AI Act : ce que les entreprises françaises doivent faire avant le 2 août 2026

Le 2 août 2026, l'AI Act entre en pleine applicabilité pour les systèmes d'IA à haut risque — les entreprises qui ne sont pas prêtes s'exposent à des sanctions pouvant atteindre 30 millions d'euros ou 6 % de leur chiffre d'affaires mondial. Il ne s'agit plus d'une échéance lointaine : à dix jours de la date butoir, de nombreuses organisations françaises sont encore en cours de mise en conformité. Cet article fait le point sur les obligations concrètes, les sanctions encourues et le rôle des autorités de supervision nationales — ANSSI et CNIL — pour vous aider à prioriser les actions restantes avant la deadline.

Contexte juridique

L'AI Act, entré en vigueur le 1er août 2024, impose ses obligations les plus contraignantes aux systèmes à haut risque à compter du 2 août 2026.

Le Règlement (UE) 2024/1689 du Parlement européen et du Conseil, dit « AI Act », a été publié au Journal officiel de l'Union européenne le 12 juillet 2024. Il est entré en vigueur le 1er août 2024, mais son application est échelonnée selon une logique de progressivité :

• 6 mois après l'entrée en vigueur (février 2025) : interdiction des pratiques d'IA inacceptables (manipulation subliminale, notation sociale généralisée, etc.).
• 12 mois (août 2025) : application aux systèmes d'IA à usage général (GPAI), dont les grands modèles de langage.
• 24 mois (2 août 2026) : applicabilité pleine et entière aux systèmes d'IA à haut risque listés aux Annexes III et IV du règlement, ainsi qu'entrée en vigueur des règles de transparence.
• 36 mois (août 2027) : extension aux systèmes d'IA embarqués dans des produits déjà soumis à législation sectorielle (dispositifs médicaux, machines, etc.).

En France, la loi n° 2025-391 du 30 avril 2025 portant diverses dispositions d'adaptation au droit de l'Union européenne a transposé les aspects nécessitant une législation nationale, notamment la désignation des autorités compétentes et les procédures de sanction. L'ANSSI et la CNIL ont été désignées comme autorités nationales de surveillance, selon leurs domaines de compétence respectifs.

Analyse approfondie

Les systèmes d'IA à haut risque couvrent des dizaines de secteurs : RH, crédit, santé, justice, éducation — les obligations sont strictes et immédiates.

Qu'est-ce qu'un système d'IA à haut risque ?

Le règlement distingue deux catégories de systèmes à haut risque :

1. Annexe II : IA intégrées dans des produits soumis à législation harmonisée de l'UE (machines, jouets, dispositifs médicaux, véhicules, etc.).
2. Annexe III : IA utilisées dans des domaines sensibles, dont notamment :
3. Biométrie et reconnaissance faciale
4. Infrastructure critique (eau, énergie, transports)
5. Éducation et formation professionnelle
6. Emploi et gestion des ressources humaines (tri de CV, évaluation de performance, outils de surveillance des salariés)
7. Accès aux services essentiels (crédit bancaire, assurance, aides sociales)
8. Application de la loi et justice pénale
9. Gestion des migrations et contrôle aux frontières

Le point sur les RH est particulièrement important pour les entreprises françaises : tout outil d'IA utilisé pour trier des candidatures, noter des entretiens ou décider de promotions est potentiellement classé à haut risque.

Les obligations concrètes avant le 2 août 2026

Les entreprises agissant comme fournisseurs (qui développent ou commercialisent le système) ou comme déployeurs (qui utilisent un système fourni par un tiers dans un contexte professionnel) ont des obligations distinctes mais cumulatives.

Pour les fournisseurs, les obligations principales incluent :

• La mise en place d'un système de gestion des risques documenté tout au long du cycle de vie du système (Article 9 AI Act).
• La rédaction d'une documentation technique conforme à l'Annexe IV.
• Des tests de robustesse, d'exactitude et de cybersécurité.
• L'enregistrement obligatoire dans la base de données UE des systèmes d'IA à haut risque (gérée par la Commission européenne).
• L'apposition du marquage CE pour les systèmes relevant de l'Annexe II.

Pour les déployeurs — et c'est là que beaucoup d'entreprises françaises sont prises de court —, l'Article 26 impose notamment :

• De s'assurer que le système est utilisé conformément à la notice d'utilisation fournie par le fournisseur.
• De désigner une personne responsable de la supervision humaine.
• De réaliser une évaluation d'impact sur les droits fondamentaux avant tout déploiement (Article 27), en coordination avec leur DPO si des données personnelles sont en jeu.
• De notifier les incidents graves à l'autorité nationale compétente dans un délai de 15 jours.

Les bacs à sable réglementaires

L'AI Act prévoit la création de bacs à sable réglementaires (regulatory sandboxes), espaces contrôlés permettant aux entreprises innovantes de tester leurs systèmes d'IA sous supervision des autorités, avant mise sur le marché. En France, la CNIL a lancé son premier bac à sable IA dès 2023 et en a déployé une version élargie en 2025 en anticipation de l'AI Act. Ces dispositifs sont accessibles sur candidature et offrent une sécurité juridique temporaire précieuse pour les startups et PME.

Le rôle de l'ANSSI et de la CNIL

La CNIL est désignée autorité compétente pour tout ce qui touche aux systèmes d'IA traitant des données personnelles — ce qui couvre la quasi-totalité des cas pratiques. Elle hérite des pouvoirs d'enquête, d'audit et de sanction, en coordination avec ses homologues européens via le Bureau européen de l'IA (AEIA).

L'ANSSI intervient pour les systèmes touchant à la cybersécurité, aux infrastructures critiques et aux systèmes d'information sensibles. Les entreprises opérant dans ces secteurs doivent donc s'attendre à des contrôles croisés.

Implications pratiques

Les sanctions sont dissuasives : jusqu'à 30 M€ ou 6 % du CA mondial pour les violations les plus graves — les PME ne sont pas épargnées.

Le régime des sanctions

L'AI Act instaure trois niveaux de sanctions administratives :

• Pratiques interdites (IA à risque inacceptable) : jusqu'à 35 millions d'euros ou 7 % du CA mondial.
• Violations des obligations relatives aux systèmes à haut risque : jusqu'à 15 millions d'euros ou 3 % du CA mondial.
• Fourniture d'informations incorrectes aux autorités : jusqu'à 7,5 millions d'euros ou 1,5 % du CA mondial.

Pour les PME et startups, les autorités nationales peuvent moduler les sanctions à la baisse, en tenant compte de la taille de l'entreprise et de la bonne foi dans la démarche de conformité — mais cette modulation n'est pas automatique.

Deux perspectives sur la mise en conformité

Du côté des entreprises utilisatrices : la charge est réelle, notamment pour les ETI et PME qui n'ont pas de département juridique dédié à l'IA. Selon une enquête de Bpifrance publiée en mars 2026, 42 % des PME françaises utilisant des outils d'IA dans leurs processus RH ignoraient encore leur statut de « déployeur » au sens du règlement. Le principal risque est celui de la non-conformité par méconnaissance, aggravé par des fournisseurs de solutions SaaS qui tardent à fournir la documentation requise.

Du côté des autorités : la priorité pour les premiers mois sera vraisemblablement l'accompagnement et la pédagogie plutôt que la répression systématique — une posture cohérente avec celle adoptée lors des premières années du RGPD. La CNIL a d'ailleurs publié en juin 2026 un guide pratique à destination des déployeurs, disponible sur son site officiel. Cela ne signifie pas pour autant que les contrôles ne seront pas effectifs, surtout en cas de plainte ou d'incident.

Points clés à retenir

• Le 2 août 2026 marque la pleine applicabilité de l'AI Act aux systèmes d'IA à haut risque — toute entreprise qui déploie de l'IA dans les RH, le crédit, la santé ou la justice est concernée.
• Les déployeurs (entreprises qui utilisent une IA développée par un tiers) ont des obligations propres, distinctes de celles des fournisseurs : surveillance humaine, logs, évaluation d'impact sur les droits fondamentaux.
• La CNIL et l'ANSSI sont les deux autorités nationales de supervision : la première pour les données personnelles, la seconde pour la cybersécurité et les infrastructures critiques.
• Les sanctions peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour les violations relatives aux systèmes à haut risque.
• L'évaluation d'impact sur les droits fondamentaux (Article 27) est une obligation propre aux déployeurs, souvent méconnue et distincte de l'analyse d'impact RGPD (AIPD).
• Les bacs à sable réglementaires offrent une alternative sécurisée pour les entreprises qui souhaitent tester des systèmes innovants avant mise sur le marché officielle.
• La documentation du fournisseur doit être conservée pendant 10 ans après la mise sur le marché du système d'IA (Article 18 AI Act).

Questions fréquentes

Mon entreprise utilise un outil RH avec IA pour trier les CV : est-elle concernée par l'AI Act avant le 2 août ?

Oui, très probablement. Les systèmes d'IA utilisés pour trier, classer ou évaluer des candidats figurent explicitement à l'Annexe III de l'AI Act comme systèmes à haut risque. Votre entreprise est alors « déployeur » au sens du règlement et doit, avant le 2 août 2026, s'assurer de disposer des logs de fonctionnement, d'une surveillance humaine effective et d'avoir réalisé une évaluation d'impact sur les droits fondamentaux.

Quelle est la différence entre fournisseur et déployeur dans l'AI Act ?

Le fournisseur est celui qui développe ou met sur le marché un système d'IA (éditeur de logiciel, entreprise tech). Le déployeur est celui qui utilise ce système dans un contexte professionnel pour ses propres besoins ou ceux de ses clients. Une même entreprise peut être les deux à la fois si elle développe et utilise sa propre IA. Les obligations diffèrent : le fournisseur porte la responsabilité de la conception et de la documentation technique, le déployeur celle de l'usage conforme et de la surveillance.

L'AI Act s'applique-t-il aux PME françaises ou seulement aux grandes entreprises ?

L'AI Act s'applique à toutes les entreprises, quelle que soit leur taille, dès lors qu'elles fournissent ou déploient des systèmes d'IA à haut risque sur le marché européen. Des mesures d'accompagnement spécifiques aux PME sont prévues (accès prioritaire aux bacs à sable, modulation possible des sanctions), mais l'obligation de conformité est universelle.

Quelles sont les sanctions encourues en cas de non-conformité à l'AI Act ?

Les violations des obligations relatives aux systèmes d'IA à haut risque sont punies d'une amende administrative pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. L'utilisation de pratiques d'IA totalement interdites (comme la notation sociale) est sanctionnée jusqu'à 35 millions d'euros ou 7 % du CA mondial.

Qu'est-ce qu'une évaluation d'impact sur les droits fondamentaux et comment la réaliser ?

C'est une obligation propre aux déployeurs de systèmes d'IA à haut risque, prévue à l'Article 27 de l'AI Act. Elle consiste à analyser, avant déploiement, les risques que le système fait peser sur les droits fondamentaux des personnes affectées (non-discrimination, vie privée, accès aux services). Elle doit être documentée, transmise à l'autorité compétente sur demande, et, si des données personnelles sont traitées, coordonnée avec l'AIPD prévue par le RGPD. La CNIL a publié un guide méthodologique en juin 2026 pour accompagner les entreprises.

Quel est le rôle du Bureau européen de l'IA (AEIA) par rapport à la CNIL ?

Le Bureau européen de l'IA (ou AI Office), créé au sein de la Commission européenne, coordonne l'application de l'AI Act au niveau européen et supervise directement les fournisseurs de modèles d'IA à usage général (GPAI). La CNIL intervient comme autorité nationale compétente en France pour les questions relatives aux données personnelles, avec des pouvoirs d'enquête et de sanction autonomes sur son territoire. En cas de litige transfrontalier, un mécanisme de cohérence similaire à celui du RGPD s'applique.

À quelle date les règles de transparence de l'AI Act deviennent-elles obligatoires ?

Les règles de transparence — notamment l'obligation d'informer les utilisateurs qu'ils interagissent avec une IA (chatbots, deepfakes, etc.) — entrent en vigueur en août 2026, simultanément à la pleine applicabilité des règles sur les systèmes à haut risque. C'est une obligation qui touche un très grand nombre d'entreprises utilisant des agents conversationnels ou des générateurs de contenu synthétique.

Comment savoir si mon système d'IA est réellement « à haut risque » au sens de l'AI Act ?

La première étape est de vérifier si votre système figure dans les Annexes II ou III du règlement. Si c'est le cas, la présomption de haut risque s'applique — sauf si l'entreprise peut démontrer que le système ne présente pas de risque significatif pour la santé, la sécurité ou les droits fondamentaux (un mécanisme d'exemption prévu à l'Article 6§3). En cas de doute, une consultation juridique spécialisée ou un recours au bac à sable réglementaire de la CNIL est fortement recommandé avant la date du 2 août.

Sources : Règlement (UE) 2024/1689 (AI Act), service-public.fr, loi n° 2025-391 du 30 avril 2025, Commission européenne — Bâtir l'avenir numérique de l'Europe, Bpifrance Enquête PME & IA mars 2026, CNIL Guide déployeurs juin 2026.