# AI Act août 2026 : obligations IA à haut risque et transparence

> Le 2 août 2026, l'AI Act rend obligatoires les exigences pour les systèmes d'IA à haut risque de l'Annexe III, ainsi que les obligations de transparence prévues par l'article 50. Fournisseurs et déployeurs doivent adapter leurs pratiques pour se conformer à ces nouvelles règles.

- Tags: ai act août 2026, systèmes ia haut risque, obligations ai act, conformité ai act 2026, annexe iii ai act, transparence ia, sanctions ai act, documentation technique ia
- Mot-cle principal: ai act août 2026

## Introduction

Dans moins de deux ans, le **2 août 2026**, le Règlement européen sur l’intelligence artificielle (Règlement UE 2024/1689) entrera pleinement en application. Cette échéance marque un tournant pour les organisations qui conçoivent, importent, distribuent ou exploitent des systèmes d’IA en Europe. Deux ensembles d’exigences deviennent alors obligatoires : les **règles pour les systèmes d’IA à haut risque** définis à l’Annexe III, et les **obligations de transparence de l’Article 50**. Le compte à rebours s’accélère pour anticiper ces changements majeurs.

## Contenu

## Pourquoi le 2 août 2026 est-il une étape cruciale pour la conformité IA ?

Si le règlement AI Act est officiellement entré en vigueur en août 2024, son application se fait selon un **calendrier progressif**. Après l’interdiction des pratiques d’IA jugées inacceptables (février 2025) et la régulation des modèles d’IA à usage général (août 2025), la vague du 2 août 2026 représente la bascule opérationnelle la plus significative pour les entreprises.

À cette date, trois évolutions majeures s’imposent :

- **Application intégrale des obligations pour les systèmes IA à haut risque (Annexe III)** : tous les fournisseurs et déployeurs dans les huit secteurs concernés doivent se conformer au Chapitre III du règlement.
- **Entrée en vigueur des exigences de transparence (Article 50)** : toute IA qui interagit avec des humains, génère du contenu artificiel ou produit des deepfakes est soumise à des obligations d’information et de signalement.
- **Déploiement du régime de sanctions** : les États membres doivent avoir mis en œuvre les sanctions prévues, dont des amendes allant jusqu’à 15 millions d'euros ou 3 % du chiffre d’affaires mondial.

Une dernière vague suivra en août 2027, concernant les systèmes IA intégrés à des produits déjà encadrés (Annexe I : dispositifs médicaux, jouets, véhicules). Mais c’est bien août 2026 qui cristallise l’essentiel des enjeux opérationnels.

## Les 8 secteurs à haut risque de l’Annexe III : êtes-vous concerné ?

L’Annexe III identifie huit catégories d’usages où l’IA est **automatiquement considérée comme à haut risque**. Si votre système intervient dans l’un de ces domaines, la conformité devient impérative dès août 2026.

### 1. Systèmes biométriques

Cela englobe l’identification biométrique à distance (en direct ou a posteriori), la catégorisation selon des critères sensibles, ainsi que la reconnaissance des émotions. Les simples vérifications d’identité (authentification) ne sont pas concernées.

### 2. Infrastructures critiques

Les IA qui participent à la sécurité ou à la gestion de l’approvisionnement en eau, énergie, gaz, chauffage, trafic routier ou infrastructures numériques critiques.

### 3. Enseignement et formation professionnelle

Systèmes IA qui conditionnent l’accès à un établissement, évaluent les acquis ou orientent le parcours scolaire/professionnel.

### 4. Emploi et gestion RH

Automatisation du tri des CV, analyse des candidatures, évaluation des performances, décisions sur promotions ou licenciements : un usage fréquent en entreprise.

### 5. Accès aux services essentiels

Évaluation de l’éligibilité à des prestations sociales, scoring de crédit, tarification d’assurance, analyse des risques financiers pour les personnes physiques.

### 6. Application de la loi

IA utilisée pour évaluer la fiabilité de preuves, profiler dans le cadre d’enquêtes, estimer le risque de récidive.

### 7. Migration et contrôle des frontières

Évaluation des risques migratoires, traitement des demandes d’asile, détection de documents falsifiés.

### 8. Justice et processus démocratiques

Outils d’aide à la décision pour les juridictions, assistance à l’interprétation du droit, ou influence sur le résultat d’élections.

> « Les systèmes d’IA visés à l’annexe III sont considérés comme étant à haut risque [...] lorsqu’ils présentent un risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques. » — Article 6, Règlement (UE) 2024/1689

## Cas d’exception : quand un système Annexe III n’est-il pas à haut risque ?

L’Article 6, paragraphe 3, introduit une **exception notable**. Un système d’IA listé à l’Annexe III peut échapper à la qualification de haut risque si l’une des situations suivantes est remplie :

- **Tâches procédurales limitées** : l’IA ne réalise qu’une opération simple, comme convertir ou trier des données.
- **Appui à une intervention humaine** : le système ne fait qu’assister, sans autonomie décisionnelle (ex : reformulation de texte, correction orthographique).
- **Détection d’anomalies** : l’IA signale des écarts par rapport à des décisions humaines, sans remplacer la décision finale.
- **Préparation de tâches** : le résultat produit par l’IA est systématiquement revu par un humain.

Attention : cette exception **ne s’applique pas** aux systèmes de profilage traitant des données personnelles pour évaluer des aspects de la vie d’une personne (performance, santé, comportement, etc.). Ceux-ci restent toujours à haut risque. Toute invocation de l’exception doit être **justifiée et documentée avant la mise sur le marché**, et présentée aux autorités sur demande.

## Quelles obligations pour les fournisseurs de systèmes IA à haut risque ?

Les fournisseurs (ceux qui développent ou font développer un système IA à haut risque et le commercialisent sous leur nom) doivent répondre à l’ensemble des exigences des Articles 8 à 21. Avant le 2 août 2026, il faut impérativement :

1. **Mettre en place une gestion des risques (Art. 9)** : processus continu couvrant tout le cycle de vie du système, identification et évaluation des risques, mesures d’atténuation.
2. **Assurer la gouvernance des données (Art. 10)** : les jeux de données d’entraînement, validation et test doivent être pertinents, représentatifs et de qualité, avec des règles spécifiques si des données personnelles sont traitées.
3. **Constituer une documentation technique complète (Art. 11 + Annexe IV)** : description détaillée du système, de ses objectifs, performances, limites et mesures de conformité, à rédiger avant la mise sur le marché et à maintenir à jour.
4. **Prévoir une journalisation automatique (Art. 12)** : enregistrement automatique des événements clés pour garantir la traçabilité.
5. **Informer et garantir la transparence (Art. 13)** : fournir des instructions claires aux déployeurs sur l’utilisation, les capacités et les limites du système.
6. **Permettre un contrôle humain effectif (Art. 14)** : le design du système doit autoriser une supervision humaine pendant l’utilisation.
7. **Garantir exactitude, robustesse et cybersécurité (Art. 15)** : atteindre et documenter des niveaux appropriés, y compris la résistance aux manipulations.
8. **Apposer le marquage CE et rédiger la déclaration UE de conformité (Art. 16, 47, 48)** : à effectuer avant toute mise sur le marché.
9. **Enregistrer le système dans la base de données européenne (Art. 49, 71)** : tous les systèmes Annexe III doivent être inscrits dans la base publique de l’UE.
10. **Mettre en place une surveillance post-commercialisation (Art. 72)** : planifier la détection et la correction des incidents après la mise sur le marché.

La charge documentaire et organisationnelle est lourde : la seule documentation technique d’un système complexe peut nécessiter entre 40 et 80 heures de travail. Des solutions comme [compaia](https://compaia.eu/diagnostic) facilitent la structuration et la génération des dossiers de conformité, avec assistance IA et formulaires guidés conformes à l’Annexe IV.

## Responsabilités des déployeurs : des obligations à ne pas sous-estimer

Le terme « déployeur » désigne toute entité qui exploite un système IA à haut risque dans un contexte professionnel. Leurs obligations, précisées à l’Article 26, sont distinctes de celles des fournisseurs et tout aussi essentielles.

Le déployeur doit notamment :

- **Utiliser le système conformément aux instructions** du fournisseur.
- **Assurer la supervision humaine** par des personnes compétentes et formées.
- **Vérifier la qualité des données d’entrée** utilisées par le système.
- **Surveiller le fonctionnement** et signaler tout incident grave au fournisseur et aux autorités compétentes.
- **Procéder à une analyse d’impact sur les droits fondamentaux (FRIA)** si l’entité est publique ou fournit des services publics essentiels.
- **Conserver les logs** générés automatiquement par le système pendant la durée requise.

Pour les organisations soumises au RGPD, la FRIA complète l’analyse d’impact sur la protection des données (AIPD). La documentation du fournisseur sert alors de base pour réaliser cette analyse d’impact.

## Article 50 : obligations de transparence pour tous les systèmes IA

L’Article 50, applicable dès le 2 août 2026, concerne **une large gamme de systèmes IA**, quel que soit leur niveau de risque. Sont visés quatre cas d’usage :

### Systèmes IA en interaction avec des humains

Tout système conçu pour dialoguer ou interagir avec des personnes physiques (chatbots, assistants vocaux, agents conversationnels) doit **informer clairement l’utilisateur** qu’il s’agit d’une IA, sauf si cela est évident.

### Génération de contenu synthétique

Les fournisseurs d’IA générant du contenu audio, image, vidéo ou texte doivent garantir que ces productions sont **marquées dans un format lisible par machine** et reconnaissables comme artificielles. Un Code de Pratiques sur le marquage est attendu en version finale par l’AI Office pour juin 2026.

### Reconnaissance d’émotions et catégorisation biométrique

Les déployeurs de systèmes de reconnaissance d’émotions ou de catégorisation biométrique doivent **informer les personnes concernées** et respecter le RGPD pour le traitement des données.

### Deepfakes

Les IA produisant des deepfakes (images, audio, vidéo) imposent une **obligation de divulgation** : le contenu doit être clairement signalé comme généré ou modifié artificiellement. Des exceptions existent pour certains usages artistiques, satiriques ou d’enquête pénale.

## Sanctions prévues en cas de non-respect du règlement AI Act

Le régime de sanctions, effectif au 2 août 2026, prévoit :

- **35 millions d’euros ou 7 % du chiffre d’affaires mondial** pour violation des pratiques interdites (Article 5) — déjà applicable depuis février 2025.
- **15 millions d’euros ou 3 % du chiffre d’affaires mondial** pour non-respect des obligations relatives aux systèmes à haut risque (documentation, marquage CE, gestion des risques, etc.).
- **7,5 millions d’euros ou 1 % du chiffre d’affaires mondial** pour manquement aux obligations de transparence.

Des adaptations existent pour les PME et start-ups, mais le risque financier et opérationnel demeure important. Outre les amendes, le non-respect peut entraîner l’interdiction de commercialisation et des conséquences réputationnelles majeures.

## Se préparer à l’échéance : 6 actions à engager avant août 2026

Le temps presse. Voici une feuille de route concrète pour anticiper la conformité :

1. **Recensez tous vos systèmes IA** : identifiez ceux que vous développez, importez ou utilisez, y compris les solutions tierces embarquant de l’IA (scoring, automatisation, recommandation).
2. **Classez chaque système** : évaluez leur niveau de risque selon le règlement. Le [diagnostic gratuit compaia](https://compaia.eu/diagnostic) vous aide à réaliser cette étape rapidement.
3. **Déterminez votre rôle** : fournisseur, déployeur, importateur ou distributeur ? Vos [obligations](https://compaia.eu/obligations) varient selon votre position dans la chaîne de valeur.
4. **Rédigez la documentation technique** : pour les systèmes à haut risque, la conformité à l’Annexe IV est incontournable. Priorisez les usages les plus critiques.
5. **Organisez la gouvernance IA** : nommez les responsables du contrôle humain, formez vos équipes à la [culture IA](https://compaia.eu/glossaire), définissez vos procédures de surveillance et de gestion des incidents.
6. **Préparez l’évaluation de conformité** : selon le type de système, l’évaluation peut être interne ou nécessiter un organisme notifié. Anticipez les délais d’audit.

## Systèmes déjà en service : que prévoit l’Article 111 ?

Pour les systèmes IA à haut risque déjà commercialisés ou utilisés avant le 2 août 2026, la règle est la suivante :

Le règlement ne s’applique que si le système subit **une modification significative de conception** après cette date. Si le système reste inchangé, il n’est pas soumis immédiatement aux nouvelles obligations. Toutefois, les systèmes utilisés par des autorités publiques doivent impérativement se mettre en conformité au plus tard le 2 août 2026, même sans modification.

Pour suivre l’ensemble des échéances et organiser votre mise en conformité, consultez l’[échéancier complet du règlement AI Act](https://compaia.eu/echeancier-ai-act) sur compaia.

## Source officielle
- [Source](https://www.aiacto.eu/fr/blog/ai-act-aout-2026-obligations-systemes-ia)