AI Act : ce que les entreprises françaises doivent savoir en 2026

À retenir

L'AI Act classe les systèmes d'IA en 4 niveaux de risque. La quasi-totalité des usages commerciaux (ChatGPT, Claude, Copilot) est en risque limité ou minimal.
Deux obligations s'appliquent déjà, depuis février 2025 : ne pas recourir à une pratique interdite, et former ses équipes (littératie IA, article 4).
Les obligations lourdes sur le haut risque (recrutement, scoring de crédit) n'arrivent qu'à partir de décembre 2027, report prévu par l'accord politique Digital Omnibus du 7 mai 2026, en cours d'adoption formelle.
Les PME bénéficient de sanctions plafonnées et d'accompagnements dédiés. Le premier pas le plus rentable reste la formation.

1 L'AI Act en une phrase

Le règlement (UE) 2024/1689, dit "AI Act", est le premier cadre juridique au monde qui réglemente l'intelligence artificielle. Il classe les systèmes d'IA en quatre niveaux de risque et impose des obligations proportionnelles : plus le risque est élevé, plus les contraintes sont strictes. Il s'applique à toute entreprise qui développe, déploie ou utilise un système d'IA sur le territoire européen, quelle que soit sa taille.

4 Niveaux de risque

2024 Entré en vigueur

35 M Sanction maximale

3 ans Déploiement progressif

2 Les 4 niveaux de risque

C'est le coeur de l'AI Act. Chaque système d'IA est classé dans une catégorie, et les obligations dépendent de cette classification.

Risque inacceptable : interdit

Huit pratiques sont purement et simplement interdites depuis le 2 février 2025 : manipulation subliminale, exploitation des vulnérabilités (âge, handicap, situation sociale), scoring social généralisé, police prédictive par profilage, constitution de bases de reconnaissance faciale par moissonnage non ciblé, reconnaissance des émotions au travail et à l'école, catégorisation biométrique pour déduire l'orientation politique, sexuelle ou les convictions religieuses, identification biométrique à distance en temps réel dans les espaces publics à des fins de maintien de l'ordre (sauf exceptions limitées).

Risque élevé : autorisé avec obligations strictes

Les systèmes d'IA qui impactent significativement la vie des personnes : recrutement et RH (tri de CV, évaluation), crédit et assurance (scoring de solvabilité), éducation (notation, orientation), infrastructures critiques, justice et migration, biométrie. Obligations : documentation technique complète, gestion des risques, traçabilité des données d'entraînement, supervision humaine effective, marquage CE.

Risque limité : obligation de transparence

Les chatbots, les systèmes de génération de contenu (texte, image, vidéo) et les deepfakes doivent informer l'utilisateur qu'il interagit avec une IA ou que le contenu a été généré par une IA. C'est dans cette catégorie que tombent la plupart des usages courants en entreprise : ChatGPT, Claude, Copilot.

Risque minimal : pas d'obligation

Les filtres anti-spam, les correcteurs orthographiques, les jeux vidéo avec IA : aucune contrainte spécifique. La grande majorité des systèmes d'IA actuellement utilisés en Europe entrent dans cette catégorie.

Pour les PME et ETI

Pour la plupart des PME et ETI qui utilisent ChatGPT ou Claude au quotidien, l'AI Act impose surtout une obligation de transparence et de littératie. Les contraintes lourdes ne concernent que les systèmes à haut risque.

3 Le calendrier : les dates à retenir

L'AI Act ne s'applique pas d'un coup. Le déploiement est progressif sur trois ans.

1er août 2024

Entrée en vigueur du règlement

2 février 2025

Interdiction des 8 pratiques à risque inacceptable. Obligation de littératie en IA (article 4) : les entreprises doivent garantir un niveau suffisant de connaissances en IA chez leurs employés

2 août 2025

Règles applicables aux modèles d'IA à usage général (GPAI), ceux qui font tourner ChatGPT, Claude ou Gemini. Désignation des autorités compétentes dans chaque État membre

2 août 2026

Règles de transparence (articles 50 et suivants) et cadre général de surveillance. Début de la surveillance par les autorités nationales. Mise en place des bacs à sable réglementaires. Le règlement Omnibus (objet d'un accord politique en mai 2026) a prévu de reporter les obligations haut risque à décembre 2027

2 décembre 2027

Obligations pour les systèmes à haut risque autonomes de l'Annexe III (recrutement, scoring, biométrie, éducation, emploi). Échéance prévue par le règlement Omnibus, objet d'un accord politique en mai 2026

2 août 2028

Application aux systèmes IA intégrés dans des produits réglementés (ascenseurs, jouets, dispositifs médicaux)

4 L'obligation de littératie en IA : ce qui vous concerne dès aujourd'hui

L'article 4 de l'AI Act impose depuis le 2 février 2025 que toute entreprise utilisant des systèmes d'IA garantisse "un niveau suffisant de connaissances en IA" chez ses collaborateurs. Si votre équipe utilise ChatGPT, un assistant de rédaction, un outil de scoring dans le CRM ou n'importe quelle fonction "IA" d'un logiciel métier, vous êtes concerné.

Former vos équipes : compréhension générale de l'IA (ce que c'est, comment ça fonctionne), utilisation concrète des outils déployés (leurs capacités et leurs limites), risques et enjeux (biais algorithmiques, protection des données, transparence)
Documenter les actions : tenir un registre des formations et des actions de sensibilisation menées. C'est la preuve en cas de contrôle
Adapter au niveau de chacun : un commercial qui utilise ChatGPT pour préparer ses rendez-vous n'a pas besoin de la même formation qu'un data scientist. L'obligation est proportionnelle au rôle

Évolution imminente

Note : l'accord politique Omnibus (mai 2026) prévoit de transférer cette obligation aux États membres, ce qui modifierait sa portée pour les entreprises. L'adoption formelle n'a pas encore eu lieu, mais cette évolution est à suivre de près.

Attention aux risques

Il n'y a pas d'amende directe pour le non-respect de l'article 4. En revanche, la responsabilité civile de l'entreprise reste engageable selon le droit commun (articles 1240 et 1241 du Code civil) si un employé insuffisamment formé cause un dommage avec un système d'IA. Et à partir d'août 2026, les autorités nationales pourront contrôler et sanctionner.

C'est exactement ce que couvre notre programme de formation : donner à vos commerciaux les bases pour utiliser l'IA de manière efficace et responsable.

5 Les sanctions : ce que vous risquez

L'AI Act prévoit trois niveaux de sanctions, définis à l'article 99 du règlement.

35 M Pratiques interdites (ou 7 % du CA)

15 M Non-conformité haut risque (ou 3 % du CA)

7,5 M Informations incorrectes (ou 1 % du CA)

Traitement spécial pour les PME

Bonne nouvelle : pour les PME (moins de 250 salariés) et les petites et moyennes capitalisations (moins de 750 employés, notion prévue par l'accord politique Digital Omnibus), c'est le montant le plus bas entre le pourcentage et le montant fixe qui s'applique. Autrement dit, une PME ne risque pas les mêmes amendes qu'un GAFAM.

6 Qui surveille en France ?

Plusieurs autorités se partagent le contrôle, chacune dans son domaine :

Autorité	Domaine de compétence
CNIL	Systèmes d'IA impliquant des données personnelles et biométriques. Autorité de surveillance du marché pour la biométrie et l'emploi (schéma en cours de validation)
DGCCRF	Coordination nationale de la surveillance du marché AI Act, pratiques interdites et protection des consommateurs
ARCOM	Contenus audiovisuels générés par IA (désignation en cours)
ACPR	IA dans le secteur financier et bancaire (désignation en cours)
HAS et ANSM	IA dans le domaine médical (désignation en cours)

Au niveau européen, un Bureau européen de l'IA (AI Office) coordonne les autorités nationales et supervise les modèles d'IA à usage général (ceux qui font tourner ChatGPT, Claude, Gemini).

7 Impact concret pour une équipe commerciale

Si vos commerciaux utilisent l'IA pour prospecter, préparer des rendez-vous ou rédiger des emails, voici ce qui vous concerne directement.

Ce qui ne change pas

Rédiger avec ChatGPT, Claude ou Copilot : risque limité, transparence uniquement
Préparer un RDV avec un prompt : aucune obligation spécifique
Générer du contenu marketing : signaler que le contenu est généré par IA si ce n'est pas évident

Ce qui mérite attention

Scoring automatisé dans le CRM : peut être haut risque si impact significatif sur une décision
Outils de recrutement avec IA : haut risque, vérifier la conformité du fournisseur
Surveillance des employés : sensible. La reconnaissance des émotions au travail est interdite

La conformité se vit dans le geste quotidien, pas dans un classeur

La bonne façon d'aborder l'AI Act, pour une force de vente, n'est pas d'en faire un dossier juridique à part. La conformité épouse la montée en maturité de vos usages de l'IA, du plus simple au plus avancé. Reprenons notre fil conducteur (prompting, puis assistants, puis agents) et voyons ce que chaque étage demande. Le principe reste le même à chaque niveau : l'IA est un copilote, le commercial garde la main et la responsabilité.

Prompt (le commercial, seul). Un vendeur qui rédige un email avec ChatGPT ou prépare un rendez-vous avec Claude est en risque minimal. Ses deux réflexes de conformité : la littératie (comprendre ce que l'outil fait et ses limites, ne pas y coller de données personnelles ou confidentielles au-delà du nécessaire) et la transparence si un contenu généré est diffusé largement. Rien de lourd, mais rien qui s'improvise non plus.
Assistant (l'équipe). Dès qu'on fige un assistant configuré avec l'offre, la cible et le ton pour toute l'équipe, on entre dans la documentation : quelle est sa finalité, quelles données il utilise, qui s'en sert. C'est à ce niveau que la littératie devient un standard partagé plutôt qu'un savoir individuel, et que l'inventaire de vos systèmes d'IA prend son sens.
Agent (l'organisation). Quand une IA enchaîne des tâches seule (chercher, enrichir, préparer des messages), la supervision humaine devient la règle : un point de contrôle avant toute action sensible, une traçabilité de ce qui a été fait, et jamais d'envoi ou de décision automatiques sans relecture. C'est exactement l'esprit de l'AI Act, qui monte en exigence avec le niveau de risque.

La transparence (article 50), en pratique

L'article 50 impose de ne pas tromper sur la nature d'une interaction ou d'un contenu. Trois cas touchent la vente : un chatbot qui dialogue avec vos prospects doit indiquer qu'il s'agit d'une IA ; un contenu généré par IA et diffusé au public (un visuel, une vidéo, un post) doit être identifiable comme tel ; et un email personnalisé de masse rédigé par IA gagne à rester honnête sur le fond. La règle n'interdit pas d'utiliser l'IA, elle interdit de faire croire qu'un humain était au bout du fil quand ce n'est pas le cas.

Pour la conformité côté données (base légale, information, opposition) qui se superpose à l'AI Act, voyez notre comparaison RGPD et AI Act : les deux règlements se gèrent ensemble, pas en silo.

Ressource : la grille des prérequis par palier (prompt, assistant, agent) pour cadrer vos usages, dans l'Espace Agent

8 Les idées reçues sur l'AI Act

Beaucoup de dirigeants se font une fausse idée du règlement, et la peur fait souvent plus de dégâts que le texte lui-même. Voici les confusions les plus fréquentes.

"L'AI Act interdit l'IA." Faux. Il l'encadre selon le risque. La quasi-totalité des usages commerciaux reste libre, avec au plus une obligation de transparence.
"Ça ne concerne que les grandes entreprises." Faux. Dès qu'une PME déploie un outil d'IA, les obligations de littératie et de transparence s'appliquent. La taille joue sur le montant des sanctions, pas sur le principe.
"Si je respecte le RGPD, je suis conforme." Faux. Le RGPD couvre les données, l'AI Act couvre les systèmes d'IA. Ce sont deux conformités distinctes qui se complètent (nous les mettons en regard dans notre comparaison RGPD et AI Act).
"Il faut un avocat et un gros budget." Pas pour les usages courants. Former vos équipes et documenter vos outils suffit pour l'essentiel applicable aujourd'hui.
"On a le temps, c'est pour 2027." Faux. Les pratiques interdites et la littératie s'appliquent depuis février 2025. Seules les obligations sur le haut risque attendent 2027.

9 Par où commencer : votre conformité par échéance

Inutile de tout faire d'un coup. Voici comment séquencer, du plus urgent au plus lointain.

Cette semaine

Faites l'inventaire. Listez les outils d'IA utilisés dans l'entreprise, leur finalité et qui les utilise. Notez ceux qui traitent des données personnelles.

Ce trimestre

Formez et vérifiez. Formez vos équipes (littératie, article 4) et gardez-en la trace. Pour un éventuel outil à haut risque (recrutement, scoring), demandez à votre fournisseur sa conformité AI Act.

En continu

Soyez transparent et tracez. Signalez les contenus générés par IA quand le destinataire ne peut pas le deviner, et tenez votre documentation à jour.

D'ici fin 2027

Anticipez le haut risque. Si vous déployez un système à haut risque, préparez la mise en conformité complète (supervision humaine, documentation, marquage CE côté fournisseur).

Le premier pas le plus rentable reste la formation : elle est obligatoire, c'est elle qui débloque vraiment l'usage, et c'est l'objet de notre formation IA pour commerciaux. Pour situer votre maturité avant de vous lancer, commencez par le diagnostic (gratuit, 3 minutes).

Cocher la case littératie, et donner de vrais outils à vos équipes

L'Espace Agent rassemble des prompts et des assistants prêts à l'emploi, pensés pour un usage efficace et responsable de l'IA. Laissez votre email professionnel et recevez votre lien d'accès.

Accéder à l'Espace Agent

En résumé

L'AI Act classe les systèmes d'IA en 4 niveaux de risque : interdit, haut, limité et minimal. La plupart des usages commerciaux (ChatGPT, Claude, Copilot) sont en risque limité ou minimal
L'obligation de littératie en IA (article 4) est en vigueur depuis février 2025 : formez vos équipes et documentez-le
Les systèmes à haut risque (recrutement, scoring de crédit, surveillance) seront pleinement réglementés à partir de décembre 2027 (report prévu par l'accord politique Omnibus de mai 2026), avec des sanctions jusqu'à 35 millions d'euros
Les PME (moins de 250 salariés) et les petites et moyennes capitalisations (moins de 750 employés) bénéficient de sanctions réduites et d'accompagnements dédiés (bacs à sable réglementaires)
En France, la DGCCRF coordonne la surveillance du marché AI Act. La CNIL est l'autorité de surveillance du marché pour la biométrie et l'emploi (schéma en cours de validation)

Sources

Cet article a été rédigé à partir de sources officielles (institutions européennes, autorités françaises, textes réglementaires), consultées en juin 2026.

Questions fréquentes sur l'AI Act

Mon entreprise utilise ChatGPT ou Claude : est-elle concernée par l'AI Act ?

Oui. Toute entreprise qui déploie un système d'IA dans l'Union européenne est concernée, quel que soit l'outil utilisé. L'AI Act ne cible pas les éditeurs uniquement : les entreprises qui utilisent l'IA (les "déployeurs") ont aussi des obligations, notamment en matière de littératie (article 4) et de transparence.

Quelles sont les sanctions prévues par l'AI Act ?

Les amendes vont jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites (article 5). Pour les systèmes à haut risque non conformes, les amendes peuvent atteindre 15 millions d'euros ou 3 % du CA mondial. Des mesures de proportionnalité sont prévues pour les PME et les start-ups.

L'AI Act prévoit-il des exemptions pour les PME ?

L'AI Act prévoit des mesures de soutien : l'article 62 impose aux États membres de mettre en place des bacs à sable réglementaires et des canaux de communication dédiés aux PME. Les amendes sont plafonnées de manière proportionnelle. Cependant, les obligations de fond (littératie, transparence) s'appliquent à toutes les tailles d'entreprise.

Qu'est-ce que l'obligation de littératie IA (article 4) ?

Depuis le 2 février 2025, toute entreprise qui déploie un système d'IA doit garantir que son personnel dispose d'un niveau suffisant de maîtrise de l'IA. Concrètement, il faut former les utilisateurs aux risques, aux limites et au bon usage des outils d'IA qu'ils manipulent. C'est applicable dès maintenant, sans attendre les autres échéances.

Quand l'AI Act entre-t-il pleinement en vigueur ?

L'AI Act s'applique par étapes. Les pratiques interdites et la littératie sont en vigueur depuis février 2025. Les obligations pour l'IA à usage général (GPAI) s'appliquent depuis août 2025. Les obligations pour les systèmes à haut risque autonomes sont prévues pour décembre 2027 (initialement août 2026, reporté par l'accord politique Omnibus). Les systèmes à haut risque intégrés dans des produits sont prévus pour août 2028.