AI Act : ce que doit faire votre entreprise en France

Une PME française qui achète un logiciel de tri de CV, installe un robot de devis sur son site ou fait rédiger ses courriers par un assistant ne fabrique aucune IA. L’AI Act lui donne pourtant un statut précis : celui de déployeur.

Cette page suit une entreprise inventée, Cuisines Fictives Valrouge, soixante salariés et sept outils, pour trier ce qui s’applique déjà, ce qui attend décembre 2027 et ce qui ne la concerne pas. Ce que ses équipes collent dans ces outils relève d’un autre texte, le RGPD appliqué aux données clients.

Qui est déployeur au sens de l’AI Act, et quand on cesse de l’être

L’article 3, point 4, appelle déployeur toute personne, autorité publique ou organisme qui utilise un système d’IA « sous sa propre autorité », hors activité personnelle non professionnelle. Société, association, collectivité territoriale : dès qu’un outil sert au travail, vous y êtes.

Le statut n’est pas acquis pour toujours. L’article 25 traite en fournisseur celui qui revend sous sa marque un système à haut risque, celui qui le modifie substantiellement, ou celui qui donne à un outil une destination qui le rend à haut risque.

Ce dernier cas guette les bricoleurs. Brancher un assistant généraliste sur la boîte des candidatures pour classer les CV, c’est lui donner une destination de l’annexe III. Ce montage maison me paraît plus exposé que l’achat d’un logiciel du marché, dont l’éditeur reste le fournisseur.

Usages d’IA interdits en entreprise : ce que l’article 5 vise chez une PME

Depuis le 2 février 2025, l’article 5 interdit une courte liste de pratiques, à l’utilisateur comme au vendeur. Deux touchent une entreprise ordinaire : inférer les émotions d’une personne sur le lieu de travail, sauf raisons médicales ou de sécurité, et la notation sociale qui mène à un traitement défavorable.

Chez Valrouge, un éditeur a proposé de brancher sur les caméras du showroom un module qui repère la contrariété des vendeurs. C’est exactement le point f. Passez votre chemin, quelle que soit la remise : cette catégorie porte le plafond de sanction le plus haut du règlement.

Le règlement (UE) 2026/1744 ajoute deux interdictions au 2 décembre 2026 : les contenus sexuels non consentis d’une personne identifiable et les contenus pédocriminels. Une PME honnête n’y touche pas, mais un refus écrit dans la charte IA de l’entreprise laisse une trace datée.

« Formation IA obligatoire » : ce que l’article 4 exige, mot pour mot

La formule envahit les résultats de recherche. L’article 4 d’origine demandait de prendre des mesures pour garantir, « dans toute la mesure du possible », un niveau suffisant de maîtrise de l’IA chez le personnel. Ni organisme agréé, ni durée, ni diplôme.

Le règlement (UE) 2026/1744 a remplacé ce texte. Il faut désormais prendre des mesures « pour favoriser le développement de la maîtrise de l’IA », sans obligation de « garantir un niveau spécifique » par individu. Sur le certificat, la Commission tranche le 20 octobre 2026 : « Un certificat n’est pas nécessaire ».

Une heure maison sur vos outils, vos interdits et les données à retirer avant l’IA, consignée dans un registre, me convainc davantage qu’une attestation achetée. La CNIL, elle, recommande de former les utilisateurs « de façon adaptée ».

Article 50 : transparence du chatbot, des images de synthèse et des hypertrucages

Depuis le 2 août 2026, l’article 50 répartit la transparence. Le fournisseur conçoit son robot pour qu’on sache parler à une machine et marque les contenus générés dans un format lisible par machine. Le déployeur signale les hypertrucages qu’il diffuse et informe les personnes exposées à une reconnaissance des émotions.

Le robot de devis de Valrouge est acheté : le paragraphe 1 pèse sur son éditeur. Sans attendre, une ligne « assistant automatique » avant le premier message ne coûte rien et vaut aussi le jour où l’outil passe à votre marque. Les mairies se posent la même question, voir l’IA dans les collectivités.

Les visuels de cuisines générés demandent plus de finesse. L’hypertrucage, selon l’article 3, ressemble à des personnes, objets ou lieux existants et peut passer pour authentique. Une cuisine qui n’existe pas, présentée comme une réalisation livrée, s’en approche assez pour que je l’étiquette.

Recrutement, crédit, prestations : l’annexe III et l’article 6 dans une PME

L’article 6, paragraphe 2, classe à haut risque les usages de l’annexe III. En entreprise, trois lignes reviennent : recrutement et gestion du personnel (point 4), solvabilité et note de crédit des personnes physiques, hors détection de fraude (point 5 b), assurance vie et maladie (point 5 c).

Les prestations sociales du point 5 a visent les autorités publiques ou ceux qui agissent en leur nom. L’article 6, paragraphe 3, prévoit une sortie pour les tâches procédurales étroites ou préparatoires, jamais pour un système qui profile des personnes. C’est au fournisseur de documenter qu’il en relève.

Le planning des poseurs de Valrouge, qui répartit les chantiers selon une note de performance individuelle, est le cas qu’on ne voit pas venir : point 4 b. Ce classement reste une lecture du texte au 8 novembre 2026 ; pour votre outil, faites-le confirmer par un avocat.

Article 26 : les obligations du déployeur d’un système à haut risque

Pour la présélection des CV et le planning, l’article 26 dresse la liste du déployeur, applicable au 2 décembre 2027 pour l’annexe III. Rien d’exotique : suivre la notice, confier le contrôle humain à quelqu’un de formé et doté d’autorité, conserver les journaux au moins six mois.

Deux paragraphes ont un écho français immédiat. Le 7 impose d’informer représentants du personnel et salariés avant la mise en service ; l’article L. 2312-38 du code du travail informe déjà le CSE des techniques d’aide au recrutement et le consulte sur le contrôle de l’activité. Le 11 vise les candidats.

L’analyse d’impact sur les droits fondamentaux de l’article 27, la FRIA, ne vise qu’une partie des déployeurs : organismes de droit public, entités privées fournissant des services publics, utilisateurs des points 5 b et 5 c. Le score de financement de Valrouge l’y fait entrer, pas le tri de CV.

Depuis le règlement 2026/1744, cette analyse peut renvoyer aux sections pertinentes d’une AIPD déjà faite. Pour une PME, c’est la meilleure nouvelle de l’omnibus : un seul dossier tenu proprement sert les deux textes, avec les critères RGPD de l’outil en annexe.

Calendrier de l’AI Act : 2025, 2026, 2027, 2028 et le report de l’omnibus

Le règlement (UE) 2024/1689 est en vigueur depuis le 1er août 2024. Le règlement (UE) 2026/1744 du 8 juillet 2026, dit omnibus numérique sur l’IA, publié au Journal officiel de l’Union le 24 juillet et en vigueur depuis le 27, a déplacé les deux échéances du haut risque.

L’annexe III passe du 2 août 2026 au 2 décembre 2027, l’annexe I du 2 août 2027 au 2 août 2028. Une date de report qui circulerait sans numéro de règlement publié sur EUR-Lex reste, à mes yeux, une rumeur. Le RGPD, que suivent nos guides, ne connaît aucun report.

DGCCRF, CNIL, Arcom : quelle autorité contrôle l’AI Act en France

Les États devaient désigner leurs autorités au 2 août 2025. Le 9 septembre 2025, la DGE a publié un schéma : la DGCCRF coordonne la surveillance du marché et sert de point de contact unique, le PEReN et l’ANSSI apportent l’expertise technique.

Ce schéma vaut « sous réserve » d’une loi. Adopté par le Sénat le 18 février 2026, le projet de loi d’adaptation insère un titre sur l’IA dans la loi pour la confiance dans l’économie numérique et habilite le Gouvernement à compléter par ordonnance. À l’Assemblée, on en est à la saisine des commissions.

L’article 99 fait les titres : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour l’article 5. Pour une PME, le montant le plus faible est retenu. Ce qui m’inquiète davantage, c’est le client grand compte qui posera les mêmes questions, comme le fait déjà le questionnaire d’assurance cyber.

Préparer un contrôle AI Act sans oublier ce qu’on tape dans l’outil

Pour Valrouge, tout tient sur une page : les sept outils et leur case, le refus daté du module des caméras, l’heure de formation consignée, la ligne « assistant automatique » sur le site, et l’AIPD du tri de CV lancée maintenant plutôt qu’à l’automne 2027.

Reste ce que l’AI Act ne regarde pas : la note d’entretien collée dans un assistant pour en tirer une synthèse. Le RGPD, et le secret pour certaines professions, couvrent ce geste. Même logique dans une étude, où un projet d’acte désigne les parties sans les nommer.

Nonimo remplace ces noms, numéros et adresses sur votre Mac ou votre PC avant que la note parte vers l’assistant, puis remet les vrais dans la réponse.

Pour équiper tout le service RH, voyez l’offre pour les organisations.

Sources

• Règlement (UE) 2024/1689 (EUR-Lex) : articles 3, 4, 5, 6, 25, 26, 27, 50 et 99, annexe III.
• Règlement (UE) 2026/1744 du 8 juillet 2026 : reports au 2 décembre 2027 et au 2 août 2028, article 4 remplacé, article 5 complété, article 27 modifié.
• Commission européenne, AI Act Service Desk, article 26 : obligations du déployeur, version consolidée au 27 juillet 2026.
• Commission européenne, questions-réponses sur la maîtrise de l’IA : aucun certificat exigé, contrôle national à partir du 2 août 2026.
• CNIL, questions-réponses sur l’entrée en vigueur du règlement IA : calendrier révisé, mis à jour le 17 août 2026.
• CNIL, questions-réponses sur l’utilisation d’un système d’IA générative : former les utilisateurs de façon adaptée.
• Direction générale des Entreprises, autorités compétentes pour le règlement IA : schéma du 9 septembre 2025.
• Sénat, texte adopté le 18 février 2026 : article 24, titre sur les systèmes d’IA dans la loi pour la confiance dans l’économie numérique ; article 24 bis, habilitation à légiférer par ordonnance.
• Assemblée nationale, dossier législatif du projet de loi : texte n° 2518, saisine des commissions.
• Code du travail, article L. 2312-38 : information du CSE sur les techniques d’aide au recrutement, consultation sur le contrôle de l’activité.

Consulté le 8 novembre 2026.