EU AI Act 2026 : ce que les entreprises doivent mettre en œuvre dès maintenant
L'EU AI Act est en vigueur depuis août 2024 et se durcit par étapes. Ce que 2026 réserve concrètement aux entreprises.
Traduction produite automatiquement par IA. La version allemande est l'original vérifié par la rédaction.
L'EU AI Act est entré en vigueur le 1er août 2024 et devient applicable par étapes. Pour la plupart des entreprises, la première tâche n'est pas juridique mais organisationnelle : établir un inventaire de toutes les applications d'IA déployées et les classer selon une catégorie de risque. Ce n'est qu'ensuite que l'on peut évaluer quelles obligations s'appliquent réellement.
Cet article situe l'approche fondée sur le risque, nomme les échéances qui comptent en 2026, et décrit les premiers pas. Il ne remplace pas un conseil juridique, mais offre une orientation technique et organisationnelle.
01. L'approche fondée sur le risque en quatre paliers
L'AI Act ne réglemente pas la technique en soi, mais son usage selon le risque. Il distingue quatre paliers.
- Risque inacceptable. Certaines pratiques sont interdites, par exemple la notation sociale par les autorités. Ces interdictions s'appliquent déjà depuis février 2025.
- Risque élevé. Les systèmes dans des domaines sensibles comme la sélection du personnel, l'octroi de crédit ou les infrastructures critiques. C'est là que se concentrent la plupart des obligations.
- Risque limité. Les systèmes soumis à une obligation de transparence, par exemple les chatbots qui doivent se signaler comme étant de l'IA.
- Risque minimal. La plus grande part des applications quotidiennes, sans exigences particulières.
Le vrai travail consiste à classer honnêtement ses propres applications dans ces paliers.
02. Les échéances qui comptent en 2026
L'applicabilité est échelonnée. Les interdictions s'appliquent depuis le 2 février 2025, les obligations relatives aux modèles d'IA à usage général depuis le 2 août 2025. L'échéance décisive pour beaucoup d'entreprises est le 2 août 2026, date à partir de laquelle la plupart des obligations pour les systèmes à haut risque s'appliquent. Pour certains produits intégrant de l'IA, un délai plus long court jusqu'au 2 août 2027.
Les échéances et textes officiels sont consultables sur l'aperçu de l'European AI Act. Qui est concerné en 2026 ne devrait pas entamer la mise en œuvre juste avant l'échéance, car la documentation et les preuves techniques demandent du temps de préparation.
03. Ce que le haut risque signifie concrètement
Si une application relève de la catégorie à haut risque, l'AI Act exige notamment une gestion des risques, une base de données traçable, une documentation technique, une supervision humaine ainsi qu'une exactitude adéquate avec journalisation. Le dénominateur commun de ces exigences est la traçabilité : une décision doit être explicable et vérifiable.
Pour l'architecture, il en découle un point pratique. Les systèmes dont le traitement se fait en interne et dont le flux de données est entièrement visible sont plus faciles à documenter que des appels distribués vers des services externes. La traçabilité est donc aussi une question d'architecture, pas seulement une question juridique.
04. RGPD et AI Act s'imbriquent
L'AI Act ne remplace pas le RGPD, il vient à côté. Là où une application d'IA traite des données personnelles, les deux s'appliquent. En pratique, c'est souvent un avantage, car beaucoup d'entreprises connaissent déjà les structures du RGPD et l'AI Act repose sur des principes comparables, comme la limitation des finalités, la documentation et la minimisation des données.
Pour les données sensibles en particulier, cela renforce les arguments en faveur d'une exploitation maîtrisée. L'arbitrage judicieux entre exploitation locale et cloud, nous le traitons dans On-Premise vs. LLM cloud : quand l'IA locale est le bon choix.
05. Ce que les entreprises devraient faire dès maintenant
Les premiers pas sont indépendants du secteur.
- Inventorier. Recenser toutes les applications d'IA déployées et prévues, y compris celles achetées et intégrées dans des logiciels tiers.
- Classer. Attribuer à chaque application une catégorie de risque et consigner la justification.
- Combler les lacunes. Pour les applications à haut risque, mettre en place documentation, supervision et journalisation.
- Clarifier les responsabilités. Désigner une personne qui garde la vue d'ensemble et surveille l'échéance.
La façon dont ce point de départ s'inscrit dans un plan plus large est décrite dans Introduire l'IA dans le Mittelstand : une feuille de route pratique. Pourquoi le contrôle des modèles déployés compte à cet égard, cela figure dans La leçon de souveraineté de Fable 5.
