Réponse courte
Depuis le 2 août 2026, l’AI Act est largement applicable dans l’Union européenne et les autorités ont commencé à exercer leurs pouvoirs de supervision. Les entreprises doivent d’abord inventorier leurs usages, distinguer leur rôle de fournisseur ou de déployeur, identifier les pratiques interdites ou soumises à transparence et documenter leurs mesures. Certaines échéances relatives aux systèmes à haut risque ont été prolongées : il faut vérifier le calendrier correspondant à chaque cas.
À retenir
- ✓Une date importante, mais plusieurs calendriers
- ✓Les obligations de transparence sont devenues concrètes
- ✓Quatre actions à engager maintenant
Une date importante, mais plusieurs calendriers
L’AI Act est entré en vigueur le 1er août 2024. Les pratiques interdites et les dispositions sur l’acculturation à l’IA s’appliquent depuis le 2 février 2025. Les règles de gouvernance et les obligations relatives aux modèles d’IA à usage général sont devenues applicables le 2 août 2025. Le socle général du règlement s’applique depuis le 2 août 2026.
Le calendrier a toutefois évolué. L’AI Omnibus, entré en vigueur le 27 juillet 2026, a prolongé certaines échéances concernant les systèmes à haut risque. Il serait donc imprudent d’appliquer une date unique à tous les projets. La bonne approche consiste à qualifier chaque système, chaque usage et le rôle de l’organisation.
La première question est : que faisons-nous exactement ?
Une entreprise peut développer un système, l’intégrer dans une offre, l’utiliser pour ses propres activités ou simplement permettre à ses salariés d’accéder à un service. Ces rôles n’entraînent pas les mêmes obligations. De même, une aide à la rédaction, un dispositif biométrique et un système contribuant à une décision de recrutement ne se pilotent pas de la même façon.
L’inventaire doit être suffisamment précis pour identifier la finalité, les personnes concernées, les données, le degré d’automatisation, le fournisseur et les contrôles humains. Sans cela, les équipes juridiques ne peuvent pas classer le risque et les métiers ne savent pas quelles mesures appliquer.
Les obligations de transparence sont devenues concrètes
L’article 50 prévoit des obligations pour certains systèmes qui interagissent avec des personnes ou génèrent des contenus. La Commission a publié en juillet 2026 des lignes directrices sur ces obligations, applicables depuis le 2 août. Cela concerne notamment, selon les cas prévus par le texte, l’information des personnes et le marquage ou l’étiquetage de certains contenus synthétiques.
L’enjeu opérationnel est de décider qui informe, à quel moment, avec quel message et comment la preuve de cette information est conservée. Une mention générique dans une charte ne suffit pas si l’expérience réelle de l’utilisateur ne la rend pas visible.
Quatre actions à engager maintenant
Premièrement, établir ou actualiser l’inventaire des systèmes et usages. Deuxièmement, qualifier le rôle de l’organisation et le niveau de risque. Troisièmement, vérifier les mesures déjà actives : information, contrôle humain, sécurité, instructions, suivi et acculturation. Quatrièmement, créer un dossier de preuves datées et un mécanisme de révision.
Ce travail ne doit pas devenir une bureaucratie parallèle. Une grande partie des informations existe déjà dans le registre RGPD, les contrats fournisseurs, les analyses de sécurité, les procédures métiers et les formations. Le défi est de les relier.
Ce que Lyopi apporte
Lyopi fournit un cadre commun pour inventorier les usages IA, les rapprocher des traitements RGPD, prioriser les risques et conserver les validations. La plateforme aide à suivre les mesures et les échéances sans prétendre déterminer seule la qualification juridique d’un système.
Questions fréquentes
Les réponses essentielles
Toutes les obligations de l’AI Act s’appliquent-elles depuis le 2 août 2026 ?
Non. Le règlement comporte plusieurs dates et certaines échéances ont été prolongées en 2026, notamment pour des catégories de systèmes à haut risque. Il faut vérifier la version consolidée du texte et le cas précis.
Une PME qui utilise seulement des outils d’IA est-elle concernée ?
Oui, elle peut être « déployeur » au sens du règlement et doit notamment examiner ses usages, l’acculturation, les pratiques interdites et, selon les systèmes, la transparence ou d’autres obligations.
Faut-il arrêter les usages tant que l’analyse n’est pas terminée ?
Pas systématiquement. Il faut prioriser. Les usages sensibles, opaques ou susceptibles d’affecter des personnes exigent une analyse rapide. Les usages simples peuvent être encadrés par des règles proportionnées et une validation.
Sources
Textes et ressources de référence
Sources consultées et vérifiées lors de la mise à jour du 11 août 2026.
- lyopi.frCommission européenne - AI Act et calendrier d’application
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- lyopi.frCommission européenne - Entrée en vigueur de l’AI Omnibus
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- lyopi.frCommission européenne - Lignes directrices sur les obligations de transparence
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- lyopi.frEUR-Lex - Règlement (UE) 2024/1689, version consolidée
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
Note éditoriale : cette ressource fournit une information générale. Elle ne constitue ni un conseil juridique ou assurantiel personnalisé, ni une certification NIS2, ni une garantie de couverture.