AI Act : ce que les entreprises, les RH et la formation doivent savoir en 2026

Le règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024. C’est le premier cadre juridique complet sur l’intelligence artificielle au monde. Il ne réglemente pas la technologie en elle-même, mais ses usages, selon le niveau de risque qu’ils font courir aux personnes.

Il concerne à la fois les fournisseurs (ceux qui développent ou mettent sur le marché un système d’IA) et les déployeurs (les entreprises qui l’utilisent dans leur activité). Une PME qui utilise ChatGPT, Copilot ou un logiciel RH doté d’IA est un déployeur : elle est concernée.

• Risque inacceptable (interdit) : notation sociale, manipulation exploitant les vulnérabilités, reconnaissance des émotions sur le lieu de travail ou dans l’enseignement (sauf raisons médicales ou de sécurité)…
• Haut risque : systèmes utilisés dans des domaines sensibles, dont l’emploi et la gestion du personnel (tri de CV, évaluation de candidats, décisions de promotion) et l’éducation et la formation (admission, évaluation des apprentissages, orientation, surveillance des examens). Ils sont soumis à des exigences fortes : gestion des risques, qualité des données, documentation, supervision humaine, information des personnes.
• Risque limité : chatbots, contenus générés par l’IA. L’obligation principale est la transparence : dire que l’on échange avec une IA, signaler les contenus générés ou modifiés.
• Risque minimal : la grande majorité des usages courants (correcteur, filtre anti-spam, aide à la rédaction) : pas d’obligation spécifique, mais les bonnes pratiques restent de mise.

En juillet 2026, le règlement (UE) 2026/1744, dit « Digital Omnibus », a modifié plusieurs échéances. Le calendrier à retenir :

• 2 février 2025 : interdiction des pratiques inacceptables et obligation de maîtrise de l’IA (article 4) ;
• 2 août 2025 : règles pour les modèles d’IA à usage général (ceux qui font fonctionner ChatGPT, Claude, Gemini, Mistral…) ;
• 2 août 2026 : obligations de transparence (article 50) ;
• 2 décembre 2026 : fin du délai de grâce pour le marquage des contenus générés par les systèmes déjà sur le marché ;
• 2 décembre 2027 : obligations des systèmes à haut risque « autonomes », dont le recrutement et la formation (initialement prévues en août 2026) ;
• 2 août 2028 : systèmes d’IA intégrés à des produits réglementés.

1. Développer la maîtrise de l’IA de ses équipes : depuis fin juillet 2026, l’article 4 impose de prendre des mesures pour développer ces compétences (formation, règles d’usage, accompagnement), sans exiger un niveau garanti pour chaque personne. Former ses salariés reste le moyen le plus simple de le démontrer ;
2. Cartographier les usages : quels outils, pour quelles tâches, avec quelles données ;
3. Écrire une charte d’usage : outils autorisés, données interdites, validation humaine, transparence ;
4. Être transparent : informer lorsqu’un client ou un candidat échange avec un chatbot, signaler les contenus générés quand c’est requis ;
5. Repérer les usages à haut risque (tri de candidatures, évaluation de salariés) et préparer leur mise en conformité avant décembre 2027 : supervision humaine, documentation, information des personnes, dialogue avec les fournisseurs.

• Tri automatique de CV ou scoring de candidats : haut risque. Une décision de rejet ne doit jamais reposer sur la seule machine ; les critères doivent être maîtrisés et non discriminants ;
• Évaluation des apprenants par l’IA (correction automatique, positionnement, orientation) : haut risque lorsqu’elle influence l’accès à une formation ou un résultat ; le regard du formateur reste déterminant ;
• Surveillance des examens par analyse vidéo ou comportementale : haut risque, et interdite si elle déduit des émotions ;
• Chatbots d’information (inscriptions, questions administratives) : risque limité, avec obligation de transparence ;
• Création de contenus pédagogiques avec l’IA : risque minimal, mais vérification humaine indispensable et attention aux droits d’auteur.

• Pratiques interdites : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial ;
• Non-respect des autres obligations (haut risque, transparence) : jusqu’à 15 millions d’euros ou 3 % ;
• Informations inexactes fournies aux autorités : jusqu’à 7,5 millions d’euros ou 1 %.

Des plafonds adaptés sont prévus pour les PME et les start-up. Ces informations sont données à titre indicatif et ne remplacent pas un conseil juridique.

Formations IA générative pour tous les salariés (1 jour pour être opérationnel), ateliers par métier, accompagnement à la rédaction de votre charte d’usage, et conseil IA & RH pour sécuriser vos usages en recrutement et en formation : NAPSIA vous aide à passer d’une contrainte réglementaire à un vrai gain de compétences. Audit gratuit de 30 minutes sur demande.