AI Act : le calendrier d'application, échéance par échéance

Le calendrier AI Act est la première question qui tombe dès qu'un projet d'intelligence artificielle sort du prototype. Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024, mais il ne s'applique pas d'un seul coup : ses obligations se déclenchent par vagues successives, entre février 2025 et août 2027, et elles ne visent pas tout le monde de la même façon.

Cette progressivité crée une confusion durable. Beaucoup d'entreprises pensent que « l'AI Act s'applique depuis 2024 » et se croient déjà hors des clous ; d'autres pensent qu'il ne concerne que les fabricants de modèles et ne regardent rien. Les deux se trompent, dans des proportions différentes.

Cet article déroule le calendrier tel qu'il figure à l'article 113 du règlement, date par date, puis répond à la question qui revient le plus souvent en réunion : suis-je concerné si je ne fais qu'utiliser un outil du marché ? Le point de vue adopté ici est celui de l'entreprise utilisatrice, pas celui du fournisseur de modèles.

AI Act calendrier : les cinq dates à retenir

Le règlement fixe une date d'application générale, le 2 août 2026, assortie d'exceptions qui avancent ou retardent certains chapitres. Voici le tableau complet.

Deux règles de transition complètent ce tableau et allègent beaucoup de situations. Les systèmes à haut risque mis sur le marché avant le 2 août 2026 ne basculent dans le régime qu'en cas de changement significatif de leur conception. Et les systèmes utilisés par des autorités publiques disposent d'un délai courant jusqu'au 2 août 2030.

Ce qui est déjà exigible, et que beaucoup ignorent

Depuis le 2 février 2025, deux blocs sont applicables. Le premier est la liste des pratiques interdites de l'article 5 : notation sociale par les autorités publiques, exploitation des vulnérabilités liées à l'âge ou au handicap, reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement (sauf motifs médicaux ou de sécurité), moissonnage non ciblé d'images faciales pour constituer des bases de reconnaissance, police prédictive fondée sur le seul profilage.

La reconnaissance des émotions au travail est celle qui surprend le plus. Elle vise des outils réellement commercialisés : analyse du ton de voix dans un centre d'appels pour évaluer un conseiller, détection d'attention en formation à distance, scoring d'entretien vidéo sur des indices émotionnels. L'interdiction ne dépend d'aucune analyse de risque : elle est absolue, et elle s'applique depuis février 2025.

Le second bloc est l'article 4, sur la maîtrise de l'IA. Il impose aux fournisseurs comme aux déployeurs de prendre des mesures pour garantir un niveau suffisant de compétence en IA chez les personnes qui utilisent ces systèmes en leur nom. Le texte ne prescrit ni format ni volume horaire : il demande que la formation soit proportionnée au contexte et aux risques. Une entreprise qui a déployé un assistant conversationnel à cinquante personnes sans rien expliquer sur ses limites est concernée. C'est aussi le meilleur argument pour formaliser une charte d'usage de l'IA en entreprise, qui répond à cette obligation par un document que tout le monde peut lire.

Depuis le 2 août 2025 s'ajoutent les obligations pesant sur les fournisseurs de modèles à usage général (documentation technique, politique de respect du droit d'auteur, résumé des données d'entraînement), le cadre de gouvernance européen et national, et le régime de sanctions. Ces sanctions plafonnent à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour la plupart des autres manquements, 7,5 millions ou 1 % pour la fourniture d'informations inexactes. Pour les PME et les jeunes pousses, c'est le montant le plus faible des deux qui s'applique.

Suis-je concerné si je ne fais qu'utiliser un outil du marché

Le règlement distingue deux rôles principaux. Le fournisseur développe un système d'IA et le met sur le marché sous son nom. Le déployeur l'utilise sous sa propre autorité, dans le cadre d'une activité professionnelle. Une entreprise qui achète un logiciel de tri de candidatures est déployeur. L'éditeur du logiciel est fournisseur.

Être déployeur allège considérablement la charge, mais ne l'annule pas. Pour un système classé à haut risque, l'article 26 impose au déployeur d'utiliser le système conformément à la notice, de confier la surveillance humaine à des personnes qui ont la compétence et l'autorité pour l'exercer, de veiller à la pertinence des données d'entrée qu'il contrôle, de conserver les journaux générés pendant au moins six mois, et d'informer les représentants du personnel et les travailleurs concernés avant la mise en service sur le lieu de travail.

Reste à savoir si votre outil est à haut risque. L'annexe III en dresse la liste : biométrie, infrastructures critiques, éducation et formation professionnelle, emploi et gestion des travailleurs, accès aux services essentiels publics et privés (dont l'évaluation de solvabilité et la tarification en assurance vie et santé), répression, migration, justice et processus démocratiques.

Deux domaines concernent des entreprises ordinaires, pas seulement des administrations :

• Emploi : outils de tri de CV, de classement de candidats, d'attribution de tâches, d'évaluation de performance ou de décision de promotion et de rupture.
• Accès aux services essentiels : scoring de crédit, tarification et sélection de risque en assurance vie et santé.

En dehors de ces cas, la majorité des usages courants (rédaction assistée, résumé de réunion, génération d'images, chatbot d'information, automatisation de tâches internes) ne sont pas à haut risque. Ils relèvent de l'article 50, sur la transparence, applicable au 2 août 2026 : signaler qu'un utilisateur interagit avec une machine, marquer les contenus générés artificiellement dans un format lisible par une machine, indiquer clairement les hypertrucages et certains textes publiés pour informer le public.

Un piège mérite d'être connu : un déployeur peut basculer dans le rôle de fournisseur. C'est le cas s'il appose sa marque sur le système, s'il en modifie substantiellement la finalité, ou s'il transforme un usage non risqué en usage à haut risque. Une entreprise qui bâtit son propre outil de présélection de candidatures sur un modèle du marché est fournisseur de cet outil, avec toutes les obligations qui suivent.

Ce que le calendrier ne dit pas

Trois nuances évitent des décisions hâtives.

D'abord, les normes harmonisées, qui doivent traduire les exigences du règlement en spécifications techniques vérifiables, ne sont pas toutes disponibles. Sans elles, la présomption de conformité reste théorique et les fournisseurs doivent démontrer leur conformité par d'autres moyens.

Ensuite, la Commission a publié en novembre 2025 une proposition de simplification du corpus numérique européen, qui inclut des ajustements de l'AI Act. Une proposition n'est pas un texte adopté : tant qu'elle n'a pas achevé son parcours législatif, les dates du règlement publié au Journal officiel restent les seules qui produisent des effets. Il serait imprudent de bâtir un plan de conformité sur un report espéré.

Enfin, l'AI Act ne remplace pas le RGPD, il s'y ajoute. Un traitement conforme à l'AI Act peut rester illicite au regard de la protection des données, et inversement. Les deux analyses se mènent en parallèle, comme nous l'avons détaillé à propos du RGPD appliqué à l'IA en entreprise. La même logique de double lecture vaut d'ailleurs pour les chaînes automatisées, où la question de la conformité des automatisations intelligentes se pose dans les mêmes termes.

Ce qu'une entreprise utilisatrice peut faire d'ici août 2026

Le plan tient en cinq étapes, réalisables sans cabinet spécialisé pour une organisation de taille moyenne.

1. Inventorier. Listez tous les systèmes d'IA utilisés, y compris ceux arrivés par la petite porte dans les abonnements bureautiques. Pour chacun : finalité, éditeur, service utilisateur, données traitées.
2. Qualifier le rôle. Pour chaque système, êtes-vous déployeur ou fournisseur ? Notez les cas où vous avez modifié la finalité prévue par l'éditeur : ce sont les plus exposés.
3. Classer le risque. Confrontez chaque finalité à l'annexe III. En pratique, une poignée de systèmes seulement bascule, et ce sont presque toujours les mêmes : ressources humaines et évaluation financière.
4. Traiter l'interdit d'abord. Les pratiques de l'article 5 sont exigibles depuis février 2025. C'est le seul point où le retard est déjà constitué, et où l'amende est la plus lourde.
5. Documenter la maîtrise de l'IA. Une session de sensibilisation, une charte diffusée, une trace de qui a été formé et quand. C'est peu coûteux et directement opposable.

Un ordre de grandeur utile : pour une PME de 150 personnes utilisant une quinzaine d'outils, cet inventaire et cette qualification représentent de deux à quatre jours de travail réparti entre l'informatique, les ressources humaines et le juridique. Le coût réel n'est pas dans l'analyse, il est dans la remédiation éventuelle d'un outil mal choisi.

Ce qu'il faut retenir du calendrier AI Act

Le calendrier AI Act n'est pas un mur qui tombe le 2 août 2026 : c'est une série de marches, dont deux sont déjà franchies. Les pratiques interdites et l'obligation de maîtrise de l'IA sont exigibles depuis le 2 février 2025. Les règles sur les modèles généralistes et les sanctions le sont depuis le 2 août 2025. L'échéance de 2026 concerne surtout les systèmes à haut risque et la transparence des contenus générés.

Pour une entreprise qui se contente d'utiliser des outils du marché, la charge réelle est modérée, à condition de savoir ce que l'on utilise. Commencez par l'inventaire : sans lui, aucune des étapes suivantes n'a de sens. C'est aussi le document que vous serez heureux d'avoir sous la main le jour où une autorité, un client ou un assureur posera la question.