Ce qui change vraiment le 2 août 2026
Le 2 août 2026, la majorité des règles de l'AI Act européen (règlement UE 2024/1689) deviennent contraignantes. Ce n'est pas une nouvelle loi qui arrive : elle est déjà entrée en vigueur en août 2024. Ce qui change, c'est que les entreprises peuvent maintenant être sanctionnées — jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial, la peine la plus lourde des deux.
L'AI Act est le premier règlement au monde qui encadre spécifiquement l'intelligence artificielle. Il classe les systèmes IA en 4 niveaux de risque et impose des obligations proportionnées. Il concerne autant OpenAI et Meta que ta petite PME de 12 personnes qui utilise ChatGPT pour rédiger ses offres commerciales.
Bonne nouvelle : la plupart des utilisateurs de ChatGPT/Claude/Gemini sont dans la case "risque minimal" — quasiment rien de nouveau à faire. Mauvaise nouvelle : dès que tu utilises l'IA en contexte professionnel, tu tombes sous une nouvelle obligation appelée AI Literacy qui touche tout le monde depuis février 2025.
Ce guide te sort les 4 informations dont tu as vraiment besoin selon ton profil : particulier, freelance, salarié, dirigeant. Pas de blabla juridique, pas de peur inutile, juste ce que tu dois faire (ou ne pas faire).
L'AI Act en 90 secondes
L'AI Act est un règlement européen adopté le 13 juin 2024, publié le 12 juillet 2024, et entré en vigueur le 1er août 2024. Comme tout règlement européen (contrairement à une directive), il s'applique directement dans tous les pays de l'UE sans besoin de loi nationale de transposition.
Son objectif : encadrer l'IA sans l'étouffer. La logique est celle du risque proportionné — plus un système IA est risqué pour les droits fondamentaux, plus les obligations sont lourdes.
Le texte concerne :
- ▸Les fournisseurs d'IA (OpenAI, Anthropic, Google, Meta, Mistral, mais aussi n'importe qui qui vend un chatbot IA à des clients européens)
- ▸Les déployeurs (les entreprises qui utilisent une IA dans leur activité, même sans l'avoir développée)
- ▸Les importateurs et distributeurs de systèmes IA
- ▸Toutes ces catégories, même hors UE, dès lors que le système IA touche des utilisateurs européens
En clair : si tu as une TPE française qui fait tourner Claude ou GPT-5 dans ses process, tu es un "déployeur" au sens de l'AI Act. Bienvenue au club.
Les 4 niveaux de risque (et où tu te situes)
🚫 Risque inacceptable — INTERDIT depuis février 2025
Ces usages sont purement interdits partout dans l'UE :
- ▸Notation sociale à la chinoise (system qui note les citoyens)
- ▸Manipulation subliminale ou exploitation de vulnérabilités (mineurs, handicap, précarité)
- ▸Reconnaissance émotionnelle au travail et à l'école
- ▸Identification biométrique à distance en temps réel dans les espaces publics (sauf exceptions strictes : recherche terroriste, disparition d'enfant)
- ▸Catégorisation biométrique sur la base d'orientation sexuelle, opinions politiques, religion, appartenance syndicale
- ▸Predictive policing basé uniquement sur le profilage
- ▸Scraping non ciblé d'images de visages depuis internet ou vidéosurveillance pour créer des bases de reconnaissance faciale
Ces usages sont interdits quel que soit le pays où l'entreprise est basée, tant qu'ils touchent des utilisateurs européens.
🔴 Haut risque — Obligations lourdes
Sont classés haut risque les systèmes IA utilisés dans :
- ▸Infrastructures critiques (transport, énergie, réseaux)
- ▸Éducation (notation, admissions)
- ▸Emploi (recrutement, évaluation, promotion, licenciement) — oui, ton logiciel ATS entre là-dedans
- ▸Services essentiels (crédit, prestations sociales, assurance-vie/santé)
- ▸Application de la loi (police, immigration, justice)
- ▸Justice et démocratie
- ▸Dispositifs médicaux, jouets connectés, ascenseurs, machines industrielles (secteurs déjà encadrés)
Si tu déploies une IA "haut risque", tu dois : système de gestion des risques, gouvernance des données (qualité, biais), documentation technique, transparence, surveillance humaine, robustesse et cybersécurité, inscription au registre européen (base de données publique).
Concrètement : si tu es RH et tu utilises un ATS avec scoring IA, ou si tu es banquier et tu utilises un scoring de crédit IA, tu dois vérifier que ton fournisseur est conforme et documenter ta propre utilisation.
🟡 Risque limité — Transparence obligatoire
C'est la case où la plupart des usages professionnels de ChatGPT / Claude / Gemini se situent. Obligations principales (article 50 du règlement) :
- ▸Informer clairement l'utilisateur qu'il interagit avec une IA (chatbots, assistants vocaux)
- ▸Marquer les contenus générés par IA (texte, image, audio, vidéo) comme tels — notamment les deepfakes
- ▸Divulguer quand un texte publié à l'attention du public est généré par IA (sauf s'il a fait l'objet d'une révision humaine substantielle)
Concrètement : si tu génères ta newsletter avec Claude et que tu la publies telle quelle → tu dois le mentionner. Si tu la reprends, tu la modifies, tu ajoutes ton angle → tu n'es pas obligé de le signaler.
🟢 Risque minimal — Aucune obligation spécifique
Filtres anti-spam, IA dans un jeu vidéo, systèmes de recommandation basiques, IA embarquée dans un aspirateur robot. La grande majorité des usages domestiques de l'IA. Rien à faire.
Le calendrier des échéances (à connaître par cœur)
- ▸1er août 2024 — Entrée en vigueur du règlement
- ▸2 février 2025 — Interdictions des systèmes à risque inacceptable + obligation d'AI Literacy pour tous les acteurs qui utilisent l'IA au travail
- ▸2 août 2025 — Obligations spécifiques aux modèles à usage général (GPAI) — les LLM foundation, notification à la Commission européenne, documentation technique publique
- ▸2 août 2026 — Application majoritaire du règlement — la plupart des obligations pour les systèmes à haut risque, transparence, sanctions applicables
- ▸2 août 2027 — Fin de la période transitoire pour certains systèmes IA déjà mis sur le marché avant août 2026
Le 2 août 2026 est donc le point de bascule où l'AI Act cesse d'être une obligation de préparation pour devenir une obligation exigible, avec des sanctions à la clé.
AI Literacy : l'obligation qui touche tout le monde (depuis février 2025)
C'est la disposition la plus sous-estimée de l'AI Act, et elle s'applique déjà depuis le 2 février 2025.
Article 4 : "Les fournisseurs et déployeurs de systèmes d'IA prennent des mesures pour assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA parmi leur personnel et les autres personnes qui interviennent en leur nom dans l'exploitation et l'utilisation des systèmes d'IA."
Traduction : si tes salariés utilisent l'IA (même juste ChatGPT pour rédiger des mails), tu dois former ton équipe à l'IA. Pas une formation certifiante, pas un DPO IA obligatoire pour les PME. Mais une trace documentée que ton équipe :
- ▸Sait ce qu'est un LLM et comment il fonctionne (grands principes)
- ▸Connaît les risques (hallucinations, biais, fuite de données, dépendance)
- ▸Comprend les règles internes de ton entreprise sur l'IA
- ▸Sait ce qu'on peut / ne peut pas mettre dans un prompt (données clients, secrets industriels)
Pour une TPE/PME, ça peut prendre la forme d'une charte IA interne (2 pages), une réunion d'onboarding IA (1h), et une formation annuelle (2-4h). Coût : quasi-nul si tu le fais toi-même, quelques centaines d'euros si tu passes par un organisme.
Pour un grand groupe, il faut un vrai programme structuré : diagnostic maturité, formations par métier, référents IA par équipe, KPIs.
Les sanctions (pour comprendre pourquoi ça compte)
L'AI Act prévoit 3 niveaux de sanctions, cumulatives et applicables par infraction :
- ▸Jusqu'à 35 000 000 € ou 7% du CA mondial (le plus élevé) — pour les usages interdits (risque inacceptable)
- ▸Jusqu'à 15 000 000 € ou 3% du CA mondial — pour non-respect des obligations sur les systèmes à haut risque, transparence, gouvernance des données
- ▸Jusqu'à 7 500 000 € ou 1% du CA mondial — pour communication d'informations inexactes aux autorités
Pour les PME et startups, les sanctions sont plafonnées au montant le plus BAS (au lieu du plus haut) — c'est une protection, mais 1% du CA ça reste douloureux.
En France, l'autorité compétente est probablement la CNIL (position officialisée mi-2026), en coordination avec l'ARCEP pour les fournisseurs.
Ce que tu dois faire, selon ton profil
Tu es un particulier qui utilise ChatGPT
Rien à faire. L'AI Act ne t'impose aucune obligation en tant qu'utilisateur individuel non professionnel. Continue.
Ce qui change pour toi indirectement : les chatbots que tu utilises doivent clairement se déclarer comme IA (fini les faux profils humains sur les sites), et les contenus générés par IA (deepfakes, articles, images) doivent être marqués comme tels. Tu vas voir apparaître de plus en plus de mentions "Contenu généré par IA" sur les sites que tu visites.
Tu es freelance et tu utilises l'IA dans tes prestations
Tu es à la fois déployeur (tu utilises l'IA) et potentiellement fournisseur (si tu vends une prestation qui inclut de l'IA à un client).
Obligations pratiques :
- ▸Transparence client : si tu utilises l'IA pour rédiger un livrable (texte, code, image), mentionne-le au client. Un simple paragraphe dans ton devis "utilisation d'IA générative sous supervision humaine" suffit. Anticipation légale mais surtout éthique.
- ▸Auto-formation IA : tu es concerné par l'obligation d'AI Literacy en tant qu'entrepreneur individuel utilisant l'IA. Documentation minimale : une note personnelle sur ce que tu as appris, les formations suivies (même MOOC gratuits type France Université Numérique), les risques identifiés dans ta pratique.
- ▸Ne fais pas passer un texte 100% IA pour du travail humain si le client s'y attend. C'est l'esprit de l'article 50.
Tu es salarié dans une entreprise qui utilise l'IA
Tu n'as aucune obligation directe — c'est ton employeur qui doit être conforme.
Ce que tu dois exiger de lui (ou vérifier) :
- ▸Une charte IA claire — qu'est-ce que tu peux mettre dans un prompt ? Quels outils sont validés par l'entreprise ? Quelles données sont interdites ?
- ▸Une formation IA — même courte, elle doit exister
- ▸Un point de contact en cas de doute (DPO, référent IA, RH)
Si ton employeur ne fait rien de tout ça et que tu utilises quand même l'IA au travail, le risque juridique pèse sur l'entreprise, pas sur toi personnellement — mais tu peux te retrouver dans une situation problématique en cas d'incident (fuite de données client via un prompt).
Tu es dirigeant TPE/PME
Checklist minimum avant le 2 août 2026 :
- ▸✅ Inventaire IA — liste les outils IA utilisés (ChatGPT, Claude, Copilot, ATS, chatbot du site, plugin CRM). Sois exhaustif, souvent les gens oublient les fonctions IA intégrées dans leurs outils habituels (Notion AI, Slack AI, Grammarly, DeepL Write…).
- ▸✅ Classification des risques — pour chaque outil, es-tu en risque limité (transparence uniquement) ou en haut risque (RH, crédit, santé, éducation) ? La grande majorité des PME sont en risque limité.
- ▸✅ Charte IA interne — un document de 2-4 pages : outils autorisés, données interdites en input, obligations de mention "généré par IA" pour les livrables clients, procédure en cas d'incident.
- ▸✅ Formation équipe — au minimum une session collective de 1-2h. Peut se faire avec une slide-deck maison + un quiz de fin. Signe une feuille de présence pour la trace.
- ▸✅ Contrats fournisseurs — vérifie que tes fournisseurs d'IA (OpenAI, Anthropic, Google, Microsoft) déclarent leur conformité GPAI. Ils le font tous depuis août 2025 — cherche "AI Act compliance" dans leur documentation.
- ▸✅ Contrats clients — si tu vends une prestation qui inclut de l'IA, ajoute une clause de transparence dans tes conditions générales.
Coût réaliste pour une PME de 20 personnes : 2 à 5 jours-homme sur 6 mois, ou 1 500 à 5 000 € si tu passes par un cabinet.
Tu es dirigeant d'un grand groupe
Tu as (normalement) déjà un juriste ou DPO qui gère. Si non, c'est urgent : les grands groupes sont ciblés en priorité par les autorités, les sanctions peuvent aller jusqu'à 7% du CA mondial, et il faut probablement un Comité IA avec représentation métier + juridique + IT + RH.
Comment se mettre en conformité en 5 étapes concrètes
- ▸Cartographier tes usages IA (fais l'inventaire honnête, pas d'auto-censure)
- ▸Classer chaque usage par niveau de risque (matrice simple à 4 colonnes)
- ▸Documenter — charte, formations, décisions, procédures. La documentation est ton assurance conformité en cas de contrôle
- ▸Former l'équipe (AI Literacy)
- ▸Réviser annuellement — l'AI Act n'est pas figé, la Commission publie des lignes directrices régulièrement
Ce que l'AI Act NE dit PAS (nuances importantes)
- ▸Il n'interdit pas l'utilisation de ChatGPT ni d'aucun LLM. Il régule les usages, pas les outils eux-mêmes.
- ▸Il ne crée pas de "certificat AI Act" obligatoire pour les PME utilisatrices — pas besoin de payer un audit externe onéreux.
- ▸Il ne remplace pas le RGPD — les deux s'appliquent en parallèle. Si tu mets des données clients dans un prompt Claude, tu es sous les 2 régimes.
- ▸Il n'oblige pas à utiliser des IA européennes plutôt qu'américaines. Rien à voir avec la "souveraineté" à ce stade.
- ▸Il ne s'applique pas aux systèmes IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale.
- ▸Il ne concerne pas les systèmes de recherche scientifique tant qu'ils ne sont pas mis sur le marché.
Ressources officielles (fiables, gratuites)
- ▸Le règlement complet sur EUR-Lex — la source de vérité
- ▸Le pack "AI Act Explorer" — outil communautaire pour naviguer article par article
- ▸La rubrique IA de la CNIL — position française officielle
- ▸La documentation Commission européenne — communiqués, lignes directrices
- ▸Le pacte AI — engagement volontaire des entreprises avant obligation
En résumé
- ▸2 août 2026 = date à retenir. Les règles majoritaires deviennent contraignantes avec sanctions applicables.
- ▸AI Literacy est déjà obligatoire depuis février 2025 pour toute organisation utilisant l'IA au travail. C'est le point le plus sous-estimé.
- ▸La majorité des PME est en risque limité — obligations principalement de transparence, pas de tsunami administratif.
- ▸Les secteurs à haut risque (RH, crédit, santé, éducation, justice) ont des obligations lourdes qui exigent une vraie mise en conformité.
- ▸Sanctions : jusqu'à 35 M€ ou 7% CA pour les cas les plus graves, plafonds abaissés pour PME.
- ▸Rien à faire si tu es un particulier qui utilise ChatGPT chez toi.
- ▸Le texte n'interdit rien de ce qui est raisonnable — il oblige à documenter, à former, et à être transparent.
⚠️ Ce guide n'est pas un conseil juridique — pour un dossier complexe (secteur à haut risque, contentieux, contrat SaaS IA lourd), consulte un avocat spécialisé en droit du numérique. Pour le quotidien PME/freelance, la documentation officielle + les ressources CNIL couvrent 95% des cas.