AI Act, 2 août 2026 : les obligations qui entrent en vigueur

Internet

Date Communiqué de Presse : 24 février 2026

Les trois secteurs français qui ne sont pas prêts

En partenariat ave Bisatel et Kiwezo

AU CŒUR DE L’INFO : Le 2 août 2026, les dispositions principales de l’AI Act européen deviennent juridiquement contraignantes, avec des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Santé, ressources humaines et crédit sont les trois secteurs français les plus exposés, faute d’avoir engagé leur mise en conformité à temps.

Pourquoi le 2 août 2026 est une date que les entreprises françaises ne peuvent plus ignorer

L’AI Act n’est pas une promesse réglementaire lointaine. Publié au Journal officiel de l’Union européenne le 12 juillet 2024, le règlement s’applique selon un calendrier précis et non négociable. Les interdictions portant sur les pratiques IA jugées inacceptables — notation sociale généralisée, manipulation subliminale, reconnaissance biométrique en temps réel dans les espaces publics — sont en vigueur depuis le 2 février 2025. Les obligations pesant sur les fournisseurs de modèles d’IA à usage général, dont GPT-4o et Gemini Ultra, sont applicables depuis le 2 août 2025.

Ce qui change le 2 août 2026 est d’une autre nature. Ce sont les obligations de fond pour les systèmes IA dits « à haut risque » qui entrent en application : exigences de traçabilité, de transparence, de supervision humaine, de robustesse technique et d’enregistrement dans la base de données européenne centralisée. Pour les entreprises qui utilisent ou fournissent ces systèmes, l’heure n’est plus à la veille réglementaire. Elle est à la preuve de conformité.

Or, selon une analyse croisée des rapports publiés en début 2026 par le cabinet Reed Smith et le Parlement européen, la majorité des PME et ETI européennes n’ont pas encore désigné de responsable de conformité IA, ne disposent pas d’un registre documenté de leurs systèmes à haut risque, et n’ont engagé aucune évaluation de conformité formelle. En France, la situation est particulièrement préoccupante dans trois secteurs précis.

Quels sont les systèmes IA à haut risque et quelles obligations s’appliquent concrètement ?

L’AI Act classe comme « à haut risque » tout système IA utilisé dans des domaines où une décision algorithmique peut affecter significativement les droits fondamentaux ou la sécurité des personnes. La liste de l’Annexe III du règlement couvre huit grandes catégories, dont les infrastructures critiques, l’éducation, l’emploi, les services essentiels et l’administration de la justice.

Pour chacun de ces systèmes, les obligations applicables au 2 août 2026 sont structurées autour de cinq piliers.

Obligation

Contenu exigé

Sanction maximale

Délai restant

Système de gestion des risques

Documentation continue des risques identifiés et mesures d’atténuation

15 M€ ou 3 % CA mondial

5 mois

Gouvernance des données d’entraînement

Traçabilité complète des jeux de données, biais documentés

35 M€ ou 7 % CA mondial

5 mois

Transparence et notice utilisateur

Information explicite de l’utilisateur sur l’usage d’un système IA

15 M€ ou 3 % CA mondial

5 mois

Supervision humaine effective

Mécanismes techniques permettant à un humain d’intervenir ou d’arrêter le système

15 M€ ou 3 % CA mondial

5 mois

Enregistrement base EU AI Database

Déclaration obligatoire avant mise sur le marché

10 M€ ou 2 % CA mondial

5 mois

Ces obligations ne visent pas seulement les fournisseurs de systèmes IA — les éditeurs de logiciels, les startups, les grands groupes technologiques. Elles s’appliquent également aux déployeurs : toute organisation qui intègre un système IA à haut risque dans ses processus internes, même acheté sur étagère à un tiers, endosse des responsabilités juridiques propres.

Quels sont les trois secteurs français les plus exposés aux sanctions ?

➔ La santé numérique : des algorithmes de diagnostic déployés sans audit

Le risque structurel : Les systèmes d’aide au diagnostic médical, de triage aux urgences et de prédiction de réadmission hospitalière sont explicitement classés à haut risque par l’Annexe III de l’AI Act. Or, selon une analyse du MIT Technology Review, la majorité des solutions IA déployées dans les hôpitaux européens entre 2021 et 2024 l’ont été dans des cycles d’achat qui n’anticipaient pas les exigences de traçabilité du règlement. Les DSI hospitaliers français, contraints par des budgets en tension, n’ont généralement pas relancé d’appels d’offres de mise en conformité.
L’angle juridique ignoré : Un hôpital public qui déploie un système de prédiction de sepsis acheté à un éditeur américain reste juridiquement déployeur au sens de l’AI Act, même si l’éditeur est hors UE. La responsabilité ne disparaît pas avec l’externalisation. Les autorités compétentes en France seront les agences régionales de santé (ARS) et potentiellement la CNIL pour les aspects de protection des données, créant un risque de double contrôle.

➔ Les ressources humaines : le recrutement algorithmique dans le viseur de Bruxelles

Les systèmes IA utilisés pour trier des CV, noter des candidats lors d’entretiens vidéo ou prédire la performance future d’un salarié figurent explicitement dans la liste des systèmes à haut risque. En France, l’essor des outils de recrutement algorithmique — accéléré par la pénurie de talents post-Covid — a conduit des centaines de grandes entreprises et de cabinets de recrutement à intégrer des solutions comme HireVue, Eightfold AI ou des modules propriétaires sans jamais procéder à l’évaluation de conformité exigée.

L’obligation de supervision humaine effective est particulièrement contraignante dans ce contexte. Elle signifie concrètement qu’aucune décision de rejet ou de sélection d’un candidat ne peut reposer exclusivement sur le système IA, et que le responsable humain doit être techniquement en capacité d’outrepasser la recommandation algorithmique — avec traçabilité de cet acte. La CNIL, en coordination avec l’AI Office européen, a indiqué qu’elle intensifierait ses contrôles dans ce secteur à partir de l’automne 2026.

➔ Le crédit et le scoring financier : la bombe à retardement du secteur bancaire

Les modèles de scoring crédit, d’évaluation de solvabilité et de détection de fraude entrent dans le champ des systèmes à haut risque dès lors qu’ils influencent l’accès aux services financiers essentiels. Les établissements bancaires français disposent d’une expertise réglementaire forte — héritage de Bâle III et Solvabilité II — mais les équipes Risk & Compliance n’ont pas systématiquement intégré les nouvelles exigences de l’AI Act dans leur périmètre de contrôle interne.

Le point aveugle est la gouvernance des données d’entraînement. L’AI Act exige de documenter les jeux de données utilisés pour entraîner ou mettre à jour les modèles de scoring, d’identifier les biais potentiels et de prouver les mesures d’atténuation. Or, la plupart des modèles de crédit français en production ont été entraînés sur des données historiques remontant à 2015-2020 — des périodes marquées par des inégalités structurelles documentées. Reconstituer cette traçabilité a posteriori est techniquement complexe et coûteux.

FAQ : L’essentiel en 3 questions

Qu’est-ce qu’un système IA « à haut risque » au sens de l’AI Act ?

Un système IA est qualifié de haut risque lorsqu’il est utilisé dans l’un des huit domaines listés à l’Annexe III de l’AI Act — incluant la santé, l’emploi, le crédit et l’éducation — et qu’il est susceptible d’affecter significativement les droits fondamentaux ou la sécurité d’une personne physique.

Qui est responsable si un système IA acheté à un éditeur tiers n’est pas conforme ?

L’AI Act distingue le fournisseur (l’éditeur du système) du déployeur (l’organisation qui l’utilise). Les deux parties portent des obligations propres et cumulatives. Une entreprise française qui intègre un logiciel RH algorithmique américain non conforme reste juridiquement responsable en tant que déployeur sur le territoire de l’UE.

Quelles sont les sanctions concrètes prévues pour non-conformité au 2 août 2026 ?

Les amendes varient selon la gravité de l’infraction : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les violations les plus graves (utilisation d’un système interdit ou données d’entraînement non conformes), jusqu’à 15 millions d’euros ou 3 % du CA pour les manquements aux obligations procédurales.

MÉTHODOLOGIE Analyse croisée fondée sur le texte officiel de l’AI Act (Journal officiel UE, juil. 2024), les rapports juridiques Reed Smith et K&L Gates (jan. 2026), l’étude du Parlement européen sur l’interaction AI Act/cadre numérique européen (2025), et les communications de l’AI Office et de la CNIL relatives à l’application du règlement.

SOURCES ET RÉFÉRENCES