LE CADRE · AI ACT ET RGPD · VÉRIFIÉ LE 2 OCTOBRE 2026

L’AI Act, ce qui s’applique déjà et ce qui arrive.

Le règlement européen sur l’intelligence artificielle s’applique par étapes, et l’omnibus numérique de juillet 2026 a décalé une partie du calendrier. Voici ce qui concerne une entreprise qui utilise l’IA, avec les dates, les niveaux de risque et le lien avec le RGPD.

LE CALENDRIER

Sept dates à connaître

Le règlement (UE) 2024/1689 a été modifié par le règlement (UE) 2026/1744, dit « omnibus numérique sur l’IA », en vigueur depuis le 27 juillet 2026.

  1. Pratiques interdites et maîtrise de l’IA

    Fin des usages jugés inacceptables : notation sociale, manipulation exploitant des vulnérabilités, reconnaissance des émotions au travail ou à l’école, entre autres. Les entreprises doivent favoriser la maîtrise de l’IA par leurs équipes (article 4).

  2. Modèles d’IA à usage général et sanctions

    Obligations pour les fournisseurs de grands modèles (documentation, droit d’auteur, résumé des données d’entraînement). Le régime de sanctions s’applique.

  3. Application générale et transparence

    Le règlement s’applique dans son ensemble, hors haut risque reporté. Article 50 : informer qu’on échange avec une IA, marquer les contenus générés, signaler les hypertrucages.

  4. Deux nouvelles interdictions

    Générer ou manipuler des images intimes sans consentement, et du contenu pédocriminel. Marquage des contenus pour les systèmes génératifs mis sur le marché avant le 2 août 2026.

  5. Modèles plus anciens et bacs à sable

    Les modèles à usage général mis sur le marché avant août 2025 doivent être en conformité. Chaque État membre doit proposer un bac à sable réglementaire.

  6. Haut risque : annexe III

    Obligations pour les systèmes à haut risque autonomes : emploi et gestion des salariés, crédit, éducation, accès aux services essentiels, biométrie, infrastructures critiques, justice, migration, maintien de l’ordre. Initialement prévu au 2 août 2026.

  7. Haut risque : annexe I

    IA intégrée à des produits déjà réglementés (machines, dispositifs médicaux, jouets…). Initialement prévu au 2 août 2027.

LES NIVEAUX DE RISQUE

Quatre niveaux, quatre régimes

Le règlement ne vise pas une technologie mais un usage. Le même modèle peut être à risque minimal pour résumer une réunion et à haut risque pour trier des candidatures.

INTERDIT

Risque inacceptable

Notation sociale, manipulation, exploitation des vulnérabilités, reconnaissance des émotions au travail, certaines identifications biométriques.

Interdit depuis février 2025 (et décembre 2026 pour deux pratiques ajoutées).
HAUT RISQUE

Usages sensibles

Recrutement et évaluation des salariés, octroi de crédit, tarification en assurance vie et santé, accès à l’éducation ou aux aides publiques, infrastructures critiques.

Gestion des risques, données, documentation, contrôle humain, journalisation. À partir du 2 décembre 2027.
TRANSPARENCE

Risque limité

Chatbots et agents conversationnels, contenus générés, hypertrucages, reconnaissance des émotions hors travail.

Informer les personnes, marquer les contenus. Depuis le 2 août 2026.
MINIMAL

Le reste

La grande majorité des usages : synthèse, recherche documentaire, extraction, prévision, filtres antispam.

Pas d’obligation spécifique, en dehors de la maîtrise de l’IA par les équipes.

Chaque fiche du catalogue propose une lecture indicative de son niveau de risque. Elle aide à se poser les bonnes questions ; elle ne remplace pas une analyse de votre usage réel.

FOURNISSEUR OU DÉPLOYEUR

Ce que doit faire une entreprise qui utilise l’IA

La plupart des PME sont « déployeurs » : elles utilisent un système conçu par un autre (le « fournisseur »). Les obligations les plus lourdes pèsent sur le fournisseur ; le déployeur garde les siennes.

Dès maintenant

  • Recenser les usages, y compris les outils utilisés par les équipes sans cadre.
  • Écarter les pratiques interdites et vérifier qu’aucun usage n’en approche.
  • Informer quand un client ou un usager échange avec une IA, et signaler les contenus générés publiés.
  • Former et outiller les équipes : le texte demande de soutenir la maîtrise de l’IA, sans exiger un niveau précis.
  • Appliquer le RGPD dès que des données personnelles passent par l’IA (voir plus bas).

Avant décembre 2027, si un usage est à haut risque

  • Utiliser le système conformément à la notice du fournisseur.
  • Confier le contrôle humain à des personnes formées et habilitées.
  • Conserver les journaux d’activité et surveiller le fonctionnement.
  • Informer les salariés et leurs représentants avant un usage sur le lieu de travail.
  • Pour certains déployeurs (organismes publics, crédit, assurance), mener une analyse d’impact sur les droits fondamentaux.

Sanctions

  • Pratiques interdites : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial.
  • Autres obligations (haut risque, transparence) : jusqu’à 15 millions d’euros ou 3 %.
  • Informations inexactes fournies aux autorités : jusqu’à 7,5 millions d’euros ou 1 %.
  • Pour les PME et les jeunes entreprises, c’est le montant le plus bas des deux qui s’applique.

RGPD ET CNIL

L’AI Act s’ajoute au RGPD, il ne le remplace pas

Dès que l’IA traite des données personnelles, le RGPD s’applique pleinement. La CNIL a publié des recommandations pratiques pour concilier IA et RGPD.

  • Finalité et base légale : savoir pourquoi les données sont traitées et sur quel fondement.
  • Minimisation : n’envoyer à l’IA que les données nécessaires, et choisir l’hébergement en fonction de leur sensibilité.
  • Information et droits : informer les personnes et leur permettre d’exercer leurs droits.
  • Analyse d’impact (AIPD) quand le traitement présente un risque élevé ; la CNIL recommande de la mener avec la documentation exigée par l’AI Act quand c’est possible.
  • Décisions automatisées : une décision qui produit des effets importants sur une personne doit pouvoir être expliquée et revue par un humain.

EN FRANCE

Qui contrôle ?

Le schéma présenté par le Gouvernement en septembre 2025 doit encore être adopté par le Parlement. Au 2 octobre 2026, les rôles prévus sont les suivants.

  • DGCCRF : coordination de la surveillance du marché et point de contact unique avec la Commission européenne.
  • CNIL, DGCCRF et Arcom : pratiques interdites et obligations de transparence, selon la nature du risque (données personnelles, protection du consommateur, information).
  • CNIL, ACPR et autorités sectorielles : systèmes à haut risque selon leur domaine (données, banque et assurance…).
  • PEReN et ANSSI : appui technique.

SOURCES

Pour vérifier et aller plus loin

Sources consultées le 2 octobre 2026.

ET CHEZ VOUS ?

Situer vos usages

Le Diagnostic Data & IA de HOCUS recense vos usages de l’IA, repère ceux qui demandent de la vigilance et place la validation humaine là où elle compte.

1 · POINT DE DÉPARTDiagnostic Data & IA

Vos usages, vos données, vos risques et une trajectoire.

Découvrir ↗2 · EN DIX QUESTIONSL’autodiagnostic

Une première idée de votre préparation, dont le cadre et les risques.

Commencer ↗3 · COMPRENDREGouvernance et AI Act

Le terme expliqué dans le glossaire, avec les cas liés.

Lire ↗