EU AI Act : ce qui change le 2 août 2026 pour votre entreprise

Le 2 août 2026 est devenu la date que beaucoup de directions générales, DPO, DSI, DRH et directions financières ont entourée dans leur calendrier. Elle marque un basculement opérationnel dans l'application de l'EU AI Act : les entreprises françaises ne peuvent plus traiter la conformité IA comme une veille juridique lointaine. Elles doivent être capables d'expliquer quels systèmes d'IA elles utilisent, dans quel rôle, avec quelles preuves, quels contrôles et quelles décisions d'arrêt lorsqu'un usage tombe dans une zone interdite.

La difficulté n'est pas seulement réglementaire. Elle est très concrète : un outil de tri de CV acheté par une PME, un score de solvabilité utilisé par une fintech, un chatbot connecté au support client, une solution de surveillance qualité dans une usine ou un modèle d'aide à la décision dans un service public peuvent tous créer une exposition. L'EU AI Act ne regarde pas uniquement les grands laboratoires d'IA. Il vise les fournisseurs, les déployeurs, les importateurs, les distributeurs et parfois les entreprises qui rebrandent ou modifient substantiellement un outil tiers.

Ce guide répond à une question simple : que risque vraiment une entreprise française si elle arrive au 2 août 2026 sans cartographie, sans qualification des usages et sans plan de conformité ?

1. Les 3 obligations immédiates au 2 août 2026 : les interdictions pratiques absolues

La première erreur consiste à croire que l'AI Act se résume à une checklist documentaire. Avant même de parler de documentation technique, de registre ou de supervision humaine, il faut identifier les usages qui ne doivent pas être corrigés, mais arrêtés. Les pratiques interdites de l'article 5 doivent être traitées comme une liste rouge interne. Au 2 août 2026, aucune entreprise prudente ne devrait découvrir ces sujets au moment d'un audit fournisseur ou d'une demande client.

1. Interdire les usages manipulatoires ou exploitant les vulnérabilités

Un système qui pousse une personne vers une décision qu'elle n'aurait pas prise autrement, en exploitant une vulnérabilité liée à l'âge, au handicap, à une situation sociale ou économique, doit déclencher une alerte immédiate. Exemple PME : une plateforme de crédit qui adapte ses messages d'acceptation en fonction d'un profil de fragilité financière, ou un outil commercial qui cible des personnes vulnérables avec des incitations personnalisées agressives. Le problème n'est pas la performance marketing : c'est l'atteinte potentielle à l'autonomie de décision.

2. Écarter la notation sociale et les scores généralisés de comportement

La notation sociale n'est pas réservée à un scénario de science-fiction. Dans une entreprise, le risque apparaît lorsqu'un score global agrège des comportements, historiques d'achat, retards, interactions ou caractéristiques personnelles pour produire un traitement défavorable dans un autre contexte. Exemple : refuser un service, dégrader un niveau de support ou restreindre un accès sur la base d'un score opaque sans lien direct avec la finalité initiale. Pour une ETI, le bon réflexe est d'interdire les scores transversaux de personnes tant que leur finalité, leurs variables et leurs effets ne sont pas juridiquement qualifiés.

3. Stopper les usages biométriques et émotionnels interdits

La biométrie est l'un des angles les plus sensibles. Sont notamment à surveiller : reconnaissance faciale, constitution de bases de visages par collecte massive, catégorisation biométrique sensible, reconnaissance des émotions au travail ou dans l'éducation hors exceptions strictes. Exemple PME : installer une solution d'analyse émotionnelle pendant des entretiens vidéo, ou tester une caméra qui déduit l'attention des salariés en atelier. Même lorsque le fournisseur promet une simple optimisation RH, le risque juridique et réputationnel peut dépasser tout bénéfice opérationnel.

Conclusion opérationnelle : avant la deadline AI Act, votre entreprise doit avoir une règle simple : tout projet IA touchant à la manipulation, au scoring social, à la biométrie ou aux émotions passe en revue juridique renforcée, avec pouvoir d'arrêt.

2. Qui est concerné ? Exemples concrets pour PME françaises

L'EU AI Act concerne les entreprises françaises dès qu'elles développent, achètent, intègrent ou utilisent un système d'IA dans l'Union européenne. Le rôle est déterminant. Une société qui crée un outil, le vend sous son nom ou le modifie fortement peut être fournisseur. Une société qui utilise l'outil dans ses opérations peut être déployeur. Une même PME peut être les deux si elle personnalise un modèle générique et le commercialise ensuite à ses clients.

Cabinet de recrutement de 35 personnes. Il utilise un ATS enrichi par IA pour trier les CV, noter les candidats et recommander les profils à appeler. L'usage touche l'emploi et l'accès au travail : il faut qualifier le système, demander les preuves du fournisseur, informer les utilisateurs internes, conserver les journaux pertinents et organiser une supervision humaine réelle.

Fintech ou courtier en crédit. Un modèle attribue une probabilité de défaut, priorise les demandes ou ajuste une recommandation de financement. Même si la décision finale est humaine, le système influence l'accès à un service essentiel privé. La direction doit documenter les variables, les contrôles de biais, les performances, les limites et le rôle exact des analystes.

PME industrielle. Une solution de computer vision détecte les défauts qualité et alerte les opérateurs. Si elle ne produit qu'une aide technique sur une chaîne de production, le risque peut rester limité. Mais si la même solution sert à évaluer les salariés, déclencher des sanctions disciplinaires ou mesurer leur productivité individuelle, le niveau de risque change immédiatement.

Organisme de formation. Un outil corrige automatiquement des examens, classe des apprenants ou oriente vers des parcours. La frontière avec les systèmes à haut risque est proche, car l'IA influence l'accès à la formation, la certification ou l'évaluation d'une personne.

Collectivité, association délégataire ou prestataire public. Un modèle priorise des dossiers sociaux, détecte des fraudes ou aide à affecter des ressources. Même si le secteur public n'est pas votre cœur de métier, fournir un outil à un acteur public peut vous faire entrer dans une chaîne de responsabilités beaucoup plus exigeante.

La bonne question n'est donc pas : « sommes-nous une entreprise d'IA ? ». La bonne question est : quelles décisions humaines sensibles nos outils influencent-ils déjà ?

3. Amendes : jusqu'à 35M€ ou 7% CA mondial — cas réels

Le règlement prévoit des plafonds élevés. Les pratiques interdites peuvent exposer à une amende administrative allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. D'autres manquements, notamment sur les obligations applicables aux systèmes à haut risque, peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. La transmission d'informations inexactes ou trompeuses aux autorités peut également être sanctionnée.

À ce stade, les grands cas publics ne sont pas encore des « jurisprudences AI Act » stabilisées pour les entreprises françaises. En revanche, les sanctions RGPD et CNIL montrent déjà comment les autorités raisonnent lorsqu'une technologie affecte massivement des personnes, manque de transparence ou surveille les comportements.

Clearview AI : 20 M€. La CNIL a sanctionné la société pour la collecte et l'utilisation de données biométriques issues d'images de visages. Pour une entreprise française, le message est clair : la biométrie sans base solide, sans maîtrise des finalités et sans droits effectifs des personnes est un risque majeur.

Amazon France Logistique : 32 M€. La sanction a porté sur un dispositif de suivi de l'activité des salariés jugé excessif. Même si le dossier relève du RGPD, il illustre un point central pour l'IA en entreprise : un outil de productivité peut devenir un système de surveillance disproportionné lorsqu'il mesure, classe ou pousse des décisions individuelles.

Google LLC : 50 M€. La CNIL avait sanctionné des défauts de transparence et de consentement dans un environnement numérique complexe. Pour l'AI Act, l'enseignement est direct : une interface claire, des finalités compréhensibles et une preuve exploitable comptent autant que la technologie elle-même.

Pour une PME, le risque n'est pas seulement de payer le plafond maximal. Le vrai coût peut être plus immédiat : perte d'un appel d'offres, clause de garantie refusée par un client, gel d'un projet IA, incident RH, contrôle CNIL couplé à une revue AI Act, ou obligation de remplacer un fournisseur en urgence.

4. Les 5 erreurs à éviter avant la deadline

1. Attendre le 2 août 2026 pour inventorier les outils IA. Un inventaire utile prend du temps, car les systèmes sont souvent cachés dans les achats SaaS, les expérimentations métiers, les extensions bureautiques et les projets data.
2. Se fier uniquement au discours du fournisseur. Une mention « AI Act ready » ne remplace pas une qualification du rôle, de la finalité, des données, des limites et des obligations contractuelles.
3. Confondre RGPD et AI Act. Les deux se recoupent, mais ne se remplacent pas. Un traitement peut être conforme RGPD et nécessiter des obligations AI Act supplémentaires, notamment s'il influence une décision sensible.
4. Penser que l'humain valide toujours réellement. Une supervision humaine n'est pas un clic décoratif. Il faut former les personnes, leur donner le pouvoir d'ignorer la recommandation, documenter les écarts et éviter l'automatisation de fait.
5. Oublier les preuves. En cas de contrôle, l'entreprise devra montrer un raisonnement : inventaire, classification, analyse de risque, documents fournisseur, instructions d'usage, logs, procédures d'incident et décisions d'arrêt.

La meilleure stratégie avant la deadline AI Act consiste à faire simple : cartographier les usages, identifier les zones rouges, qualifier les systèmes potentiellement à haut risque, demander les pièces aux fournisseurs et créer un dossier de preuve proportionné. Il ne s'agit pas de produire une encyclopédie juridique, mais de démontrer que l'entreprise pilote réellement sa conformité IA.

Évaluez votre conformité en 5 minutes → /diagnostic-rapide