IT Glossary
L'AI Act encadre l'IA selon son niveau de risque. Calendrier après l'AI Omnibus de 2026, obligations des déployeurs comme la maîtrise de l'IA, inventaire.
November 2, 2026
L'AI Act est un règlement européen qui encadre les systèmes d'intelligence artificielle selon le risque qu'ils présentent, des pratiques interdites aux systèmes à haut risque, en passant par les obligations de transparence et le risque minimal, avec des règles distinctes pour les modèles d'IA à usage général. Il s'agit du règlement (UE) 2024/1689, entré en vigueur le 1er août 2024, qui vise les entreprises qui fournissent de l'IA comme celles qui la déploient.
Le règlement distingue le fournisseur, qui développe un système ou un modèle d'IA et le met sur le marché, du déployeur, qui utilise un système d'IA sous sa propre autorité dans un cadre professionnel. La plupart des PME et ETI sont des déployeurs d'assistants IA, de fonctions d'IA intégrées à leurs outils SaaS ou de services de transcription. Les exigences les plus lourdes pèsent surtout sur les fournisseurs, mais deux obligations concernent déjà les déployeurs : l'interdiction des pratiques prohibées et la maîtrise de l'IA prévue à l'article 4. Aucune des deux ne peut être respectée sans savoir quels outils d'IA les salariés utilisent réellement, y compris ceux adoptés sans validation de la DSI.
Le règlement (UE) 2024/1689 est devenu applicable de manière générale le 2 août 2026, un an après les obligations visant les modèles d'IA à usage général. L'AI Omnibus, règlement (UE) 2026/1744 publié au Journal officiel le 24 juillet 2026, a reporté les obligations relatives au haut risque : elles s'appliquent à partir du 2 décembre 2027 pour les systèmes de l'annexe III et du 2 août 2028 pour ceux de l'annexe I (intégrés à des produits). En France, l'AI Act s'articule avec le RGPD, dont la CNIL contrôle l'application dès que des données personnelles sont en jeu.
Un éditeur de logiciels de 350 salariés a validé un seul assistant IA pour tout le personnel. Un scan de découverte SaaS révèle 27 outils d'IA en service, des preneurs de notes de réunion aux fonctions d'IA activées dans le CRM, souvent réglés par note de frais. Avant de bâtir un plan de formation à la maîtrise de l'IA par équipe ou de vérifier qu'aucun usage ne frôle une pratique interdite, la responsable conformité a besoin de cette liste, avec les utilisateurs de chaque outil.
Corma fournit cette étape d'inventaire : la visibilité sur la shadow AI identifie les outils d'IA utilisés avec leurs utilisateurs et leurs licences, les revues d'accès avec preuves d'audit documentent qui utilise encore chaque outil, et le suivi des dépenses IA mesure leur coût.
Par étapes. Le règlement est entré en vigueur le 1er août 2024 et applicable de manière générale le 2 août 2026, avec des dates plus précoces pour les pratiques interdites, la maîtrise de l'IA et les modèles à usage général, et plus tardives pour le haut risque.
Oui. Une entreprise qui utilise un système d'IA dans un cadre professionnel est un déployeur, déjà concerné par l'interdiction des pratiques prohibées et par l'obligation de maîtrise de l'IA.
Pour les pratiques interdites, les amendes peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Il a reporté les obligations relatives au haut risque, au 2 décembre 2027 pour l'annexe III et au 2 août 2028 pour l'annexe I. L'AI Act est bien devenu applicable de manière générale le 2 août 2026.
