Publié le 29 juin 2026 · L'équipe Byss Group
Mise à jour du 31 octobre 2026. Le calendrier de l'AI Act a été modifié par le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA », en vigueur depuis le 27 juillet 2026. Le régime des systèmes à haut risque de l'annexe III, qui couvre notamment l'emploi, l'éducation, le crédit et l'accès aux services essentiels, s'appliquera le 2 décembre 2027 au lieu du 2 août 2026. L'IA intégrée à des produits réglementés (annexe I) suit le 2 août 2028.
Depuis le 2 août 2026, l'essentiel du règlement s'applique, dont les obligations de transparence de l'article 50, et les autorités nationales contrôlent le respect des interdictions, de la transparence et de la maîtrise de l'IA (calendrier de la Commission européenne). Le texte, entré en vigueur le 1er août 2024, se déploie par paliers : pratiques interdites et maîtrise de l'IA depuis le 2 février 2025, modèles d'IA à usage général depuis le 2 août 2025. Les bacs à sable réglementaires nationaux doivent, eux, être ouverts au plus tard le 2 août 2027.
Êtes-vous concerné, et quand ?
Trois questions suffisent pour un premier tri. Vos clients échangent-ils avec un assistant écrit ou vocal ? Diffusez-vous des images, des sons ou des vidéos générés qui imitent le réel, ou des textes générés sur des sujets d'intérêt public sans relecture éditoriale ? Si oui, l'article 50 vous concerne depuis le 2 août 2026. Troisième question : utilisez-vous l'IA dans un domaine de l'annexe III, comme le recrutement, l'évaluation d'élèves, l'octroi de crédit ou l'éligibilité à des prestations publiques ? Vous relèverez du haut risque à compter du 2 décembre 2027. Vous avez le temps de bien faire, pas celui de ne rien faire.
Déployeur n'est pas fournisseur
La plupart des PME sont des déployeurs : elles utilisent des systèmes construits par d'autres. Hors haut risque, leurs obligations tiennent à la transparence et à la formation des équipes. Pour un système à haut risque, à compter du 2 décembre 2027, s'y ajoutent l'usage conforme à la notice, une supervision humaine compétente, la conservation des journaux et l'information des personnes concernées (article 26). Le fournisseur, lui, porte la documentation technique, la gestion des risques et le marquage CE.
La transparence, dès maintenant
Deux obligations touchent la plupart des entreprises. Une personne qui échange avec votre assistant, écrit ou vocal, doit savoir qu'elle parle à une IA, au plus tard lors du premier échange, de façon claire et accessible, sauf si c'est évident (article 50, paragraphes 1 et 5). Un hypertrucage diffusé, image, son ou vidéo, doit être signalé comme généré ou manipulé (paragraphe 4). Le marquage technique des contenus, lisible par une machine, incombe au fournisseur de l'outil génératif (paragraphe 2) : il vaut depuis le 2 août 2026 pour les outils mis sur le marché depuis cette date, et au 2 décembre 2026 pour ceux qui l'étaient déjà. Une mention visible dès l'ouverture sert aussi la confiance, pas seulement la conformité. Quand l'agent ne se contente plus de répondre mais négocie ou s'engage, la question devient celle de son identité : nous l'explorons dans notre note sur les agents appelés à décider en notre nom.
Le chantier utile
Notre conseil : ne traitez pas l'AI Act comme un projet juridique isolé. L'inventaire des systèmes, la traçabilité des décisions et la supervision humaine sont exactement les fondations d'une IA agentique fiable. Une entreprise qui journalise ses agents, évalue leurs sorties et garde un humain dans la boucle a déjà fait l'essentiel du chemin réglementaire.
Le calendrier de l'AI Act, à jour au 31 octobre 2026
Le cadre paraît flou à beaucoup : 42 % des entreprises qui utilisent l'IA citent un manque de clarté juridique parmi leurs freins (Insee Première n° 2120, juillet 2026). Le calendrier, lui, est fixé. Selon la Commission européenne : 2 février 2025, pratiques interdites et maîtrise de l'IA. 2 août 2025, modèles d'IA à usage général. 2 août 2026, la majorité des règles, dont la transparence, et le début des contrôles. 2 décembre 2026, deux nouvelles interdictions, et fin du délai de marquage pour les outils génératifs déjà sur le marché. 2 août 2027, un bac à sable réglementaire par État membre. 2 décembre 2027, haut risque de l'annexe III. 2 août 2028, IA intégrée aux produits réglementés.
Risque inacceptable : ce qui est interdit, et ce qui le sera
Les pratiques de l'article 5 sont interdites depuis le 2 février 2025. Deux touchent des entreprises ordinaires. Déduire les émotions d'une personne au travail ou dans un établissement d'enseignement, sauf raison médicale ou de sécurité : un outil qui « mesure l'humeur » de vos conseillers au téléphone tombe sous le coup. Exploiter une vulnérabilité liée à l'âge, au handicap ou à la situation sociale pour altérer un comportement et causer un préjudice important. Le 2 décembre 2026 s'ajoutent les systèmes qui fabriquent des images intimes d'une personne identifiable sans son consentement, ou des contenus pédocriminels. Premier geste, dès aujourd'hui : passer vos outils en revue au regard de cette liste.
Risque limité : ce que vous devez afficher
Pour un assistant sur votre site, la mention tient en une phrase visible avant le premier message, par exemple « Vous échangez avec un assistant automatique ». Pour un agent vocal, elle se dit dès le décroché. Pour un visuel ou une vidéo générés, le critère est la ressemblance avec le réel : ce qui pourrait passer pour authentique se signale, et une œuvre manifestement artistique, satirique ou fictive admet une mention qui ne la gâche pas. Un texte généré publié pour informer le public sur un sujet d'intérêt général se signale aussi, sauf s'il a été relu et qu'une personne en assume la responsabilité éditoriale. Si vous analysez les émotions de vos clients, vous devez les en informer (paragraphe 3).
Haut risque : ce qui vous attend le 2 décembre 2027
Si vous utilisez un système de l'annexe III, par exemple pour trier des candidatures, évaluer des élèves ou noter la solvabilité d'un client, vous serez déployeur d'un système à haut risque. L'article 26 vous demandera de le faire fonctionner selon la notice du fournisseur, d'en confier la supervision à des personnes compétentes, de surveiller son fonctionnement, de conserver ses journaux au moins six mois, et d'informer les représentants du personnel avant tout usage au travail, ainsi que les personnes visées par ses décisions. Les organismes publics, les entreprises chargées d'un service public et celles qui notent le crédit ou tarifent l'assurance vie et santé devront aussi analyser l'impact sur les droits fondamentaux (article 27). Un système limité à une tâche procédurale étroite ou préparatoire peut échapper à ce régime, sauf s'il établit un profil des personnes (article 6). Pour la journalisation et l'arrêt d'urgence, notre checklist s'applique à tout agent IA en production.
Fournisseur sans le savoir : le piège du sur-mesure
Le règlement appelle fournisseur celui qui développe un système d'IA, ou le fait développer, et le met en service sous son propre nom (article 3). Une entreprise qui commande un agent sur mesure et le déploie sous sa marque peut donc être fournisseur, et non simple déployeur. Pour le haut risque, l'article 25 ajoute trois cas : apposer son nom sur un système déjà sur le marché, le modifier substantiellement, ou en changer la finalité au point qu'il devienne à haut risque. Un assistant de questions-réponses que l'on branche ensuite sur le tri des candidatures change de catégorie, et son exploitant de statut. La parade est écrite : dire au contrat qui porte quelle obligation, conserver la documentation, réexaminer la classification à chaque nouvelle fonction.
Sanctions, et le premier geste : former l'équipe
Les plafonds sont fixés par l'article 99 : 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour une pratique interdite, 15 millions ou 3 % pour un manquement aux obligations des déployeurs ou de transparence, 7,5 millions ou 1 % pour une information inexacte donnée aux autorités. Pour une PME, c'est le plus bas des deux montants qui s'applique. Le geste le moins coûteux est aussi le plus ancien : l'article 4 demande de prendre des mesures pour développer la maîtrise de l'IA de votre personnel. Concrètement : une formation datée, la liste des outils autorisés, une règle écrite sur les données que l'on n'y saisit jamais.
Chez Byss, chaque agent livré embarque traces auditables, garde-fous documentés et reprise humaine. La conformité n'est pas une couche ajoutée à la fin : elle est dans l'architecture. Le report au 2 décembre 2027 ne change pas notre manière de construire, et c'est bien le but.
