Veille · IA & conformité

AI Act — le calendrier réel

Quatre jalons étalés de 2025 à 2028, dont trois sont déjà derrière nous. Ce qui vous oblige aujourd'hui, et ce qui vous laisse du temps.

Ce qui s'applique déjà, ce qui arrive

Le règlement européen sur l'IA n'est pas une échéance unique : c'est un calendrier en quatre temps, étalé de 2025 à 2028. Trois de ces quatre étapes sont déjà derrière nous. Voici ce qui vous oblige aujourd'hui, et ce qui vous laisse encore du temps.

Interdictions et littératie IA en vigueur

Applicable depuis le 2 février 2025

Deux volets sont entrés en application ce jour-là. L'article 5 interdit purement et simplement certaines pratiques : notation sociale, manipulation subliminale, extraction non ciblée d'images faciales, reconnaissance des émotions au travail et à l'école. L'article 4, lui, impose la littératie IA : toute organisation qui déploie de l'IA doit s'assurer que les personnes qui l'utilisent en comprennent le fonctionnement, les limites et les risques.

Impact : L'article 4 ne concerne pas que ceux qui développent des modèles — il vise aussi les simples utilisateurs professionnels. Si vos équipes ont adopté un assistant IA, avec ou sans validation, l'obligation vous concerne déjà. Ce n'est pas une certification à obtenir, c'est un niveau de compréhension à garantir et à pouvoir démontrer.

Modèles à usage général et sanctions en vigueur

Applicable depuis le 2 août 2025

Les fournisseurs de modèles à usage général (GPAI) doivent documenter leurs modèles, publier un résumé des données d'entraînement et respecter le droit d'auteur européen. C'est aussi la date à laquelle la gouvernance s'est mise en place — Bureau européen de l'IA, autorités nationales — et à laquelle le régime de sanctions est devenu opérationnel.

Impact : Vous êtes très probablement déployeur, pas fournisseur — ces obligations ne pèsent donc pas sur vous. En revanche, elles conditionnent ce que vos fournisseurs doivent être capables de vous transmettre. La documentation d'un modèle n'est plus une faveur commerciale : c'est une obligation que vous pouvez exiger.

Obligations de transparence en vigueur

Applicable depuis le 2 août 2026

C'est le volet qui touche le plus grand nombre d'organisations. Un système d'IA qui interagit avec une personne doit le lui dire. Un contenu synthétique — texte, image, son, vidéo — doit être identifiable comme tel, y compris par marquage lisible par machine. Un deepfake doit être déclaré. La reconnaissance des émotions et la catégorisation biométrique doivent être annoncées aux personnes concernées.

Impact : Les manquements à la transparence sont sanctionnables jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial. Mais avant la conformité, il y a la cartographie : le chatbot du site, l'outil de tri des candidatures, l'assistant intégré au CRM que personne n'a activé volontairement. La plupart des organisations découvrent leur périmètre IA au moment où on leur demande de le documenter.

Systèmes à haut risque à venir

Applicable au 2 décembre 2027 — annexe I : 2 août 2028

Les obligations lourdes concernent les systèmes classés à haut risque : recrutement et gestion des ressources humaines, éducation, accès aux services essentiels, infrastructures critiques, biométrie, migration. Système de gestion des risques, gouvernance des données, documentation technique, journalisation, supervision humaine, évaluation de conformité. Le calendrier initial a été décalé pour laisser le temps aux normes techniques d'arriver.

Impact : Ce délai n'est pas un répit, c'est une fenêtre. Si vous utilisez un outil d'aide au recrutement ou de scoring, vous avez le temps de choisir votre fournisseur en connaissance de cause — plutôt que de découvrir en 2027 qu'il n'a pas prévu de se mettre en conformité.

Par où commencer, concrètement

La conformité IA ne commence pas par du juridique. Elle commence par un inventaire, et il tient sur une page.

1. Listez les outils, pas les technologies. « Un LLM » n'est pas une entrée d'inventaire. « Le chatbot du site », « le tri automatique des candidatures », « le résumé de réunion dans Teams » en sont.

2. Pour chacun, notez votre rôle. Fournisseur si vous le développez ou le mettez sur le marché, déployeur si vous l'utilisez. Dans la grande majorité des cas : déployeur — et les obligations sont bien plus légères.

3. Vérifiez l'affichage. Tout ce qui parle à un humain ou produit du contenu doit le signaler. C'est souvent une ligne de texte à ajouter.

4. Écrivez ce qu'on peut mettre dans un prompt. Une page suffit. C'est la mesure de littératie IA la plus rentable qui existe.

À retenir : Les trois quarts du travail relèvent de l'inventaire et de l'affichage, pas du dossier de conformité. Ce qui coûte cher, c'est de découvrir son périmètre trop tard.

Sources : texte du règlement (UE) 2024/1689 et calendrier d'application. Cette page est une synthèse de veille, pas un avis juridique.

Vous ne savez pas où vous en êtes ?

Un audit d'entrée identifie exactement ce qui tourne, ce qui expire, et ce qui doit bouger en premier.

Demander un premier échange