Conformité IA : la checklist à boucler avant le 2 août

Il reste trois semaines. Si vous cherchez comment vous mettre en conformité avec l'AI Act avant le 2 août 2026, la bonne nouvelle est que le périmètre de cette échéance a été fortement réduit fin juin. La mauvaise est que ce qui reste concerne à peu près toute organisation qui utilise un outil d'IA face à des clients, à des candidats ou à des salariés, y compris celles qui se croyaient hors sujet.

Le règlement européen sur l'intelligence artificielle est entré en vigueur le 1er août 2024, avec une application par étapes. Le 2 août 2026 devait être la grande marche, celle des systèmes dits à haut risque. Un texte de simplification, adopté par le Parlement européen le 16 juin et par le Conseil le 29 juin, déplace cette partie du calendrier de plus d'un an. Il ne déplace pas le reste.

Cet article ne reprend pas l'explication générale du règlement, publiée fin juin dans notre décryptage de l'entrée en application de l'AI Act en août 2026. Il propose une liste de contrôle pour le cas le plus courant : une organisation qui utilise des systèmes d'IA achetés, sans en développer. Dans le vocabulaire du règlement, vous êtes un déployeur, et vos obligations ne sont pas celles d'un fournisseur.

Ce que le texte de simplification change, et ce qu'il ne change pas

Proposé le 19 novembre 2025, ce texte a fait l'objet d'une position du Conseil le 13 mars 2026, d'un accord entre colégislateurs le 7 mai, d'un vote en plénière le 16 juin (423 voix contre 57 et 174 abstentions) et d'un feu vert définitif du Conseil le 29 juin. À la date de publication de cet article, il est adopté mais pas encore publié au Journal officiel de l'Union : le communiqué du Conseil précise qu'il entrera en vigueur le troisième jour suivant sa publication.

Ce que ce texte modifie, pour ce qui vous concerne :

• Les obligations relatives aux systèmes à haut risque sont reportées, avec des dates fixes : le 2 décembre 2027 pour les systèmes autonomes relevant de l'annexe III, et le 2 août 2028 pour ceux intégrés à des produits.
• Le délai de mise en place des solutions techniques de marquage des contenus générés est ramené de six à trois mois, avec une échéance au 2 décembre 2026.
• Une nouvelle pratique interdite est ajoutée, visant la génération de contenus sexuels ou intimes sans consentement et de matériel pédocriminel, applicable à partir de décembre 2026. Les bacs à sable réglementaires nationaux, eux, sont repoussés au 2 août 2027.
• L'obligation de maîtrise de l'IA est retouchée. La proposition initiale la remplaçait par un devoir de promotion confié à la Commission et aux États membres ; le Parlement a défendu le maintien d'un rôle actif des entreprises. Le texte consolidé n'étant pas publié, nous ne citerons pas de formulation définitive. La conséquence pratique, elle, est stable : former vos équipes reste utile quoi qu'il advienne.

Un texte adopté cinq semaines avant l'échéance qu'il modifie alimentera cet été une conclusion fausse : « tout est reporté ». Non. Le report vise le régime du haut risque, et rien d'autre.

Se mettre en conformité avec l'AI Act : ce qui s'applique au 2 août 2026

Voici le périmètre effectif de l'échéance une fois le report intégré. Ce sont les obligations utilisateur de l'AI Act qui vous concernent directement.

1. La transparence à l'égard des personnes (article 50). Un déployeur qui utilise un système de reconnaissance des émotions ou de catégorisation biométrique doit informer les personnes exposées. Celui qui diffuse une image, un son ou une vidéo générés ou manipulés constituant un trucage doit indiquer que le contenu est artificiel. Celui qui publie un texte généré par IA pour informer le public sur des questions d'intérêt général doit le signaler, sauf relecture humaine avec responsabilité éditoriale assumée. L'information doit être claire et distincte, au plus tard lors de la première interaction.
2. Le passage à l'application effective. Contrairement à une idée répandue, ni le régime de sanctions ni la désignation des autorités nationales ne sont des nouveautés du 2 août 2026 : ces chapitres s'appliquent depuis le 2 août 2025. Ce qui change, c'est l'étendue des obligations dont le non-respect devient sanctionnable, et le démarrage de la supervision par les autorités de surveillance du marché, y compris sur l'obligation de maîtrise de l'IA, comme l'indique la foire aux questions de la Commission consacrée à ce point.
3. Les interdictions, en vigueur depuis février 2025. Notation sociale, exploitation de vulnérabilités, moisson non ciblée d'images faciales, reconnaissance des émotions au travail et dans l'enseignement : elles ne sont pas concernées par le report et n'ont jamais attendu 2026.

La checklist conformité IA en six points

1. L'inventaire des systèmes d'IA

C'est le point de départ, et celui que presque personne n'a fait sérieusement. L'inventaire des systèmes d'IA ne se limite pas aux outils achetés sous ce nom : l'essentiel des usages arrive par des fonctions d'IA activées dans des logiciels déjà en place, messagerie, outil de support, suite bureautique, plateforme de recrutement.

Six colonnes suffisent par entrée : outil et fournisseur, finalité réelle, qui l'utilise, quelles données y entrent, si des personnes extérieures y sont exposées, qui en répond en interne. Comptez une à deux journées pour une PME, en interrogeant les équipes plutôt qu'en listant les abonnements : l'écart entre les deux est le sujet.

2. La classification

Pour chaque système, trois questions dans cet ordre. Relève-t-il d'une pratique interdite ? Si oui, il faut l'arrêter, sans délai ni report possible. Relève-t-il de l'annexe III, c'est-à-dire du tri de candidatures, de l'évaluation de salariés, de l'accès à des services essentiels ou de l'attribution de crédit ? Si oui, vos obligations sont désormais attendues pour décembre 2027 : vous avez le temps de vous préparer, pas celui d'oublier. Enfin, produit-il ou manipule-t-il du contenu, ou dialogue-t-il avec des personnes ? Si oui, vous êtes dans le périmètre du 2 août.

La Commission a ouvert en octobre 2025 un service d'assistance en ligne dédié au règlement, avec un explorateur du texte et un questionnaire d'orientation en version bêta. Ses lignes directrices sur la classification du haut risque sont en projet depuis le 19 mai 2026 : elles éclairent, elles n'engagent pas encore.

3. L'information des personnes

Cela se traduit par des mentions à écrire et à placer. Sur un assistant en ligne, une phrase visible dès le premier échange indiquant que l'interlocuteur est un système automatisé, et le moyen d'obtenir un humain. Sur les contenus diffusés, une mention lisible lorsqu'ils sont générés ou substantiellement modifiés par IA. Dans un recrutement, une information sur l'usage d'un outil automatisé. La formulation compte moins que la visibilité : une mention enterrée dans les conditions générales ne remplit pas l'obligation. La Commission a publié le 10 juin 2026 la version finale d'un code de bonnes pratiques sur la transparence des contenus générés, avec des exemples d'étiquetage destinés aux déployeurs.

4. La formation des utilisateurs

L'obligation de maîtrise de l'IA existe depuis le 2 février 2025 et s'applique à tout déployeur, quel que soit le niveau de risque du système. Elle est proportionnée : la Commission précise qu'aucune certification n'est imposée et que le niveau attendu dépend du rôle des personnes et du contexte. Un module d'une heure décliné par métier, couvrant ce que l'outil sait et ne sait pas faire, ce qu'on n'y met jamais et le réflexe de vérification, couvre l'essentiel du risque réel. Gardez la trace des sessions et des participants.

5. La documentation à réclamer aux fournisseurs

C'est le point le plus rentable, parce qu'il déplace une partie de la charge. Demandez par écrit à chaque fournisseur : sa qualification de votre usage au regard du règlement, la notice d'utilisation prévue par le texte, les mesures et le calendrier de marquage des contenus générés, la localisation des traitements et l'engagement de non-réutilisation de vos données. Une réponse évasive est une information en soi. Notez qu'aucune norme harmonisée européenne n'était publiée au premier semestre 2026 : une conformité « certifiée AI Act » n'existe pas encore.

6. La trace écrite

Rien de ce qui précède ne vaut s'il n'en reste rien. Un dossier unique et daté : inventaire, classifications justifiées, mentions déployées, preuves de formation, échanges fournisseurs. C'est la brique de base d'une organisation plus large, décrite dans notre article sur la gouvernance de l'IA en entreprise.

Le cas français : qui contrôlera, et à partir de quand

Un point mérite d'être connu, parce qu'il change la lecture du calendrier sans changer vos obligations. La France n'a pas encore désigné formellement ses autorités de surveillance du marché, alors que le règlement fixait cette échéance au 2 août 2025. Le schéma existe : la direction générale des entreprises et la répression des fraudes ont publié en septembre 2025 un projet de répartition avec un point de contact unique et une compétence partagée entre autorités sectorielles. Sa traduction législative figure dans un projet de loi d'adaptation au droit de l'Union, adopté par le Sénat le 18 février 2026, dont l'examen à l'Assemblée nationale n'était pas achevé à la date de publication de cet article.

N'en tirez pas une conclusion de tranquillité. Les obligations s'appliquent indépendamment de l'avancement de la désignation française, et la première question posée en cas de contrôle sera toujours la même : quels systèmes utilisez-vous, et depuis quand le savez-vous ?

Les erreurs à ne pas commettre en trois semaines

• Conclure que le report vous exonère. Il concerne le haut risque. Les obligations de transparence arrivent bien le 2 août, et les trois mois accordés pour l'étiquetage ne dispensent de rien d'autre.
• Traiter le sujet comme un dossier purement juridique. Les trois quarts du travail sont opérationnels : recenser, rédiger des mentions, former. Aucun cabinet ne fera votre inventaire à votre place.
• Négliger l'IA arrivée par la porte de service. Les outils souscrits sans passer par la direction des systèmes d'information sont hors de tout inventaire et concentrent souvent l'exposition réelle.
• Oublier le lien avec la protection des données. Les obligations du règlement s'ajoutent à celles du RGPD, elles ne les remplacent pas.

Ce qu'il faut retenir

Se mettre en conformité avec l'AI Act avant le 2 août 2026 est atteignable pour une organisation qui utilise des outils du commerce, à condition d'accepter le périmètre réel de l'échéance : la transparence à l'égard des personnes, la formation des utilisateurs, et la capacité à dire quels systèmes vous utilisez et pourquoi. Le gros morceau, celui du haut risque, part à décembre 2027 et août 2028.

Si vous ne deviez faire que deux choses d'ici trois semaines : l'inventaire et les mentions d'information. Le premier donne la carte de votre exposition et conditionne tout le reste. Les secondes couvrent l'obligation la plus visible de l'extérieur et la moins coûteuse à mettre en place. Le reste peut suivre en septembre, avec un dossier propre et un calendrier plus réaliste que celui de l'été.