Quand dois-je me conformer à l’AI Act ? Calendrier et obligations par phase

L’AI Act calendrier obligations structure la conformité en trois vagues distinctes, selon le type de système et le rôle de l’organisation. La majorité des directions que j’ai accompagnées en 2024-2025 ignoraient encore, six mois avant la première échéance, quelles obligations leur incombaient précisément selon leur statut de fournisseur ou de déployeur. Cet article pose les repères pour situer votre organisation sans attendre.

Qui est soumis à quelles obligations AI Act et à partir de quand ?

L’AI Act ne traite pas tous les acteurs de façon identique. Il distingue trois rôles : le fournisseur (celui qui développe ou met sur le marché un système IA), le déployeur (l’entreprise qui utilise un système IA dans un contexte professionnel), et l’utilisateur final (la personne physique en contact avec le système). Cette distinction conditionne directement vos obligations.

Les trois dates structurantes sont les suivantes :

• 2 février 2025 : interdiction des pratiques à risque inacceptable — systèmes de notation sociale généralisée, manipulation psychologique, exploitation des vulnérabilités, et certaines formes d’identification biométrique à distance dans l’espace public. Ces interdictions s’appliquent à tous les acteurs, fournisseurs comme déployeurs.
• 2 août 2025 : entrée en vigueur des obligations pour les modèles d’IA à usage général (GPAI). Les fournisseurs de ces modèles — dont les grands LLM — doivent produire une documentation technique, respecter le droit d’auteur dans leurs données d’entraînement, et publier un résumé de leurs données d’entraînement. Pour les modèles à fort impact systémique (plus de 10²⁵ FLOPs), des obligations d’évaluation de risques et de déclaration d’incidents s’ajoutent.
• 2 août 2026 : obligations complètes pour les systèmes à haut risque. Les fournisseurs doivent implémenter un système de gestion de la qualité, constituer un dossier technique complet, enregistrer leur système dans la base de données EU AI Act, et se conformer aux exigences de robustesse, transparence, et supervision humaine. Les déployeurs de ces systèmes doivent mettre en place une surveillance post-déploiement, former leurs personnels, et notifier les incidents graves.

Cas terrain. En janvier 2025, Valérie MARTIN, DPO chez TechServ Industries (services B2B, 420 salariés), réalise que son entreprise déploie un outil de scoring de candidatures fourni par un éditeur tiers. En tant que déployeur d’un système haut risque (recrutement = domaine listé à l’Annexe III de l’règlement AI Act), TechServ est soumis aux obligations de l’article 26 dès août 2026 : surveillance humaine, documentation des usages, formation des personnels concernés. L’éditeur, en tant que fournisseur, a ses propres obligations — et le contrat initial n’en prévoyait aucune allocation. Le cas illustre le problème : beaucoup de déployeurs ignorent leur rôle réglementaire distinct.

Ce que font les organisations qui structurent leur réponse aux obligations AI Act

Les entreprises qui avancent concrètement ne s’attaquent pas aux obligations dans l’ordre chronologique. Elles commencent par la cartographie : quels systèmes IA sont en production ou en déploiement, quel est leur niveau de risque, et quel rôle joue l’entreprise vis-à-vis de chacun. Sans cet inventaire, il est impossible de prioriser.

La Commission européenne a publié des lignes directrices sur la classification des systèmes à haut risque. Les 17 domaines listés à l’Annexe III du règlement couvrent des secteurs précis : infrastructures critiques, éducation, emploi, crédit, assurance, services publics essentiels, migration, administration de la justice. Si votre organisation déploie un système IA dans l’un de ces domaines, vous êtes vraisemblablement concerné par les obligations 2026.

Les organisations structurées désignent un responsable conformité IA — souvent le DPO, parfois le RSSI — avec mandat explicite. Elles documentent leurs systèmes selon le standard de l’article 11 du règlement : description de l’usage prévu, données d’entraînement, mesures de robustesse. Elles négocient avec leurs fournisseurs IA des clauses de conformité avant que les contrats ne deviennent difficiles à renégocier. Elles forment leurs équipes opérationnelles à reconnaître les situations nécessitant une supervision humaine — obligation centrale pour tout système haut risque selon l’OCDE, reprise dans le règlement. L’AI Act calendrier obligations diffère selon que vous opérez en tant que fournisseur ou déployeur — cette distinction est au cœur de la stratégie de mise en conformité.

Cette démarche n’est pas séquentielle. La cartographie, la désignation du responsable, et la revue des contrats fournisseurs se conduisent en parallèle dès lors que l’organisation a identifié sa fenêtre de conformité.

Trois erreurs classiques face au calendrier des obligations AI Act

• Confondre fournisseur et déployeur. Beaucoup d’entreprises qui utilisent un outil IA tiers pensent que la conformité incombe entièrement à l’éditeur. C’est faux pour les systèmes haut risque : le déployeur porte ses propres obligations — surveillance humaine, formation, notification d’incidents. Ignorer ce partage de responsabilité expose à des amendes jusqu’à 3 % du chiffre d’affaires mondial.
• Négliger la classification. Un système mal classé — sous-estimé comme risque limité alors qu’il opère dans un domaine haut risque — crée une exposition légale majeure à l’inspection. La grille de classification est complexe et secteur-dépendante. Elle nécessite une analyse juridique, pas une décision unilatérale de la DSI.
• Attendre 2026 pour agir. Les obligations 2026 impliquent une documentation technique, un système de gestion de la qualité, et des procédures de supervision qui se construisent sur plusieurs mois. Les organisations qui démarrent en janvier 2026 ne pourront pas être conformes en août. Le délai opérationnel réel pour un déploiement documenté dépasse six mois pour la majorité des contextes.

Par où commencer face à l’AI Act calendrier obligations ?

Si votre organisation n’a pas encore formalisé sa réponse à l’AI Act calendrier obligations applicable à son secteur, trois actions permettent de clarifier rapidement votre situation :

Constituez un inventaire de vos systèmes IA en production. Liste exhaustive : nom du système, fournisseur, usage principal, données traitées, population concernée. Sans cet inventaire, aucune classification n’est possible. Deux à trois jours de travail suffisent pour une organisation de taille intermédiaire.

Qualifiez chaque système selon l’Annexe III du règlement. Pour chaque système : est-il utilisé dans l’un des 17 domaines haut risque ? Si oui, votre organisation est-elle fournisseur ou déployeur ? Cette qualification détermine vos obligations précises et leur délai. En cas de doute sur la classification, une consultation juridique spécialisée est préférable à une décision interne.

Révisez vos contrats fournisseurs IA avant la fin 2025. Les contrats existants ne comportent généralement pas de clauses AI Act. Or, les obligations de documentation, d’audit, et de notification d’incidents impliquent une coopération contractualisée entre déployeur et fournisseur. Renégocier en 2026, sous pression réglementaire, sera plus coûteux que le faire maintenant. Voir aussi la méthode de gouvernance IA pour structurer ces étapes.

Le Chapitre 12 du tome « Déployer & Gouverner » du livre « Réussir l’IA en entreprise 2026 » (Franck Lavoyer) traite en profondeur l’AI Act calendrier obligations par statut d’acteur. Si vous avez identifié des systèmes à haut risque dans votre organisation, ce chapitre vous donnera les repères pour bâtir votre dossier technique, structurer vos obligations de déployeur, et négocier les clauses contractuelles adaptées — sans devoir reconstituer le cadre réglementaire depuis le texte brut du règlement.