L’AI Act ne « démarre » pas en 2026 : plusieurs de ses obligations s’appliquent déjà, la prochaine échéance tombe le 2 août 2026, et d’autres suivront en 2027 et 2028. Premier cadre réglementaire complet sur l’IA dans l’Union européenne, il entre en application de façon échelonnée. Plutôt que de viser l’exhaustivité juridique (le texte évolue et son interprétation se précise), concentrons-nous sur le calendrier réel et sur ce qui change concrètement côté DSI et RSSI.

Cet article est une synthèse de vulgarisation, pas un avis juridique. Pour vos obligations précises, appuyez-vous sur votre juriste ou votre DPO.

Le calendrier réel, étape par étape

Voici les principales échéances, du déjà applicable au reporté.

Depuis le 2 février 2025 : interdiction des pratiques à risque inacceptable (article 5) et obligation de littératie en IA (article 4, former les équipes à un usage éclairé).
Depuis le 2 août 2025 : obligations sur les modèles d’IA à usage général (GPAI) et mise en place de la gouvernance.
2 août 2026 : entrée en jeu des obligations de transparence (article 50) à destination des utilisateurs.
2 décembre 2027 : obligations sur les systèmes à haut risque autonomes (annexe III, dont le tri de CV en recrutement). Cette échéance résulte d’un report décidé par le « Digital Omnibus » et reste subordonnée à l’adoption formelle du texte.
2 août 2028 : obligations sur les systèmes à haut risque intégrés à un produit réglementé (annexe I).

Le report du haut risque à fin 2027 / 2028 provient d’un accord politique entre le Conseil et le Parlement européens du 7 mai 2026 (« Digital Omnibus »). Cet accord est en cours d’adoption formelle : tant qu’il n’est pas publié au Journal officiel, les nouvelles dates ne sont pas définitives. La direction, elle, est claire : préparez-vous dès maintenant, l’échéance ne fait que vous laisser plus de temps.

Une logique par niveau de risque

L’AI Act classe les systèmes d’IA selon leur risque. C’est la clé de lecture la plus utile :

Risque inacceptable : certains usages sont interdits (notation sociale, manipulation, etc.).
Risque élevé : usages encadrés strictement (par exemple le tri ou le classement automatique de CV en recrutement, explicitement considéré comme à haut risque au titre de l’annexe III). Obligations de documentation, supervision humaine, traçabilité et journalisation des usages (article 12). À noter : un simple résumé de CV destiné à un humain, sans scoring ni classement automatique, est nettement moins exposé qu’un tri automatisé.
Risque limité : obligations de transparence (article 50). L’utilisateur doit savoir qu’il interagit avec une IA, et les contenus générés par IA doivent être signalés comme tels. La journalisation des usages ne relève pas de ce niveau, mais du haut risque.
Risque minimal : la grande majorité des usages, peu ou pas d’obligations spécifiques.

À retenir

La plupart des usages d'IA en entreprise relèvent du risque limité ou minimal. Mais dès qu'une IA touche à une décision qui engage une personne (tri de candidatures, accès à un service), on bascule en risque élevé avec supervision humaine, traçabilité et journalisation obligatoires. Ces obligations de haut risque ont été reportées à décembre 2027 (annexe III) par le Digital Omnibus, accord encore en cours d'adoption : du temps pour se préparer, pas une dispense.

Les trois obligations qui reviennent le plus

1. La supervision humaine

Pour les usages sensibles, une décision ne peut pas être entièrement automatisée. Un humain doit pouvoir comprendre, vérifier et, si besoin, reprendre la main. C’est la logique du human-in-the-loop : l’IA propose, l’humain dispose sur ce qui engage.

2. La traçabilité

Il faut pouvoir documenter ce que l’IA a fait : quelles données, quelle décision, quand. Un journal d’audit immuable n’est plus un luxe, c’est une condition de conformité.

3. La transparence et la protection des données

L’AI Act se combine avec le RGPD. Les données personnelles traitées par une IA restent soumises aux droits des personnes : il faut pouvoir dire quelles données ont été utilisées et ce qu’elles sont devenues. Reconstituer ces preuves a posteriori, à la main, à chaque demande, coûte cher en temps.

Comment s’y préparer sans tout bloquer

La tentation, face à une nouvelle réglementation, est de geler les usages. C’est rarement la bonne réponse : la dette de conformité se creuse pendant que les équipes contournent. Une approche plus saine :

Cartographier les usages par niveau de risque (la plupart seront minimaux, tant mieux).
Mettre la supervision humaine là où une décision engage une personne.
Activer un journal dès maintenant, pour ne pas reconstituer les preuves plus tard.
Garder les données sous contrôle : moins vos données réelles circulent vers des tiers, moins votre surface de conformité est large.

Pour aller plus loin

CLEVYA a été conçu avec ces principes par défaut : validation humaine sur les actions critiques, journal d’audit, et anonymisation locale pour que le réel ne quitte pas votre serveur. La lecture conformité complète est détaillée sur la page RGPD & souveraineté, les couches de sécurité sur la page Sécurité. Et sur les usages d’IA déjà présents sans contrôle dans les organisations, voir l’article Shadow AI : le risque invisible.