Calendrier de l'AI Act : les dates qui concernent une petite entreprise

Le calendrier de l'AI Act : un règlement qui s'applique par paliers

Le règlement sur l'IA de l'Union européenne porte la référence officielle (UE) 2024/1689. D'après la page de la Commission consacrée à la législation sur l'IA, il s'agit du premier cadre juridique complet au monde dédié à l'intelligence artificielle, avec pour objectif affiché de favoriser une IA digne de confiance en Europe. Le calendrier de l'AI Act ne fixe pas une seule date d'application : le plein déploiement des principaux jalons est prévu pour le 2 août 2028, soit, selon notre calcul, un peu plus de quatre ans après l'entrée en vigueur du 1^er août 2024.

Toujours selon cette page, le règlement distingue quatre niveaux de risque pour les systèmes d'IA : un risque inacceptable, qui entraîne l'interdiction pure et simple de certaines pratiques ; un risque élevé, soumis à des obligations strictes avant toute mise sur le marché ; un risque dit « de transparence », qui impose d'informer les utilisateurs qu'ils interagissent avec une IA ou consultent un contenu qu'elle a généré. La Commission précise elle-même que la plupart des systèmes d'IA ne relèvent d'aucun risque particulier. Chaque niveau a sa propre date d'entrée en application, ce qui explique l'échelonnement du calendrier.

L'AI Act Service Desk signale que plusieurs échéances ont déjà été modifiées par l'Omnibus sur l'IA, un texte qui a amendé certaines dispositions du règlement initial, notamment celles qui touchent aux interdictions et aux systèmes à haut risque des annexes I et III. Avant de s'appuyer sur une date, mieux vaut vérifier le calendrier à jour publié par l'AI Act Service Desk plutôt qu'une date relayée ailleurs.

2024-2025 : l'entrée en vigueur et les interdictions déjà actives

Le règlement est entré en vigueur le 1^er août 2024. Depuis le 2 février 2025, les dispositions générales du texte s'appliquent : les définitions officielles de l'AI Act et les obligations de littératie en IA, c'est-à-dire la nécessité de former les personnes qui utilisent ou développent des systèmes d'IA au sein d'une structure. À la même date, huit des neuf pratiques interdites par le règlement sont devenues illégales dans toute l'Union, d'après la page de la Commission sur la législation sur l'IA.

Parmi ces pratiques interdites depuis le 2 février 2025, la Commission cite la manipulation ou la tromperie fondées sur l'IA, l'exploitation des vulnérabilités d'une personne, la notation sociale, l'évaluation du risque qu'une personne commette une infraction pénale, le grattage non ciblé d'images pour constituer des bases de reconnaissance faciale, la reconnaissance des émotions sur le lieu de travail ou dans l'enseignement, la catégorisation biométrique pour déduire des caractéristiques protégées, et l'identification biométrique à distance en temps réel par les autorités dans l'espace public.

Pour une petite entreprise, la pratique la plus susceptible de concerner un usage courant est la reconnaissance des émotions sur le lieu de travail : un logiciel qui analyserait l'état émotionnel de salariés via une caméra ou un micro entre dans cette interdiction depuis le 2 février 2025. La neuvième pratique interdite, qui vise la génération de contenu sexuel non consenti ou de matériel pédopornographique par IA, entre en application plus tard, le 2 décembre 2026, comme le précise la page de la Commission.

2 août 2025 et 2 août 2026 : le tournant pour les entreprises qui utilisent de l'IA générative

Le 2 août 2025, les obligations de l'AI Act pour les fournisseurs de modèles d'IA à usage général (les modèles de fondation derrière un chatbot ou un assistant de rédaction) entrent en application. À cette même date, les États membres doivent avoir désigné leurs autorités nationales compétentes et adopté leurs propres lois sur les sanctions, et la gouvernance européenne du texte (comité européen de l'IA, groupe scientifique, forum consultatif) doit être mise en place, selon l'AI Act Service Desk.

Pour une petite entreprise, cette date concerne surtout l'éditeur de l'outil d'IA utilisé, pas directement l'entreprise elle-même : ce sont les fournisseurs de modèles qui portent la charge principale de la conformité. Elle fixe néanmoins le cadre dans lequel les outils du quotidien, génération de texte, d'image ou de code, sont censés désormais opérer.

La date la plus concrète pour une petite structure reste le 2 août 2026. L'AI Act Service Desk indique qu'à cette date, les règles de transparence de l'article 50 s'appliquent, des mesures de soutien à l'innovation entrent en vigueur, et le contrôle du respect du règlement démarre, au niveau national et européen, pour les modèles à usage général, les interdictions, les règles de transparence et la littératie en IA.

D'après la description que la Commission donne de ces règles de transparence, une entreprise qui déploie un chatbot doit informer les personnes qu'elles échangent avec une machine, et un contenu généré par IA doit rester identifiable comme tel. Certains contenus, comme les hypertrucages ou les textes destinés à informer le public, doivent en plus être signalés de façon claire et visible. C'est à partir du 2 août 2026 que ces obligations deviennent vérifiables par les autorités.

2 décembre 2026 : nouvelles interdictions et fin d'une période de transition

Le 2 décembre 2026 marque l'entrée en application de la neuvième pratique interdite par le règlement : les systèmes d'IA qui génèrent du contenu sexuellement explicite non consenti ou du matériel relatif à des abus sexuels sur enfants, y compris les applications dites de « nudification ». La page de la Commission précise que cette interdiction a été introduite dans le cadre de l'Omnibus sur l'IA.

La même date correspond aussi à la fin d'une période de transition prévue à l'article 50, paragraphe 2, du règlement. Elle concerne les fournisseurs de systèmes, y compris de modèles à usage général, qui génèrent du contenu synthétique et qui avaient déjà placé leur système sur le marché avant le 2 août 2026 : ils disposent, selon l'AI Act Service Desk, jusqu'au 2 décembre 2026 pour se mettre en conformité avec cette obligation de transparence.

Pour une entreprise qui utilise déjà un outil de génération d'image, de voix ou de vidéo depuis avant août 2026, cette échéance de décembre 2026 est celle à surveiller si l'éditeur de l'outil n'a pas encore clarifié comment il signale les contenus générés par IA.

2027 et 2028 : les systèmes d'IA à haut risque et les bacs à sable réglementaires

Le 2 août 2027, chaque État membre doit disposer d'au moins un bac à sable réglementaire pour l'IA opérationnel, selon l'AI Act Service Desk. Ce dispositif permet à un fournisseur de tester un système d'IA sous la supervision d'une autorité, avant sa mise sur le marché.

Le 2 décembre 2027, les règles pour les systèmes d'IA à haut risque listés à l'annexe III du règlement entrent en application. La Commission cite, parmi les cas d'usage concernés, les outils de tri de CV pour le recrutement, les outils de gestion des travailleurs, certains systèmes de notation de crédit, ou les solutions utilisées dans l'éducation pour noter des examens.

À partir de cette date, un système d'IA à haut risque doit répondre à des obligations strictes avant sa mise sur le marché : un système d'évaluation et d'atténuation des risques, des jeux de données de qualité suffisante pour limiter les résultats discriminatoires, une journalisation de l'activité qui assure la traçabilité des résultats, une documentation détaillée permettant aux autorités d'évaluer la conformité, des informations claires pour le déployeur, une supervision humaine appropriée, et un niveau élevé de robustesse, de cybersécurité et de précision, d'après la liste publiée par la Commission.

Le dernier jalon du calendrier est le 2 août 2028 : les règles pour l'IA à haut risque intégrée dans des produits déjà couverts par une réglementation européenne, comme certains dispositifs médicaux ou équipements de transport (annexe I), entrent en application à cette date, selon l'AI Act Service Desk.

Qui doit s'en préoccuper maintenant, et les erreurs à éviter

Une petite entreprise qui se contente d'utiliser un assistant de rédaction ou un outil de visioconférence avec sous-titres automatiques est d'abord concernée par les règles de transparence de l'article 50, entrées en application le 2 août 2026 : informer les personnes qu'elles échangent avec une IA, et signaler un contenu généré par IA quand le règlement l'exige. C'est l'échéance la plus proche et la plus large pour ce profil d'usage.

Une entreprise qui utilise l'IA pour trier des candidatures, évaluer des salariés ou accorder un crédit entre, elle, dans le champ des systèmes à haut risque de l'annexe III : les obligations strictes (documentation, supervision humaine, gestion des risques) s'appliquent à partir du 2 décembre 2027, pas avant. Anticiper ce calendrier avant l'échéance évite de découvrir l'obligation au moment des contrôles.

La première erreur à éviter est de traiter le règlement comme une date unique : d'après le calendrier officiel, il s'étale du 1^er août 2024 au 2 août 2028, et une entreprise peut être concernée par plusieurs échéances successives selon les outils qu'elle utilise. La deuxième erreur est de se fier à une date relayée sans vérifier si elle a été modifiée depuis : l'AI Act Service Desk signale lui-même que plusieurs échéances ont été amendées par l'Omnibus sur l'IA depuis la version initiale du règlement.

La troisième erreur est de considérer un usage interne comme automatiquement sans risque : la reconnaissance des émotions au travail ou la catégorisation biométrique sont interdites depuis le 2 février 2025, quelle que soit la taille de la structure qui les déploie. Les pages consultées de la Commission ne mentionnent aucun seuil d'effectif qui dispenserait une petite entreprise de ces interdictions.