Le 2 août 2026 marque une date opérationnelle pour les entreprises qui conçoivent, déploient ou utilisent des systèmes d’intelligence artificielle en Europe. À compter de ce jalon, l’AI Act encadre plus strictement la mise sur le marché et l’usage de l’IA, avec des exigences concrètes de documentation, de gestion des risques et de transparence, selon le niveau de risque du système. Pour de nombreuses organisations, la question n’est plus de « suivre » le texte, mais de pouvoir démontrer une conformité traçable, contrôlable et maintenable dans le temps.

La difficulté tient au caractère transversal du sujet: directions métiers, DSI, juridique, achats, RH et conformité sont impliqués, y compris lorsque l’IA est achetée « sur étagère » via un éditeur. Le calendrier pousse à prioriser les cas d’usage, à cartographier les outils utilisés et à formaliser des processus internes capables de produire des preuves en cas d’audit ou de contrôle.

Les entreprises déjà structurées sur le RGPD disposent d’un socle utile, mais l’AI Act ajoute des obligations spécifiques, centrées sur le cycle de vie des systèmes d’IA, leurs performances, leurs limites, leurs impacts potentiels et la capacité à réagir en cas d’incident.

AI Act: cartographie des systèmes d’IA et classification des risques

La première exigence, souvent sous-estimée, consiste à savoir précisément où l’IA est utilisée. Les directions découvrent fréquemment une multiplication d’usages, par exemple un assistant génératif intégré à une suite bureautique, un module de scoring dans un CRM, ou un outil de tri automatique de candidatures. À partir du 2 août 2026, une cartographie des systèmes, avec leur finalité, leurs données, leurs responsables et leurs fournisseurs, devient un prérequis pratique pour appliquer l’AI Act.

Cette cartographie sert ensuite à classer les systèmes selon leur niveau de risque, ce qui conditionne les obligations. Les cas proches des domaines sensibles, par exemple l’emploi, la formation, l’accès à des services, la santé ou certaines décisions à impact significatif, concentrent l’attention. L’entreprise doit pouvoir justifier pourquoi un outil est considéré comme « à risque limité » plutôt que « à haut risque », sur des critères documentés et stables, afin d’éviter des requalifications tardives.

La chaîne de valeur complique l’exercice. Une entreprise peut être « déployeur » d’un outil acheté, mais rester responsable de la manière dont il est paramétré et utilisé. Les contrats et cahiers des charges deviennent alors des pièces de conformité: qui fournit la documentation, qui gère les incidents, qui réalise les tests, qui garantit la mise à jour des modèles. Les achats doivent exiger des éléments probants, et pas uniquement des promesses commerciales.

Sur le terrain, une méthode pragmatique consiste à partir des processus les plus exposés: recrutement, évaluation de performance, gestion des risques financiers, relation client automatisée, surveillance et sécurité. Chaque système est décrit par des faits, par exemple « outil de présélection de CV, critères, données sources, fréquence, possibilité de recours », ce qui alimente ensuite l’analyse d’impact et les exigences de contrôle.

Cette phase de classification sert aussi à arbitrer: certains usages peuvent être maintenus avec des garde-fous, d’autres doivent être remplacés ou désactivés faute de preuves suffisantes. La conformité devient une question de pilotage, avec des décisions mesurées, plutôt qu’un simple exercice documentaire.

Transparence, supervision humaine et preuves de conformité dès le 2 août 2026

À compter du 2 août 2026, l’enjeu majeur est la capacité à démontrer une conformité « par les preuves ». La transparence n’est pas un principe abstrait: il s’agit de documenter ce que fait le système, ses limites, ses conditions d’usage et les mesures de réduction des risques. Dans les organisations, cela se traduit par des fiches système, des procédures d’exploitation, des registres de versions et une gouvernance claire. Le triptyque documentation, traçabilité et supervision humaine devient central.

La supervision humaine doit être définie concrètement: qui peut interrompre le système, dans quel délai, sur quel signal, avec quel protocole. Dans un usage RH, par exemple, cela suppose que les décisions restent révisables, que les critères soient compréhensibles, et que les équipes sachent traiter les contestations. Dans une relation client, la supervision implique de contrôler les réponses automatiques, d’identifier les erreurs récurrentes, et d’éviter que l’automatisation ne produise des refus ou des informations trompeuses.

Les entreprises doivent aussi organiser des contrôles de qualité continus. Les modèles évoluent, les données changent, les usages dérivent. Les indicateurs peuvent inclure le taux d’erreurs, les cas limites, les biais détectés, les incidents, les écarts entre environnements de test et de production. Lorsque le système dépend d’un fournisseur, il faut obtenir des engagements écrits sur les mises à jour, la sécurité, les tests, et la communication en cas de faille.

Le volet formation pèse également. Les équipes métiers doivent comprendre les limites, par exemple les hallucinations des modèles génératifs ou les erreurs de classification sur des populations minoritaires. Cette montée en compétence est un livrable de conformité: elle réduit les risques opérationnels et démontre une maîtrise raisonnable de l’outil. Les politiques internes, chartes d’usage et consignes de saisie sont des pièces utiles, à condition d’être appliquées et auditables.

Enfin, la question des sanctions et du risque réputationnel pousse à anticiper les contrôles. Une entreprise capable de produire rapidement ses dossiers de conformité, ses tests et ses registres d’incidents limite son exposition. À l’inverse, une conformité « déclarative » sans preuves augmente le risque lors d’un contrôle ou d’un litige, notamment quand l’IA influence une décision sensible sur un salarié, un candidat ou un client.

105 MWc rachetés, 105 MWc solaires et agrivoltaïques, Radiance mise sur le pipeline Amda, ce que le marché doit affronter

Questions fréquentes

Quelles entreprises sont concernées par les obligations de l’AI Act au 2 août 2026 ?

Sont concernées les organisations qui conçoivent, mettent sur le marché, intègrent ou utilisent des systèmes d’IA dans l’Union européenne. Même en tant qu’utilisatrice d’un outil acheté auprès d’un éditeur, une entreprise peut devoir prouver une gouvernance, des procédures d’usage et une maîtrise des risques liés au déploiement.

Que faut-il faire en premier pour se préparer au 2 août 2026 ?

Le point de départ opérationnel est la cartographie des systèmes d’IA réellement utilisés, y compris les fonctionnalités intégrées aux suites logicielles. Cette étape permet ensuite de classer les cas d’usage par niveau de risque, d’identifier les zones sensibles, et de prioriser la production de documents, contrôles et responsabilités.

Quels types de preuves de conformité une entreprise doit-elle pouvoir produire ?

Les preuves typiques incluent une documentation par système, des procédures de supervision humaine, des registres de versions, des tests de performance et de sécurité, des indicateurs de suivi, et un historique des incidents avec actions correctives. Les contrats fournisseurs et engagements de mise à jour peuvent aussi faire partie du dossier.

La formation des équipes fait-elle partie des obligations pratiques ?

Oui, la formation est un levier clé de réduction des risques. Une entreprise doit pouvoir démontrer que les utilisateurs comprennent les limites du système, savent détecter les erreurs, appliquent les consignes internes, et déclenchent les procédures d’escalade ou d’arrêt lorsque nécessaire.

Lire :  Codex, GPT-5.6, ChatGPT relégué au second plan, OpenAI vise la narration face à Fable, ce qui change pour vos usages

Top 5 IA Boursorama, 24/07/2026, ce palmarès révèle les flux du marché et les vérifications indispensables avant d’agir

2 août 2026, AI Act, obligations renforcées, contrôles attendus et documentation en hausse, ce que DPO et éditeurs doivent affronter