AI Act calendar 2025 2026 : planifier votre conformité par vague réglementaire

L'AI Act ne s'applique pas en bloc. Le règlement européen, adopté en juillet 2024 et publié au Journal officiel de l'UE, entre en vigueur par vagues successives. Le AI Act calendar 2025 2026 s'articule autour de trois jalons distincts qui dictent vos priorités budgétaires immédiates : février 2025 pour les interdictions, août 2025 pour les modèles d'IA générale, août 2026 pour les systèmes à haut risque. La plupart des directions que j'ai observées en 2024-2025 n'ont pas encore cartographié leur portefeuille IA par classe de risque. Cet article pose les repères pour avancer sans attendre d'avoir tout compris.

Les jalons du AI Act calendar 2025 2026 qui changent concrètement vos obligations

Le calendrier AI Act s'articule autour de trois vagues réglementaires distinctes. Comprendre leur portée exacte est la première décision stratégique à prendre.

Février 2025 — Interdictions immédiates. L'article 5 du règlement prohibe un ensemble de pratiques dès cette date : systèmes de scoring social généralisé par des autorités publiques, manipulation subliminale contournant la volonté des individus, exploitation des vulnérabilités, identification biométrique à distance en temps réel dans les espaces publics (hors exceptions encadrées). Ces interdictions s'appliquent à tous les acteurs — fournisseurs comme déployeurs — sans délai supplémentaire. Si votre organisation utilise des systèmes susceptibles d'entrer dans ces catégories, l'arbitrage doit être documenté avant cette échéance.

Août 2025 — Obligations GPAI (General Purpose AI). Les fournisseurs de modèles d'IA à usage général — les LLM et modèles multimodaux mis sur le marché européen — doivent respecter des exigences de transparence et fournir la documentation technique requise. Les modèles présentant un risque systémique font face à des obligations renforcées : évaluation adversariale, notification des incidents graves, mesures de cybersécurité. Si votre organisation développe ou intègre des modèles fondationnels, le statut GPAI de chaque composant doit être établi à cette date.

Août 2026 — Conformité complète des systèmes à haut risque. C'est la vague la plus structurante pour la majorité des organisations. Les systèmes classés à haut risque — listés aux Annexes II et III du règlement — doivent être conformes aux exigences de gestion des risques, de qualité des données, de traçabilité, de transparence, de supervision humaine et de robustesse. Cela inclut les systèmes d'aide à la décision en RH (recrutement, évaluation), les systèmes d'accès aux services essentiels, les outils de gestion d'infrastructure critique.

En mars 2025, Sophie MARTIN, DPO chez Logisteo (logistique, groupe de taille intermédiaire), réalise que deux systèmes de scoring fournisseur développés en interne entrent dans la catégorie haut risque. L'organisation n'a pas encore de registre IA centralisé. La reconstitution de la documentation prend onze semaines — délai qui aurait pu être évité avec une cartographie initiale effectuée dès 2024.

Ce que font les organisations qui respectent le calendrier AI Act

Les organisations qui avancent sans attendre l'échéance suivante ont en commun une approche séquencée : elles ne cherchent pas à tout résoudre en une fois, mais à produire des preuves de conformité à chaque vague.

Elles ont un registre IA actif. Pas une liste statique — un inventaire versionné, révisé trimestriellement, qui classe chaque système selon les quatre catégories AI Act : interdit, GPAI, haut risque, risque limité ou minimal. Ce registre est la fondation. Un système non inscrit est un système sans propriétaire et sans base légale établie.

Elles ont désigné des responsables par système. La conformité AI Act n'est pas portée uniquement par le DPO ou le service juridique. Chaque système à haut risque doit avoir un responsable métier identifié, capable de valider les décisions de supervision humaine et de répondre à une demande d'audit. Cette désignation est documentée.

Elles ont commencé le dossier d'évidence avant l'audit. Un dossier structuré en trois volets — gouvernance et juridique, risques et conception, technique et sécurité — peut être constitué progressivement. Les organisations en avance l'alimentent au fil des développements, pas en urgence avant une inspection. La Commission européenne a publié des orientations sur la mise en œuvre qui précisent les livrables attendus par catégorie de système.

Elles ont calibré leur budget par vague. La conformité AI Act a un coût réel : audit des systèmes existants, mise en conformité technique (logs, traçabilité, guardrails), formation des rôles critiques, gouvernance. Distribuer ce budget sur trois vagues plutôt qu'en une enveloppe globale réduit la charge de trésorerie et permet de prioriser selon l'exposition réelle.

Erreurs classiques face au AI Act calendar 2025 2026

• Attendre août 2026 pour commencer la cartographie. Les systèmes à haut risque nécessitent souvent six à douze mois de travail de mise en conformité — conception du dossier d'évidence, revue de la qualité des données d'entraînement, mise en place de la supervision humaine prouvée (pas seulement déclarée). Démarrer en 2026 pour une échéance août 2026 est une impasse opérationnelle.
• Traiter l'AI Act comme un sujet exclusivement juridique. La conformité au règlement impose des contraintes techniques précises : traçabilité des décisions (logs OpenTelemetry), guardrails sur les entrées et sorties, surveillance post-marché avec notification des incidents graves sous 72 heures. Ces exigences requièrent l'implication des équipes DSI et DevOps dès la phase de cartographie, pas à la veille de l'audit.
• Confondre conformité RGPD et conformité AI Act. Le RGPD couvre la protection des données personnelles. L'AI Act couvre le cycle de vie des systèmes d'IA — conception, déploiement, surveillance, retrait du marché. Les deux référentiels se superposent (notamment via la DPIA étendue aux systèmes IA), mais leurs exigences documentaires, leurs responsables et leurs calendriers diffèrent. Une organisation conforme RGPD n'est pas automatiquement conforme AI Act.

Par où commencer pour respecter le AI Act calendar 2025 2026

Étape 1 — Cartographier avant de qualifier. Recensez tous les systèmes IA en production ou en développement dans votre organisation. Incluez les outils SaaS avec composant IA (recrutement, scoring crédit, aide à la décision médicale). Ne cherchez pas à les classifier immédiatement — l'inventaire complet prime. Un système non recensé est un risque invisible.

Étape 2 — Qualifier le risque système par système. Appliquez la grille de classification AI Act à chaque système recensé : est-il interdit ? Entre-t-il dans les annexes II ou III (haut risque) ? Utilise-t-il un modèle GPAI ? Cette qualification détermine vos obligations par vague et votre exposition budgétaire réelle.

Étape 3 — Définir un responsable et un budget par vague. Pour chaque système à haut risque ou GPAI identifié, désignez un responsable métier, estimez la charge de mise en conformité, et inscrivez les actions dans votre planning par vague réglementaire. Le cadre de l'OCDE sur les principes IA, aligné avec l'AI Act, fournit des repères complémentaires pour cette qualification.

Le Chapitre 14 du livre Réussir l'IA en entreprise 2026 traite précisément cette séquence de planification : comment évaluer l'exposition de votre portefeuille IA par classe de risque, comment calibrer un budget de mise en conformité par vague plutôt qu'en enveloppe globale, et comment constituer progressivement les preuves documentaires attendues par les autorités de contrôle. Ce chapitre s'adresse aux DG, DPO et DSI qui doivent arbitrer sans avoir l'ensemble du cadre juridique en tête. Vous pouvez lire l'article sur la gouvernance IA en entreprise pour situer le contexte éditorial.