AI Act et GPAI : ce que les entreprises doivent savoir en 2026

En bref

L’AI Act (règlement UE 2024/1689) classe les usages IA en quatre niveaux de risque : interdit, haut risque, risque limité et risque minimal.

Environ 85 % des usages IA courants des entreprises relèvent du risque minimal, selon les orientations de la Commission européenne.

La quasi-totalité des PME et ETI françaises sont « déployeurs » : leurs obligations sont moins lourdes que celles des éditeurs, mais déjà opposables.

Les obligations pour les systèmes à haut risque (recrutement, crédit, décision automatisée) entrent en vigueur en août 2026.

Une PME bordelaise déploie un chatbot alimenté par ChatGPT dans son service client en début d’année 2025. Son dirigeant ignore qu’il est juridiquement « déployeur » au sens de l’AI Act. Quand nous lui posons la question trois mois plus tard, sa réponse est directe : « On pensait que c’était le problème d’OpenAI. » Ce malentendu est extrêmement courant. Le règlement européen sur l’IA distribue les obligations avec précision selon votre rôle dans la chaîne de valeur, et les PME ne sont pas exemptées. Voici les repères essentiels pour naviguer dans cette réglementation IA sans vous perdre en théorie inutile.

L’AI Act en pratique : comment le règlement européen classe vos usages IA

Le principe structurant de l’AI Act est l’approche par niveaux de risque. Plutôt que de réglementer l’IA en bloc, le règlement distingue quatre catégories selon l’impact potentiel sur les droits fondamentaux et la sécurité des personnes.

Bonne nouvelle pour la majorité des entreprises : selon les orientations publiées par la Commission européenne, environ 85 % des usages IA courants (assistance à la rédaction, résumé de documents, analyse de données internes, chatbots de support) relèvent du risque minimal. Ces usages ne sont soumis qu’à des principes généraux de bonne pratique, sans obligation administrative lourde.

Les pratiques interdites depuis février 2025

Depuis le 2 février 2025, six catégories de pratiques sont purement interdites sur le territoire européen. Les plus pertinentes pour les entreprises :

Le scoring social : noter des individus à partir de leurs comportements ou caractéristiques pour leur appliquer des traitements différenciés dans des contextes non liés (accès à un service, crédit, emploi). La frontière avec la personnalisation marketing très poussée peut être ténue.

La manipulation subliminale : tout système qui exploite des vulnérabilités psychologiques ou des biais inconscients pour influencer un comportement à l’insu de la personne concernée, quel que soit l’objectif commercial.

La biométrie en temps réel dans les espaces publics : la reconnaissance faciale live reste réservée aux forces de l’ordre dans des conditions très encadrées. Pour les acteurs privés, c’est une interdiction nette.

Haut risque : recrutement, crédit, décision automatisée

La catégorie « haut risque » vise les systèmes qui interviennent dans des décisions aux conséquences importantes : tri de CV et évaluation de candidats, scoring crédit, décisions d’assurance, aide à la décision judiciaire, contrôle d’accès aux établissements éducatifs. Ces usages touchent déjà de nombreuses ETI françaises. Les obligations associées (documentation technique, surveillance humaine, enregistrement dans la base de données européenne) entrent en vigueur en août 2026.

GPAI : ce que les grands modèles de langage changent pour votre entreprise

GPAI désigne les modèles d’IA à usage général (« General Purpose AI ») : GPT-4o, Gemini 1.5, Claude Opus, Mistral Large. Ces modèles sont entraînés sur des volumes massifs de données pour accomplir une très large variété de tâches sans usage unique défini.

Depuis le 2 août 2025, date d’entrée en vigueur des dispositions GPAI de l’AI Act, les fournisseurs de ces modèles (OpenAI, Google, Anthropic, Mistral AI) sont soumis à des obligations spécifiques : documentation de l’entraînement, politique de respect du droit d’auteur, publication d’informations techniques sur les capacités et les limites. Les modèles dont l’entraînement dépasse 10^25 FLOPs sont classés « à risque systémique » et soumis à des exigences renforcées, notamment des évaluations adversariales et le signalement d’incidents graves à l’AI Office européen.

Ce que cela change concrètement pour une entreprise qui utilise ces modèles via API : vous n’êtes pas fournisseur GPAI. La conformité au sens strict incombe à OpenAI, Anthropic ou Mistral AI. Votre responsabilité se situe au niveau de l’usage que vous faites de ces outils dans vos processus métier, ce qui renvoie aux obligations du déployeur détaillées ci-dessous.

Le calendrier 2026 : ce qui est déjà obligatoire, ce qui arrive dans les prochains mois

Voici la chronologie issue du texte officiel du règlement UE 2024/1689 :

Le point d’attention critique pour les ETI : si vous utilisez un outil IA d’aide au recrutement, de scoring crédit ou de décision automatisée sur des profils de personnes, l’échéance est août 2026. Il reste moins d’un an pour cartographier ces usages, documenter les systèmes concernés et organiser la supervision humaine requise. Les entreprises qui n’anticipent pas maintenant devront tout mettre en place dans l’urgence estivale. Pour les services RH, l’AI Act appliqué au recrutement est le cas le plus concret, car le tri de CV relève de la catégorie haut risque.

Fournisseur ou déployeur : une distinction qui change tout à vos obligations

C’est la première question que nous posons en début de mission chez un client : êtes-vous fournisseur ou déployeur au sens de l’AI Act ?

Fournisseur : vous développez un système IA et le mettez sur le marché, pour vos propres clients ou en open source. Le cadre légal IA vous impose les obligations les plus lourdes : documentation technique exhaustive, enregistrement dans la base de données européenne, marquage CE pour certains systèmes à haut risque.

Déployeur : vous intégrez un système IA existant (SaaS, API, logiciel tiers) dans vos processus métier. C’est le cas de la quasi-totalité des PME et ETI françaises. Ne pas confondre « obligations moins lourdes » avec « pas d’obligations » : les sanctions prévues à l’article 99 du règlement UE 2024/1689 peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel en cas de violation des pratiques interdites.

Obligations concrètes du déployeur pour les systèmes à haut risque

Trois obligations pratiques à retenir :

Information des utilisateurs : toute personne qui interagit avec un système IA ou fait l’objet d’une décision automatisée doit en être informée. Cette obligation prolonge ce que le RGPD impose déjà à l’article 22 sur les décisions automatisées.

Supervision humaine : un collaborateur doit pouvoir comprendre la décision du système, la contester et la corriger. L’IA ne peut pas être le seul décideur sur des sujets à fort impact (embauche, crédit, exclusion d’un service).

Registre des systèmes IA à haut risque : tenir à jour la liste des systèmes déployés dans l’organisation, avec leurs informations essentielles (fournisseur, version, usage, données traitées).

Quatre actions concrètes pour préparer votre conformité dès maintenant

Inutile d’attendre un cabinet spécialisé pour démarrer. Ces quatre étapes sont accessibles à n’importe quelle direction générale ou DSI. Elles s’accordent avec le plan d’action de l’AI Act, qui ajoute pour une PME la formation du personnel et une charte d’usage.

1. Cartographier tous vos usages IA en production. Pas seulement les projets formels : incluez les outils SaaS que vos équipes utilisent au quotidien (Copilot, Notion AI, HubSpot AI, générateurs de contenu). Beaucoup d’entreprises découvrent à cette étape que leurs usages sont bien plus étendus qu’elles ne le croyaient.

2. Qualifier le niveau de risque de chaque usage. Pour chaque outil identifié, posez deux questions : ce système assiste-t-il des décisions qui affectent des droits ou des opportunités de personnes physiques ? Sur quelles données personnelles s’appuie-t-il ? La grille de classification du règlement permet ce tri sans expertise juridique préalable.

3. Mettre à jour vos mentions d’information RGPD. Si vous utilisez l’IA dans des processus qui traitent des données personnelles (et c’est presque inévitable), vos politiques de confidentialité doivent désormais mentionner explicitement le recours à des systèmes IA et le traitement automatisé des données.

4. Désigner un référent conformité IA interne. Ce n’est pas forcément un juriste : un profil ops ou IT sensibilisé peut tenir ce rôle. Il fera le lien avec la CNIL, interlocuteur français sur les questions de conformité IA en entreprise, et avec l’AI Office européen, l’autorité de supervision centrale créée en 2024 au sein de la Commission.

Ce qu’il faut retenir

L’AI Act est un calendrier d’obligations progressives, pas un séisme réglementaire immédiat. La majorité des usages IA courants relèvent du risque minimal, sans contrainte administrative lourde. Les vrais enjeux se concentrent sur les pratiques interdites (déjà en vigueur depuis février 2025) et les systèmes à haut risque (échéance août 2026). Cartographier ses usages aujourd’hui, c’est se donner le temps d’agir méthodiquement plutôt que de tout rattraper dans l’urgence.