L'AI Act (règlement (UE) 2024/1689) est entré en vigueur le 1er août 2024. Presque rien ne s'appliquait ce jour-là. Le règlement a été écrit pour entrer en application par étapes sur trois ans, et les dates comptent plus que le titre, parce qu'une obligation pas encore en vigueur n'est pas quelque chose sur quoi un auditeur peut vous tester, et qu'une obligation déjà en vigueur n'est pas quelque chose que vous pouvez prévoir de traiter plus tard.
Voici le calendrier tel que le règlement le fixe, avec une note à la fin sur la proposition d'en décaler des parties.
2 février 2025 : pratiques interdites et maîtrise de l'IA
La première tranche était la plus courte et la plus tranchante. À partir de cette date, les pratiques listées à l'article 5 sont purement interdites : la notation sociale par les autorités publiques, les techniques manipulatrices ou trompeuses causant un préjudice important, l'exploitation des vulnérabilités liées à l'âge ou au handicap, la collecte non ciblée d'images faciales pour constituer des bases de reconnaissance, la reconnaissance des émotions au travail et à l'école, la catégorisation biométrique pour déduire des caractéristiques protégées, et l'essentiel de l'identification biométrique à distance en temps réel dans l'espace public par les forces de l'ordre.
La même date a apporté l'article 4, la maîtrise de l'IA. Fournisseurs et déployeurs doivent s'assurer que les personnes qui font fonctionner ou utilisent des systèmes d'IA pour leur compte ont un niveau de compréhension suffisant de ce que font ces systèmes. Il n'y a pas de certificat pour cela ni de cours imposé. Ce qu'un auditeur cherche, c'est si l'organisation a identifié qui touche aux systèmes d'IA, décidé ce que ces personnes doivent savoir, et peut montrer que cela a eu lieu.
2 août 2025 : l'IA à usage général et la couche de gouvernance
La deuxième tranche a activé les obligations des fournisseurs de modèles d'IA à usage général (chapitre V) : documentation technique, informations pour les fournisseurs en aval, politique de droit d'auteur, et résumé public du contenu d'entraînement. Les modèles classés comme présentant un risque systémique portent des obligations supplémentaires d'évaluation, de tests contradictoires, de notification des incidents et de cybersécurité.
La même date a mis en place les institutions : le Bureau de l'IA, le Comité de l'IA, les autorités nationales de surveillance du marché, et le régime de sanctions. Les amendes pour pratiques interdites atteignent 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu ; la plupart des autres infractions plafonnent à 15 millions d'euros ou 3 %.
Si vous construisez sur un modèle de fondation plutôt que d'en entraîner un, cette tranche vous touche indirectement : la documentation que votre fournisseur de modèle doit désormais livrer est l'entrée de votre propre travail de conformité.
2 août 2026 : la date d'application générale
C'est la date que la plupart des entreprises ont en tête quand elles disent « l'AI Act s'applique ». À partir de là, l'essentiel du règlement est en vigueur, dont :
- Le régime du haut risque pour les cas d'usage listés à l'annexe III : biométrie, infrastructures critiques, éducation et formation professionnelle, emploi et gestion des travailleurs, accès aux services essentiels (notation de crédit, tarification d'assurance, prestations publiques), répression, migration et contrôle aux frontières, administration de la justice et processus démocratiques.
- Les obligations des fournisseurs de systèmes à haut risque (articles 9 à 17) : un système de gestion des risques, la gouvernance des données, la documentation technique, la tenue de journaux, la transparence et la notice d'utilisation, le contrôle humain, et l'exactitude, la robustesse et la cybersécurité, le tout enveloppé dans un système de gestion de la qualité.
- Les obligations des déployeurs de systèmes à haut risque (article 26) : utilisation conforme à la notice, contrôle humain par des personnes compétentes, surveillance, conservation des journaux, information des travailleurs et, dans certains cas, une analyse d'impact sur les droits fondamentaux (article 27).
- Les obligations de transparence de l'article 50 : dire aux personnes qu'elles interagissent avec un système d'IA, marquer les contenus synthétiques, et signaler les hypertrucages et les textes générés par IA sur des sujets d'intérêt public.
- L'enregistrement des systèmes à haut risque dans la base de données de l'UE avant leur mise sur le marché.
Pour un fournisseur, le cœur opérationnel de tout cela est l'évaluation de conformité. La plupart des systèmes de l'annexe III peuvent être auto-évalués face aux normes harmonisées une fois celles-ci publiées ; les travaux de normalisation au CEN-CENELEC (JTC 21) étaient encore en cours en 2025 et 2026, ce qui explique pourquoi tant d'entreprises regardent ISO/IEC 42001 comme l'ossature de système de management sur laquelle bâtir en attendant.
2 août 2027 : les systèmes à haut risque dans les produits réglementés
La dernière tranche couvre les systèmes d'IA qui sont des composants de sécurité de produits déjà régis par la législation européenne listée à l'annexe I, ou qui sont eux-mêmes de tels produits : machines, jouets, ascenseurs, dispositifs médicaux, diagnostics in vitro, aviation civile, véhicules, équipements marins, ferroviaire et ainsi de suite. Ils suivent la voie de conformité de la législation produit sous-jacente, avec un organisme notifié, et obtiennent l'année supplémentaire parce que la législation sectorielle doit d'abord être alignée.
La même date est l'échéance pour mettre en conformité les modèles d'IA à usage général déjà sur le marché avant août 2025.
La proposition de décaler les dates
Fin 2025, la Commission européenne a présenté un paquet de mesures de simplification, souvent appelé omnibus numérique, qui comprenait une proposition de reporter les obligations du haut risque de l'annexe III jusqu'à la disponibilité des normes harmonisées, avec une date butoir fin 2027, et celles de l'annexe I à 2028. C'était une proposition au Parlement et au Conseil, pas un amendement en vigueur, et le processus législatif suit son propre rythme.
Le conseil pratique est ennuyeux mais juste : planifiez selon les dates du règlement tel qu'il est, et considérez tout report comme du temps en plus plutôt que comme une raison de s'arrêter. Les interdictions, l'obligation de maîtrise et les règles sur les modèles à usage général ne font de toute façon pas partie du report proposé.
Ce qu'il faut avoir prêt, par rôle
Si vous déployez de l'IA dans un domaine de l'annexe III, par exemple pour trier des candidatures ou tarifer une assurance : un inventaire des systèmes utilisés, le raisonnement de classification de chacun, la notice d'utilisation du fournisseur, une fonction de contrôle humain nommée, la conservation des journaux et, si vous êtes un organisme public ou fournissez des services essentiels, l'analyse d'impact sur les droits fondamentaux.
Si vous fournissez un système à haut risque : le dossier technique selon l'annexe IV, les enregistrements de gestion des risques, les preuves de gouvernance des données pour les jeux d'entraînement et de test, le système de gestion de la qualité, le plan de surveillance après commercialisation, et la déclaration UE de conformité. Un certificat ISO/IEC 42001 ne remplace pas juridiquement l'évaluation de conformité, mais il couvre l'essentiel du terrain de système de management et donne à un auditeur une structure reconnue à tester.
Si vous fournissez un modèle à usage général : la documentation du chapitre V, le résumé du contenu d'entraînement et la politique de droit d'auteur, déjà en vigueur depuis août 2025.
Tout le monde : les preuves de maîtrise de l'IA, et un enregistrement des mesures de transparence de l'article 50 lorsque vous générez du contenu ou faites tourner des chatbots.
Un auditeur missionné sur la préparation à l'AI Act parcourra exactement cette liste, date par date, en demandant la preuve derrière chaque ligne. Les entreprises qui trouvent l'exercice rapide sont celles qui ont écrit l'inventaire en premier.