— Droit des nouvelles technologies & IA
10 mai 2026 · mis à jour le 12 octobre 2026 · 6 min de lecture
Le règlement européen sur l’intelligence artificielle, dit AI Act, devait imposer ses obligations les plus lourdes le 2 août 2026. Elles ont été reportées. Pour une PME qui utilise un outil d’IA pour recruter, évaluer ou noter ses clients, ce délai supplémentaire n’est pas une dispense. Voici le calendrier en vigueur et ce qu’il faut faire dès maintenant.
Mise à jour — octobre 2026
Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l’IA », publié au Journal officiel de l’Union le 24 juillet 2026, a modifié le calendrier de l’AI Act. Les obligations applicables aux systèmes d’IA à haut risque des domaines sensibles (recrutement, gestion des salariés, crédit) s’appliqueront à partir du 2 décembre 2027, et non plus du 2 août 2026. Cet article a été mis à jour en conséquence.
Ce qu’il faut retenir
→ L’AI Act s’applique à toute entreprise qui utilise un outil d’IA dans l’Union européenne, TPE et PME comprises.
→ Certaines règles s’appliquent déjà : les pratiques interdites depuis février 2025, les obligations de transparence depuis le 2 août 2026.
→ Les obligations « haut risque » (recrutement, évaluation des salariés, scoring de crédit) sont reportées au 2 décembre 2027.
→ Pour une PME, les amendes sont plafonnées au plus faible des deux montants prévus (montant fixe ou pourcentage du chiffre d’affaires).
→ Le report laisse un an pour s’organiser, pas une raison d’attendre.
Êtes-vous concerné ? Probablement plus que vous ne le pensez
L’AI Act vise les entreprises qui développent des systèmes d’IA, mais aussi celles qui se contentent d’en utiliser : le règlement les qualifie de « déployeurs » et leur impose des obligations propres. Sont par exemple concernés un cabinet qui trie ses candidatures avec un logiciel de présélection automatisée, une PME qui propose un chatbot sur son site, ou un commerce qui accorde des facilités de paiement selon un score automatique.
Le recours à une IA généraliste pour rédiger des contrats ou des analyses juridiques appelle en outre une vigilance particulière : les résultats paraissent souvent convaincants, mais sans consignes maîtrisées et sans relecture par un professionnel du droit, le risque d’erreur reste élevé.
Le calendrier en vigueur depuis la réforme de juillet 2026
Depuis le 2 février 2025 — les pratiques interdites : notation sociale, manipulation des comportements, déduction des émotions sur le lieu de travail, notamment. Le règlement de 2026 ajoute, à partir du 2 décembre 2026, l’interdiction des systèmes conçus pour générer sans consentement des images intimes réalistes d’une personne identifiable.
Depuis le 2 août 2025 — les modèles d’IA à usage général (GPT, Claude, Mistral, Gemini) : ces obligations pèsent sur leurs fournisseurs, pas sur les entreprises utilisatrices.
Depuis le 2 août 2026 — la transparence : une entreprise qui publie des images, vidéos ou sons truqués générés par IA (« hypertrucages ») doit indiquer qu’ils ont été générés ou manipulés par une IA.
2 décembre 2027 — les systèmes à haut risque de l’annexe III, c’est-à-dire ceux qui intéressent la plupart des PME.
2 août 2028 — l’IA intégrée à des produits réglementés (machines, dispositifs médicaux, etc.).
Recrutement, RH, crédit : vos obligations à compter de décembre 2027
Si vous utilisez un outil classé à haut risque, y compris fourni par un prestataire, vous devrez notamment :
→ l’utiliser conformément à la notice du fournisseur, sous une supervision humaine effective ;
→ conserver ses journaux d’utilisation pendant au moins six mois ;
→ informer vos salariés et leurs représentants avant de l’utiliser sur le lieu de travail ;
→ informer les personnes concernées par les décisions que l’outil prend ou facilite (candidats, clients).
L’analyse d’impact sur les droits fondamentaux, souvent présentée comme générale, ne s’impose en réalité qu’à certains utilisateurs : les organismes publics, les entreprises qui fournissent un service public, et celles qui utilisent l’IA pour évaluer la solvabilité ou tarifer une assurance vie ou santé.
En pratique : nos conseils
1. Cartographiez vos usages d’IA : recensez tous les outils qui en intègrent, y compris dans vos logiciels RH, votre CRM ou votre outil de recouvrement.
2. Classez chaque usage par niveau de risque : interdit, haut risque, transparence, risque minimal. La plupart des outils relèvent des deux dernières catégories ; le recrutement et l’évaluation des salariés relèvent du haut risque.
3. Sécurisez vos contrats fournisseurs : exigez la documentation technique et les informations nécessaires à votre propre conformité. Les contrats signés en 2026 courront encore en décembre 2027.
4. Formez vos équipes : le règlement de 2026 a assoupli l’obligation de « maîtrise de l’IA ». L’entreprise doit prendre des mesures pour favoriser la formation de son personnel, sans être tenue de garantir un niveau précis pour chacun. Une formation courte et documentée reste la meilleure preuve de diligence.
5. Choisissez officiellement vos outils et encadrez leur usage : sans outil validé, vos salariés utilisent l’IA sur leurs comptes personnels, souvent gratuits, avec un risque réel pour la confidentialité, le secret des affaires et le RGPD. Une licence professionnelle et une charte d’usage signée vous permettent de garder la maîtrise de vos données.
6. Articulez avec le RGPD : la plupart des outils d’IA traitent des données personnelles. Mutualisez votre démarche AI Act avec vos analyses d’impact RGPD.
Le cabinet accompagne les dirigeants de TPE et PME dans cette mise en conformité, de la cartographie initiale à la rédaction des clauses fournisseurs et à la formation des équipes.
Besoin d’un accompagnement ? Pour en savoir plus, voir notre page avocat en propriété intellectuelle et IA à Paris.
À lire également
01
Droit des nouvelles technologies & IA
ChatGPT, Mistral, Claude en entreprise : la position ferme de la CNIL
02
03
Droit des nouvelles technologies & IA
Vous utilisez ChatGPT en entreprise ? Attention à vos données clients
04
Laisser un commentaire