En 2026, les entreprises utilisant l’IA générative devront respecter de nouvelles obligations : transparence pour les chatbots et contenus synthétiques dès le 2 novembre 2026, conformité GPAI depuis août 2025, et formation obligatoire des équipes à l’IA. Les sanctions peuvent atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial.
En bref
- 2 novembre 2026 : obligation de transparence pour chatbots et contenus IA (Art. 50).
- 35 millions d'euros ou 7% du CA mondial : sanction maximale pour pratiques interdites.
- Depuis février 2025, la maitrise de l’IA est exigée pour tout personnel concerné (Art. 4).
- Trois régimes d’obligations : risque minimal, haut risque, GPAI selon l’AI Act.
Le règlement AI Act encadre strictement les activités des entreprises impliquées dans la création ou l’utilisation de systèmes d’IA générative. Avec l’entrée en vigueur des obligations GPAI dès août 2025 et les règles de transparence obligatoires à compter de novembre 2026, les contraintes réglementaires se renforcent progressivement. Voici les points essentiels à connaître.
2026 : l'année charnière pour la conformité IA des entreprises
L’AI Act est désormais une réalité concrète pour toutes les entreprises concernées. Depuis août 2025, plusieurs obligations majeures sont déjà en vigueur, et l’échéance de novembre 2026 s’annonce comme une étape déterminante.
Le règlement européen sur l’intelligence artificielle (Règlement UE 2024/1689), effectif depuis le 1er août 2024, impose un calendrier de mise en conformité réparti sur quatre ans. Les sociétés qui développent, déploient ou utilisent des systèmes d’IA générative doivent anticiper trois grandes phases réglementaires entre 2025 et 2026. Les pratiques interdites sont proscrites depuis le 2 février 2025. Les exigences spécifiques aux modèles d’IA à usage général (GPAI) s’appliquent à partir du 2 août 2025. Enfin, l’obligation de transparence vis-à-vis des utilisateurs finaux prend effet le 2 novembre 2026.
Négliger ce calendrier expose à des risques financiers importants et à des enjeux d’image accrus. Les autorités nationales de contrôle, telles que la CNIL en France, sont en cours de désignation et pourront prochainement exercer leur pouvoir d’audit et de supervision une fois leur mandat officiellement attribué.
Fournisseur ou déployeur : comprendre la différence fondamentale
Le AI Act répartit les obligations et responsabilités selon deux rôles centraux. Déterminer votre statut est essentiel pour aborder la conformité.
Le fournisseur
Le fournisseur désigne toute organisation qui conçoit un système d’IA et le propose sur le marché, que ce soit à des fins commerciales ou non lucratives. Par exemple, si votre société exploite l’API d’un modèle de langage avancé pour élaborer un service ou un produit à destination d’autres utilisateurs, vous relevez de cette catégorie. À ce titre, il vous incombe de préparer une **documentation technique**, de procéder à l’évaluation de la conformité de votre solution et d’apposer le marquage CE si votre système est considéré comme présentant un haut niveau de risque.
Le déployeur
Le déployeur correspond à toute entité qui, sans avoir développé le système d’IA, l’utilise dans un cadre professionnel. Si vous intégrez dans votre activité un logiciel SaaS utilisant de l’IA générative – pour la rédaction, la transcription de réunions ou l’assistance clientèle – votre statut est celui de déployeur. Les obligations qui en découlent sont plus restreintes, mais demeurent incontournables : il s’agit notamment d’informer les utilisateurs, de garantir une supervision humaine sur les décisions majeures, de suivre les recommandations du fournisseur et d’assurer la formation adéquate de vos équipes.
Utiliser un dispositif d’IA pour prendre des décisions relatives aux employés sans les avertir au préalable de la présence et du fonctionnement du système constitue une double infraction, à la fois au AI Act et au RGPD.
GPAI : obligations en vigueur depuis août 2025
Les articles 51 à 56 du AI Act instaurent un cadre dédié aux modèles d’intelligence artificielle à usage général (GPAI). Ce dispositif concerne tout fournisseur mettant à disposition un modèle fondamental, qu’il s’agisse d’un grand modèle de langage, d’un générateur d’images ou d’un modèle multimodal.
À compter de 2025, les fournisseurs de GPAI doivent satisfaire à quatre exigences principales. Ils sont tenus de préparer et d’actualiser une **documentation technique** détaillant l’architecture du modèle, les jeux de données utilisés pour l’entraînement ainsi que ses fonctionnalités. Ils doivent également s’assurer du respect de la **réglementation sur le droit d’auteur** durant la phase d’entraînement, en publiant une politique de conformité adaptée. Un **résumé des données d’entraînement** doit être rendu public. Enfin, il leur incombe de transmettre aux utilisateurs en aval toutes les informations nécessaires pour garantir leur conformité.
GPAI à risque systémique
Lorsqu’un modèle GPAI a été entraîné avec une puissance de calcul supérieure à 10^25 FLOPs, il est classé comme présentant un risque systémique. Des exigences supplémentaires s’appliquent à ces modèles : réalisation d’évaluations adversariales selon des protocoles reconnus, signalement obligatoire des incidents majeurs auprès de l’AI Office européen, et déploiement de mesures de cybersécurité adaptées au niveau de risque identifié.
Article 50 : la transparence obligatoire à compter du 2 novembre 2026
L’Article 50 introduit une exigence de transparence qui s’appliquera massivement aux entreprises dès la fin de l’année 2026. Cette mesure impose de fournir une information explicite aux utilisateurs lorsqu’ils interagissent avec des systèmes d’intelligence artificielle ou consomment des contenus produits par une IA.
Chatbots et agents conversationnels
Toute organisation mettant en place un système d’IA conçu pour dialoguer directement avec des personnes physiques devra, conformément à l’article 50, signaler en temps réel à l’utilisateur qu’il échange avec une IA. Cette obligation ne s’applique pas si le caractère artificiel de l’interaction est manifeste dans le contexte d’utilisation. Sont concernés, par exemple, les chatbots utilisés pour le service client, les assistants virtuels intégrés dans des logiciels ou applications, ainsi que les agents IA mis à disposition du public.
Contenus générés par IA et deepfakes
Les fournisseurs de systèmes capables de produire des contenus synthétiques (images, sons, vidéos, textes) sont tenus d’apposer un marquage lisible par machine sur ces créations. Par ailleurs, toute entité diffusant de tels contenus doit clairement indiquer qu’ils ont été générés par une intelligence artificielle. Il existe toutefois des exceptions encadrées, notamment pour la _satire_, la _parodie_ ou certains usages en lien avec la sécurité nationale.
L’ensemble de ces obligations de transparence issues de l’Article 50 entreront en vigueur le 2 novembre 2026.
Systèmes d’IA à haut risque : comment anticiper l’échéance de 2027 ?
L’Annexe III du AI Act dresse la liste des secteurs où un système d’intelligence artificielle est automatiquement considéré comme présentant un haut risque. La date du 2 décembre 2027 marque l’échéance majeure pour la conformité de ces systèmes, mais il est recommandé aux fournisseurs d’anticiper dès aujourd’hui pour se conformer à temps.
Les domaines visés englobent notamment la **gestion des ressources humaines** (comme le tri de candidatures, l’analyse des performances ou les décisions de promotion), l’**éducation**, l’accès à des **services essentiels** (tels que le crédit, les assurances ou les aides sociales), ainsi que l’administration de la **justice** et les processus démocratiques. Si votre solution d’IA générative intervient dans l’un de ces secteurs, elle peut être considérée comme à haut risque, quel que soit son fonctionnement technique.
Le classement retenu par le AI Act repose sur l’utilisation effective du système, plutôt que sur sa technologie. Par exemple, un même modèle de langage utilisé pour rédiger une newsletter reste à faible risque, mais s’il sert à évaluer des candidats, il devient à haut risque. C’est donc l’**application réelle** qui détermine le niveau de risque, et non la technologie employée.
Six étapes clés pour se conformer avant novembre 2026
Peu importe votre rôle au sein de la chaîne de valeur de l'intelligence artificielle, voici les démarches essentielles à engager pour garantir votre conformité en vue des prochaines échéances réglementaires.
1. **Recenser vos systèmes d’IA** : établissez un inventaire exhaustif de toutes les solutions d’IA en usage ou déployées, en précisant leur catégorie de risque (risque minimal, haut risque, GPAI).
2. **Déterminer votre statut juridique** : identifiez, pour chaque système, si votre organisation agit en tant que fournisseur ou déployeur. Si vous proposez un service basé sur une API externe, votre responsabilité de fournisseur engage des obligations accrues.
3. **Contrôler l’absence de pratiques interdites** : assurez-vous qu’aucun dispositif en exploitation ne recourt à la manipulation subliminale, à l’exploitation de vulnérabilités ou au scoring social généralisé, et ce, dès février 2025.
4. **Anticiper les exigences de transparence** : préparez les informations à communiquer aux utilisateurs pour les chatbots ou systèmes génératifs, conformément aux attentes de transparence à mettre en œuvre avant le 2 novembre 2026.
5. **Former vos équipes (Art. 4)** : la formation à la maîtrise des systèmes d’IA doit être effective depuis le 2 février 2025. Une traçabilité documentaire de la formation, adaptée aux outils réellement employés, est le minimum requis.
6. **Assurer la traçabilité documentaire** : consignez les évaluations de conformité, les mesures de contrôle humain et les incidents dans un registre dédié. Ce document sera requis en cas de contrôle par une autorité compétente.
Notre outil de diagnostic gratuit vous aide à déterminer, en moins de 3 minutes, les obligations spécifiques à votre structure selon votre secteur et vos usages de l’IA.
Panorama des textes clés à maîtriser
**AI Act – Art. 4**
Depuis le 2 février 2025, les opérateurs sont tenus d’assurer une gestion effective des systèmes d’intelligence artificielle sous leur responsabilité.
**AI Act – Art. 5**
À compter du 2 février 2025, certaines pratiques d’IA sont formellement interdites dans l’Union européenne, selon une liste strictement définie.
**AI Act – Art. 50**
Les exigences de transparence relatives aux chatbots et aux outils générant des contenus synthétiques devront être respectées dès le 2 novembre 2026.
**AI Act – Art. 51 à 56**
Les modèles GPAI font l’objet d’un régime particulier incluant des obligations de documentation, la prise en compte du droit d’auteur, la synthèse des données utilisées et des mesures spécifiques pour les modèles présentant un risque systémique.
**AI Act – Annexe III**
Cette annexe énumère les secteurs et usages considérés comme à haut risque, avec une échéance majeure fixée à décembre 2027.
**RGPD – Art. 22**
Le droit de ne pas subir une décision strictement automatisée, ainsi que le droit à une explication, s’appliquent parallèlement au cadre du AI Act.
Votre organisation est-elle alignée avec les obligations IA pour 2026 ?
En seulement 3 minutes, évaluez les exigences applicables à votre structure : qualification fournisseur ou déployeur, identification des systèmes concernés et priorisation des échéances. Diagnostic offert, aucune inscription requise.
Foire aux questions sur les obligations IA en 2026
Retrouvez ici des réponses détaillées aux interrogations courantes concernant les exigences du règlement AI Act pour les entreprises en 2026.
Lorsqu’une entreprise exploite une solution d’IA développée par un tiers dans le cadre professionnel, elle est considérée comme déployeur selon l’AI Act. À ce titre, elle doit appliquer les consignes du fournisseur, communiquer aux utilisateurs finaux l’utilisation de l’IA, garantir l’intervention humaine sur toute décision majeure et dispenser une formation adaptée à ses équipes (Art. 4, applicable depuis février 2025). Si l’entreprise conçoit un produit à partir d’une API tierce, elle endosse alors le rôle de fournisseur, ce qui étend sensiblement ses responsabilités.
Le fournisseur désigne l’organisation qui conçoit et commercialise un système d’IA, tandis que le déployeur l’utilise sans l’avoir développé. Le fournisseur doit assurer la constitution de la documentation technique, le marquage CE et l’évaluation de conformité. De son côté, le déployeur est tenu de suivre les instructions du fournisseur, d’informer les utilisateurs et de garantir un contrôle humain sur toute décision automatisée ayant un impact sur une personne physique.
L’obligation d’indiquer clairement l’utilisation d’un chatbot s’applique si celui-ci interagit avec des personnes physiques et que cette interaction ne saute pas immédiatement aux yeux. Cette exigence entrera en vigueur le 2 novembre 2026. Un chatbot interne, dont la nature IA est évidente pour tous les utilisateurs, peut bénéficier d’une exception contextuelle. En revanche, un assistant conversationnel accessible à la clientèle ne peut se prévaloir de cette exception et devra afficher une information explicite.
Le défaut de respect des règles de transparence fixées par l’article 50 expose à une sanction pouvant atteindre 15 millions d'euros ou 3% du chiffre d’affaires mondial annuel, selon le montant le plus important. Les infractions aux interdictions prévues à l’Art. 5 sont plus sévèrement punies : jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires mondial.
Les fournisseurs de modèles GPAI open source bénéficient d’allègements sur certaines obligations documentaires, à condition de rendre publics les paramètres du modèle. Toutefois, dès lors que le modèle présente un risque systémique (capacité d’entraînement supérieure à 10^25 FLOPs), ces dérogations ne s’appliquent plus : les obligations renforcées s’étendent également aux modèles open source.
La qualification de risque repose sur l’usage du système et non sur le type de modèle. Un outil d’IA générative est classé à haut risque s’il intervient dans un des domaines de l’Annexe III, tels que ressources humaines, éducation, crédit, assurance ou justice. Par exemple, s’il sert à présélectionner des candidats, à évaluer des demandes de crédit ou à prendre des décisions influant sur l’accès à des droits, il sera considéré comme à haut risque, quel que soit le modèle d’IA sous-jacent.
Oui, l’article 4 est entré en vigueur le 2 février 2025. Il impose aux fournisseurs et déployeurs de veiller à la compétence de leurs collaborateurs intervenant sur des systèmes d’IA. Les autorités attendent au minimum une formation documentée, adaptée aux technologies utilisées.
Jeremy Pierre
Fondateur compaia.eu . Expert conformité AI Act
Accompagne fournisseurs et déployeurs d’IA dans la mise en conformité opérationnelle. Auteur de guides pratiques sur le règlement AI Act et le RGPD appliqué à l’IA générative.