Définition : IA Act
Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle.
En clair : c'est la loi européenne qui encadre l'utilisation de l'IA en entreprise. Toutes les entreprises sont concernées, quelles que soient leur taille ou leur secteur d'activité.
AI ACT : QUELLES OBLIGATIONS POUR VOTRE TPE / PME ?
Règlement (UE) 2024/1689 — Guide pratique pour les dirigeants
TOUTE entreprise utilisant un système d'IA est concernée
Aucune exception de taille (art. 2). Une TPE de 3 salariés utilisant ChatGPT est un « déployeur » (art. 3(4)).
Dire « je n'utilise pas l'IA » n'exonère pas. La cartographie des outils est le préalable indispensable.
Les 3 situations types
Utilise des outils IA du commerce (ChatGPT, CRM, comptabilité...). Ne développe pas d'IA.
- Littératie IA (art. 4)
- Pratiques interdites (art. 5)
- Transparence (art. 50) : chatbots, contenus générés
- Cartographie des outils IA
- Si haut risque détecté → art. 26
L'IA est utilisée DANS le cadre de prestations police/armée, dans un domaine Annexe III pt 6.
- Tout le Cas 1 +
- Respect instructions fournisseur
- Supervision humaine (art. 14)
- Conservation logs 6 mois min.
- AIPD droits fondamentaux
- Signalement incidents graves
Sous-traitant armée/police, utilise ChatGPT en interne mais le livrable ne contient pas d'IA.
- → C'est l'USAGE de l'IA qui détermine le risque. PAS le secteur du client.
- → ChatGPT pour rédiger des notes ≠ IA de profilage criminel
Calendrier des obligations
Sanctions encourues
| Catégorie d'infraction | Sanction max. | Sévérité |
|---|---|---|
| Pratiques interdites (art. 5) | 35 M€ / 7 % CA | ● ● ● |
| Haut risque + Transparence | 15 M€ / 3 % CA | ● ● ● |
| Fausses informations aux autorités | 7,5 M€ / 1 % CA | ● ● ● |
PME (art. 99(6)) : le montant le plus FAIBLE entre % du CA et montant fixe s'applique (filet de sécurité). Le Digital Omnibus a étendu ce mécanisme aux petites ETI (art. 99(6a)).
Digital Omnibus sur l'IA — Règlement (UE) 2026/1744, publié au JOUE le 24 juillet 2026, entré en vigueur le 27 juillet 2026.
Source : Règlements (UE) 2024/1689 et (UE) 2026/1744, Commission européenne, Conseil de l'UE, DGE, CNIL
Données vérifiées au 2 août 2026 — Document à valeur informative
www.strategik.netActualités IA Act
Ce qui a changé depuis l'adoption du Digital Omnibus sur l'IA
Le Digital Omnibus sur l'IA est adopté — ce n'est plus un projet
Le Règlement (UE) 2026/1744, dit « Digital Omnibus sur l'IA », a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026, en procédure d'urgence. Il modifie le Règlement (UE) 2024/1689.
Concrètement : les reports d'échéances qui n'étaient jusqu'ici que des hypothèses de négociation sont désormais du droit positif. Les entreprises peuvent enfin planifier sur des dates fermes.
Les obligations de transparence entrent en application (art. 50)
C'est l'échéance qui concerne le plus grand nombre de TPE et PME, parce qu'elle ne dépend d'aucune classification en haut risque. Quatre situations sont visées :
- Chatbot ou agent conversationnel sur votre site : l'utilisateur doit être informé qu'il s'adresse à une IA — sauf si cela est évident pour une personne raisonnablement avertie et attentive.
- Contenus générés par IA : marquage technique lisible par machine, dans un format interopérable.
- Deepfakes (image, son, vidéo générés ou manipulés) : mention visible du caractère artificiel. Exception pour les œuvres manifestement artistiques, satiriques ou fictionnelles.
- Textes publiés pour informer le public sur des questions d'intérêt général, sans relecture éditoriale humaine : mention obligatoire.
Haut risque : reporté — et cette fois de façon définitive
Les obligations les plus lourdes du règlement sont décalées. Le point à retenir : le mécanisme conditionnel de type « stop-the-clock », qui aurait lié le report à la publication effective des normes harmonisées, a été abandonné dans le texte final. Les dates sont fermes.
Systèmes autonomes : recrutement, notation de crédit, éducation, biométrie, accès aux services essentiels.
Systèmes intégrés à des produits déjà réglementés : dispositifs médicaux, jouets connectés, machines.
Deux nouvelles pratiques interdites : l'article 5 passe de 8 à 10
Le Digital Omnibus complète la liste des pratiques à risque inacceptable :
- Les systèmes d'IA de « nudification », générant des images dénudées de personnes sans leur consentement.
- Les systèmes générant des contenus illicites impliquant des mineurs.
La distinction fournisseur / déployeur est ici importante : pour le fournisseur, l'interdiction joue dès lors que cette génération est intentionnelle, ou raisonnablement prévisible et reproductible faute de garde-fous. Pour le déployeur, elle vise l'usage effectif.
Littératie IA : l'obligation est assouplie, pas supprimée
L'article 4 a été réécrit. On passe d'une obligation de résultat — garantir un niveau de littératie — à une obligation de moyens : prendre des mesures pour soutenir le développement de cette littératie. Le texte précise désormais explicitement que l'obligation n'impose pas de garantir un niveau spécifique pour un individu donné.
Cet assouplissement est réel, mais il déplace la charge de la preuve plutôt qu'il ne l'allège :
- Vous n'avez pas à démontrer la compétence individuelle de chaque salarié.
- Vous devez démontrer que des mesures ont été prises.
- Sans trace écrite et datée, il n'y a aucune mesure démontrable.
France : toujours aucune autorité formellement désignée
Au 2 août 2026, la France n'a pas encore désigné par la loi ses autorités de surveillance du marché ni son autorité notifiante au titre de l'article 70. Le schéma de gouvernance présenté par la Direction générale des entreprises et la DGCCRF le 9 septembre 2025 — DGCCRF en point de contact unique, CNIL sur la biométrie et l'emploi, Arcom sur la transparence et les deepfakes, ACPR sur le crédit et l'assurance, ANSM sur le dispositif médical — reste subordonné à l'adoption du projet de loi DDADUE, toujours en première lecture à l'Assemblée nationale.
À noter également, contre une idée répandue : l'ANSSI et le PEReN interviennent en appui technique mutualisé, et non comme autorités de surveillance.
Ce qu'il faut faire d'ici décembre 2026
- Vérifier vos points de contact avec l'article 50 : chatbot du site, visuels générés par IA sur vos supports, contenus publiés sans relecture humaine.
- Reprendre votre inventaire d'outils IA et le dater — c'est le socle de tout le reste.
- Formaliser la preuve de vos actions de littératie IA : la nouvelle rédaction de l'article 4 rend la trace plus déterminante que le contenu.
- Ne pas relâcher sur le haut risque : décembre 2027 paraît lointain, mais la mise en conformité d'un système d'annexe III demande douze à dix-huit mois.
Données vérifiées au 2 août 2026 — document à valeur informative, ne constitue pas un conseil juridique.
FAQ IA Act
Mon entreprise est une TPE, suis-je vraiment concernée ?
Oui. L'IA Act s'applique à toute entreprise utilisant un système d'IA, sans exception de taille ni de chiffre d'affaires. Les seules exclusions concernent l'usage exclusivement militaire, l'usage personnel et la recherche scientifique pure.
Je n'utilise que ChatGPT, suis-je concerné ?
Oui. ChatGPT est un système d'IA au sens du Règlement.
Dès lors que vous l'utilisez dans un cadre professionnel, vous êtes juridiquement « déployeur » et les obligations s'appliquent.
Qu'est-ce qu'un déployeur ?
Toute personne ou entreprise qui utilise un système d'IA sous sa propre autorité. Vous n'avez pas besoin de développer l'IA — le simple fait de l'utiliser vous donne ce statut.
À quelles obligations dois-je répondre aujourd'hui ?
Trois blocs sont applicables. Depuis le 2 février 2025 : la littératie IA (art. 4) et l'interdiction des 8 pratiques à risque inacceptable (art. 5). Depuis le 2 août 2026 : les obligations de transparence (art. 50) — chatbots, contenus générés par IA, deepfakes. Ce ne sont pas des recommandations, ce sont des obligations légales.
Qu'est-ce que la littératie IA ?
L'obligation de prendre des mesures pour développer la compréhension de l'IA chez vos collaborateurs : fonctionnement, limites et risques. Depuis le 27 juillet 2026, le texte précise qu'il ne s'agit pas de garantir un niveau individuel — c'est une obligation de moyens. Aucun format imposé (formation, atelier, coaching, e-learning), mais la trace écrite devient votre seule preuve en cas de contrôle.
Quelles sont les sanctions prévues par l'IA Act ?
Jusqu'à 35 M€ ou 7 % du CA mondial pour les pratiques interdites. Jusqu'à 15 M€ ou 3 % pour le non-respect des obligations haut risque ou de transparence. Jusqu'à 7,5 M€ ou 1 % pour la fourniture d'informations inexactes aux autorités. Pour les PME, c'est toujours le montant le plus faible qui s'applique.
Je travaille pour l'armée ou la police, quelles différences ?
Si votre IA touche un domaine sensible (profilage, évaluation de preuves, biométrie), les obligations sont renforcées. Si vous utilisez l'IA uniquement en interne et que votre livrable ne contient pas d'IA, vous relevez du régime standard.
Attention : l'exemption de l'article 2(3) ne couvre que les usages exclusivement militaires, de défense ou de sécurité nationale. Les activités de police restent pleinement soumises au règlement.
L'Omnibus va-t-il repousser les échéances ?
C'est fait. Le Digital Omnibus sur l'IA — Règlement (UE) 2026/1744 — a été publié au JOUE le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Les obligations haut risque sont reportées au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I), sans condition. Les obligations de base ne bougent pas : littératie IA, pratiques interdites, et transparence depuis le 2 août 2026.
Ma charte informatique suffit-elle ?
Non, l'IA pose des risques spécifiques (hallucinations, biais, confidentialité des données partagées avec des outils externes) que votre charte informatique ne couvre pas. Une charte IA dédiée est un bon début mais ne peut suffire à répondre à l'ensemble des exigences de l'IA Act.
Comment se mettre rapidement en conformité ?
Vous pouvez commencer par 4 actions simples :
- Télécharger et lire l'IA Act
- Vérifier que vous ne faites rien d'interdit
- Inventorier vos outils IA
- Cartographier leurs usages et leur utilisation avec vos données
Je peux vous accompagner pour compléter votre conformité et structurer tout cela en quelques séances.