AI Act : le calendrier réel après le report, et par où commencer

Depuis le vote du « Digital Omnibus », plusieurs dirigeants m'ont dit la même chose : « l'AI Act est reporté, on voit plus tard. » C'est à moitié vrai, et la moitié fausse coûte cher.

Ce qui est reporté, ce qui ne l'est pas

Le règlement européen sur l'IA (règlement 2024/1689) s'applique par étapes. L'omnibus adopté à l'été 2026 décale uniquement les obligations des systèmes à haut risque : décembre 2027 pour les cas d'usage listés à l'annexe III (recrutement, scoring de crédit, éducation, accès aux services essentiels), août 2028 pour l'IA intégrée dans des produits déjà réglementés.

Ne sont pas concernés par ce report :

• les pratiques interdites (notation sociale, manipulation, certaines formes de reconnaissance des émotions au travail), applicables depuis février 2025 ;

• l'obligation de maîtrise de l'IA (article 4) : former les personnes qui utilisent des systèmes d'IA ;

• les obligations des modèles d'IA à usage général ;

• les obligations de transparence (article 50) : informer l'utilisateur qu'il échange avec une IA, signaler les contenus générés.

Pour une PME qui utilise des outils du marché, ce sont ces obligations « déjà exigibles » qui comptent d'abord.

Ces dates sont celles du calendrier officiel du AI Act Service Desk de la Commission européenne, qui intègre l'omnibus.

Qui est concerné

Le règlement distingue plusieurs rôles : fournisseur, déployeur, importateur, distributeur. La plupart de mes clients sont déployeurs : ils utilisent un système conçu par un tiers. Leurs obligations sont plus légères que celles d'un fournisseur, mais réelles : utiliser le système conformément à sa notice, assurer une supervision humaine, conserver les journaux, informer les personnes concernées.

Attention au basculement : un déployeur qui modifie la finalité d'un système ou y appose son nom peut devenir fournisseur, avec les obligations qui vont avec.

Les quatre niveaux de risque

Le règlement raisonne par niveaux : risque inacceptable (interdit), haut risque (exigences lourdes), risque limité (transparence), risque minimal (pas d'obligation spécifique). Tout le travail consiste à classer chaque système dans le bon niveau. Cette qualification est un acte juridique et technique qui doit être documenté.

Trois actions à lancer maintenant

1. Faire l'inventaire. Impossible de classer ce qu'on ne connaît pas. Listez les outils d'IA utilisés, par qui, pour quoi, avec quelles données. L'IA parallèle, installée sans validation par un service, est généralement la grande surprise.

2. Former. L'article 4 demande un niveau suffisant de maîtrise de l'IA pour les personnes concernées. Un module court adapté aux métiers, avec une trace de présence, constitue un début de preuve.

3. Qualifier les cas d'usage sensibles. Tout ce qui touche au recrutement, à l'évaluation de personnes ou à la décision sur des clients mérite une analyse détaillée dès maintenant, même si l'échéance haut risque est repoussée : ce sont des chantiers longs.

Le lien avec l'ISO 42001

Un système de management de l'IA conforme à l'ISO 42001 donne le cadre pour répondre à ces exigences : inventaire, analyse de risques, supervision, enregistrements. Il ne suffit pas à prouver la conformité au règlement, qui impose ses propres exigences, mais il évite de partir de zéro. C'est aussi la mission d'un CAIO partagé : tenir ce dispositif sans recruter à plein temps.

Un doute sur la qualification de vos outils d'IA ? Parlons-en.

Didier Caradec, fondateur de DCIT Conseil. Cet article est une information générale et ne constitue pas un avis juridique.