Règlement (UE) 2024/1689 · État du droit septembre 2026
L'EU AI Act est là. La seule question qui reste est de savoir à quel point vous y êtes préparé.
Depuis le 2 août 2026, le règlement sur l'IA s'applique dans une large mesure. L'Omnibus numérique a assoupli certains délais — mais pas l'obligation de savoir quelle IA vous utilisez et qui en est responsable.
- Délais actuels selon l'Omnibus numérique de juillet 2026
- Exemples concrets issus de huit secteurs
- Évaluation honnête : ce que couvre l'ISO 42001 — et ce qu'elle ne couvre pas
- 2 août 2026
- Règlement sur l'IA généralement applicable
- 2 déc. 2027
- IA à haut risque selon l'annexe III
- 2 août 2028
- IA dans des produits réglementés (annexe I)
- jusqu'à 35 millions d'€
- Cadre des amendes
Les obligations de transparence selon l'art. 50 s'appliquent
reporté par l'Omnibus numérique
reporté par l'Omnibus numérique
ou 7 % du chiffre d'affaires annuel mondial en cas de pratiques interdites
Délais
Ce qui s'applique et quand — état en septembre 2026
Le Digital Omnibus sur l'IA a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il reporte nettement les obligations relatives à l'IA à haut risque — tout le reste demeure.
2 février 2025
Pratiques d'IA interdites (art. 5) et obligation de compétence en matière d'IA (art. 4)
s'applique — non affecté par l'Omnibus2 août 2025
Obligations pour les modèles à usage général (GPAI, art. 53)
s'applique — mise en application depuis août 20262 août 2026
Applicabilité générale du règlement, obligations de transparence (art. 50)
s'applique depuis un mois2 décembre 2027
IA à haut risque selon l'annexe III (systèmes autonomes)
reporté, initialement le 2 août 20262 août 2028
IA à haut risque selon l'annexe I (IA dans des produits réglementés)
reporté
Ce que le report ne signifie pas : il ne s'agit pas d'une levée d'alerte. Les pratiques interdites, la compétence en IA, les obligations de transparence et les règles GPAI s'appliquent déjà. Et quiconque doit démontrer une conformité à haut risque en 2027 ne dispose pas de 15 mois pour cela — il doit d'ici là exploiter une gestion des risques fonctionnelle, qui nécessite des données issues de l'exploitation en cours.
Concerné
Deux questions déterminent vos obligations
1 – Quel est votre rôle ? Le règlement distingue principalement entre les *fournisseurs* — celui qui développe un système d'IA ou le met sur le marché sous son propre nom — et les *déployeurs*, qui utilisent un système d'IA sous leur propre responsabilité. La plupart des entreprises sont des déployeurs. Les obligations des déployeurs sont plus légères, mais elles existent : usage conforme à la destination, surveillance humaine, information des personnes concernées, journalisation.
2 – Dans quelle classe de risque le système s'inscrit-il ? Interdit, à haut risque, soumis à l'obligation de transparence ou à risque minimal. C'est vous qui effectuez la classification — personne ne le fait à votre place. Et c'est précisément là que la plupart échouent : il n'existe pas d'inventaire, donc pas de classification non plus.
- Interdit
Notation sociale, reconnaissance des émotions sur le lieu de travail, extraction non ciblée d'images faciales et autres pratiques selon l'art. 5. En vigueur depuis février 2025.
- Risque élevé
entre autres, sélection du personnel, solvabilité, accès à l'éducation, infrastructures critiques, application de la loi, ainsi que l'IA dans les produits réglementés.
- Soumis à l'obligation de transparence
Chatbots, contenus générés, deepfakes : les personnes doivent savoir qu'elles ont affaire à une IA. En vigueur depuis août 2026.
- Risque minimal
la plus grande partie. Aucune obligation particulière, mais l'obligation de compétence en IA selon l'art. 4 s'applique néanmoins.
Huit secteurs, huit cas concrets
Les classes de risque abstraites n'aident personne. Voici comment le règlement se traduit concrètement dans la pratique.
Personnel et recrutement
Sélection, promotion, évaluation des performances — en principe à haut risque selon l'annexe III
Une entreprise utilise le tri automatisé des CV. À partir de décembre 2027, elle aura besoin d'une gestion des risques, de preuves de qualité des données, d'une journalisation et d'une surveillance humaine documentée. Qui commence aujourd'hui aura les preuves d'ici là. Qui commence en 2027 ne les aura pas.
Finance et assurance
Évaluation de la solvabilité des personnes physiques et évaluation des risques dans l'assurance vie et maladie — Risque élevé
Un établissement de crédit utilisant un scoring assisté par IA doit pouvoir expliquer quelles caractéristiques entrent en jeu, comment les biais ont été vérifiés et qui peut annuler un refus.
Santé et technologie médicale
L'IA en tant que dispositif médical relève de l'annexe I — délai août 2028, mais avec une conformité produit complète
Un fournisseur de logiciels d'analyse d'images doit intégrer les exigences relatives à l'IA dans son évaluation de conformité existante, et non à côté.
Industrie et construction mécanique
IA en tant que composant de sécurité dans les machines — Annexe I
Un constructeur de machines avec détection des défauts assistée par IA sur la presse a besoin de la documentation IA dans le cadre de la conformité machine.
Administration publique
Accès aux prestations, accès à l'éducation, contexte de migration et d'application de la loi — Risque élevé, parfois analyse d'impact supplémentaire sur les droits fondamentaux
Une autorité qui présélectionne des demandes doit garder la décision traçable et contestable — et informer les personnes concernées.
Éducation et formation continue
Admission, évaluation, surveillance des examens — Risque élevé
Un prestataire avec évaluation automatisée des examens a besoin d'une preuve d'équité, de taux d'erreur et d'un moyen de contrôle humain.
Logiciels et SaaS
Le rôle peut basculer d'opérateur à fournisseur — l'erreur la plus coûteuse en pratique
Un fournisseur SaaS intègre un modèle tiers et commercialise la fonction sous son propre nom. Il devient ainsi fournisseur — avec des obligations bien plus étendues que ce que son équipe suppose.
Commerce et marketing
Chatbots, contenus générés, personnalisation — Obligations de transparence selon l'art. 50, depuis août 2026
Un commerçant avec un chatbot IA et des images de produits générées par IA doit signaler les deux. Ce n'est pas de la musique d'avenir, cela s'applique dès maintenant.
Là où l'ISO 42001 couvre structurellement les obligations du règlement
Ne remplace pas une évaluation de conformité — mais constitue la structure dans laquelle naissent les preuves requises.
Ce que fournit ISO 42001 à cet égard
- Système de gestion des risques (art. 9)Évaluation et traitement des risques liés à l'IA sur l'ensemble du cycle de vie
- Données et gouvernance des données (art. 10)Exigences relatives à l'origine, la qualité et l'utilisation des données
- Documentation technique (art. 11)Informations documentées et registre des systèmes
- Obligations d'enregistrement et de journalisation (art. 12)Surveillance, mesure, enregistrement des systèmes d'IA
- Transparence vis-à-vis des opérateurs (art. 13)Exigences de transparence et de communication
- Contrôle humain (art. 14)Rôles, responsabilités, possibilités d'intervention
- Exactitude, robustesse, cybersécurité (art. 15)partiellement — la cybersécurité principalement via ISO/IEC 27001
- Système de management de la qualité du fournisseur (art. 17)c'est exactement un AIMS selon la norme 42001
- Compétence en IA (art. 4)Exigences en matière de compétences, de formation et de sensibilisation
- Évaluation de la conformité et CE (art. 43)non couvert — procédure propre
- Enregistrement dans la base de données de l'UE (art. 49)non couvert — obligation propre
Couverture
- Système de gestion des risques (art. 9)élevé
- Données et gouvernance des données (art. 10)élevé
- Documentation technique (art. 11)moyen — la profondeur spécifique au produit provient de l'annexe IV, pas de la norme
- Obligations d'enregistrement et de journalisation (art. 12)moyen
- Transparence vis-à-vis des opérateurs (art. 13)moyen
- Contrôle humain (art. 14)élevé
- Exactitude, robustesse, cybersécurité (art. 15)moyen (combinaison avec 27001 recommandée)
- Système de management de la qualité du fournisseur (art. 17)élevé
- Compétence en IA (art. 4)élevé
- Évaluation de la conformité et CE (art. 43)aucune
- Enregistrement dans la base de données de l'UE (art. 49)aucune
En clair
Ce qu'apporte un certificat ISO 42001 — et ce qu'il n'apporte pas
Beaucoup d'affirmations circulent actuellement sur le marché. Voici donc notre position, aussi claire que possible :
Un certificat ISO 42001 ne fonde aucune présomption de conformité au titre du règlement sur l'IA. Celle-ci découle exclusivement de normes harmonisées répertoriées au Journal officiel de l'UE ; les travaux de normalisation européens correspondants sont encore en cours. Quiconque vous promet autre chose vous vend un risque.
Ce qu'apporte l'ISO 42001 : elle oblige votre organisation à faire ce que le règlement exige de toute façon — savoir quelle IA est présente dans l'entreprise, attribuer les responsabilités, évaluer les risques, gouverner les données, assurer la surveillance, traiter les incidents. Et elle fait vérifier tout cela de manière externe. Lorsqu'une autorité, un grand client ou un assureur pose la question, la différence entre « nous y travaillons » et un système de management certifié est considérable.
Questions fréquentes sur l'EU AI Act
Très probablement oui, dès que vous mettez des systèmes d'IA en circulation dans l'UE ou que leurs résultats sont utilisés dans l'UE. Le règlement produit des effets au-delà des frontières de l'UE, à l'instar du RGPD.
Même dans ce cas, vous êtes un exploitant. L'obligation de compétence en IA selon l'art. 4 s'applique indépendamment de la classe de risque, et les applications internes dans le domaine des ressources humaines peuvent tout à fait être à haut risque.
Il a été publié le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Les obligations relatives à l'IA à haut risque selon l'annexe III sont reportées au 2 décembre 2027, et celles de l'annexe I au 2 août 2028. Les pratiques interdites, la compétence en IA, les règles GPAI et les obligations de transparence restent inchangées.
Jusqu'à 35 millions € ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites ; des plafonds plus bas pour les autres infractions. Le montant déterminant est à chaque fois le plus élevé.
Non. Elle ne crée pas de présomption de conformité, mais couvre une grande partie des exigences organisationnelles et constitue la meilleure preuve de maturité disponible aujourd'hui.
Le fournisseur développe ou met sur le marché sous son propre nom ; le déployeur utilise sous sa propre responsabilité. Celui qui propose un modèle tiers sous sa propre marque ou le modifie de manière substantielle peut devenir fournisseur — un point régulièrement sous-estimé en pratique.
Par l'inventaire. Sans savoir quels systèmes d'IA sont utilisés en interne, on ne peut déterminer aucune classe ni en déduire aucune obligation. C'est exactement là que commence aussi ISO 42001.
Non. Nous présentons l'état des lieux de manière compréhensible ; la classification de vos systèmes et l'évaluation juridique au cas par cas relèvent de professionnels compétents.
De « il faudrait qu'on » à « nous pouvons le prouver »
Remplissez l'auto-évaluation ou calculez directement ce que coûte ISO 42001 — seule ou avec la 27001 — chez vous.
