AI Act : calendrier de conformité et obligations pour l’entreprise

Savoir que l’AI Act existe ne suffit plus. Depuis juillet 2024, le règlement européen sur l’intelligence artificielle est entré en vigueur avec un calendrier d’application progressive : certaines obligations s’appliquent déjà, d’autres entreront en force en août 2026. Comprendre l’AI Act conformité calendrier est devenu une priorité opérationnelle pour les DPO, DSI et DG — non un sujet de veille juridique lointain. La majorité des directions juridiques et IT que j’ai rencontrées en 2025 n’ont pas encore cartographié leurs systèmes exposés. Cet article pose les repères concrets pour savoir où vous en êtes et ce qui ne peut plus attendre.

Pourquoi l’AI Act n’est pas un horizon lointain pour votre organisation

En janvier 2025, Marie DUPONT, DPO chez Altivis Conseil (cabinet de conseil RH, Paris), a reçu une demande de son avocat : lister tous les outils IA utilisés dans les processus RH pour évaluer leur niveau de risque selon l’AI Act conformité calendrier en vigueur. Elle a mis six semaines à produire un inventaire partiel. Pendant ce temps, l’obligation de transparence sur les systèmes à usage général — dite GPAI — entrait en vigueur en août 2025, première étape de ce calendrier AI Act conformité.

Ce cas n’est pas exceptionnel. Le règlement AI Act (Règlement UE 2024/1689) applique un calendrier en trois vagues distinctes :

• Février 2025 — Interdictions absolues : systèmes de notation sociale par autorités publiques, manipulation subliminale, exploitation de vulnérabilités, reconnaissance faciale en temps réel dans l’espace public (sauf exceptions encadrées). Ces pratiques sont illégales depuis cette date.
• Août 2025 — Obligations GPAI (General Purpose AI) : les fournisseurs de modèles à usage général (type GPT, Claude, Gemini) doivent publier leur documentation technique, respecter le droit d’auteur et, pour les modèles à risque systémique, se soumettre à des évaluations renforcées.
• Août 2026 — Systèmes à haut risque : les secteurs listés en Annexe III (recrutement, crédit, éducation, sécurité critique, etc.) devront avoir complété leur mise en conformité complète — documentation, tests, enregistrement dans la base EU AI Office.

L’EU AI Office de la Commission européenne supervise l’application et publie des lignes directrices interprétatives régulièrement mises à jour.

Ce que font les organisations qui anticipent l’AI Act conformité calendrier

Les structures qui avancent sans panique sur la conformité AI Act partagent trois pratiques communes, observées sur le terrain en 2024-2025.

Elles cartographient avant de classer. Avant de déterminer le niveau de risque d’un système, elles commencent par un inventaire complet : quels outils IA sont utilisés, par qui, dans quel processus, avec quelles données. Cette cartographie, souvent absente au départ, est le préalable à toute démarche de conformité sérieuse.

Elles distinguent fournisseurs et déployeurs. L’AI Act distingue le fournisseur (qui met sur le marché un système IA) du déployeur (qui l’utilise dans un contexte opérationnel). La plupart des PME et ETI sont des déployeurs — leurs obligations sont différentes, mais réelles. Comprendre ce positionnement détermine le périmètre de conformité applicable.

Elles priorisent selon les échéances, pas selon la perfection. Août 2026 est la date critique pour les systèmes à haut risque. La CNIL publie des ressources pédagogiques sur l’articulation entre AI Act et RGPD. Les organisations avancées ont déjà aligné leur DPO, leur DSI et leur direction juridique sur un plan de travail commun, trimestrialisé.

Les trois erreurs classiques face au calendrier AI Act

• Attendre une clarification réglementaire totale. Le règlement est adopté. Les textes d’application arrivent progressivement, mais l’architecture générale est fixée depuis juillet 2024. Attendre une version « définitive » est une erreur qui coûte des mois de préparation.
• Confondre conformité fournisseur et conformité déployeur. Utiliser un outil IA conforme ne vous dispense pas d’être conforme en tant que déployeur. Si vous utilisez un système de recrutement assisté par IA, la conformité de votre usage — documentation, supervision humaine, traçabilité — vous incombe directement.
• Traiter l’AI Act comme un projet IT isolé. La conformité AI Act mobilise la direction juridique, le DPO, la DSI et souvent la direction générale. Les organisations qui l’ont cantonné à l’informatique sans gouvernance transversale ont dû recommencer leur démarche.

Par où commencer concrètement sur le calendrier AI Act conformité

Trois actions permettent de poser les bases d’une conformité AI Act structurée face au calendrier AI Act conformité, sans attendre d’avoir tout compris.

1. Conduire un inventaire IA en 30 jours. Listez tous les systèmes IA utilisés dans vos processus métier, qu’ils soient achetés, loués ou développés en interne. Pour chaque système : usage, données traitées, population concernée, fournisseur, mode d’intégration. Cet inventaire est le point de départ de toute classification risque.

2. Appliquer la grille de classification risque. L’AI Act distingue quatre niveaux : risque inacceptable (interdit), haut risque (obligations lourdes), risque limité (obligations de transparence), risque minimal (pas d’obligation spécifique). La majorité des outils bureautiques IA courants relèvent du risque limité ou minimal — mais les systèmes touchant aux RH, au crédit ou à la sécurité sont automatiquement présumés haut risque selon l’Annexe III du règlement.

3. Désigner un responsable de la conformité AI Act. Ce rôle peut être confié au DPO, au DSI ou à un juriste spécialisé, mais il doit être explicitement désigné. Sans pilote identifié, les actions restent dispersées et les échéances manquées. L’EU AI Office publie des orientations pour aider les organisations à structurer leur gouvernance.

Le chapitre consacré à l’AI Act dans le tome 1 « Fonder » du livre Réussir l’IA en entreprise 2026 développe ces repères en méthode opérationnelle : grilles de classification par secteur, modèles de documentation pour les systèmes à haut risque, et questions contractuelles à poser à vos fournisseurs IA avant août 2026. Ce tome pose les fondations de gouvernance sans lesquelles les obligations du calendrier AI Act conformité 2026 ne peuvent être tenues. Franck Lavoyer y traite l’AI Act conformité calendrier comme un processus de pilotage continu — pas comme un chantier ponctuel.