IA Act : le guide pour les entreprises qui utilisent l'IA

Depuis le 2 août 2026, une partie de l'IA Act s'applique directement aux entreprises qui utilisent l'intelligence artificielle, et pas seulement à celles qui la fabriquent. Personne n'a reçu de courrier pour l'annoncer, mais le règlement produit ses effets. Dans le même temps, un texte de simplification adopté cet été a repoussé une partie du calendrier, ce qui a nourri l'idée fausse que « l'IA Act est reporté ». Ce guide fait le tri : ce qui s'applique aujourd'hui, ce qui arrive plus tard, et les quatre actions à engager dans votre organisation. Article à jour au 6 août 2026.

IA Act : de quoi parle-t-on exactement ?

Règlement, fournisseur, déployeur, système d'IA : quatre termes reviennent sans arrêt dans le débat et il est utile de les distinguer avant d'aller plus loin.

• L'IA Act, c'est le règlement (UE) 2024/1689, adopté le 13 juin 2024 et entré en vigueur le 1^er août 2024. Un règlement européen s'applique directement, sans loi de transposition nationale.
• Un système d'IA, c'est un système automatisé qui, à partir des données qu'il reçoit, produit des résultats (prédictions, contenus, recommandations, décisions) influençant son environnement.
• Un fournisseur, c'est l'acteur qui développe un système d'IA et le met sur le marché ou en service sous son propre nom ou sa propre marque.
• Un déployeur, c'est l'organisation qui utilise un système d'IA sous sa propre autorité, dans le cadre d'une activité professionnelle. C'est le statut de l'immense majorité des entreprises françaises.

La confusion la plus répandue consiste à croire que le texte ne vise que les grands éditeurs de modèles. C'est inexact : une partie des obligations pèse sur les déployeurs, donc sur les entreprises utilisatrices.

Un règlement fondé sur le niveau de risque

L'IA Act ne régule pas la technologie en elle-même, il régule les usages qui en sont faits. Plus l'usage est susceptible de porter atteinte à la santé, à la sécurité ou aux droits fondamentaux, plus les obligations sont lourdes. Un même modèle de langage peut donc être quasiment libre d'obligations dans un cas et fortement encadré dans un autre.

Les quatre niveaux de risque

• Risque inacceptable : usages purement et simplement interdits par l'article 5. On y trouve notamment la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement (hors raisons médicales ou de sécurité), la notation sociale, la catégorisation biométrique visant à déduire l'origine, les opinions politiques ou l'orientation sexuelle, la constitution de bases de reconnaissance faciale par moissonnage non ciblé d'images, ainsi que les systèmes manipulatoires ou exploitant la vulnérabilité liée à l'âge, au handicap ou à une situation sociale.
• Haut risque : usages autorisés mais très encadrés. Le tri de candidatures, l'évaluation du crédit, la notation d'élèves ou l'IA embarquée dans un dispositif médical en font partie.
• Risque limité : l'étage qui concerne le plus grand nombre d'entreprises. Il impose des obligations de transparence : dire quand une IA parle, signaler certains contenus générés.
• Risque minimal : tout le reste, avec très peu d'obligations spécifiques.

« L'IA Act est-il reporté ? » Ce que le Digital Omnibus change vraiment

La réponse courte : non, pas dans son ensemble. Le Digital Omnibus sur l'IA est devenu le règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet 2026. Il ne suspend pas l'IA Act, il en décale une partie et en assouplit certaines dispositions.

Ce qui est repoussé : le haut risque

Le report porte sur les obligations applicables aux systèmes à haut risque, et sur elles seules. Les systèmes autonomes listés à l'annexe III (recrutement, crédit, éducation, gestion des travailleurs) basculent au 2 décembre 2027. Les systèmes intégrés à des produits déjà couverts par une législation d'harmonisation européenne (dispositifs médicaux, machines, jouets) relèvent de l'annexe I et sont décalés au 2 août 2028. Ces dates sont désormais fixes : le mécanisme de report conditionnel qui figurait dans la proposition initiale a été abandonné.

Ce qui s'applique bel et bien

Tout le reste continue de courir, et c'est précisément la partie qui touche les entreprises utilisatrices :

• Les pratiques interdites (article 5) et la maîtrise de l'IA (article 4), applicables depuis le 2 février 2025.
• Les modèles d'IA à usage général, la gouvernance et le régime de sanctions, applicables depuis le 2 août 2025.
• Les obligations de transparence (article 50), applicables depuis le 2 août 2026.

Un aménagement transitoire existe, mais il est plus étroit qu'on ne le lit souvent : il ne concerne que le marquage lisible par machine des contenus produits par des systèmes d'IA générative mis sur le marché avant le 2 août 2026, dont les fournisseurs ont jusqu'au 2 décembre 2026 pour se conformer. L'obligation d'informer l'utilisateur qu'il parle à une IA, elle, n'attend pas.

Votre entreprise est-elle concernée ?

Fournisseur ou déployeur : le test en trois questions

Trois questions suffisent à situer votre organisation :

• Utilisez-vous l'IA dans votre activité professionnelle ?
• Publiez-vous des contenus rédigés ou fabriqués par une IA ?
• Un agent conversationnel répond-il à vos clients, sur votre site, par messagerie ou par téléphone ?

Une seule réponse positive et vous entrez dans le champ des obligations de transparence, en qualité de déployeur. Deux cas restent hors du dispositif : l'usage strictement personnel, et la situation du salarié, qui ne porte pas individuellement la conformité de son employeur.

La bascule à surveiller est celle du déployeur qui devient fournisseur. Tant que vous utilisez un outil acheté sur étagère, vous restez utilisateur. Le jour où vous commercialisez un assistant conversationnel sous votre nom et votre marque, vous pouvez entrer dans une logique de fournisseur selon le contrôle que vous exercez sur le système, ce qui change la nature de vos obligations.

Le cas du shadow AI

Dans beaucoup d'organisations, l'IA est déjà partout sans que personne ne l'ait décidé : comptes personnels, extensions de navigateur, assistants intégrés à des outils métiers. C'est la version IA du Shadow IT, et elle pose un problème simple : on ne peut pas démontrer la conformité d'usages qu'on ne connaît pas. Le sujet est d'ailleurs déjà bien identifié par les DSI, sous un angle jusqu'ici plutôt sécurité et RGPD. L'IA Act y ajoute une lecture réglementaire.

Le calendrier d'application à jour

Les systèmes hérités utilisés par les autorités publiques disposent d'un délai supplémentaire, jusqu'en 2030.

Les quatre actions à engager maintenant

Nos équipes ont résumé en vidéo les quatre actions concrètes à mettre en place, avec une démonstration à l'écran du registre d'usages évoqué plus bas. Neuf minutes pour savoir où vous en êtes.

Action 1 : signaler vos contenus générés par IA

Deux règles cohabitent. La première vise les contenus réalistes : dès qu'une image, une vidéo ou un son fabriqué par IA peut être pris pour authentique, le public doit en être informé de façon perceptible. Une métadonnée invisible dans le fichier ne suffit pas à elle seule.

La seconde vise les textes, mais dans un périmètre précis : un texte généré par IA, publié, destiné à informer le public sur une question d'intérêt général (santé, environnement, finance, droit). Une fiche produit rédigée par IA n'entre pas dans ce champ ; un article de conseil en placement financier, oui.

Une exception importante existe et reste peu connue : l'obligation tombe lorsque le contenu a fait l'objet d'un véritable contrôle éditorial humain et qu'une personne physique ou morale en assume la responsabilité éditoriale. Les deux conditions sont cumulatives, et une relecture orthographique n'en est pas une. Si vous vous appuyez sur cette exception, gardez la trace de qui a relu quoi, et quand.

Action 2 : annoncer votre agent conversationnel

Chat sur votre site, robot WhatsApp, serveur vocal : le système doit indiquer qu'il s'agit d'une IA, sauf si cela est évident pour une personne raisonnablement avertie. L'information doit être donnée au plus tard au moment de la première interaction, pas enfouie dans les mentions légales. Une ligne suffit : « Bonjour, vous échangez avec un assistant automatique. »

Action 3 : former vos équipes à l'IA

C'est l'obligation la moins visible et la plus structurante. Depuis février 2025, l'article 4 impose aux organisations qui utilisent des systèmes d'IA de prendre des mesures pour que les personnes qui les manipulent disposent d'un niveau suffisant de compréhension. Le règlement de juillet 2026 en a confirmé la nature : il s'agit d'une obligation de moyens, proportionnée à la taille de l'organisation et à la sensibilité des usages.

Le texte n'impose ni durée minimale, ni programme officiel, ni certification. En revanche, il faut pouvoir démontrer que quelque chose de sérieux a été mis en place. En pratique, cinq éléments constituent un socle solide :

• une sensibilisation courte à l'IA pour l'ensemble des collaborateurs concernés ;
• une charte d'usage ou un jeu de règles internes ;
• des consignes explicites sur les données confidentielles et personnelles ;
• une formation renforcée pour les métiers exposés (RH, finance, juridique, relation client) ;
• une preuve des actions réalisées : liste des personnes formées, dates, versions des consignes.

L'article 4 n'est pas assorti d'une amende autonome. Mais un défaut de formation se retrouve rarement seul : il alimente l'appréciation de la diligence de l'entreprise lorsqu'un autre manquement est examiné. C'est le sens de notre conviction chez Alegria.group : l'IA n'est plus un sujet d'innovation, c'est un sujet RH. Si vous cherchez par où commencer, la formation IA en entreprise et le format court IA Acculturation couvrent précisément ce socle.

Action 4 : tenir un registre de vos usages d'IA

C'est l'action la plus rapide, et celle qui clarifie toutes les autres. Ouvrez un tableur, inscrivez une ligne par endroit où l'IA intervient dans votre activité, puis quatre colonnes à cocher : l'usage s'adresse-t-il directement à un client ? produit-il du contenu publié ? touche-t-il un sujet d'intérêt général ? le revendiquez-vous sous votre marque ou l'intégrez-vous dans une offre vendue ?

Comptez une demi-heure pour la première version. Ce document vous sert deux fois : il vous dit immédiatement quelles obligations vous concernent, et il constitue la pièce à présenter le jour où la question vous est posée. La dernière ligne de l'exemple ci-dessus illustre l'intérêt de l'exercice : un tri de candidatures assisté par IA relève du haut risque, avec une échéance au 2 décembre 2027 qu'il vaut mieux anticiper dès la conception du processus.

Sanctions : ce que vous risquez

Une nuance essentielle pour les PME et les jeunes entreprises : la règle s'inverse à leur profit, l'amende étant plafonnée au montant le plus bas entre le pourcentage et la valeur fixe. Une société réalisant 2 millions d'euros de chiffre d'affaires s'expose donc à 60 000 euros sur le deuxième palier, et non à 15 millions.

Qui contrôle en France, et où suivre la suite

Le règlement s'applique directement en France, mais la désignation formelle des autorités nationales de contrôle n'est pas encore inscrite dans la loi française. Le schéma rendu public par Bercy en septembre 2025 confie la coordination et le point de contact unique à la DGCCRF, un rôle central à la CNIL sur la biométrie, l'emploi et les pratiques interdites, et la transparence des contenus à l'Arcom, d'autres régulateurs sectoriels intervenant selon les domaines. Ce schéma reste subordonné à l'adoption d'un texte législatif.

Pour suivre les échéances sans surveiller le Journal officiel européen, la Commission a ouvert un guichet gratuit et disponible en français, l'AI Act Service Desk. On y trouve un explorateur du texte, un questionnaire d'auto-évaluation et un formulaire pour poser une question à une équipe d'experts. Les réponses y sont indicatives : sur un cas complexe, elles ne remplacent pas un conseil juridique. Le cadre réglementaire publié par la Commission, le texte du règlement sur EUR-Lex et les ressources de la CNIL complètent utilement le dispositif.

Par où commencer avec Alegria.group

Une session de sensibilisation ne suffit pas à enclencher un changement durable, et une charte d'usage rangée dans un intranet non plus. Ce qui fonctionne, c'est la combinaison d'un état des lieux honnête des usages réels, d'une montée en compétence adaptée aux métiers exposés, et de règles écrites que les équipes comprennent. Alegria.group accompagne les entreprises avec une approche qui combine conseil, formation et exécution : plus de 600 projets menés et 11 000 personnes formées à l'IA, au NoCode et aux automatisations.

Pour cartographier vos usages et prioriser, le format Starter IA tient en quatre heures. Pour outiller vos équipes, la formation IA en entreprise répond directement à l'obligation de l'article 4. Et si vous souhaitez vous former à titre individuel, les parcours d'Alegria.academy sont éligibles aux dispositifs de financement de la formation professionnelle.