Field Notes · Note 004 · AI Act

AI Act : où tombent
160 usages réels de l’IA.

Par Baptiste Pigaux24 octobre 20267 min de lecture

L’AI Act fait peur parce qu’on en parle par ses amendes et ses usages interdits. Rapporté aux usages réels des entreprises, le tableau est plus simple : la plupart n’ont aucune obligation spécifique, une part non négligeable doit simplement prévenir qu’une IA répond, et une petite minorité touche au haut risque. Lecture des 160 cas d’usage d’Acolyte, le catalogue de HOCUS.

La question

Pour une entreprise qui utilise l’IA sans la fabriquer, qu’est-ce que l’AI Act change concrètement en 2026 et 2027 ?

Ce que nous avons observé

Lecture indicative d’Acolyte au 24 octobre 2026, avec des règles prudentes fondées sur le secteur, la fonction et la description de chaque cas. Pas un avis juridique.

Les données

Les 160 cas d’Acolyte couvrent des PME, des ETI et des grands groupes, dans seize secteurs ; 119 sont documentés par une source publique. Chaque fiche porte une lecture de son niveau de risque, calculée avec les mêmes règles pour toutes :

• haut risque possible quand l’IA évalue des personnes ou pèse sur une décision les concernant dans un domaine de l’annexe III (emploi, crédit, assurance vie et santé, éducation, services publics), ou délivre un conseil médical ;
• transparence quand elle converse avec des clients ou des usagers, ou génère des contenus diffusés au public ;
• risque minimal pour le reste.

La méthode

Le règlement ne vise pas une technologie mais un usage. Trois questions suffisent pour situer le sien :

1. L’IA décide-t-elle quelque chose sur une personne ?Trier des candidatures, accorder un crédit, fixer une prime d’assurance santé : c’est le terrain du haut risque. Résumer une réunion ne l’est pas, avec le même modèle.
2. Parle-t-elle à quelqu’un, ou publie-t-elle ?Un chatbot, un agent vocal, un contenu généré mis en ligne : il faut le dire (article 50).
3. Êtes-vous fournisseur ou déployeur ?La plupart des entreprises utilisent un système conçu par un autre. Les obligations les plus lourdes pèsent sur le fournisseur ; le déployeur garde les siennes : notice, contrôle humain, journaux.

Ce que la lecture montre

1. L’obligation qui compte maintenant est la transparence

Depuis le 2 août 2026, une personne doit savoir qu’elle échange avec une IA, et un contenu généré doit être signalé. Dans le catalogue, 23 des 27 cas concernés relèvent du service client. C’est une obligation simple, mais elle s’applique déjà, et elle suit l’adoption des agents : près d’un agent documenté sur deux y est soumis.

2. Le haut risque est rare, et il a été reporté

Le règlement (UE) 2026/1744, dit « omnibus numérique », en vigueur depuis le 27 juillet 2026, a décalé les obligations du haut risque : au 2 décembre 2027 pour les usages de l’annexe III (emploi, crédit, éducation…), au 2 août 2028 pour l’IA intégrée à des produits réglementés. Dans le catalogue, trois cas seulement s’en approchent, et deux concernent le recrutement : c’est la fonction à regarder en premier.

3. Pour une PME, l’essentiel tient en quatre gestes

Sur les 10 cas documentés de PME, 9 sont à risque minimal et 1 relève de la transparence. Pour l’essentiel des usages, l’AI Act demande surtout de savoir ce que l’on utilise, d’écarter les pratiques interdites, de former les équipes (article 4, depuis février 2025) et de prévenir quand une IA répond. Le RGPD, lui, s’applique pleinement dès que des données personnelles passent par l’IA.

4. Les prochaines dates

2 décembre 2026 : deux nouvelles interdictions (images intimes sans consentement, contenus pédocriminels) et marquage des contenus pour les systèmes génératifs mis sur le marché avant août 2026. 2 août 2027 : mise en conformité des modèles d’IA à usage général plus anciens. 2 décembre 2027 : haut risque, annexe III. 2 août 2028 : haut risque, annexe I.

Les limites

Ce qu’il faut en faire

Ne pas attendre 2027 pour faire l’inventaire : c’est lui qui dit si l’on est concerné. Concrètement :

1. Ce mois-ciRecenser les usages de l’IA, y compris les outils pris par les équipes sans cadre, et noter pour chacun : qui fournit, quelles données, qui est concerné.
2. Avant décembreVérifier chaque chatbot, agent et contenu généré publié : la mention « vous échangez avec une IA » et le signalement des contenus.
3. En 2027Pour les usages en recrutement, crédit ou assurance : notice du fournisseur, contrôle humain par une personne formée, journaux conservés, information des salariés.
4. En continuFormer les équipes et appliquer le RGPD : finalité, minimisation, information des personnes.

Questions fréquentes

Baptiste Pigaux fonde HOCUS après plus de 20 ans à transformer la data et le machine learning en décisions métier, auprès de plus de 30 organisations. Profil LinkedIn