Introduction

En bref : l’AI Act est la loi européenne qui encadre l’intelligence artificielle. Il classe les usages de l’IA selon leur niveau de risque. Toute entreprise qui utilise l’IA, même simplement ChatGPT, doit déjà former ses équipes depuis février 2025. Depuis le 2 août 2026, un chatbot doit indiquer qu’il est une IA. Les règles les plus strictes, pour les usages sensibles comme le recrutement, s’appliqueront le 2 décembre 2027.

ChatGPT, Copilot, Le Chat de Mistral : en quelques mois, l’IA s’est installée dans le quotidien des entreprises. L’Europe a fixé des règles pour encadrer ces usages : c’est l’AI Act.

Depuis le 2 août 2026, la plus grande partie du texte s’applique, et les autorités peuvent désormais contrôler les entreprises (ActuIA). Pourtant, beaucoup pensent que tout a été repoussé. En réalité, seules les règles les plus lourdes l’ont été.

Qu’est-ce que l’AI Act ? Votre entreprise est-elle concernée ? Que devez-vous faire dès maintenant ? Voici l’essentiel, expliqué simplement.

L’AI Act en clair : une loi qui classe l’IA selon le risque

L’AI Act est le règlement européen (UE) 2024/1689 sur l’intelligence artificielle. Il est entré en vigueur le 1er août 2024 et s’applique par étapes. C’est un règlement : il s’impose directement dans toute l’Union, sans loi française pour le transposer (EUR-Lex).

Son principe est simple : plus un usage de l’IA est risqué pour les personnes, plus les règles sont strictes. Il distingue quatre niveaux :

Risque inacceptable : les usages interdits, comme l’analyse des émotions des salariés ou la notation sociale.
Haut risque : les usages sensibles, comme le recrutement ou l’évaluation de la solvabilité. Ils devront respecter des exigences fortes (contrôle humain, traçabilité, documentation).
Risque limité : surtout une obligation de transparence. Par exemple, dire à un client qu’il échange avec une IA.
Risque minimal : la grande majorité des usages courants, sans obligation particulière.

Quelles entreprises sont soumises à l’AI Act ?

Toutes les entreprises qui développent ou utilisent l’IA dans un cadre professionnel sont concernées. Il n’y a pas de seuil de taille ni de secteur : une TPE qui utilise ChatGPT est concernée, comme un grand groupe (AI Act Service Desk, article 2).

Toutes les tailles : TPE, PME, grandes entreprises, associations et organismes publics.
Tous les secteurs : industrie, services, commerce, santé, formation…
Même hors d’Europe : une entreprise américaine ou chinoise qui vend un outil d’IA dans l’Union doit aussi respecter le texte.

Quelques cas sont exclus : l’usage purement personnel (un particulier qui utilise ChatGPT pour ses loisirs), la recherche et les tests avant la mise sur le marché, et les usages exclusivement militaires ou de défense.

Ce que vous devez faire dépend de votre rôle

Le texte distingue deux rôles principaux (ActuIA) :

Le fournisseur développe un outil d’IA (ou le fait développer) et le met sur le marché ou en service sous son nom. Exemple : l’éditeur d’un logiciel de recrutement. C’est lui qui porte la plupart des obligations.
L’utilisateur professionnel (appelé « déployeur » dans le texte) utilise un outil d’IA dans le cadre de son activité. Exemple : une entreprise qui utilise Copilot, ChatGPT ou un logiciel RH doté d’IA.

La plupart des entreprises sont simplement utilisatrices : leurs obligations sont plus légères. Attention toutefois : si vous développez votre propre outil d’IA et le mettez en service sous votre nom, vous pouvez devenir fournisseur.

Le calendrier de l’AI Act, mis à jour après le Digital Omnibus

Les obligations « haut risque » ont été repoussées au 2 décembre 2027, mais l’essentiel du texte s’applique déjà. Ce report vient du « Digital Omnibus », le règlement (UE) 2026/1744 publié le 24 juillet 2026 et en vigueur depuis le 27 juillet (EUR-Lex). Beaucoup d’articles publiés avant l’été annoncent encore août 2026 pour le haut risque : ils ne sont plus à jour.

Date	Ce qui change concrètement
2 février 2025	Certains usages de l’IA sont interdits. Toute entreprise qui utilise l’IA doit former ses équipes.
2 août 2025	Les éditeurs des grands modèles d’IA (ceux qui font tourner ChatGPT, Mistral, Claude…) ont leurs propres obligations.
2 août 2026	Un chatbot doit dire qu’il est une IA. Les contenus réalistes générés par IA (deepfakes) doivent être signalés. Les autorités peuvent contrôler.
2 décembre 2026	Les éditeurs d’IA générative déjà sur le marché doivent marquer les contenus produits. Deux nouveaux usages sont interdits : créer des images intimes d’une personne sans son accord et produire des contenus pédocriminels.
2 décembre 2027	Les usages sensibles (recrutement, crédit, éducation et formation, biométrie…) doivent respecter des règles renforcées.
2 août 2028	Même chose pour l’IA intégrée à des produits déjà réglementés, comme les dispositifs médicaux ou les machines.

Source : ActuIA, relevé du 6 octobre 2026, d’après le texte publié au Journal officiel de l’UE.

Quelles règles selon votre usage de l’IA ?

Vos obligations dépendent de ce que vous faites avec l’IA, pas de l’outil lui-même. Le même logiciel peut être sans risque pour rédiger un e-mail et à haut risque pour trier des candidatures.

Usage courant : formez vos équipes, c’est tout. Exemples : rédiger, traduire ou résumer des documents avec ChatGPT ou Copilot, préparer une présentation.

Échange avec vos clients ou contenus réalistes : soyez transparent. Exemples : un chatbot sur votre site, une vidéo réaliste d’une personne générée par IA. Vous devez indiquer clairement qu’il s’agit d’une IA ou d’un contenu généré.

Usage sensible : des règles renforcées à partir du 2 décembre 2027. Exemples : trier des CV, évaluer des salariés ou des apprenants, étudier la solvabilité d’un particulier. Il faudra un contrôle humain par une personne formée, garder une trace de ce que fait l’outil et informer les salariés concernés et leurs représentants.

Usage interdit : à arrêter. Exemple : analyser les émotions de vos salariés, sauf raison médicale ou de sécurité. C’est interdit depuis février 2025.

Exemples tirés du texte tel qu’analysé par ActuIA. En cas de doute sur un usage précis, la Commission européenne propose un outil gratuit de vérification : le Compliance Checker.

Ce que votre entreprise doit faire dès maintenant : 4 actions

Pas besoin d’un service juridique pour commencer. Quatre actions couvrent l’essentiel pour la plupart des entreprises.

1. Faire la liste de vos outils d’IA

Notez chaque outil d’IA utilisé dans l’entreprise : qui l’utilise, pour quoi faire et à quelles données il accède. N’oubliez pas les outils que vos salariés utilisent de leur propre initiative. Sans cette liste, impossible de savoir quelles règles vous concernent.

2. Former vos équipes : c’est déjà obligatoire

Depuis le 2 février 2025, l’article 4 de l’AI Act impose aux entreprises qui utilisent l’IA d’agir pour que leurs équipes la maîtrisent. Le Digital Omnibus a assoupli sa formulation en juillet 2026 : l’entreprise doit « prendre des mesures pour favoriser » cette maîtrise, sans garantir un niveau précis pour chaque personne. L’obligation reste entière, quel que soit le niveau de risque de vos outils (ActuIA).

Selon la Commission européenne :

elle concerne vos salariés, mais aussi les prestataires qui utilisent l’IA pour votre compte ;
aucun certificat n’est exigé : un registre interne des formations suffit à garder une trace ;
même un usage simple compte : des salariés qui rédigent avec ChatGPT doivent connaître ses limites, comme les erreurs inventées (« hallucinations ») ;
les autorités nationales peuvent contrôler cette obligation depuis le 2 août 2026.

3. Annoncer clairement l’IA à vos clients

Si un chatbot ou un assistant vocal répond à vos clients, ils doivent savoir qu’ils échangent avec une IA, dès le premier contact. Un message du type « Je suis un assistant virtuel » suffit, sauf si c’est déjà évident. Si vous diffusez une image ou une vidéo réaliste générée par IA, indiquez-le.

4. Garder un humain aux commandes

Faites relire par une personne ce que produit l’IA avant tout usage important : document envoyé à un client, décision sur un salarié, chiffre publié. Pour les usages sensibles, ce contrôle humain deviendra une obligation légale le 2 décembre 2027. Autant prendre les bonnes habitudes maintenant.

Vous utilisez l’IA pour recruter, évaluer des salariés ou des apprenants, ou étudier des dossiers de crédit ? Commencez dès aujourd’hui à préparer l’échéance de décembre 2027 avec l’éditeur de votre outil.

Sanctions : sont-elles les mêmes pour tout le monde ?

Non. L’AI Act fixe trois niveaux d’amende selon la gravité du manquement. Chaque niveau combine un montant fixe et un pourcentage du chiffre d’affaires annuel mondial (ActuIA) :

Utiliser un usage interdit : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires.
Ne pas respecter les autres obligations, comme la transparence : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires.
Donner des informations fausses aux autorités : jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires.

Ce qui change selon la taille de l’entreprise

Grandes entreprises : c’est le plus élevé des deux montants qui sert de plafond.
PME et start-up (moins de 250 salariés, et un chiffre d’affaires de 50 millions d’euros maximum ou un bilan de 43 millions maximum) : c’est le plus faible des deux montants (EUR-Lex).
Entreprises un peu plus grandes que les PME, de moins de 750 salariés (« petites entreprises à moyenne capitalisation ») : depuis le Digital Omnibus, elles bénéficient aussi du montant le plus faible, sauf pour les usages interdits.
Organismes publics : chaque pays décide s’ils peuvent être sanctionnés, et dans quelle mesure.

Un exemple pour comprendre, en cas de manquement à la transparence :

une PME qui réalise 2 millions d’euros de chiffre d’affaires risque au maximum 60 000 euros (3 % de 2 millions, plus faible que 15 millions) ;
un grand groupe qui réalise 1 milliard d’euros risque jusqu’à 30 millions d’euros (3 % de 1 milliard, plus élevé que 15 millions).

Ce sont des plafonds, pas des montants automatiques. L’autorité tient compte de la gravité et de la durée du manquement, de la taille de l’entreprise et de sa coopération. L’obligation de formation (article 4) n’entre pas dans ce barème : ses sanctions sont fixées par chaque pays.

Qui contrôle en France ?

Fin octobre 2026, aucune loi française n’a encore désigné officiellement les autorités de contrôle. Le projet de loi qui doit le faire (dit « DDADUE ») a été adopté par le Sénat le 18 février 2026 et attend son examen à l’Assemblée nationale (dossier de l’Assemblée).

Le schéma prévu par le gouvernement confie la coordination à la DGCCRF et un rôle central à la CNIL, notamment pour l’emploi, l’éducation et la biométrie. L’Arcom et la DGCCRF se partageraient la transparence des chatbots et des contenus générés (ActuIA).

Ce retard ne suspend rien : les obligations européennes s’appliquent déjà, en France comme ailleurs.

Former vos équipes avec CMS Informatic

La première obligation de l’AI Act, c’est la formation. CMS Informatic, organisme certifié Qualiopi basé à Villejust (Paris-Saclay), vous aide à y répondre, de la découverte de l’IA jusqu’aux usages avancés :

Sensibilisation à l’intelligence artificielle (1 jour, sans prérequis) : comprendre ce que l’IA sait faire, ses limites et ses risques.
Apprendre à rédiger de bons prompts (1 jour, sans prérequis) : formuler ses demandes pour obtenir des résultats fiables.
Concevoir et déployer son agent IA automatique (2 jours, en présentiel ou à distance) : configurer un agent, encadrer ses actions et tester ses résultats.
L’IA sur mesure : sensibilisation et sujets métiers : une formation construite autour des tâches de vos équipes, définies en amont avec le formateur.

Besoin de mettre vos équipes en règle avec l’AI Act ? Découvrez toutes nos formations en intelligence artificielle ou contactez-nous pour construire un parcours adapté.

Questions fréquentes sur l’AI Act

Qu’est-ce que l’AI Act ?

C’est le règlement européen (UE) 2024/1689 qui encadre l’intelligence artificielle. Il classe les usages de l’IA en quatre niveaux de risque et fixe des règles plus strictes pour les usages les plus sensibles.

L’AI Act concerne-t-il les PME ?

Oui, toutes les entreprises qui utilisent l’IA sont concernées, quelle que soit leur taille. Pour les PME, les amendes sont plafonnées au montant le plus faible des deux seuils.

Utiliser ChatGPT ou Copilot au travail, est-ce concerné ?

Oui. Dès que vos salariés utilisent l’IA, vous devez les former à son bon usage et à ses limites. C’est l’obligation de maîtrise de l’IA, en vigueur depuis février 2025.

Les règles « haut risque » ont-elles été reportées ?

Oui. Le Digital Omnibus les a repoussées du 2 août 2026 au 2 décembre 2027 pour les usages comme le recrutement ou le crédit, et au 2 août 2028 pour l’IA intégrée à des produits réglementés.

Faut-il une certification pour prouver la formation ?

Non. La Commission européenne indique qu’aucun certificat n’est exigé. Tenir un registre interne des formations suivies permet d’en garder la trace.