L'EU AI Act pleinement en vigueur : ce qui devient désormais une priorité pour la direction

L'EU AI Act est pleinement applicable depuis le 2 août 2026. Ce qui a été mis en œuvre progressivement pendant deux ans est désormais un droit opposable : les obligations relatives aux systèmes à haut risque sont applicables, les autorités de contrôle nationales ont été désignées et l'ensemble du régime d'amendes est activé : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour les manquements aux autres obligations. Par ailleurs, depuis février 2025, s'applique la Obligation d'AI Literacy selon l'article 4: Quiconque utilise l'IA doit garantir la compétence de ses employés – et la documenter.

Pourquoi c'est une priorité pour la direction

La conformité IA n'est pas une tâche qui peut être déléguée au département informatique. La direction assume la obligation de conformité légaleElle doit s'assurer que l'entreprise respecte le droit en vigueur et est responsable envers la société en cas de manquement aux obligations d'organisation (§ 43 GmbHG, § 93 AktG). Quiconque ignore aujourd'hui quels systèmes d'IA sont déployés au sein de sa propre structure fait face à un problème de gouvernance, et non à un problème technique. Parallèlement, la mise en œuvre de NIS2 renforce la responsabilité personnelle de la direction générale concernant les cyber-risques – l'orientation du législateur est sans équivoque.

Ce que les entreprises utilisatrices doivent mettre en œuvre dès maintenant

La plupart des entreprises ne sont pas des développeurs d'IA, mais Utilisateur – désigné comme « Deployer » dans le langage de la loi. Des obligations s'appliquent également dans ce cas :

• Prouver la compétence en IA : Les employés doivent comprendre les capacités des systèmes utilisés, leurs limites et les risques encourus. Cela doit être instauré comme un processus documenté, et non comme une formation ponctuelle.
• Assurer la transparence : Si un système interagit avec des humains (par exemple, un chatbot sur votre site web), cela doit être identifiable comme une interaction IA.
• Tenir des registres système Quels systèmes d'IA sont utilisés, dans quelle classe de risque et avec quelles données ? Sans cet aperçu, aucune gouvernance fiable n'est possible, et aucune réponse ne peut être apportée à une demande d'information de l'autorité de contrôle.
• Organiser la surveillance humaine : Qui vérifie les résultats de l'IA avant qu'ils n'atteignent les clients ? Pour les applications à haut risque (par exemple l'IA dans les RH), la surveillance humaine est désormais une obligation stricte selon l'EU AI Act.

Mise en œuvre : Ce qui a changé depuis le 2 août

Les autorités de contrôle envoient des demandes d'audit et d'information, et les motifs d'amendes sont applicables. Un régime transitoire discuté à Bruxelles (« Digital Omnibus ») pourrait prolonger certains délais pour les risques élevés. Cela n'a pas été décidé et ne change rien aux obligations fondamentales des utilisateurs (compétence, transparence, registres). Celui qui a démarré de manière organisée n'a pas besoin de réagir – celui qui démarre de manière désorganisée réagit sous la pression du temps.

Trois étapes à venir

• Inventaire : Quels systèmes d'IA sont utilisés, officiellement et officieusement (voir notre guide sur l'IA fantôme) ? Le registre des systèmes est le fondement de toute mesure ultérieure.
• Classifier : Quelle classe de risque présentent ces systèmes ? La plupart des applications de bureau relèvent de la catégorie « minimal ». Mais cela doit être formellement documenté et non supposé.
• Habilitation : L'AI Literacy est obligatoire et constitue, en même temps, l'opportunité la plus économique de tirer profit des gains de productivité de l'IA.

Remarque : Cet article ne remplace pas un conseil juridique. Il sert d'orientation initiale ; l'examen contraignant de votre situation doit être confié à des experts.

← tous les guides