2 août 2026, AI Act, obligations renforcées pour les entreprises européennes, ce qui change vraiment pour la conformité

À partir du 2 août 2026, le règlement européen sur l’intelligence artificielle franchit une étape centrale. L’AI Act rend applicables de nouvelles obligations pour les entreprises, administrations et fournisseurs qui conçoivent ou utilisent des systèmes d’IA. Le changement concerne surtout les usages classés à haut risque, dans les ressources humaines, le crédit, l’éducation, la sécurité ou certains services publics.

Le 2 août 2026 active le cœur de l’AI Act

Le calendrier européen arrive à une phase très attendue par les directions juridiques et les responsables conformité. Depuis son entrée en vigueur, l’AI Act s’applique par étapes, avec des interdictions déjà actives sur certaines pratiques jugées inacceptables. Le 2 août 2026 marque l’entrée dans le régime opérationnel le plus large, celui qui encadre la majorité des systèmes d’IA visés par le texte.

Les obligations les plus structurantes portent sur les systèmes dits à haut risque. Cette catégorie couvre des usages où une erreur automatisée peut produire des conséquences importantes pour une personne: recrutement, accès à une formation, notation de crédit, attribution de prestations, tri de dossiers ou contrôle d’identité dans des cadres sensibles. Les organisations doivent prouver que leurs outils sont maîtrisés, documentés et surveillés.

Le règlement impose une gestion des risques avant la mise sur le marché ou le déploiement. Les fournisseurs doivent constituer une documentation technique, prévoir une supervision humaine, garantir la qualité des jeux de données et conserver des journaux d’activité. Les utilisateurs professionnels, souvent appelés déployeurs, doivent employer les systèmes conformément aux instructions, surveiller leur fonctionnement et signaler certains incidents graves.

Le texte prévoit aussi un régime de sanctions administratives. Les montants peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les manquements les plus graves, notamment les pratiques interdites. D’autres infractions peuvent exposer les entreprises à des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires. Les autorités nationales devront organiser les contrôles, avec une coordination européenne destinée à limiter les divergences d’interprétation.

RH, crédit et services publics doivent cartographier leurs IA

La date du 2 août 2026 oblige les organisations à passer d’une approche théorique à un inventaire précis. Le premier travail consiste à identifier les outils d’IA utilisés dans les métiers, y compris ceux intégrés à des logiciels achetés auprès d’éditeurs. Un module de présélection de CV, un outil de détection de fraude ou un système d’aide à la décision dans l’accès à un service peuvent entrer dans le champ du règlement.

Les directions des ressources humaines figurent parmi les services les plus exposés. Les systèmes employés pour trier des candidatures, évaluer des salariés ou recommander des formations devront être examinés sous l’angle du risque algorithmique. Les entreprises devront vérifier les critères utilisés, les données traitées, les mécanismes de recours et la possibilité pour un humain de reprendre la main sur une décision automatisée.

Les banques, assureurs et administrations sont également concernées. Dans le crédit, l’IA peut intervenir dans l’évaluation d’un dossier ou la détection d’anomalies. Dans le secteur public, elle peut aider à prioriser des demandes ou contrôler l’éligibilité à une aide. Ces usages exigent une traçabilité renforcée, car les personnes concernées doivent pouvoir comprendre le rôle joué par l’outil. Les responsables conformité, les DPO et les directions informatiques devront travailler ensemble, notamment lorsque des données personnelles sont utilisées.

Le règlement ne place pas tous les outils au même niveau. Un assistant rédactionnel interne ou un chatbot généraliste ne sera pas traité comme un système qui conditionne l’accès à un emploi ou à un crédit. Mais même les usages moins sensibles appellent une gouvernance claire: clauses contractuelles avec les fournisseurs, registre des outils, formation des équipes, tests réguliers et procédures d’incident. À une semaine de l’échéance, les organisations les plus avancées disposent déjà d’une cartographie, tandis que les autres doivent prioriser les usages les plus sensibles pour réduire leur exposition réglementaire.

Questions fréquentes

Que change le 2 août 2026 pour les entreprises ?

Cette date rend applicables de nombreuses obligations opérationnelles de l’AI Act, surtout pour les systèmes d’IA à haut risque. Les entreprises doivent identifier leurs outils, vérifier leur classification, documenter les risques, prévoir une supervision humaine et organiser le suivi des incidents.

Tous les outils d’intelligence artificielle sont-ils concernés au même niveau ?

Non. Le règlement distingue les pratiques interdites, les systèmes à haut risque, certains modèles d’IA à usage général et les usages moins sensibles. Les contraintes les plus fortes concernent les outils susceptibles d’affecter l’accès à un emploi, à un crédit, à une formation ou à un service essentiel.

Quel rôle peut jouer le DPO dans la conformité AI Act ?

Le DPO peut contribuer à la cartographie des outils, à l’analyse des traitements de données personnelles, à la vérification des droits des personnes et à la coordination avec les équipes juridiques, métiers et informatiques. Son rôle devient central lorsque l’IA repose sur des données relatives à des individus.