AI Act : les contrôles ont commencé, ce que risquent les entreprises de la région

Le 2 août 2026 a marqué un tournant. Depuis cette date, le régime général de sanctions de l'AI Act est actif. En clair : les autorités peuvent désormais taper. Fini la période où les obligations existaient sur le papier sans conséquence concrète.

Pour les entreprises de Lyon et de la région, ça veut dire quoi ? Pas de panique, mais pas d'inaction non plus. On fait le point sur ce qui est vraiment opposable, comment les contrôles se déroulent, quels secteurs sont exposés, et par où commencer.

Ce qui est désormais opposable

Rappel rapide du calendrier, parce que les dates comptent. Le règlement UE 2024/1689 est entré en vigueur le 1er août 2024. Les pratiques interdites (notation sociale, manipulation subliminale) sont sanctionnables depuis février 2025. Les règles de gouvernance et les obligations sur les modèles d'usage général sont entrées en vigueur en août 2025.

Mais le vrai basculement, c'est le 2 août 2026. À cette date, le régime de sanctions devient applicable et la majorité des dispositions du règlement passent en mode contrôlable. Trois obligations touchent directement les entreprises de la région, même celles qui ne font pas d'IA « à haut risque ».

La littératie IA (article 4)

C'est l'obligation la plus large et la plus sous-estimée. Toute organisation qui utilise des systèmes d'IA dans un cadre professionnel doit former ses collaborateurs. Ça vise tout le monde : la PME qui utilise ChatGPT au marketing, le cabinet comptable qui automatise, l'industriel qui teste un copilote.

L'obligation existait déjà avant août 2026. Ce qui change, c'est que le non-respect est maintenant sanctionnable. Vous devez pouvoir prouver que vos équipes ont été formées à un niveau adapté à leur usage. Si vous n'avez rien fait sur ce point, c'est le premier chantier. Notre guide sur former ses équipes à l'IA avec un programme minimum donne une base concrète.

La transparence (article 50)

Cet article concerne les chatbots et les contenus générés par IA. Deux règles simples à retenir.

• Chatbots : l'utilisateur doit être explicitement informé qu'il parle à une IA, pas à un humain. C'est du « risque limité », donc une transparence minimale suffit. Mais elle est obligatoire.
• Contenus générés : les images, vidéos et textes produits par IA doivent être marqués comme tels. Là, une tolérance existe. Les systèmes d'IA générative commercialisés avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour se mettre au marquage et à la détection.

Si vous avez un agent conversationnel sur votre site, vérifiez tout de suite qu'il annonce sa nature. C'est une correction rapide qui vous évite un manquement bête. Pour le marquage, voir aussi ce qu'imposent concrètement le filigrane IA et l'AI Act.

Les modèles d'usage général (GPAI)

Ça concerne surtout les fournisseurs de modèles comme ChatGPT, Gemini ou Claude. La Commission européenne dispose maintenant de pouvoirs de contrôle élargis : elle peut leur réclamer des informations complémentaires et prononcer des sanctions. Pour la plupart des entreprises de la région, l'enjeu est indirect : vous êtes utilisateurs, pas fournisseurs. Mais ça influence les conditions de vos contrats et la documentation que vos prestataires doivent vous fournir.

Comment se déroulent les contrôles

Premier point à comprendre : la France n'a pas de régulateur unique dédié à l'IA. Le contrôle est réparti entre les autorités sectorielles existantes. La CNIL joue un rôle central, mais elle n'est pas seule.

• CNIL : données personnelles, biométrie. Elle est aussi désignée organisme notifié pour les systèmes à haut risque (biométrie, emploi, éducation).
• DGCCRF : pratiques interdites.
• Arcom : contenus audiovisuels.
• ACPR : finance.
• HAS et ANSM : médical.
• Ministère du Travail : machines.

Concrètement, le scénario le plus probable pour une entreprise de la région n'est pas une descente spécifique « AI Act ». C'est un contrôle CNIL classique qui s'élargit à l'IA. Un audit RGPD, une plainte de collaborateur ou un incident peut désormais déclencher des questions sur vos systèmes d'IA. La CNIL peut vous demander vos preuves de formation IA au même titre que vos preuves de conformité RGPD.

Autrement dit, l'AI Act se greffe sur des mécanismes de contrôle que vous connaissez déjà. Si votre maison RGPD est en ordre, vous partez avec une longueur d'avance. Si elle ne l'est pas, l'AI Act ajoute une couche de risque. Notre point sur le RGPD et l'IA en entreprise couvre ce socle.

Un mot sur l'état réel des contrôles

Soyons honnêtes pour éviter le sensationnalisme. À la connaissance publique, il n'y a pas encore d'actions de mise en application concrètes en France sur l'IA. Les autorités montent en puissance sur leurs pouvoirs, mais les premières sanctions publiques restent à venir. Ça ne veut pas dire qu'il faut attendre. Ça veut dire que vous avez une fenêtre pour vous mettre en ordre avant que la machine tourne à plein régime.

Les secteurs de la région exposés

L'AI Act classe certains usages en « haut risque » via son annexe III. Huit domaines : identification biométrique à distance, infrastructures critiques, éducation et formation, emploi et RH, accès aux services essentiels (crédit, assurance, aides sociales), application de la loi, contrôle des frontières, justice et processus démocratiques.

Attention sur le calendrier : le Digital Omnibus a reporté les obligations les plus lourdes sur le haut risque. Pour les systèmes autonomes, elles n'entrent en application que le 2 décembre 2027. Vous avez donc du temps sur cette partie, mais pas de raison de traîner.

En Auvergne-Rhône-Alpes, plusieurs filières se retrouvent dans le viseur de l'annexe III :

• Recrutement et RH : tri de CV automatisé, scoring de candidats. Beaucoup de PME régionales testent ces outils sans se rendre compte qu'ils tombent en haut risque.
• Banque et assurance : la place lyonnaise est dense. Le scoring de crédit et l'accès aux services financiers sont explicitement listés.
• Santé : la filière lyonnaise est active sur l'IA médicale, avec la HAS et l'ANSM en régulateurs de proximité. Voir notre panorama de l'IA dans la santé à Lyon.
• Formation et éducation : outils d'évaluation, orientation. Le domaine est concerné.
• Industrie et logistique : le couloir rhodanien concentre des usages IA. La plupart ne sont pas en haut risque, mais l'obligation de littératie et de transparence s'applique quand même.

Les sanctions, chiffres à connaître

Les plafonds font peur, mais lisez-les avec la tête froide.

• Pratiques interdites : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
• Autres manquements (GPAI, transparence, littératie) : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial.

Ces plafonds sont des maximums, appliqués proportionnellement à la gravité. Et ils sont ajustés à la baisse pour les petites structures. Le Digital Omnibus a même élargi les facilités initialement réservées aux PME (bacs à sable réglementaires, accompagnement national, allègement documentaire) à toutes les entreprises de moins de 750 salariés. Ça couvre la quasi-totalité du tissu régional.

Les premiers réflexes de mise en conformité

Pas besoin d'un projet à six chiffres. Voici l'ordre logique pour une entreprise de la région.

• Faites l'inventaire de vos usages IA. Listez tous les systèmes utilisés, y compris ceux que vos équipes utilisent sans vous en parler. Le sujet de la shadow AI est central ici : on ne met pas en conformité ce qu'on ne connaît pas.
• Classez par niveau de risque. Interdit, haut risque, risque limité, minimal. La plupart de vos usages seront en risque limité ou minimal. Repérez les rares qui tombent en annexe III.
• Traitez la transparence en priorité. C'est la correction la plus rapide. Vos chatbots annoncent-ils leur nature ? Vos contenus générés sont-ils marqués ?
• Documentez la formation de vos équipes. L'article 4 est contrôlable dès maintenant. Un programme de sensibilisation, des traces de participation, une charte d'usage. Voir notre modèle pour rédiger une charte d'usage de l'IA.
• Nommez un responsable. Même dans une structure de cinquante personnes, quelqu'un doit porter le sujet. Notre article sur la gouvernance de l'IA en entreprise détaille qui décide quoi.

Le message est simple. L'AI Act ne vous demande pas d'arrêter d'utiliser l'IA. Il vous demande de savoir ce que vous utilisez, de le documenter, de former vos gens et d'être transparent. Commencez par l'inventaire cette semaine. La fenêtre avant les premiers contrôles musclés est ouverte, autant l'utiliser.