Loi européenne sur l’IA : ce qui s’applique aux entreprises

Depuis le 2 août 2026, la loi européenne sur l’IA (règlement (UE) 2024/1689, souvent appelé « AI Act ») s’applique dans sa plus grande partie. On la dit souvent « reportée ». C’est vrai en partie seulement : le report adopté en juillet 2026 vise les usages dits « à haut risque », pas les interdictions ni les règles de transparence, qui obligent à signaler l’usage d’une IA. Voici le point au 21 octobre 2026.

Ce que la loi européenne sur l’IA impose, date par date

• Depuis le 2 février 2025 : certaines pratiques sont interdites, comme la notation sociale, la manipulation à l’insu des personnes (techniques subliminales) ou la déduction des émotions sur le lieu de travail, sauf raisons médicales ou de sécurité. Les fournisseurs et les utilisateurs professionnels d’outils d’IA prennent aussi des mesures pour que leur personnel s’en serve en connaissance de cause (la « maîtrise de l’IA », article 4).
• Depuis le 2 août 2025 : règles sur les modèles d’IA « à usage général » (capables de tâches très variées), qui visent leurs fournisseurs et non les entreprises qui se contentent de les utiliser ; sanctions applicables.
• Depuis le 2 août 2026 : obligations de transparence (article 50).
• 2 décembre 2026 : nouvelle interdiction des outils qui génèrent des contenus réalistes intimes ou sexuellement explicites d’une personne identifiable sans son consentement, ainsi que des contenus pédopornographiques.
• 2 décembre 2027, au lieu du 2 août 2026 : obligations des usages à haut risque de l’annexe III (recrutement, gestion du personnel, solvabilité des particuliers, éducation, etc.).
• 2 août 2028 : obligations des outils d’IA intégrés comme éléments de sécurité à des produits réglementés (annexe I : jouets, ascenseurs, dispositifs médicaux, par exemple).

Ces dates, tirées du calendrier officiel de la Commission européenne, intègrent une révision qu’elle a proposée le 19 novembre 2025 dans un paquet de simplifications appelé « omnibus numérique ». Cette révision est devenue le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet 2026. Elle a aussi assoupli la maîtrise de l’IA et étendu aux « petites entreprises à moyenne capitalisation », un peu plus grandes que les PME, certains allègements réservés aux PME qui développent des outils à haut risque : documentation technique simplifiée, système qualité proportionné.

La transparence n’a pas été décalée. Seul le marquage technique des contenus générés (une marque lisible par les logiciels) bénéficie d’un délai jusqu’au 2 décembre 2026, pour les fournisseurs d’outils génératifs mis sur le marché avant le 2 août 2026.

Première étape : faire la liste de vos outils d’IA

Le texte distingue le « fournisseur », qui développe ou fait développer un outil d’IA et le met sur le marché ou en service sous son nom, et le « déployeur », qui l’utilise sous sa propre autorité dans un cadre professionnel. Une PME abonnée à un service du marché est déployeur. Si elle fait développer un assistant sur mesure et le met en service sous sa marque, même pour son propre usage, elle peut être considérée comme fournisseur.

Pour chaque outil, notez :

• son usage réel et les personnes concernées ;
• qui le fournit, comment vous y accédez (abonnement, logiciel existant, développement sur mesure) et votre rôle ;
• les données transmises, surtout personnelles ou confidentielles ;
• son niveau de risque : interdit, haut risque, soumis à transparence ou minimal.

La plupart des usages courants (rédaction, résumé, traduction) relèvent en général du risque minimal, sans règle particulière au-delà de la maîtrise de l’IA. Le recrutement, l’évaluation des salariés ou la solvabilité de particuliers demandent en revanche une attention immédiate.

Signaler l’usage d’une IA : obligatoire depuis le 2 août 2026

L’article 50 impose d’informer les personnes :

• un assistant conversationnel, ou tout outil fait pour dialoguer, doit être conçu pour que l’on sache qu’il s’agit d’une IA, sauf si cela ressort clairement du contexte ;
• les hypertrucages (« deepfakes »), images, sons ou vidéos produits ou modifiés par une IA qui imitent de façon trompeuse des personnes, des lieux ou des événements réels, doivent être signalés comme tels ;
• un texte produit par une IA et publié pour informer le public sur des questions d’intérêt public doit être signalé, sauf relecture humaine ou contrôle éditorial, sous la responsabilité éditoriale d’une personne ;
• l’usage d’un outil qui reconnaît les émotions ou classe les personnes d’après leurs données biométriques (traits du visage, par exemple) doit être annoncé.

L’information doit être claire, au plus tard au premier échange ou à la première exposition. La Commission a publié le 20 juillet 2026 des lignes directrices sur ces obligations ; un code de bonnes pratiques sur les contenus générés par l’IA, d’adhésion volontaire, a été finalisé en juin 2026.

Données personnelles et contrats avec vos prestataires

La loi sur l’IA n’a pas d’incidence sur le RGPD, qui protège les données personnelles et reste pleinement applicable. Dès qu’un outil d’IA traite de telles données, par exemple des CV, les règles habituelles s’appliquent : base légale (un motif prévu par le RGPD), information des personnes, durée de conservation, sécurité. Une analyse d’impact (étude préalable des risques) est requise si le traitement est susceptible d’engendrer un risque élevé pour les personnes (article 35). Sauf exceptions, nul ne doit subir une décision entièrement automatisée qui l’affecte de manière significative (article 22).

Un prestataire qui traite des données pour votre compte est un « sous-traitant » (article 28 du RGPD) : un contrat doit préciser notamment l’objet, la durée et la finalité du traitement. Pour un outil d’IA, prévoyez aussi des clauses sur :

• la réutilisation, ou non, de vos données pour entraîner (améliorer) les modèles du fournisseur ;
• le lieu d’hébergement et les éventuels transferts hors de l’Union européenne ;
• qui assume quelle obligation de la loi sur l’IA, par exemple signaler qu’un assistant conversationnel est une IA ;
• la documentation remise, la conservation des journaux (historique des opérations) et la réversibilité (récupérer vos données pour changer de prestataire).

Un exemple concret

Prenons, à titre d’illustration, une PME de négoce de 25 personnes.

• Son assistant de rédaction pour les devis relève du risque minimal : une courte règle d’usage (pas de données clients sensibles dans un outil grand public, relecture avant envoi) et une prise en main contribuent à répondre à l’obligation de maîtrise de l’IA.
• Son assistant conversationnel de suivi de commande, développé pour elle et mis en service sous son nom, annonce dès le premier message qu’il est automatisé. Le contrat avec le développeur prévoit cette mention, l’hébergement des échanges, leur durée de conservation et l’interdiction de les réutiliser.
• Son projet d’outil de tri des candidatures relève du haut risque (annexe III). Ses obligations propres s’appliqueront le 2 décembre 2027, mais le RGPD s’applique déjà : vérifier si une analyse d’impact est nécessaire, informer les candidats, laisser la décision finale à une personne. L’entreprise choisit un fournisseur capable de remettre la documentation exigée.

Questions fréquentes

La loi sur l’IA a-t-elle été reportée ?

En partie. Les obligations des usages à haut risque sont décalées au 2 décembre 2027 (annexe III) ou au 2 août 2028 (produits réglementés), pas supprimées : gestion des risques, documentation technique, contrôle humain, conservation des journaux. Un outil mis sur le marché ou en service avant ces dates n’y est soumis que s’il subit ensuite des modifications importantes de conception : un point à surveiller pour un outil appelé à évoluer.

Quelles amendes risque une PME ?

Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, et 15 millions d’euros ou 3 % pour les obligations de transparence ou celles des déployeurs d’outils à haut risque. Pour une PME, le plafond retenu est le plus faible des deux montants. Les sanctions doivent aussi tenir compte de la viabilité économique des PME.

Dois-je former tous mes salariés à l’IA ?

Le texte révisé demande de « favoriser le développement » de la maîtrise de l’IA par des mesures adaptées aux connaissances des personnes et au contexte d’utilisation, sans obligation de garantir un niveau précis pour chacun. Une règle d’usage écrite, une prise en main des outils utilisés et une trace de ces actions forment une base raisonnable. La Commission doit publier des exemples pratiques, notamment pour les PME.

411bit peut inventorier vos usages de l’IA et les données qui y circulent, revoir sous l’angle technique vos contrats et vos sous-traitants dans le cadre d’une mise en conformité RGPD et, lorsqu’il développe un assistant ou une automatisation, y intégrer dès la conception transparence, journalisation et documentation. L’interprétation juridique se traite avec votre conseil. Vous pouvez nous décrire vos usages actuels : chaque demande reçoit une réponse sous 24 h ouvrées. Voir aussi sécuriser son informatique sans bloquer la croissance.