Le règlement européen sur l’IA (l’« AI Act ») concerne déjà votre entreprise si vous utilisez des outils d’IA. Depuis février 2025, vous n’avez pas le droit d’utiliser l’IA pour des pratiques interdites. Vous devez aussi prendre des mesures pour que votre équipe maîtrise l’IA. Depuis août 2026, vous devez signaler les contenus réalistes générés par IA. Pour les cas d’usage à haut risque, comme l’IA qui trie les candidatures, l’omnibus numérique a reporté les obligations les plus lourdes au 2 décembre 2027. En Espagne, le projet de loi qui devait fixer les sanctions nationales est devenu caduc en octobre 2026, mais le règlement européen continue de s’appliquer.
L’AI Act en un paragraphe
L’AI Act (règlement (UE) 2024/1689) encadre l’IA selon son niveau de risque. Certains cas d’usage sont purement et simplement interdits. Les cas d’usage à haut risque (qui concernent surtout des personnes) sont soumis à des règles strictes. Les systèmes qui interagissent avec des personnes ou génèrent du contenu ont des obligations de transparence. Le reste est en grande partie non réglementé. Le texte définit des rôles et leurs obligations : le fournisseur (celui qui développe ou vend le système d’IA, par exemple OpenAI, Google, Anthropic ou un éditeur de logiciels) et le déployeur (celui qui utilise le système d’IA sous sa propre autorité). La plupart des entreprises sont des déployeurs, avec des obligations plus légères, mais déjà applicables.
Le calendrier après l’omnibus numérique
L’omnibus numérique sur l’IA (règlement (UE) 2026/1744) est en vigueur depuis le 27 juillet 2026. Il a modifié les échéances du haut risque et ajouté deux interdictions. Voici le calendrier actuel :
| Date | Ce qui s’applique | Cela concerne-t-il une entreprise qui utilise l’IA ? |
|---|---|---|
| 1er août 2024 | Entrée en vigueur de l’AI Act | Pas encore d’obligations |
| 2 février 2025 | Pratiques interdites ; maîtrise de l’IA (article 4) | Oui |
| 2 août 2025 | Obligations des fournisseurs de modèles d’IA à usage général ; gouvernance ; sanctions | Pas directement |
| 27 juillet 2026 | Entrée en vigueur de l’omnibus numérique ; nouvelle rédaction de l’article 4 | Oui (l’obligation de maîtrise de l’IA change) |
| 2 août 2026 | Transparence (article 50) | Oui (si vous publiez des contenus générés par IA ou utilisez la reconnaissance des émotions) |
| 2 décembre 2026 | Deux nouvelles interdictions ; marquage lisible par machine des systèmes génératifs sur le marché | Oui (pour les interdictions ; le marquage incombe au fournisseur) |
| 2 août 2027 | Chaque État membre doit avoir mis en place un bac à sable réglementaire de l’IA | Facultatif (tester avec le régulateur) |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III (auparavant août 2026) | Seulement si vous utilisez l’IA pour ces cas d’usage |
| 2 août 2028 | IA à haut risque dans les produits de l’annexe I (machines, dispositifs médicaux…) | Seulement si vous fabriquez ces produits |
Ce que l’omnibus numérique a changé, et ce qu’il n’a pas changé
L’omnibus numérique a été présenté comme une simplification. Pour les entreprises qui se contentent d’utiliser l’IA, il a moins changé que ne le laissaient croire les gros titres :
- Report des obligations du haut risque : au 2 décembre 2027 pour les cas d’usage de l’annexe III, au 2 août 2028 pour l’IA intégrée à des produits réglementés.
- L’obligation de maîtrise de l’IA s’est assouplie, mais elle demeure. Avant, l’article 4 imposait aux entreprises de garantir un niveau suffisant de maîtrise de l’IA. Désormais, il leur impose de prendre des mesures pour la favoriser. Et aucun niveau précis n’a à être garanti pour chaque personne.
- Deux nouvelles interdictions (à partir du 2 décembre 2026) : l’IA qui génère ou manipule des images sexuellement explicites de personnes identifiables sans leur consentement. Et l’IA qui génère des contenus pédopornographiques.
- Un allègement supplémentaire pour les entreprises en croissance. Les amendes réduites et la documentation simplifiée des PME s’appliquent désormais aussi aux petites entreprises à moyenne capitalisation.
- Une base juridique pour corriger les biais. Les fournisseurs peuvent, à des conditions strictes, traiter des données personnelles sensibles pour détecter et corriger les biais de leurs systèmes.
Ce qui n’a pas changé : les interdictions d’origine, les règles de transparence de l’article 50 et les obligations des fournisseurs de modèles à usage général. Toutes s’appliquent à leurs dates d’origine.
Ce que vous devez faire en tant qu’entreprise qui utilise l’IA
1. Éviter les pratiques interdites
Depuis le 2 février 2025, l’AI Act interdit (entre autres) : les techniques manipulatrices ou trompeuses qui altèrent le comportement des personnes et leur causent un préjudice important. L’exploitation des vulnérabilités des personnes (âge, handicap, situation économique). La notation sociale. La déduction des émotions des salariés ou des élèves (sauf pour raisons médicales ou de sécurité). La catégorisation des personnes à partir de données biométriques pour en déduire des caractéristiques sensibles comme l’origine ethnique, les opinions politiques ou l’orientation sexuelle. La collecte d’images sur internet pour constituer des bases de données de reconnaissance faciale. Celle qui risque le plus de concerner une entreprise ordinaire est la reconnaissance des émotions au travail (évaluer « l’humeur » des téléconseillers ou des candidats lors d’entretiens vidéo).
2. Former votre équipe (article 4)
Toute entreprise qui utilise l’IA doit prendre des mesures pour que son personnel (et toute personne qui utilise l’IA pour son compte) sache ce que les outils peuvent faire ou non, quels sont les risques et quelles sont les règles de l’entreprise. Aucun certificat officiel n’est exigé. Aucun nombre d’heures minimum. Mais vous devez pouvoir démontrer quelle formation vous avez dispensée et à qui. Concrètement, donc : une courte session pour tout le monde. Une charte IA écrite. Et un registre de qui a fait les deux. Plus de détails dans notre guide sur l’article 4.
3. Être transparent (article 50)
Depuis le 2 août 2026 :
- Hypertrucages (« deepfakes ») : si vous publiez une image, un son ou une vidéo générés ou manipulés par IA qui semblent réels, vous devez indiquer qu’ils sont artificiels. Pour une œuvre manifestement créative ou satirique, il suffit de le signaler sans la gâcher.
- Textes sur des questions d’intérêt public : si vous publiez un texte généré par IA pour informer le public, vous devez le signaler. Sauf si une personne l’a relu et qu’il existe une responsabilité éditoriale. Par exemple, une fiche produit ou un e-mail marketing ne relèvent généralement pas de l’« intérêt public ». Mais un article de type journalistique peut en relever.
- Reconnaissance des émotions, catégorisation biométrique : si vous les utilisez (et qu’elles ne sont pas interdites), vous devez en informer les personnes concernées.
- Chatbots : si vous utilisez un système qui interagit avec des personnes, il doit être clair qu’il s’agit d’une IA. Cette obligation incombe au fournisseur. Mais si vous avez un chatbot sur votre site, vérifiez qu’il le fait.
4. Si vous utilisez l’IA dans un domaine à haut risque (à partir du 2 décembre 2027)
Les déployeurs de systèmes à haut risque doivent :
- Utiliser le système conformément aux instructions du fournisseur (articles 26 et 27)
- Confier le contrôle humain à des personnes ayant la compétence et l’autorité pour passer outre le système
- Veiller à ce que les données d’entrée qu’ils maîtrisent soient pertinentes
- Surveiller le système et signaler les incidents graves
- Conserver les journaux générés par le système pendant au moins six mois
- Informer les salariés et leurs représentants avant d’utiliser un système à haut risque au travail
- Informer les personnes lorsqu’un système à haut risque sert à prendre des décisions les concernant. Leur expliquer la décision si elles le demandent (article 86)
- Réaliser une analyse d’impact sur les droits fondamentaux s’ils sont un organisme public, fournissent un service public ou utilisent l’IA pour évaluer la solvabilité ou tarifer des assurances vie et santé.
Utilisez-vous l’IA pour un cas d’usage à haut risque ?
L’annexe III liste les domaines où l’IA est à haut risque. Pour une entreprise type, deux sont pertinents :
- Emploi : l’IA utilisée pour le recrutement ou la sélection (offres d’emploi ciblées, tri des candidatures, évaluation des candidats). Pour décider de promotions ou de licenciements. Pour répartir les tâches selon le comportement ou les traits personnels. Pour surveiller et évaluer la performance.
- Accès aux services essentiels : l’IA utilisée pour évaluer la solvabilité des particuliers. Ou pour tarifer des assurances vie et santé.
Les autres domaines de l’annexe III (identification biométrique, infrastructures critiques, éducation, répression, migration, justice et élections) concernent surtout les organismes publics et les fournisseurs spécialisés.
Mais il existe une exception importante (article 6, paragraphe 3) : un système relevant de l’un de ces domaines n’est pas à haut risque s’il n’accomplit qu’une tâche procédurale étroite. Ou s’il améliore le résultat d’un travail déjà réalisé par une personne. Ou s’il détecte des tendances sans remplacer le jugement humain. Ou s’il effectue un travail préparatoire. Il est toujours à haut risque s’il établit le profil de personnes. Ainsi, demander à l’IA de rédiger une offre d’emploi n’est pas à haut risque. Mais la laisser classer les candidats, si.
Sanctions
L’AI Act fixe des amendes maximales à trois niveaux (article 99) :
| Infraction | Amende maximale |
|---|---|
| Pratiques interdites | 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial (le montant le plus élevé) |
| La plupart des autres obligations (y compris celles des déployeurs) | 15 millions d’euros ou 3 % |
| Fourniture d’informations inexactes ou trompeuses aux autorités | 7,5 millions d’euros ou 1 % |
Pour les PME (et, depuis l’omnibus, les petites entreprises à moyenne capitalisation), le plafond est le plus bas des deux montants. Chaque État membre fixe son propre régime de sanctions dans ces limites. Et désigne qui les inflige.
Espagne : qui contrôle, et la loi espagnole sur l’IA devenue caduque
L’Espagne a été le premier pays de l’UE à créer une agence de contrôle de l’IA : l’AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), basée à La Corogne. L’autorité espagnole de protection des données (AEPD) reste compétente pour tout ce qui touche aux données personnelles.
Mais l’Espagne n’a pas de loi propre sur l’IA. Le projet de loi du gouvernement sur le « bon usage et la gouvernance de l’IA » (qui désignait les autorités et fixait le régime national de sanctions) est arrivé au Congrès en juin 2026. Mais il est devenu caduc le 6 octobre 2026, les Cortes ayant été dissoutes par le décret royal 806/2026 avant les élections générales du 29 novembre. Le prochain gouvernement devra donc repartir de zéro avec un nouveau projet.
Mais cela ne suspend rien. L’AI Act est un règlement européen et s’applique directement en Espagne. Aux dates ci-dessus. La question de savoir si les autorités espagnoles peuvent infliger des amendes avant qu’une loi nationale fixe le régime de sanctions fait débat chez les juristes. Mais il est prudent de considérer que les obligations s’appliquent. Et que ce que vous avez fait pour vous y conformer sera apprécié une fois les règles en place.
Que faire ce trimestre
- Listez les outils d’IA utilisés dans votre entreprise (y compris ceux que les gens utilisent avec des comptes personnels). À quoi servent-ils ?
- Vérifiez si la liste contient des pratiques interdites ou des cas d’usage à haut risque. Pour la plupart des entreprises, la réponse sera « non » dans les deux cas. Mais mieux vaut en être sûr.
- Rédigez ou mettez à jour votre charte IA. Et proposez à tout le monde une courte session de formation. Notez qui l’a suivie.
- Comment signalez-vous les contenus générés par IA que vous publiez ? En particulier les images et vidéos réalistes.
- Si vous avez des cas d’usage à haut risque, préparez dès maintenant décembre 2027 : contrôle humain, journaux, information du personnel, documentation à demander au fournisseur.
- Faites le point chaque année. Et chaque fois que vous changez d’outils.
Sources
- Règlement (UE) 2024/1689 (AI Act) : articles 3, 4, 5, 6, 26, 27, 50, 86, 99 et 113. Annexe III.
- Règlement (UE) 2026/1744 (omnibus numérique sur l’IA). Version consolidée dans l’AI Act Explorer (en anglais).
- AESIA (agence espagnole de contrôle de l’IA).
- Congrès des députés : projet de loi 121/000096 (bon usage et gouvernance de l’IA). Caduc depuis le 6 octobre 2026. Décret royal 806/2026 (dissolution des Cortes).
- Commission européenne : questions-réponses sur la maîtrise de l’IA.