IA Act : le guide pratique pour les entreprises françaises en 2026

L'IA Act, en deux minutes

L'Artificial Intelligence Act (Règlement UE 2024/1689) est le premier cadre juridique mondial spécifiquement dédié à l'intelligence artificielle. Il a été publié au Journal officiel de l'UE le 12 juillet 2024, est entré en vigueur le 1er août 2024, et s'applique de manière échelonnée jusqu'à août 2026 où il sera pleinement opérationnel.

Contrairement au RGPD qui régule l'usage des données, l'IA Act régule les systèmes d'IA eux-mêmes — ce qu'ils peuvent faire, dans quel contexte, avec quelles garanties.

Les 4 niveaux de risque

Risque inacceptable (interdit)

Sont totalement interdits depuis le 2 février 2025 :

• Le scoring social généralisé (à la chinoise)
• La reconnaissance émotionnelle au travail ou à l'école
• L'identification biométrique en temps réel dans l'espace public (sauf exceptions strictes)
• Le « policing prédictif » basé uniquement sur le profilage
• La manipulation comportementale exploitant la vulnérabilité d'une population

Risque haut (lourdement régulé)

Concernent la majorité des obligations, applicables à partir d'août 2026 :

• IA dans le recrutement, l'évaluation des candidats, la promotion
• IA dans l'octroi de crédit, l'évaluation de solvabilité
• IA dans l'éducation (notation automatique, accès)
• IA dans la santé (diagnostic, triage)
• IA dans les services publics essentiels (allocation, accès logement)
• IA pour la sûreté de produits régulés (jouets, dispositifs médicaux)

Ces systèmes doivent être enregistrés dans une base de l'UE, audités, documentés, supervisés humainement, et leur fournisseur doit pouvoir prouver leur fiabilité.

Risque limité (transparence)

Pour les systèmes qui interagissent avec des humains (chatbots) ou génèrent du contenu (image/vidéo IA) :

• L'utilisateur doit être informé qu'il interagit avec une IA
• Les contenus générés doivent être marqués comme tels (watermark, mention)
• Les deepfakes doivent être étiquetés

Risque minimal (libre)

Filtres anti-spam, recommandations e-commerce, IA dans les jeux vidéo. Aucune obligation spécifique au-delà du droit existant (RGPD, droit de la consommation).

Que doit faire une PME française qui utilise ChatGPT, Midjourney ou Make ?

Bonne nouvelle pour la majorité : ces outils sont classés en risque limité. Vos obligations principales :

1. Inventoriez vos usages d'IA. Faites la liste des outils utilisés et des cas d'usage (rédaction, génération d'images, automatisation interne, etc.).
2. Informez vos employés et clients. Si un email a été rédigé par IA, si un chatbot répond aux clients, mentionnez-le.
3. Étiquetez les contenus générés. Une mention « image générée par IA » ou un watermark suffit pour les visuels publics.
4. Vérifiez les CGU des fournisseurs. Les éditeurs (OpenAI, Anthropic, Google) ont mis à jour leurs CGU 2025-2026 pour conformité IA Act — assurez-vous que votre usage rentre dans les conditions.
5. Pour les usages RH, formez les utilisateurs. Si vous utilisez ChatGPT pour pré-trier des CV, vous basculez en risque haut et devez documenter le processus, conserver des logs, et garantir une supervision humaine effective.

Les pièges classiques en 2026

Croire que « je n'ai pas d'IA en production »

Si vos commerciaux utilisent ChatGPT pour rédiger des emails clients, c'est un usage d'IA. Si votre service RH utilise un outil de scoring de candidats, c'est probablement un usage à risque haut. La cartographie est la première étape.

Confondre IA Act et RGPD

Les deux se cumulent. Une donnée personnelle traitée par IA est régulée par les deux textes. Le délégué à la protection des données (DPO) doit s'approprier l'IA Act, mais ce n'est pas suffisant — un référent IA dédié est souvent nécessaire au-delà de 250 employés.

Sous-estimer les obligations « fournisseur »

Si votre entreprise développe son propre modèle (même un fine-tune sur Llama 3 ou Mistral), vous devenez fournisseur d'un système IA, avec des obligations bien plus lourdes que l'utilisateur.

Sanctions et calendrier

Les sanctions financières peuvent atteindre :

• 35 M€ ou 7% du CA mondial pour pratiques interdites
• 15 M€ ou 3% du CA mondial pour non-respect des obligations risque haut
• 7,5 M€ ou 1,5% du CA mondial pour informations incomplètes aux autorités

Notre recommandation pratique

Le cas concret : un cabinet RH qui pré-trie des CV avec ChatGPT

Imaginons une PME RH de 80 personnes qui automatise depuis 2024 le pré-tri de CV avec ChatGPT. Concrètement, les recruteurs collent le CV + l'offre dans ChatGPT et demandent un score d'adéquation 0-10. Cet usage tombe en risque haut selon l'IA Act et déclenche une cascade d'obligations à partir d'août 2026. Premier impératif : documenter le système — quel modèle utilisé, comment, avec quelles instructions, sur quelle base de comparaison. Deuxième impératif : conserver les logs de chaque évaluation pendant 6 ans pour audit. Troisième impératif : garantir une supervision humaine effective — pas un humain qui valide à l'aveugle, mais un humain capable de contredire la recommandation IA avec accès aux raisons sous-jacentes. Quatrième impératif : informer les candidats que leur CV est analysé par IA et leur permettre une révision humaine. Pour cette PME, mise en conformité estimée : 2-3 jours de travail + 5 000-10 000 € en accompagnement juridique. Sans cela, risque d'amende jusqu'à 1,5% du CA.

L'IA Act et la formation des employés : une obligation sous-estimée

Un volet souvent négligé concerne l'obligation d'alphabétisation IA (AI literacy) imposée à toutes les entreprises utilisant des systèmes IA. Concrètement, l'article 4 du règlement exige que les entreprises s'assurent que leurs employés disposent d'un « niveau suffisant de connaissances en IA » pour utiliser, déployer ou superviser ces systèmes. Aucune certification standardisée n'existe encore en 2026, mais la jurisprudence française commence à se construire : un employé licencié pour erreur dans l'usage d'un outil IA peut désormais arguer que l'entreprise n'a pas rempli son obligation de formation. Recommandation pratique : prévoir 2-4 heures de formation IA générale + 1-2 heures spécifique aux outils utilisés, à documenter par écrit. Ce coût (200-500 €/employé) est aussi un investissement productif : les équipes formées tirent 3-4× plus de valeur de leurs outils IA.