AI Act : ce que chaque entreprise française doit faire d'ici 2026

#Pourquoi l'AI Act change la donne pour les entreprises françaises

Depuis le 1er août 2024, le Règlement (UE) 2024/1689 sur l'intelligence artificielle — dit « AI Act » — est officiellement entré en vigueur dans tous les États membres de l'Union européenne. Pour les entreprises françaises, cela signifie une chose concrète : chaque système d'IA développé, déployé, importé ou distribué sur le territoire européen relève désormais d'un cadre réglementaire contraignant, assorti de sanctions parmi les plus lourdes du droit numérique.

Ce règlement est le premier au monde à réglementer l'IA de façon horizontale et contraignante. Contrairement au RGPD qui se concentre sur les données personnelles, l'AI Act porte sur les systèmes d'IA eux-mêmes : leur conception, leur mise sur le marché, leur utilisation et leur surveillance post-déploiement.

Ce guide détaille les obligations par niveau de risque, le calendrier précis, les secteurs prioritaires et les étapes concrètes pour se mettre en conformité avant les échéances.

#Calendrier d'application progressive : les dates à retenir

L'AI Act s'applique selon un calendrier échelonné sur 36 mois à compter de son entrée en vigueur.

1er août 2024 — Entrée en vigueur Le règlement est publié au Journal officiel de l'UE et entre en vigueur. Les États membres commencent à désigner leurs autorités nationales compétentes. En France, la CNIL a été positionnée comme l'une des autorités de surveillance sectorielles.

2 février 2025 — Interdictions absolues effectives Les systèmes d'IA classés à « risque inacceptable » sont définitivement interdits dans l'UE. Toute mise sur le marché, déploiement ou utilisation après cette date constitue une infraction susceptible de déclencher les sanctions maximales.

2 août 2025 — Obligations pour les modèles d'IA à usage général (GPAI) Les fournisseurs de modèles d'IA à usage général (LLM, modèles de diffusion, etc.) doivent respecter les obligations de transparence, de documentation technique et de coopération avec les autorités. Les modèles présentant un risque systémique (capacité de calcul > 10^25 FLOP) sont soumis à des obligations renforcées incluant des évaluations adversariales.

2 août 2026 — Obligations haut risque pleinement applicables L'ensemble des obligations applicables aux systèmes d'IA à haut risque (Annexe III) entrent en vigueur : procédures d'évaluation de la conformité, enregistrement dans la base de données EU, marquage CE pour certaines catégories. C'est l'échéance la plus critique pour la majorité des entreprises utilisant l'IA dans leurs processus RH, crédit, recrutement ou sécurité.

#Les 4 niveaux de risque : comprendre le système de classification

L'architecture centrale de l'AI Act repose sur une classification en quatre niveaux de risque. Le niveau de risque détermine les obligations applicables — et l'absence d'obligations dans les cas les plus favorables.

#Niveau 1 — Risque inacceptable (systèmes interdits)

Ces systèmes sont purement et simplement interdits dans l'UE depuis février 2025. Ils comprennent notamment :

• Les systèmes de notation sociale générale par des autorités publiques (scoring comportemental des citoyens)
• Les systèmes d'identification biométrique en temps réel dans les espaces publics (avec des exceptions très encadrées pour les forces de l'ordre)
• Les systèmes d'inférence d'émotions dans les milieux scolaires et professionnels
• Les systèmes exploitant les vulnérabilités de groupes spécifiques (enfants, personnes âgées, personnes souffrant de handicaps) à des fins de manipulation comportementale
• Les systèmes de profilage individuel visant à prédire le risque de commettre une infraction pénale

Pour les entreprises françaises, la ligne rouge la plus courante concerne les systèmes RH qui analyseraient les émotions ou les traits de personnalité des candidats via leur comportement en entretien vidéo ou leurs expressions faciales.

#Niveau 2 — Haut risque

C'est le cœur du règlement. Les systèmes à haut risque sont listés à l'Annexe III du règlement et couvrent 8 domaines sectoriels :

1. Infrastructures critiques (énergie, eau, transports)
2. Éducation et formation professionnelle (accès, évaluation)
3. Emploi et gestion des ressources humaines (recrutement, promotion, licenciement, évaluation des performances)
4. Services essentiels (scoring crédit, assurance, accès aux prestations sociales)
5. Application des lois (profilage, évaluation de fiabilité des preuves)
6. Gestion des migrations et des frontières
7. Administration de la justice
8. Processus démocratiques (influence des élections)

Les obligations pour ces systèmes sont substantielles (voir section dédiée ci-après).

#Niveau 3 — Risque limité

Ces systèmes ne sont pas soumis aux contraintes des systèmes à haut risque, mais ils doivent respecter des obligations de transparence spécifiques :

• Les chatbots doivent informer les utilisateurs qu'ils interagissent avec une IA
• Les deepfakes (contenus audio/vidéo synthétiques) doivent être clairement identifiés comme tels
• Les systèmes génératifs produisant du contenu textuel, audio ou visuel à grande échelle doivent marquer ce contenu de manière détectable (watermarking)

#Niveau 4 — Risque minimal

La grande majorité des systèmes d'IA actuels entre dans cette catégorie. Les filtres anti-spam, les systèmes de recommandation de contenu non sensible, les outils de traitement d'image classiques ou les jeux vidéo utilisant l'IA relèvent du risque minimal. Aucune obligation réglementaire spécifique ne leur est imposée par l'AI Act, bien qu'un code de conduite volontaire soit encouragé.

#Qui est concerné : fournisseur vs déployeur

L'AI Act distingue deux rôles principaux, chacun portant des obligations distinctes.

#Le fournisseur (provider)

Est « fournisseur » toute personne physique ou morale qui développe un système d'IA et le met sur le marché sous son propre nom ou sa propre marque, à titre onéreux ou gratuit. Cela inclut les éditeurs de logiciels qui intègrent des capacités d'IA dans leurs produits, les prestataires cloud proposant des API d'IA, et les entreprises qui développent des outils IA pour usage interne déployés à grande échelle.

Les fournisseurs portent les obligations les plus lourdes : documentation technique complète, système de management de la qualité, enregistrement dans la base de données EU, processus d'évaluation de conformité, marquage CE (pour les systèmes à haut risque relevant également d'autres législations harmonisées).

#Le déployeur (deployer)

Est « déployeur » toute entreprise qui utilise un système d'IA dans le cadre de ses activités professionnelles — y compris des systèmes développés par un tiers. La grande majorité des entreprises françaises se trouvent dans cette position : elles achètent ou louent des outils d'IA (ATS, scoring crédit, outil de détection de fraude) et les déploient dans leurs processus.

Les déployeurs de systèmes à haut risque doivent :

• S'assurer que le fournisseur leur a fourni la documentation de conformité
• Mettre en place une supervision humaine effective
• Tenir un registre de journalisation des décisions automatisées
• Réaliser une analyse d'impact sur les droits fondamentaux pour certaines catégories
• Désigner un responsable IA interne si l'organisation dépasse certains seuils

#Les importateurs et distributeurs

Ces acteurs portent une responsabilité de vérification : ils doivent s'assurer que les systèmes qu'ils importent ou distribuent respectent l'AI Act avant de les mettre à disposition sur le marché européen.

#Obligations concrètes pour les systèmes à haut risque

Pour un système classé à haut risque, le fournisseur doit constituer et maintenir un dossier complet comprenant :

#1. Documentation technique

Un fichier technique détaillant : la description générale du système, son architecture, les données d'entraînement utilisées (avec preuves de qualité et de représentativité), les mesures de performance, les limitations connues, les mesures de supervision humaine prévues et les instructions d'utilisation.

#2. Système de management de la qualité (QMS)

À l'image des certifications ISO, les fournisseurs doivent documenter leurs processus de développement, de test, de validation et de surveillance post-déploiement. Ce QMS doit couvrir le cycle de vie complet du système.

#3. Évaluation de la conformité

Selon la catégorie du système (Annexe III), la conformité peut être auto-évaluée ou nécessiter l'intervention d'un organisme notifié tiers. Les systèmes biométriques et ceux relevant du domaine de la sécurité des personnes requièrent généralement une évaluation tierce.

#4. Enregistrement dans la base de données EU

Avant toute mise sur le marché, le système doit être enregistré dans la base de données publique EU AI gérée par la Commission européenne. Cet enregistrement contient des informations accessibles au public permettant aux citoyens de connaître les systèmes d'IA utilisés dans des contextes qui les concernent.

#5. Déclaration de conformité UE et marquage CE

Comme pour les produits physiques soumis au marquage CE, les fournisseurs doivent établir une déclaration de conformité UE attestant que le système respecte les exigences de l'AI Act et, le cas échéant, apposer le marquage CE.

#6. Surveillance post-déploiement

Un plan de surveillance post-marché doit être établi et activement mis en œuvre. Les incidents graves doivent être signalés aux autorités nationales compétentes dans des délais précis (15 jours pour les incidents graves, 2 jours pour les morts ou blessures graves non prévues).

→ Pour aller plus loin : découvrez nos outils gratuits — calculateurs ROI, diagnostics techniques et quiz interactifs pour affiner votre réflexion.

#Secteurs prioritaires : où les enjeux sont les plus forts

#Ressources humaines : le secteur le plus exposé

Les outils d'IA utilisés dans le recrutement, l'évaluation des performances, la gestion des promotions ou les décisions de licenciement entrent dans la catégorie haut risque (Annexe III, point 4). Cela concerne directement :

• Les ATS (Applicant Tracking Systems) utilisant le scoring automatisé de CV
• Les outils d'analyse vidéo d'entretien (analyse du langage, de la posture, des expressions)
• Les systèmes de scoring de performance basés sur des données comportementales
• Les outils de détection d'absentéisme prédictif

→ Pour aller plus loin : découvrez nos outils gratuits — calculateurs ROI, diagnostics techniques et quiz interactifs pour affiner votre réflexion.

Les DRH doivent réaliser un inventaire complet de leurs outils IA et vérifier que leurs fournisseurs peuvent produire la documentation de conformité requise.

#Crédit et services financiers

Le scoring de crédit, l'évaluation de la solvabilité et les décisions d'octroi de prêts automatisées relèvent du haut risque (Annexe III, point 5b). Les établissements financiers et les fintechs doivent s'assurer que leurs modèles de score respectent les exigences de transparence, d'explicabilité et de non-discrimination imposées par l'AI Act.

Cette obligation vient en complément des exigences déjà posées par le RGPD (article 22 sur les décisions automatisées) et les réglementations sectorielles de l'ABE et de l'ACPR.

#Biométrie et contrôle d'accès

Les systèmes d'identification biométrique — reconnaissance faciale, reconnaissance d'empreinte vocale, accès par empreinte digitale dans des contextes professionnels ou publics — font l'objet d'une attention particulière. L'identification biométrique à distance en temps réel dans les espaces publics est interdite (sauf exceptions très encadrées). Les systèmes d'identification biométrique post-factum (analyse d'enregistrements) restent autorisés sous conditions strictes.

#Éducation et formation professionnelle

Les outils d'IA déterminant l'accès à des formations, évaluant des candidatures à des établissements d'enseignement ou attribuant des notes automatisées sont classés à haut risque. Les EdTech et les organismes de formation professionnelle (Qualiopi) utilisant des algorithmes d'évaluation doivent se conformer avant août 2026.

#Checklist de conformité AI Act pour une entreprise française

#Étape 1 — Inventaire de vos systèmes d'IA

• Lister tous les outils et logiciels utilisant l'IA dans vos processus (production, RH, commercial, finance, juridique, communication)
• Identifier pour chaque outil si votre entreprise est fournisseur, déployeur, importateur ou distributeur
• Classer chaque système selon les 4 niveaux de risque AI Act

#Étape 2 — Audit des systèmes à haut risque

• Vérifier que le fournisseur dispose d'une déclaration de conformité UE (à demander contractuellement)
• Obtenir la documentation technique et les instructions d'utilisation
• Vérifier l'enregistrement du système dans la base de données EU AI

#Étape 3 — Mise en conformité interne

• Désigner un responsable IA (ou équivalent DPO pour l'IA)
• Mettre en place une supervision humaine effective sur les décisions à haut risque
• Activer les logs de journalisation des décisions automatisées
• Réaliser une analyse d'impact sur les droits fondamentaux (AIDF) si requis
• Former les équipes utilisatrices aux obligations de surveillance

#Étape 4 — Contractualisation avec les fournisseurs

• Inclure des clauses de conformité AI Act dans les contrats SaaS et prestataires IA
• Prévoir des obligations de notification en cas de modification substantielle du système
• Vérifier les assurances couvrant la responsabilité IA

#Étape 5 — Gouvernance et suivi

• Établir une politique d'usage de l'IA interne (IA policy)
• Mettre en place un registre des systèmes IA (analogue au registre des traitements RGPD)
• Planifier des audits de conformité annuels
• Désigner les contacts avec l'autorité nationale compétente (CNIL en France pour certains secteurs)

#Sanctions : un régime parmi les plus sévères du droit numérique

L'AI Act prévoit trois niveaux de sanctions administratives, dont les montants dépassent ceux du RGPD pour les violations les plus graves.

35 millions d'euros ou 7 % du CA mondial annuel (le montant le plus élevé des deux) pour les violations les plus graves : déploiement d'un système à risque inacceptable interdit, non-respect des obligations fondamentales pour les systèmes à haut risque affectant des personnes physiques.

15 millions d'euros ou 3 % du CA mondial pour le non-respect d'autres obligations du règlement (documentation, enregistrement, transparence, coopération avec les autorités).

7,5 millions d'euros ou 1,5 % du CA mondial pour la fourniture d'informations inexactes, incomplètes ou trompeuses aux autorités de surveillance ou aux organismes notifiés.

Pour les PME et start-ups, les autorités nationales peuvent appliquer des sanctions proportionnées, mais le règlement précise explicitement que ces mesures d'accompagnement ne remettent pas en cause l'applicabilité des interdictions absolues.

Par comparaison, l'amende maximale du RGPD est de 20 millions d'euros ou 4 % du CA mondial — l'AI Act est donc potentiellement plus lourd pour les violations graves.

#Comment Nehos aide les entreprises à se conformer à l'AI Act

Nehos est une agence spécialisée en intelligence artificielle B2B qui accompagne les entreprises françaises et francophones dans la mise en conformité avec l'AI Act depuis la phase de préparation de la réglementation.

#Audit IA et cartographie des risques

Notre équipe réalise un inventaire complet de vos systèmes d'IA et les classe selon la nomenclature AI Act. Chaque système est analysé selon son profil de risque, son usage concret et les rôles de votre entreprise (fournisseur/déployeur). Vous obtenez une cartographie claire de vos expositions réglementaires prioritaires.

#Documentation technique réglementaire

Pour les systèmes à haut risque développés en interne, nous rédigeons la documentation technique requise par l'AI Act : architecture du système, données d'entraînement, mesures de performance, limitations, instructions d'utilisation. Nous assistons également vos équipes dans la mise en place du système de management de la qualité (QMS).

#Accompagnement contractuel

Nous vous aidons à sécuriser vos relations fournisseurs en intégrant les clauses AI Act nécessaires dans vos contrats SaaS et prestataires technologiques. Cela comprend les obligations de documentation, de notification d'incident et de coopération réglementaire.

#Formation et gouvernance IA

Nous formons vos équipes (DRH, DSI, directions métier, juridique) aux obligations AI Act selon leur rôle et mettons en place vos outils de gouvernance : registre des systèmes IA, politique d'usage interne, processus de surveillance post-déploiement.

Nehos travaille avec des cabinets juridiques partenaires spécialisés en droit du numérique et des organismes de formation agréés Qualiopi pour les volets réglementaires qui nécessitent une expertise juridique formelle.

La conformité AI Act n'est pas un obstacle au déploiement de l'IA dans votre entreprise — c'est un cadre qui sécurise vos investissements, réduit votre exposition au risque réputationnel et vous permet de présenter une IA digne de confiance à vos clients et partenaires.