Le règlement européen sur l’IA (AI Act) pour une entreprise ordinaire

Depuis le 2 août 2026, l’essentiel du règlement européen sur l’IA (AI Act) s’applique. Pour la vaste majorité des entreprises qui se contentent d’utiliser l’IA, dans un chatbot sur leur site, dans des images générées pour une campagne ou dans un assistant sur chaque bureau, la question est plus simple : quelles obligations sont les nôtres, et à partir de quand.

Voici où en sont les choses après les modifications de cet été. C’est une vue d’ensemble, pas un avis juridique.

Ce qui s’applique depuis 2025

Le règlement est entré en vigueur le 1er août 2024 et s’applique par étapes. Depuis le 2 février 2025, huit pratiques sont purement et simplement interdites. Parmi elles figurent la manipulation et la tromperie nuisibles, l’exploitation des vulnérabilités des personnes, la notation sociale, la reconnaissance des émotions au travail et dans l’éducation, la collecte non ciblée de visages pour alimenter des bases de données de reconnaissance, et la catégorisation biométrique qui déduit des caractéristiques protégées. Une neuvième interdiction, qui vise les systèmes générant des contenus sexuels sans consentement ou des contenus pédopornographiques, s’applique à partir du 2 décembre 2026. Peu d’entreprises ordinaires s’en approchent. La reconnaissance des émotions dans un centre d’appels ou dans un outil d’entretien d’embauche, si.

La même date a apporté l’obligation de maîtrise de l’IA. Elle s’applique aux fournisseurs et à toute entreprise qui utilise un système d’IA dans son travail. L’omnibus en a assoupli la formulation cet été : les entreprises doivent désormais prendre des mesures pour favoriser le développement de la maîtrise de l’IA, et le texte précise qu’elles n’ont pas à garantir un niveau donné à chaque individu. L’obligation elle-même demeure.

Depuis le 2 août 2025, les fournisseurs de modèles d’IA à usage général ont leurs propres obligations : documentation technique, informations destinées aux entreprises qui construisent sur leurs modèles, politique de respect du droit d’auteur de l’UE et résumé public des contenus utilisés pour l’entraînement. Elles incombent aux concepteurs de modèles, pas à leurs clients. Une entreprise qui affine un modèle ne devient le fournisseur d’un nouveau modèle que dans des cas exceptionnels. Le seuil indicatif de la Commission est une modification qui utilise plus d’un tiers de la puissance de calcul de l’entraînement initial.

Ce qui s’applique depuis août

Les règles de transparence sont arrivées avec le reste du règlement le 2 août 2026, et ce sont celles que la plupart des entreprises rencontrent. Les personnes doivent être informées lorsqu’elles interagissent avec une machine, par exemple un chatbot. Les fournisseurs d’IA générative doivent marquer ce que produisent leurs systèmes dans un format lisible par machine, afin que le contenu puisse être détecté comme généré. Les déployeurs doivent étiqueter les hypertrucages (deepfakes) : images, audio ou vidéo qui ressemblent à des personnes, des objets, des lieux ou des événements réels et paraîtraient à tort authentiques. Les textes publiés pour informer le public sur des sujets d’intérêt public doivent eux aussi être signalés, sauf si une personne les a relus et que quelqu’un en assume la responsabilité éditoriale.

Le 10 juin 2026, la Commission a publié un code de bonnes pratiques volontaire sur le marquage et l’étiquetage, assorti d’un ensemble d’icônes européennes pour les étiquettes. Fin juillet, environ 190 organisations l’avaient signé. Les fournisseurs de systèmes génératifs déjà sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour ajouter le marquage.

Le contrôle a commencé le même jour, exercé par les autorités nationales et par le Bureau de l’IA de la Commission. Les amendes peuvent atteindre 35 millions d’euros ou 7 pour cent du chiffre d’affaires mondial pour les pratiques interdites, et 15 millions d’euros ou 3 pour cent pour les manquements des fournisseurs de modèles.

Ce que l’omnibus a repoussé

Le changement le plus important de l’année est le règlement (UE) 2026/1744, l’omnibus numérique sur l’IA. La Commission l’a proposé le 19 novembre 2025, le Parlement et les États membres sont parvenus à un accord politique le 7 mai 2026, et il est entré en vigueur le 27 juillet 2026.

Il reporte les règles applicables aux systèmes à haut risque. Les systèmes utilisés dans les domaines sensibles énumérés à l’annexe III, comme le tri de CV, la notation de crédit, l’éducation, la biométrie et la migration, sont désormais soumis à leurs obligations à partir du 2 décembre 2027 au lieu du 2 août 2026. L’IA à haut risque intégrée dans des produits déjà régis par le droit européen des produits suit le 2 août 2028.

Il étend aussi les allègements, jusqu’ici réservés aux petites entreprises, aux petites entreprises de taille intermédiaire (small mid caps), définies comme celles qui comptent moins de 750 employés et réalisent un chiffre d’affaires allant jusqu’à 150 millions d’euros. Elles peuvent recourir à la documentation technique simplifiée et à un système de gestion de la qualité proportionné.

Pour une entreprise qui utilise l’IA plutôt qu’elle ne la construit, ce report change peu de choses. L’obligation de maîtrise et les obligations de transparence s’appliquent dès maintenant. Le délai supplémentaire compte pour le groupe plus restreint dont les systèmes décident du sort de personnes : qui est embauché et qui obtient un crédit.

Les entreprises suisses qui vendent dans l’UE

Le règlement relève du droit de l’UE, mais sa portée suit le marché. Il s’applique aux fournisseurs qui mettent sur le marché de l’UE des systèmes d’IA ou des modèles à usage général, qu’ils soient établis dans l’Union ou dans un pays tiers, ainsi qu’aux fournisseurs et déployeurs de pays tiers dont les systèmes produisent des résultats utilisés dans l’Union. Le fournisseur d’un système à haut risque établi hors de l’UE doit désigner par écrit un mandataire dans l’Union avant de vendre.

En pratique, une entreprise suisse dotée d’un chatbot sur la version allemande de son site, ou d’une campagne d’images générées destinée à des acheteurs en France, devrait considérer les obligations de transparence comme les siennes.

Sur son propre territoire, la Suisse suit sa propre voie. Il n’existe pas de loi sur l’IA. Le 12 février 2025, le Conseil fédéral a décidé de ratifier la convention du Conseil de l’Europe sur l’IA et de modifier la législation secteur par secteur lorsque c’est possible, et un projet mis en consultation est attendu d’ici fin 2026. D’ici là, la loi sur la protection des données (LPD) s’applique directement à l’IA, et le PFPDT attend pour l’essentiel la même chose : les personnes ont le droit de savoir si elles parlent ou écrivent avec une machine, et les visages, images ou voix manipulés de personnes identifiables doivent toujours être clairement signalés.

Une courte liste de contrôle

Recensez tous les systèmes d’IA en service : qui les fournit, qui les utilise, ce qu’ils décident et quels marchés atteignent leurs résultats.

Comparez-les aux interdictions, en commençant par la reconnaissance des émotions du personnel ou des candidats.

Dites quand les gens parlent à une machine : dans la fenêtre de discussion, au téléphone, dans l’e-mail qu’un agent a rédigé.

Étiquetez les images et vidéos générées qui paraissent réelles, et conservez les originaux et les prompts qui les ont produites.

Formez les personnes qui utilisent l’IA, consignez ce qu’elles ont appris, et recommencez lorsque les outils changent.

Repérez les systèmes qui décident du sort de personnes, en matière de recrutement, de crédit ou d’éducation, et profitez du délai jusqu’en décembre 2027 pour les préparer.

Demandez par écrit à vos fournisseurs comment ils remplissent leurs propres obligations : marquage, documentation, politique de droit d’auteur. Puis désignez une personne responsable de la liste.

Là où les personnes restent aux commandes

Dans son principe, le règlement est une règle de responsabilité. Une machine peut rédiger, trier et proposer, tandis qu’une personne identifiée répond de ce qui sort. C’est une bonne règle pour des raisons qui n’ont rien à voir avec les amendes : le jugement et la responsabilité sont ce sur quoi un client s’appuie, et ils ne s’automatisent pas.

Nos produits sont construits sur la même ligne. Twin ne donne à chaque rôle que la part du cerveau de l’entreprise dont il a besoin, avec des approbations par rôle et chaque étape consignée. Reel conserve chaque image et chaque clip dans une médiathèque, avec toutes les versions et la recette qui se cache derrière, et une personne choisit chaque image utilisée, de sorte qu’une question sur l’origine trouve sa réponse dans le registre. Eigna, conçu par notre partenaire Eigna Labs, est un modèle privé qui tourne dans le cloud de l’entreprise ou sur ses propres serveurs, pensé pour le RGPD et le règlement européen sur l’IA.

Les dates continueront de bouger. Une entreprise qui sait quelle IA elle utilise, et qui en répond, peut suivre le mouvement.