EU AI Act : ce que les entreprises doivent préparer avant août 2026

Les obligations « haut risque » du règlement européen sur l’intelligence artificielle entrent en application en août 2026. Transparence des deepfakes, sandboxes réglementaires, conformité technique : voici ce qui change concrètement pour les entreprises qui déploient de l’IA en Europe.

Le calendrier se resserre

Le EU AI Act, adopté en 2024, déploie ses obligations par vagues successives. La première vague, effective depuis février 2025, a interdit les systèmes d’IA jugés à « risque inacceptable » : notation sociale, manipulation subliminale, identification biométrique en temps réel dans l’espace public (sauf exceptions sécuritaires). La deuxième vague arrive en août 2026, et elle est autrement plus large.

Les articles 16 à 26, qui définissent les obligations applicables aux systèmes d’IA « haut risque », deviennent contraignants, détaille Kennedys Law. Ces systèmes incluent l’IA utilisée dans le recrutement, l’évaluation de crédit, la justice, la gestion des frontières, les infrastructures critiques et l’éducation.

L’article 50, qui impose des obligations de transparence pour les contenus générés par IA (deepfakes inclus), est également applicable, selon LegalNodes.

Ce que les articles 16 à 26 imposent concrètement

Pour les fournisseurs de systèmes d’IA classés « haut risque », la liste des obligations est dense. Elle couvre l’ensemble du cycle de vie du produit, de la conception au déploiement.

• Système de gestion des risques : mise en place d’un processus continu d’identification, d’évaluation et d’atténuation des risques liés au système d’IA.
• Gouvernance des données : les jeux de données d’entraînement doivent être pertinents, représentatifs et exempts de biais dans la mesure du possible. Leur documentation est obligatoire.
• Documentation technique : un dossier technique complet doit démontrer la conformité du système avant sa mise sur le marché.
• Journalisation automatique : les systèmes doivent enregistrer automatiquement les événements (logs) pour permettre la traçabilité des décisions.
• Transparence : les utilisateurs doivent être informés qu’ils interagissent avec un système d’IA et comprendre ses capacités et limites.
• Contrôle humain : un mécanisme de supervision humaine doit être intégré, permettant d’intervenir ou d’annuler les décisions du système.
• Précision et robustesse : le système doit atteindre un niveau de performance approprié et résister aux tentatives de manipulation.

Pour les déployeurs (les entreprises qui utilisent ces systèmes sans les avoir développés), les obligations portent principalement sur la surveillance du fonctionnement, le signalement d’incidents et l’information des personnes affectées.

Deepfakes : l’article 50 entre en jeu

L’article 50 du EU AI Act cible directement la désinformation visuelle et sonore. Toute personne ou organisation qui génère un contenu synthétique (image, vidéo, audio) doit le marquer comme tel de manière détectable par des machines. Les deepfakes doivent être étiquetés de façon claire lorsqu’ils sont diffusés publiquement.

Cette obligation s’applique aux fournisseurs de systèmes d’IA capables de générer du contenu synthétique. Concrètement, les plateformes de génération d’images (Midjourney, DALL-E, Stable Diffusion) et de synthèse vocale devront intégrer des métadonnées de provenance dans chaque contenu produit, selon l’analyse de LegalNodes.

Pour les médias et les créateurs de contenu, la règle est simple : si un contenu a été généré ou significativement modifié par IA, il faut le signaler. L’absence de marquage expose à des sanctions.

Les sandboxes réglementaires : un outil pour se préparer

Le EU AI Act prévoit que chaque État membre doit mettre en place au moins une sandbox réglementaire IA nationale. Ces environnements contrôlés permettent aux entreprises de tester leurs systèmes d’IA en conditions réelles, sous la supervision du régulateur, avant la mise sur le marché.

Un rapport du Parlement européen publié le 1er avril 2026 dresse un état des lieux contrasté. Plusieurs pays ont lancé leurs sandboxes (Espagne, Pays-Bas, France), mais les modalités pratiques varient considérablement d’un État à l’autre. Les critères d’admission, la durée des tests et le cadre juridique applicable pendant la phase de sandbox ne sont pas harmonisés.

Le rapport pointe aussi des défis d’implémentation : manque de ressources humaines dans les autorités de contrôle, incertitude sur la protection des données personnelles utilisées pendant les tests, et difficulté à évaluer des systèmes d’IA dont le comportement évolue dans le temps.

Pour les PME et startups, les sandboxes représentent toutefois une opportunité. Elles offrent un accès direct au régulateur et une certaine sécurité juridique pendant la phase de développement.

Ce que les entreprises doivent faire maintenant

Avec moins de cinq mois avant l’échéance d’août 2026, la liste des actions prioritaires est claire.

• Classifier ses systèmes d’IA : identifier lesquels tombent dans la catégorie « haut risque » selon l’annexe III du règlement. Un outil de recrutement basé sur l’IA ? Haut risque. Un chatbot de service client ? Probablement pas, sauf s’il prend des décisions affectant les droits des personnes.
• Auditer la documentation technique : vérifier que chaque système haut risque dispose d’un dossier conforme aux exigences des articles 16 à 26.
• Mettre en place la journalisation : implémenter les logs automatiques pour la traçabilité des décisions.
• Former les équipes : les opérateurs humains chargés de la supervision des systèmes d’IA doivent comprendre les capacités et limites de ces outils.
• Vérifier le marquage des contenus synthétiques : si l’entreprise utilise des outils de génération d’images, vidéos ou audio, s’assurer que les métadonnées de provenance sont intégrées.
• Contacter la sandbox nationale : pour les systèmes innovants dont la classification est incertaine, les sandboxes réglementaires offrent un cadre de test sécurisé.

Questions fréquentes

Mon entreprise utilise ChatGPT en interne. Est-elle concernée par le haut risque ?

Pas nécessairement. L’utilisation d’un LLM généraliste pour la rédaction ou la recherche d’information n’est pas classée haut risque. En revanche, si le LLM est intégré dans un processus de décision affectant des personnes (tri de CV, évaluation de dossiers), le système complet peut entrer dans la catégorie haut risque.

Quelles sont les sanctions en cas de non-conformité ?

Le EU AI Act prévoit des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les violations les plus graves (systèmes interdits). Pour les manquements aux obligations haut risque, l’amende maximale est de 15 millions d’euros ou 3 % du chiffre d’affaires.

Les sandboxes sont-elles accessibles aux startups et PME ?

Oui, le règlement prévoit un accès prioritaire pour les PME et startups. Les modalités pratiques varient selon les États membres. En France, la CNIL et le Comité national pilote pour l’éthique du numérique participent à l’encadrement de la sandbox nationale.

Sources : Parlement européen, 1er avril 2026 · Kennedys Law, 2026 · LegalNodes, 2026

Votre entreprise est-elle prête pour les obligations haut risque du EU AI Act en août 2026 ?