent être conservés pendant une période adaptée à la destination du système et, en principe, au moins six mois, sauf disposition contraire du droit européen ou national. Pour un système à haut risque utilisé sur le lieu de travail, l’employeur doit informer les représentants des travailleurs et les travailleurs concernés avant la mise en service ou l’utilisation, selon les règles applicables.

Certains systèmes à haut risque de l’annexe III qui prennent ou facilitent des décisions relatives à des personnes imposent aussi d’informer ces personnes qu’elles sont soumises à l’utilisation du système. Le déployeur doit enfin coopérer avec les autorités compétentes.

Les obligations des fournisseurs de systèmes à haut risque

Le fournisseur supporte les exigences les plus nombreuses. Il doit notamment mettre en place un système de gestion des risques couvrant le cycle de vie, assurer une gouvernance adaptée des données, élaborer une documentation technique, concevoir la journalisation, fournir des informations au déployeur, organiser le contrôle humain et atteindre les niveaux requis d’exactitude, de robustesse et de cybersécurité.

Il doit également mettre en œuvre un système de gestion de la qualité, réaliser la procédure d’évaluation de conformité applicable, établir la déclaration de conformité, apposer le marquage CE lorsque celui-ci est requis et satisfaire aux obligations d’enregistrement et de surveillance après commercialisation. Ces obligations ne s’appliquent pas indistinctement à toute organisation utilisant un outil d’IA.

Lorsqu’une entreprise commande le développement d’un système sous sa marque ou transforme substantiellement une solution, elle doit vérifier très tôt si elle devient fournisseur. Cette qualification doit être intégrée aux appels d’offres, contrats de développement et décisions d’architecture.

Le cas particulier des modèles d’IA à usage général

Les obligations visant les fournisseurs de modèles GPAI s’appliquent notamment à la documentation technique, aux informations transmises aux fournisseurs de systèmes en aval, à la politique de respect du droit d’auteur et à la publication d’un résumé suffisamment détaillé des contenus utilisés pour l’entraînement. Les modèles présentant un risque systémique sont soumis à des exigences supplémentaires de gestion et d’évaluation des risques, de signalement des incidents et de cybersécurité. 

Une entreprise qui utilise un service comme ChatGPT, Gemini, Mistral ou un autre assistant n’est pas automatiquement fournisseur du modèle sous-jacent. Elle est généralement déployeur du système qu’elle utilise. En revanche, le développement, la mise sur le marché sous sa marque, une modification substantielle ou une intégration transformant la destination peuvent entraîner des responsabilités supplémentaires.

Obligations légales et bonnes pratiques à ne pas confondre

Action	Obligation universelle au titre de l’AI Act ?	Pourquoi la mettre en place
Tenir un inventaire des systèmes et usages d’IA	Non, pas sous la forme d’une obligation autonome identique pour tout déployeur.	Il permet d’identifier les rôles, risques, données, fournisseurs et échéances.
Adopter une charte d’usage de l’IA	Non, pas sous cette forme pour toutes les organisations.	Elle encadre les outils autorisés, le Shadow AI, les données confidentielles et la validation humaine.
Former les équipes	Le règlement impose des mesures pour favoriser une maîtrise adaptée, sans volume horaire universel.	La formation réduit les erreurs et rend possible un contrôle humain effectif.
Nommer un responsable IA	Non pour toute organisation.	Cette fonction clarifie la coordination entre direction, DSI, métiers, juridique et DPO.
Réaliser une AIPD	Seulement lorsque les critères du RGPD l’exigent.	L’analyse est nécessaire pour certains traitements de données à risque élevé.
Réaliser une analyse d’impact sur les droits fondamentaux	Seulement pour les déployeurs et systèmes visés par l’article 27.	Elle évalue les effets du système sur les personnes et peut compléter l’AIPD.
Obtenir un marquage CE	Non pour tous les déployeurs ni tous les systèmes.	Il concerne les fournisseurs de certains systèmes à haut risque selon la procédure applicable.

Que change l’AI Act pour le marketing, la communication et les sites web ?

Pour les services marketing et communication, l’AI Act impose surtout de clarifier qui fournit le système, qui le déploie, comment les personnes sont informées et qui assume la responsabilité éditoriale. Ces équipes sont directement concernées par les chatbots, agents conversationnels, avatars, voix synthétiques, images générées, vidéos manipulées et textes publiés.

L’article 50 ne signifie pas que chaque phrase reformulée avec une IA doit porter une mention. Il prévoit des obligations différentes selon la nature du système, le rôle de l’organisation, le type de contenu, son usage et l’existence d’un examen humain substantiel.

Chatbots, agents et assistants virtuels

Selon les lignes directrices de la Commission, l’obligation d’information relative à l’interaction directe repose sur quatre critères cumulatifs : il doit s’agir d’un système d’IA, conçu pour un véritable échange bidirectionnel, en interaction directe avec une personne physique. Les systèmes fonctionnant uniquement en arrière-plan ou les échanges de machine à machine n’entrent pas dans ce cas précis. 

La personne doit être informée dès le début de la première interaction, de manière claire, distinguable et accessible. L’exception prévue lorsque l’interaction avec une IA est évidente doit être interprétée restrictivement.

Exemple de formulation à adapter : « Vous échangez avec un assistant conversationnel fondé sur l’intelligence artificielle. Ses réponses peuvent contenir des erreurs ; vérifiez toute information importante avant de prendre une décision. »

Cette formulation est un exemple éditorial, pas une phrase imposée par le règlement. L’entreprise doit l’adapter au service, au public, aux risques, aux exigences d’accessibilité et aux informations déjà fournies par le fournisseur.

Images, vidéos, voix et deepfakes

Le règlement distingue le marquage technique et l’information visible. Le fournisseur d’un système générant des contenus synthétiques doit, lorsque l’article 50, paragraphe 2, s’applique, rendre les sorties identifiables dans un format lisible par machine. Le déployeur d’un système produisant ou manipulant un deepfake doit signaler clairement le caractère généré ou manipulé au plus tard lors de la première exposition. 

Le seul marqueur technique intégré au fichier ne suffit donc pas nécessairement pour informer le public. Une mention visible, audible ou adaptée au support doit permettre à une personne de comprendre la nature du contenu sans outil spécialisé.

Pour les œuvres ou programmes manifestement artistiques, créatifs, satiriques, fictifs ou analogues, le règlement prévoit une divulgation appropriée qui ne doit pas entraver l’affichage ou la jouissance de l’œuvre. Cette souplesse ne supprime pas les autres droits, notamment le droit à l’image, les droits de la personnalité, le droit d’auteur et les règles relatives aux pratiques trompeuses.

Textes d’intérêt public et responsabilité éditoriale

Les déployeurs d’un système générant ou manipulant des textes publiés dans le but d’informer le public sur des questions d’intérêt public doivent indiquer l’usage de l’IA, sauf lorsque le contenu a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale assume la responsabilité éditoriale de la publication 

La FAQ officielle de la Commission précise qu’un examen humain doit porter sur le fond et être réalisé par une personne disposant des connaissances et du jugement professionnel nécessaires. Un contrôle éditorial réel suppose le pouvoir d’approuver, de modifier ou de rejeter le texte après vérification des faits et des sources. Une simple correction orthographique, grammaticale ou formelle ne suffit pas. 

Pour une agence, un média, une association ou une entreprise publiant des contenus d’intérêt public, une chaîne éditoriale robuste doit donc identifier l’auteur de la validation, la date, les sources contrôlées et la personne morale assumant la responsabilité de publication. Cette organisation améliore aussi la qualité SEO et GEO : un contenu vérifié, sourcé, daté et attribué présente davantage de signaux de fiabilité pour les lecteurs comme pour les moteurs génératifs.

Gouverner aussi les contenus, les données et les robots d’IA

La conformité réglementaire s’inscrit dans une gouvernance numérique plus large. Les éditeurs de sites doivent parallèlement décider comment arbitrer l’accès des robots d’IA aux contenus du site, en distinguant notamment les robots d’entraînement des outils de consultation en temps réel. Cette décision relève de la stratégie éditoriale, technique et contractuelle ; elle ne constitue pas en elle-même une obligation générale de l’AI Act pour tous les déployeurs.

Comment articuler l’AI Act et le RGPD ?

L’AI Act et le règlement général sur la protection des données sont complémentaires : le premier encadre principalement les risques des systèmes d’IA, tandis que le second protège les personnes lors du traitement de leurs données personnelles. Respecter l’un ne vaut pas conformité automatique à l’autre. 

Une solution d’IA peut être à faible risque au titre de l’AI Act tout en traitant des données personnelles sensibles. À l’inverse, un système à haut risque peut fonctionner sur des données qui ne sont pas toutes personnelles. L’analyse doit donc conduire deux raisonnements distincts puis les articuler.

Dimension	AI Act	RGPD	Action conjointe
Objet principal	Sécurité, conformité et risques des systèmes d’IA.	Protection des données à caractère personnel.	Cartographier les systèmes, traitements et personnes concernées.
Déclencheur	Rôle, destination, niveau de risque et mise sur le marché ou utilisation.	Existence d’un traitement de données personnelles.	Vérifier séparément l’applicabilité des deux règlements.
Transparence	Information sur certaines interactions, contenus et décisions.	Information sur le traitement, ses finalités et les droits des personnes.	Concevoir des informations cohérentes, lisibles et accessibles.
Analyse d’impact	Analyse sur les droits fondamentaux dans les cas ciblés par l’article 27.	AIPD lorsqu’un traitement est susceptible d’engendrer un risque élevé.	Réutiliser les faits et preuves utiles sans fusionner les finalités juridiques.
Données	Exigences de qualité et de gouvernance renforcées pour certains systèmes.	Licéité, minimisation, exactitude, durée de conservation, sécurité et droits.	Impliquer le DPO, les métiers, la sécurité et le fournisseur.
Supervision	Gouvernance européenne et autorités nationales ou sectorielles.	CNIL et autorités européennes de protection des données.	Identifier l’autorité compétente selon l’usage, le secteur et les données.

AIPD et analyse d’impact sur les droits fondamentaux

L’analyse d’impact relative à la protection des données, ou AIPD, est requise par le RGPD lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. L’analyse d’impact sur les droits fondamentaux de l’article 27 de l’AI Act, parfois appelée FRIA pour Fundamental Rights Impact Assessment, concerne un périmètre différent et plus ciblé.

Cette dernière vise notamment certains déployeurs qui sont des organismes de droit public, des entités privées fournissant des services publics et certains usages spécifiques liés à la solvabilité ou à l’assurance. Elle doit décrire le processus, la fréquence et la durée d’utilisation, les personnes affectées, les risques, le contrôle humain et les mesures prévues en cas de matérialisation des risques.  

Lorsqu’une AIPD existe déjà, l’analyse des droits fondamentaux peut la compléter. Le Digital Omnibus de 2026 facilite cette articulation, mais ne rend pas les deux exercices interchangeables. 

Le traitement de données sensibles pour détecter des biais

Le nouvel article 4 bis autorise, dans des conditions strictes, certains traitements de catégories particulières de données personnelles lorsqu’ils sont indispensables pour détecter et corriger des biais. Cette possibilité est étroite : elle suppose notamment de démontrer que l’objectif ne peut pas être atteint efficacement avec d’autres données, de limiter les réutilisations, de renforcer la sécurité, de contrôler les accès, de supprimer les données dès que possible et de documenter la justification. 

Cette disposition ne constitue donc pas une autorisation générale de collecter des données sensibles pour améliorer un modèle. Toute organisation concernée doit conduire une analyse juridique et RGPD spécifique avec son DPO.

Quelles sanctions sont prévues par l’AI Act ?

Les amendes administratives maximales prévues par l’AI Act varient selon la gravité du manquement et peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial d’une entreprise. Le règlement exige toutefois des sanctions effectives, proportionnées et dissuasives, déterminées en tenant compte des circonstances de chaque dossier. 

Nature du manquement	Plafond général pour une entreprise	Règle applicable aux PME
Non-respect des pratiques interdites de l’article 5	Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.	Le plafond correspond au montant fixe ou au pourcentage le plus faible.
Non-respect de certaines obligations des fournisseurs, importateurs, distributeurs, déployeurs de systèmes à haut risque ou obligations de transparence	Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.	Le plafond correspond au montant fixe ou au pourcentage le plus faible.
Informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités	Jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.	Le plafond correspond au montant fixe ou au pourcentage le plus faible.

Le montant réellement prononcé dépend notamment de la nature, de la gravité et de la durée de la violation, du nombre de personnes touchées, du dommage, de la taille de l’opérateur, de sa coopération, des mesures techniques et organisationnelles mises en place, du caractère intentionnel ou négligent et des actions conduites pour limiter le préjudice.

Le règlement modificatif prévoit aussi que les régimes nationaux peuvent comporter des avertissements et des mesures non monétaires. Pour une entreprise, la préparation ne doit donc pas être motivée uniquement par le plafond financier : une suspension de système, une obligation corrective, un incident public ou une perte de confiance peut produire des conséquences opérationnelles et réputationnelles majeures.

Comment préparer son organisation à l’AI Act ?

La préparation à l’AI Act commence par un inventaire des systèmes et usages, puis par une qualification du rôle et du risque pour chacun d’eux. Une gouvernance efficace réunit la direction, la DSI, le RSSI, le juridique, le DPO, les achats, les RH, les métiers et les équipes marketing ou communication.

Cette démarche peut être articulée avec les projets d’adoption. Les organisations qui souhaitent intégrer l’IA dans l’entreprise à partir de cas d’usage concrets gagnent à évaluer simultanément la valeur, les données, la sécurité, les compétences et les exigences réglementaires plutôt qu’à traiter la conformité en fin de projet.

1. Installer une gouvernance interfonctionnelle. Désigner un sponsor de direction, préciser qui décide, qui qualifie, qui contrôle et qui traite les incidents. Une PME peut attribuer ces responsabilités à des fonctions existantes ; la création d’un poste dédié n’est pas une obligation générale.

2. Inventorier les systèmes, modèles, fonctionnalités et usages. Recenser les logiciels achetés, les API, les développements internes, les fonctions IA intégrées à des outils existants, les services gratuits et le Shadow AI utilisé sans validation formelle.

3. Identifier le rôle de l’organisation pour chaque système. Déterminer si elle agit comme fournisseur, déployeur, importateur, distributeur ou fabricant de produit. Vérifier les situations de cumul ou de changement de rôle.

4. Contrôler immédiatement les pratiques interdites. Examiner la finalité, les personnes visées, les méthodes d’influence, les données biométriques, la notation et les usages sensibles. Suspendre et escalader tout cas incertain présentant un risque élevé.

5. Classer les systèmes par risque et par échéance. Rattacher la qualification aux articles, annexes, lignes directrices et documents du fournisseur. Consigner les hypothèses et la date de l’analyse.

6. Auditer les fournisseurs et les contrats. Obtenir la notice, la destination, les limites, les informations de sécurité, les journaux disponibles, les sous-traitants, la localisation des données, les procédures d’incident, les droits d’audit et les notifications de changement.

7. Articuler AI Act, RGPD, sécurité et droit du travail. Vérifier les bases juridiques, la minimisation, les durées de conservation, l’AIPD, l’analyse des droits fondamentaux, l’information des salariés et les mesures de cybersécurité.

8. Définir le contrôle humain, la transparence et la gestion des incidents. Préciser ce que l’humain doit vérifier, son pouvoir de contredire ou arrêter le système, les seuils d’escalade, les messages d’information et les destinataires d’une alerte.

9. Développer la maîtrise de l’IA. Former proportionnellement les utilisateurs, responsables métiers, administrateurs, développeurs et décideurs. Interdire les données ou usages non autorisés et expliquer les limites des sorties.

10. Surveiller les changements. Réévaluer le système lors d’une nouvelle version, d’un changement de modèle, d’une nouvelle intégration, d’une extension de finalité, d’un incident ou d’une évolution réglementaire.

Quels champs inclure dans un registre IA ?

Un registre de gouvernance peut comporter le nom du système, son fournisseur, sa version, le modèle sous-jacent, le propriétaire métier, la finalité, les personnes concernées, les données d’entrée et de sortie, les données personnelles ou sensibles, le rôle de l’organisation, la catégorie de risque, la justification juridique, les sous-traitants, le contrôle humain, les informations fournies, les journaux, les incidents, les documents contractuels et la date de prochaine revue.

Cette liste constitue un modèle pratique, pas une liste légalement obligatoire pour tout déployeur. Elle permet néanmoins de produire les preuves nécessaires et d’éviter qu’un outil change de finalité sans nouvelle analyse.

Quels documents et preuves conserver ?

Document	Finalité	Responsable conseillé
Registre des systèmes et usages	Tracer les rôles, finalités, risques, données et échéances.	DSI et gouvernance IA.
Fiche de qualification	Justifier le niveau de risque et les articles applicables.	Juridique avec métier et DSI.
Questionnaire et dossier fournisseur	Vérifier la destination, la documentation, la sécurité et les changements.	Achats, DSI et juridique.
Charte ou politique d’usage	Encadrer les outils, les données, la validation humaine et le Shadow AI.	Direction, DSI, RH et juridique.
Procédure de contrôle humain	Définir les vérifications, l’autorité, les seuils d’arrêt et l’escalade.	Métier et qualité.
Messages de transparence	Informer les utilisateurs et publics concernés de manière cohérente.	Marketing, communication et juridique.
Supports et preuves de maîtrise de l’IA	Démontrer les mesures adaptées aux rôles et au contexte.	RH et responsables métiers.
Registre d’incidents et mesures correctrices	Tracer la détection, les décisions, les notifications et les corrections.	RSSI, DSI, métier et juridique.

Comment répartir les responsabilités dans l’organisation ?

Fonction	Responsabilité proposée
Direction générale	Fixer l’appétence au risque, arbitrer les ressources et porter une culture de responsabilité.
DSI	Recenser les intégrations, versions, accès, dépendances et dispositifs techniques.
RSSI	Évaluer les menaces, la robustesse, les accès, les incidents et les risques fournisseurs.
Juridique et DPO	Qualifier les rôles, risques, contrats, traitements, AIPD, analyses d’impact et droits des personnes.
RH	Développer la maîtrise de l’IA, encadrer les usages liés à l’emploi et informer les travailleurs lorsque nécessaire.
Achats	Obtenir les preuves, clauses, garanties, mécanismes d’audit, notifications de changement et conditions de réversibilité.
Marketing et communication	Organiser la transparence, la validation éditoriale, les droits sur les contenus et la traçabilité.
Métiers	Définir la finalité, contrôler la qualité des entrées, exercer le contrôle humain et signaler les incidents.

Quelles autorités contrôleront l’AI Act en France ?

Le Gouvernement français a publié un schéma décentralisé reposant sur les régulateurs sectoriels existants, mais la source officielle consultée précise que ce dispositif doit être accepté par le Parlement dans le cadre d’un projet de loi. Il convient donc de vérifier son état d’adoption avant de présenter la répartition comme définitive.

Le schéma gouvernemental publié prévoit notamment que la DGCCRF coordonne les autorités de surveillance du marché et joue le rôle de point de contact unique, tandis que la DGE représente la France au Comité européen de l’IA. La CNIL, l’Arcom, l’ACPR et plusieurs autorités sectorielles interviendraient selon les pratiques, les systèmes et les secteurs concernés. Le PEReN et l’ANSSI apporteraient un socle de compétences techniques mutualisées.

Pour une entreprise, le bon réflexe consiste à identifier son régulateur sectoriel habituel, à consulter la page actualisée de la DGE et à vérifier l’autorité compétente pour le système précis. La CNIL reste parallèlement compétente pour les traitements de données personnelles relevant du RGPD.

Faire de la conformité un levier de confiance et de performance

Une gouvernance de l’IA bien conçue ne se résume pas à éviter une sanction. Elle permet de sélectionner des outils adaptés, limiter les usages non maîtrisés, améliorer la qualité des contenus et décisions, sécuriser les données et clarifier la responsabilité envers les clients, salariés, adhérents, partenaires et autorités.

Cette gouvernance doit rester reliée à la stratégie numérique. La conformité d’un chatbot, d’un moteur de recherche interne ou d’une chaîne de production éditoriale gagne à être pensée dès la conception du service, avec son accessibilité, son expérience utilisateur, son référencement, ses données, sa sécurité et ses indicateurs de qualité.

Natural-net accompagne depuis de nombreuses années les entreprises et organisations dans la conception de sites, le webmarketing, le SEO, le SEA et désormais le GEO pour les outils d’intelligence artificielle. Son statut d’Ambassadeur IA et Activateur France Num, confirmé par la fiche officielle France Num de l’agence, traduit un engagement de pédagogie et de diffusion des usages responsables. Ce statut constitue une caution d’implication et d’expertise opérationnelle ; il ne doit pas être confondu avec une habilitation à certifier juridiquement la conformité à l’AI Act.

Enfin, conformité et visibilité ne poursuivent pas le même objet, mais elles se renforcent. Une marque qui documente ses sources, assume sa responsabilité éditoriale et publie des contenus vérifiables construit les fondations de sa confiance numérique. Pour prolonger cette approche, notre article explique comment développer la visibilité GEO d’une marque dans les réponses des IA.

Sources officielles et ressources de référence

1. Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle, EUR-Lex.
2. Règlement (UE) 2026/1744 modifiant notamment le règlement sur l’intelligence artificielle, EUR-Lex.
3. Cadre réglementaire européen sur l’intelligence artificielle, Commission européenne.
4. Calendrier officiel de mise en œuvre de l’AI Act, AI Act Service Desk.
5. Entrée en vigueur du Digital Omnibus sur l’IA, Commission européenne.
6. Le règlement européen sur l’intelligence artificielle : publics concernés, Direction générale des Entreprises.
7. Entrée en vigueur du règlement européen sur l’IA : questions-réponses, CNIL.
8. Lignes directrices sur la définition d’un système d’IA, Commission européenne.
9. Lignes directrices sur les pratiques d’IA interdites, Commission européenne.
10. Lignes directrices sur les obligations de transparence de l’article 50, Commission européenne.
11. Questions fréquentes sur les obligations de transparence de l’article 50, Commission européenne.
12. Code de bonnes pratiques pour les modèles d’IA à usage général, Commission européenne.
13. Autorités compétentes pour la mise en œuvre du règlement européen sur l’intelligence artificielle, Direction générale des Entreprises.
14. Fiche Natural-net, Activateur France Num et Ambassadeur IA.

Vigilance documentaire : le calendrier de l’AI Act a évolué en juillet 2026.

Vérifiez le Service Desk européen et les versions consolidées d’EUR-Lex avant toute décision de conformité ou publication d’un calendrier interne.

 

Foire Aux Questions sur l’AI Act

Qu’est-ce que l’AI Act ?

L’AI Act est le règlement (UE) 2024/1689 qui encadre la mise sur le marché, la mise en service et l’utilisation des systèmes d’intelligence artificielle dans l’Union européenne. Il applique des règles proportionnées aux risques : certaines pratiques sont interdites, les systèmes à haut risque sont soumis à des exigences renforcées et certains systèmes ou contenus doivent respecter des obligations de transparence.

Quelle différence entre AI Act, European AI Act et règlement européen sur l’intelligence artificielle ?

Il n’y a pas de différence de fond. « AI Act », « European AI Act », « EU AI Act », « règlement IA » et « règlement européen sur l’intelligence artificielle » sont des appellations courantes du même règlement européen. La référence juridique officielle est le règlement (UE) 2024/1689, modifié notamment par le règlement (UE) 2026/1744.

L’AI Act concerne-t-il toutes les entreprises et associations ?

L’AI Act peut concerner toute entreprise, association ou administration qui fournit, importe, distribue ou utilise professionnellement un système d’IA relevant de son champ. Les obligations ne sont toutefois pas identiques pour toutes les organisations : elles dépendent du rôle, du système, de sa destination et de son niveau de risque.

Une entreprise qui utilise ChatGPT est-elle un fournisseur ou un déployeur ?

Une entreprise qui utilise un service d’IA existant pour ses activités est généralement un déployeur, et non le fournisseur du modèle sous-jacent. Elle peut toutefois assumer des responsabilités supplémentaires si elle commercialise un système sous sa marque, modifie substantiellement une solution ou change sa destination de manière à créer un système à haut risque.

Quelles obligations de l’AI Act sont applicables en août 2026 ?

Au 3 août 2026, les premières pratiques interdites, les mesures relatives à la maîtrise de l’IA, les principales règles relatives aux modèles d’IA à usage général et la majorité des autres dispositions sont applicables. Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026. Le Digital Omnibus a toutefois reporté les principales règles relatives aux systèmes à haut risque de l’annexe III au 2 décembre 2027 et celles de l’annexe I au 2 août 2028.

Quelles sont les nouvelles dates pour les systèmes d’IA à haut risque ?

Après le règlement (UE) 2026/1744, les règles du chapitre III visant les systèmes à haut risque de l’annexe III s’appliqueront le 2 décembre 2027. Celles concernant les systèmes à haut risque liés aux produits réglementés de l’annexe I s’appliqueront le 2 août 2028. Ces échéances doivent être vérifiées sur le calendrier officiel du Service Desk de l’AI Act.

Faut-il signaler tous les contenus créés avec une IA ?

Non. L’article 50 prévoit des obligations différentes selon le type de contenu, le rôle de l’organisation et le contexte. Les deepfakes doivent notamment être signalés par le déployeur. Certains textes publiés pour informer le public sur des questions d’intérêt public doivent être identifiés, sauf s’ils ont fait l’objet d’un examen humain ou d’un contrôle éditorial substantiel et qu’une personne assume la responsabilité éditoriale. Les autres droits et bonnes pratiques de transparence peuvent néanmoins justifier une mention.

Un chatbot doit-il annoncer qu’il s’agit d’une intelligence artificielle ?

Lorsqu’un système d’IA est conçu pour interagir directement avec des personnes, le fournisseur doit le concevoir de manière à les informer qu’elles interagissent avec une IA, sauf si cela est évident dans le contexte. L’information doit être claire, accessible et fournie dès le début de la première interaction. L’entreprise qui déploie le chatbot doit vérifier que cette information apparaît effectivement dans son parcours utilisateur.

Quelle est la différence entre l’AI Act et le RGPD ?

L’AI Act encadre principalement les systèmes d’IA et leurs risques, tandis que le RGPD encadre les traitements de données personnelles. Les deux règlements sont complémentaires. Une organisation utilisant une IA avec des données personnelles doit analyser séparément les deux cadres, puis coordonner la transparence, la sécurité, la documentation et les analyses d’impact nécessaires.

Quelles sont les sanctions maximales prévues par l’AI Act ?

Le non-respect des pratiques interdites peut être sanctionné jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total de l’exercice précédent pour une entreprise. D’autres manquements peuvent atteindre 15 millions d’euros ou 3 %, et la fourniture d’informations inexactes jusqu’à 7,5 millions d’euros ou 1 %. Pour les PME, le plafond retient en principe le montant fixe ou le pourcentage le plus faible.

La formation à l’IA est-elle obligatoire dans les entreprises ?

Le règlement modifié impose aux fournisseurs et déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l’IA des personnes utilisant les systèmes pour leur compte, en tenant compte de leur expérience, de leur formation, du contexte et des publics affectés. Il ne fixe pas de durée universelle ni de certificat obligatoire. Une formation proportionnée, documentée et adaptée aux rôles constitue une réponse opérationnelle pertinente.

Par où commencer pour préparer son organisation à l’AI Act ?

Commencez par nommer un sponsor, inventorier les systèmes et usages réels, identifier le rôle de l’organisation, contrôler les pratiques interdites et classer chaque système par risque et échéance. Auditez ensuite les fournisseurs, les contrats, les données, la sécurité, le contrôle humain, la transparence et les compétences. Faites valider les cas sensibles par le juriste, le DPO ou un conseil spécialisé.

Article rédigé par Eric Emery et l'assistance de l'outil d'IA Manus.im.