AI Act entreprises : le règlement européen sur l’intelligence artificielle ne concerne pas uniquement les sociétés qui développent des outils d’IA. Une entreprise peut également relever de l’AI Act parce qu’elle commercialise, importe, intègre ou utilise un système d’intelligence artificielle dans le cadre de son activité. Depuis le 2 août 2026, l’essentiel du règlement est applicable, mais les obligations et les échéances varient selon le rôle de l’entreprise et le niveau de risque du système concerné.

Par Morgan Jamet et Haia El Zufari, avocats – ARST Avocats

Cet article constitue une version développée et actualisée de notre analyse initialement publiée au Village de la Justice.

L’AI Act s’applique-t-il à toutes les entreprises ?

Le règlement (UE) 2024/1689 sur l’intelligence artificielle, dit « AI Act », est entré en vigueur le 1er août 2024. Directement applicable en France, il a été ajusté par le règlement (UE) 2026/1744, dit « AI Omnibus », entré en vigueur le 27 juillet 2026.

Son champ d’application ne dépend ni de la taille de l’entreprise ni, en principe, de son secteur. Une TPE, une PME, une association, une profession libérale, une ETI ou un groupe peuvent donc être concernés. La bonne question n’est pas seulement : « utilisons-nous de l’IA ? », mais : « quel rôle jouons-nous à l’égard de chaque système d’IA et quel risque présente son utilisation ? »

AI Act entreprises : quelles sociétés sont concernées ?

Situation de l’entreprise	Qualification AI Act	Exemple concret
Elle utilise une IA dans son activité	Déployeur	Assistant génératif, analyse de contrats, création de contenus
Elle commercialise une IA sous son nom ou sa marque	Fournisseur	Logiciel de tri de candidatures développé en interne ou sous-traité
Elle fournit un modèle généraliste	Fournisseur de modèle d’IA à usage général	Grand modèle de langage utilisable pour de multiples tâches
Elle introduit dans l’UE une IA provenant d’un fournisseur hors UE	Importateur	Solution américaine ou asiatique revendue en France
Elle revend une IA sans être fournisseur ni importateur	Distributeur	Revendeur européen de solutions d’IA
Elle intègre une IA de sécurité dans un produit réglementé	Fabricant assimilé au fournisseur	Dispositif médical, jouet, ascenseur ou EPI intégrant une IA

La mise en conformité avec l’AI Act des entreprises suppose donc de déterminer précisément le rôle occupé pour chacun des systèmes utilisés ou commercialisés.

Une même entreprise peut cumuler plusieurs qualités. Elle peut, par exemple, utiliser un assistant génératif comme déployeur et commercialiser, sous sa marque, un autre outil dont elle devient fournisseur.

Quelles obligations l’AI Act impose-t-il aux entreprises ?

L’utilisation professionnelle d’un système d’IA sous l’autorité de l’entreprise lui confère en principe la qualité de déployeur. Cela ne signifie pas qu’un usage ponctuel d’un assistant rédactionnel entraîne les mêmes contraintes qu’un système évaluant la solvabilité de particuliers ou sélectionnant des candidats à l’embauche.

Pour les usages ordinaires, les premiers enjeux sont généralement les suivants :

• identifier les outils réellement utilisés, y compris les usages non officiellement autorisés ;
• former les collaborateurs à leurs possibilités, limites et risques ;
• écarter les pratiques interdites ;
• respecter les obligations de transparence lorsque l’outil ou le contenu entre dans les cas visés par l’article 50 ;
• articuler l’AI Act avec le RGPD, la confidentialité, le secret des affaires, la propriété intellectuelle et les règles internes de sécurité.

AI Act entreprises : quelles obligations s’appliquent en 2026 ?

1. Développer la maîtrise de l’IA dans l’entreprise

Depuis le 2 février 2025, les fournisseurs et les déployeurs doivent prendre des mesures pour soutenir le développement d’une maîtrise suffisante de l’IA par leur personnel et les autres personnes utilisant ces systèmes pour leur compte. Depuis l’AI Omnibus de juillet 2026, l’entreprise n’a pas à garantir un niveau uniforme pour chaque personne : les mesures doivent être adaptées aux connaissances, à l’expérience, à la formation et au contexte d’utilisation.

En pratique, une politique d’usage, une sensibilisation ciblée, une documentation accessible et des formations proportionnées constituent les premières briques d’un dispositif de conformité.

2. Ne pas recourir aux pratiques d’IA interdites

Les principales pratiques interdites s’appliquent depuis le 2 février 2025 : manipulation préjudiciable, exploitation de certaines vulnérabilités, notation sociale, certaines formes de police prédictive, constitution non ciblée de bases de reconnaissance faciale, reconnaissance des émotions au travail ou dans l’enseignement hors exceptions, certaines catégorisations biométriques et identification biométrique à distance en temps réel à des fins répressives hors cas strictement encadrés.

Deux interdictions supplémentaires issues de l’AI Omnibus entreront en application le 2 décembre 2026. Elles concernent les systèmes utilisés pour générer ou manipuler des contenus intimes non consentis ou des contenus représentant des abus sexuels sur enfants.

3. Respecter les obligations de transparence

Depuis le 2 août 2026, certaines personnes doivent être informées qu’elles interagissent avec une IA, sauf si cela ressort clairement des circonstances. Des obligations spécifiques concernent également la reconnaissance des émotions, la catégorisation biométrique, les hypertrucages (« deepfakes ») et certains textes générés ou manipulés par l’IA lorsqu’ils sont publiés afin d’informer le public sur une question d’intérêt général.

Quel calendrier de l’AI Act pour les entreprises ?

Date	Principales règles applicables
2 février 2025	Maîtrise de l’IA et premières pratiques interdites
2 août 2025	Gouvernance et obligations relatives aux nouveaux modèles d’IA à usage général
2 août 2026	Application générale, transparence et pouvoirs de contrôle
2 décembre 2026	Deux nouvelles pratiques interdites ; certains régimes transitoires de marquage
2 août 2027	Mise en conformité des modèles d’IA à usage général déjà commercialisés avant le 2 août 2025
2 décembre 2027	Obligations relatives aux systèmes à haut risque visés par l’annexe III
2 août 2028	Obligations relatives aux systèmes à haut risque intégrés à des produits réglementés de l’annexe I

Quand un système d’IA est-il considéré comme à haut risque ?

Deux grandes catégories doivent être distinguées. Relèvent d’abord du haut risque certains usages sensibles énumérés à l’annexe III : biométrie, infrastructures critiques, éducation, emploi, accès à des services essentiels, solvabilité, assurance-vie et santé, maintien de l’ordre, migration, justice et processus démocratiques. Relèvent ensuite du haut risque certains systèmes intégrés comme composants de sécurité dans des produits soumis à une réglementation européenne, tels que les dispositifs médicaux, les équipements de protection individuelle, les jouets ou les ascenseurs.

Le déployeur d’un système à haut risque devra notamment suivre les instructions du fournisseur, organiser un contrôle humain effectif, surveiller le fonctionnement, conserver certains journaux, informer les personnes concernées dans certains cas et coopérer avec les autorités. Des obligations supplémentaires peuvent incomber aux employeurs, organismes publics, prestataires de service public et acteurs du crédit ou de l’assurance.

Attention à la requalification en fournisseur

Une entreprise initialement simple utilisatrice, importatrice ou distributrice peut devenir juridiquement fournisseur d’un système d’IA à haut risque. Tel peut être le cas lorsqu’elle appose son nom ou sa marque sur le système, lui apporte une modification substantielle ou change sa destination de manière à le faire entrer dans la catégorie du haut risque.

La qualification ne dépend donc pas uniquement du contrat ou de la terminologie commerciale choisie par l’éditeur. Elle résulte de la réalité des opérations accomplies.

Comment préparer la conformité AI Act de son entreprise ?

Pour les entreprises concernées par l’AI Act, la première étape consiste à recenser les outils effectivement utilisés, y compris ceux adoptés directement par les collaborateurs.

Une démarche proportionnée peut être engagée en sept étapes :

1. Cartographier les outils et modèles d’IA utilisés, développés, intégrés ou commercialisés.
2. Qualifier le rôle de l’entreprise pour chaque système : déployeur, fournisseur, importateur, distributeur ou fabricant.
3. Classer les usages selon leur niveau de risque et repérer les pratiques interdites.
4. Vérifier les obligations déjà applicables, notamment la maîtrise de l’IA et la transparence.
5. Encadrer les usages par une charte, des procédures et des formations adaptées.
6. Auditer les contrats avec les éditeurs, intégrateurs, sous-traitants, clients et distributeurs.
7. Organiser la preuve de la conformité : décisions, formations, notices, contrôles, incidents et mesures correctives.

AI Act et contrats d’intelligence artificielle : quelles clauses vérifier ?

L’AI Act attribue des obligations propres à chaque opérateur, mais les contrats doivent permettre leur exécution concrète. Ils devraient notamment traiter la qualification des parties, la destination autorisée du système, les informations et documentations à remettre, la coopération en cas d’audit ou d’incident, les modifications du système, les données d’entrée et de sortie, la cybersécurité, la propriété intellectuelle, la confidentialité, les responsabilités et les conditions de réversibilité.

Une clause ne peut pas supprimer une responsabilité réglementaire envers les autorités. Elle peut toutefois répartir les tâches, organiser les recours entre les parties et réduire les zones d’incertitude opérationnelle.

FAQ – AI Act et entreprises

L’AI Act concerne-t-il les PME et les TPE ?

Oui. La taille n’exclut pas l’application du règlement. Elle peut toutefois être prise en compte dans certaines mesures de proportionnalité ou de simplification.

Une entreprise sans service informatique peut-elle être concernée ?

Oui. Le simple usage professionnel d’un système d’IA peut conférer la qualité de déployeur.

L’utilisation de ChatGPT est-elle interdite en entreprise ?

Non. L’AI Act n’interdit pas l’usage général d’un assistant génératif. L’entreprise doit néanmoins encadrer son utilisation et respecter les règles applicables, notamment en matière de maîtrise de l’IA, de transparence, de données et de confidentialité.

Quand l’AI Act est-il applicable ?

La date générale est le 2 août 2026, mais certaines règles s’appliquent depuis 2025 et les principales obligations relatives aux systèmes à haut risque ont été reportées à décembre 2027 ou août 2028.

Quelle est la première action à mener ?

Réaliser une cartographie des outils et usages d’IA, y compris ceux adoptés directement par les salariés, puis qualifier le rôle de l’entreprise et le niveau de risque de chaque usage.

ARST Avocats vous accompagne

Le cabinet ARST Avocats accompagne les entreprises dans l’identification de leurs obligations au titre de l’AI Act, la cartographie et la qualification de leurs usages, la rédaction de chartes internes, la formation des équipes ainsi que l’audit et la négociation de leurs contrats liés à l’intelligence artificielle.

Vous souhaitez vérifier si votre entreprise est concernée ou construire un plan de mise en conformité proportionné à vos usages ? Contactez-nous.