Face au calendrier de mise en application de l’AI Act qui s'étale sur plusieurs années, la tentation est évidente : attendre que les dates se stabilisent avant d'agir.  

Or, c'est une erreur de lecture. Ce calendrier réglementaire n'est pas une simple liste d'échéances à cocher, mais un révélateur progressif de la maturité de gouvernance IA de chaque organisation, échéance après échéance.  

Cet article vous aide à distinguer ce qui est déjà applicable, ce qui reste soumis à évolution, et ce que ce temps doit servir à construire, en apprenant à appliquer ce calendrier à votre propre portefeuille de systèmes plutôt qu'à le subir. 

En bref

• Le Digital Omnibus, formellement adopté en juin 2026, a rebattu une partie du calendrier de l'AI Act 

• Les interdictions définitives et les obligations GPAI sont déjà en vigueur, sans marge de négociation 

• Le 2 août 2026 reste la date clé pour les obligations de transparence (Article 50), indépendamment du report du haut risque 

• Les systèmes à haut risque ont désormais jusqu'au 2 décembre 2027 (Annexe III) ou au 2 août 2028 (Annexe I) pour se mettre en conformité 

• Ce report ne dispense pas de qualifier dès maintenant les systèmes concernés dans votre SI 

• La bonne posture n'est pas de suivre le calendrier, mais de construire une gouvernance capable de l'absorber 

Rappel : Qu’est-ce que l’AI Act ? 

Le Règlement (UE) 2024/1689, plus connu sous le nom d'AI Act (ou Artificial Intelligence Act), poursuit un but clair : la protection des droits fondamentaux et de la sécurité des personnes, sans limiter la capacité d'innovation européenne. Il encadre le développement, la mise sur le marché et l'utilisation de systèmes d'intelligence artificielle en Europe, et ses dispositions s'appliquent progressivement, par vagues successives. Comme le RGPD en son temps pour la donnée personnelle, l'AI Act impose une nouvelle discipline, cette fois pour les systèmes d'IA. 

Comment vous mettre en conformité avec l'AI Act ?

Télécharger le guide

Quelles obligations sont déjà en vigueur ? 

Les interdictions définitives et l'obligation de littératie IA 

Depuis le 2 février 2025, une série de pratiques (de niveau de “risque inacceptable”) sont purement et simplement interdites dans l'Union européenne :  

• Le scoring social (ou notation sociale) par les pouvoirs publics 

• La manipulation subliminale 

• L'exploitation des vulnérabilités cognitives

• La reconnaissance biométrique en temps réel dans l'espace public.  

Pour la grande majorité des entreprises, cette catégorie ne concerne pas directement leur portefeuille. Toutefois, elle mérite d'être vérifiée - certains systèmes de profilage comportemental ou de surveillance interne pouvant notamment s'en approcher davantage qu'il n'y paraît.  

À la même date, l'obligation de littératie IA est entrée en application et commence à produire ses effets. Chaque organisation doit s'assurer que son personnel dispose d'un niveau de compréhension suffisant des systèmes qu'il utilise ou déploie. Concrètement, pour une DSI, cela suppose d'avoir vérifié qu'aucun système interdit n'est encore actif, et d'avoir engagé une démarche de formation de ses équipes, même minimale. 

Les obligations pour les fournisseurs de modèles à usage général 

Depuis le 2 août 2025, les fournisseurs de modèles d'intelligence artificielle à usage général (GPAI) sont soumis à des obligations de transparence et de gouvernance renforcées.  

Cette date structure aussi la gouvernance institutionnelle du règlement, avec la désignation, pour chaque État membre, des autorités nationales compétentes chargées de sa surveillance.  

Pour un déployeur, cette échéance de conformité AI Act ne se résume pas à une vérification abstraite. Il s'agit de s'assurer que les fournisseurs de modèles utilisés dans l'organisation (qu'ils soient intégrés nativement ou consommés via une API tierce) respectent ces obligations, et de le formaliser contractuellement. 

Le piège à éviter : déléguer sa conformité

La DSI cumule souvent plusieurs rôles réglementaires à la fois :  

• Fournisseur lorsqu'elle développe et met sur le marché ses propres outils IA 

• Déployeur lorsqu'elle intègre des solutions tierces 

• Importateur lorsqu'elle redistribue en interne des modèles développés hors UE 

Ce cumul a une conséquence directe : la conformité ne se délègue pas à ses fournisseurs. Même lorsqu'une solution est achetée sur étagère, l'organisation reste responsable de l'usage qu'elle en fait, de la qualification du risque à la supervision humaine, en passant par la documentation. 

Que change réellement l'échéance du 2 août 2026 ? 

Les obligations de transparence de l'Article 50 

À partir du 2 août 2026, tout utilisateur interagissant avec un système d'IA doit en être informé. Concrètement, cette obligation de transparence s'applique à tous les systèmes IA, comme un chatbot de service client, un assistant virtuel interne, ou une interface conversationnelle métier.  

Tous doivent assurer une communication claire de leur nature artificielle et se déclarer comme IA, sans ambiguïté possible pour l'utilisateur final. C'est l'un des piliers de l'objectif affiché par la Commission : une intelligence artificielle digne de confiance. 

Le 2 août 2026 est aussi la date de référence pour la majorité des obligations générales du règlement - celle que la plupart des organisations ont identifiée comme l'échéance à retenir. 

Pourquoi cette date ne doit pas être confondue avec le report du haut risque 

C'est là que se joue la confusion la plus fréquente. Le report dont il est beaucoup question depuis le printemps 2026 concerne exclusivement les obligations relatives aux systèmes à haut risque - pas les obligations de transparence de l'Article 50, qui restent dues au 2 août 2026, sans aucun délai supplémentaire.  

Une organisation qui déploie des chatbots ou des assistants IA ne peut donc pas se reposer sur le report du haut risque pour retarder sa mise en conformité sur ce point précis. 

"Le calendrier de l'AI Act donne l'illusion qu'on peut le suivre passivement. En réalité, chaque échéance ne fait que révéler si le travail de fond (savoir précisément ce qui tourne dans votre SI) a été fait ou non." 

- Fouzia Mahieddine, cofondatrice de Smoteo 

Pourquoi l'échéance des systèmes à haut risque a-t-elle été reportée ? 

Le retard des normes harmonisées à l'origine du report 

Le report n'est pas un recul politique de la législation, mais une conséquence technique.  

Les obligations relatives aux systèmes à haut risque reposent sur des normes harmonisées (gestion des risques, qualité des données, documentation, supervision humaine) que les organismes européens de normalisation (CEN et CENELEC) n'ont pas été en mesure de produire dans les délais initialement prévus.  

Or, sans ces normes, les entreprises n'auraient pas su concrètement quoi faire, ni comment démontrer leur conformité aux autorités de contrôle. Une entrée en vigueur au 2 août 2026 aurait donc créé une insécurité juridique majeure plutôt qu'un cadre applicable. 

Les nouvelles échéances définitives 

Le Digital Omnibus (ou omnibus numérique sur l'IA ), formellement adopté en juin 2026, fixe désormais deux dates selon le type de système : 

• 2 décembre 2027 pour les systèmes à haut risque autonomes (Annexe III) — biométrie, infrastructures critiques, éducation, emploi, services essentiels, migration

• 2 août 2028 pour les systèmes à haut risque embarqués dans des produits déjà réglementés (Annexe I) — dispositifs médicaux, machines, ascenseurs 

Les obligations qui s'appliqueront à ces dates restent les mêmes que celles déjà en vigueur pour les autres systèmes depuis août 2026 : documentation technique, gestion des risques, marquage CE, enregistrement dans la base de données européenne, supervision humaine tout au long du cycle de vie du système. Seul le calendrier a changé, pas le niveau d'exigence. 

"Un report d'échéance n'efface pas un retard de gouvernance. Il déplace juste le moment où ce retard devient visible." 

- Fouzia Mahieddine, cofondatrice de Smoteo 

Vous voulez une vision complète de toutes les échéances, obligations et niveaux de risque de l'AI Act, avec un plan d'action détaillé ? Téléchargez le guide complet de mise en conformité. 

Quels systèmes de votre portefeuille sont concernés par le haut risque ? 

Les huit domaines identifiés par l'Annexe III 

L'Annexe III du règlement liste huit domaines dans lesquels certains usages de l'IA sont automatiquement classés à haut risque. Ce n'est pas la technologie elle-même qui est visée, mais le contexte et la finalité de son usage : 

• Biométrie (identification et catégorisation des personnes) 

• Infrastructures critiques (énergie, eau, transport, numérique) 

• Éducation et formation professionnelle 

• Emploi, gestion des travailleurs et accès à l'emploi indépendant 

• Accès aux services essentiels publics et privés (crédit, assurance, aides sociales) 

• Application de la loi (maintien de l'ordre) 

• Migration, asile et gestion des frontières 

• Administration de la justice et processus démocratiques 

Les cas les plus fréquents pour votre DSI 

Pour une direction des systèmes d'information, les cas les plus courants sont : 

• Le tri de CV automatisé, le scoring de candidats et l'évaluation des performances (RH et recrutement) 

• Le scoring crédit bancaire ou assurantiel 

• Le diagnostic médical assisté par IA 

• L'évaluation scolaire intégrant des composants IA 

• La sûreté des infrastructures critiques (énergie, eau, transport) 

• Le contrôle aux frontières et la vérification d'identité 

Un même système peut relever du haut risque dans une organisation, et pas dans une autre : tout dépend du contexte de déploiement et de l'activité qu'il influence réellement. Un outil de recommandation RH, par exemple, peut ainsi basculer d'une catégorie à l'autre selon l'usage qui en est fait. 

Le piège à éviter : qualifier un logiciel plutôt qu'un cas d'usage

Beaucoup d'organisations commettent la même erreur au premier passage : elles cherchent à classer un outil, alors que c'est l'usage qui doit être qualifié.  

Un même système peut ainsi générer des classifications différentes selon les contextes dans lesquels il est déployé. Si votre ERP, votre ATS ou votre CRM intègre des fonctionnalités de scoring ou de recommandation décisionnelle, vous êtes déployeur de ces fonctionnalités, et soumis aux obligations correspondantes, que vous en soyez conscient ou non. Documenter pourquoi un système a été classé dans telle catégorie, et par qui, vaut autant que la classification elle-même. 

Comment transformer ce calendrier en plan d'action ? 

Le vrai risque n'est pas la date, mais l'absence de visibilité sur votre SI 

Chaque échéance de l'AI Governance Act suppose un prérequis silencieux : savoir exactement quels systèmes informatiques et agents IA opèrent dans votre organisation, sur quelles données, avec quel niveau d'autonomie, sous la responsabilité de qui. Sans cette visibilité, aucune date ne peut être anticipée, elle ne peut être que subie.  

C'est précisément ce que révèle le calendrier, échéance après échéance : moins une question de conformité juridique qu'une question de gouvernance. Les organisations qui commencent maintenant construisent cette visibilité progressivement. Celles qui attendent la prochaine échéance devront la reconstituer dans l'urgence, sous contrainte de temps. Et cette mise en œuvre ne s'improvise pas. 

Pourquoi un audit ponctuel ne suffit pas à tenir dans la durée 

Un audit IA, même rigoureux, produit une photographie à un instant donné. Or le calendrier de l'AI Act s'étale sur plusieurs années, avec des systèmes qui évoluent, de nouveaux usages qui apparaissent, des équipes qui déploient des outils sans toujours remonter l'information à la DSI.  

Un registre figé dans un tableur ou un audit réalisé six mois plus tôt ne reflète déjà plus la réalité du SI. La visibilité nécessaire pour traverser ce calendrier n'est donc pas un état à atteindre une fois, mais une capacité à maintenir en continu - ce que la plupart des outils de gouvernance classiques, pensés pour des points de contrôle ponctuels, ne permettent pas. 

Et avec Smoteo, ça donne quoi ?

C'est précisément l'écart que Smoteo comble :  

• Le registre des usages centralise en continu tous les systèmes et initiatives IA actifs par département, avec leur contexte applicatif, leurs responsables et leur niveau de risque qualifié. Il est mis à jour au fil de l'eau plutôt que reconstitué à chaque échéance.  

• L'AI Value Stream Map matérialise visuellement où ces agents interviennent dans votre écosystème business et IT : quels domaines ils couvrent, quelles données ils consomment, quelles capacités métier ils touchent.  

Résultat : une base documentaire directement exploitable face aux exigences de l'AI Act, qui reste valable quelle que soit la prochaine évolution du calendrier. Les organisations qui utilisent Smoteo pour se structurer de cette manière réduisent de 30 % leur risque de non-conformité avant mise en production. 

Pilotez le calendrier de l’AI Act plutôt que le suivre 

Le calendrier de l'AI Act continuera d'évoluer peut-être : de nouvelles précisions viendront, des normes seront publiées, certaines dates seront encore ajustées.  

Une organisation qui a construit sa visibilité sur son SI traverse ces ajustements sans à-coups.  La question n'est donc pas de connaître la prochaine date, mais de savoir si votre organisation serait prête, quelle que soit la date retenue. 

Pour aller plus loin, téléchargez le guide complet de mise en conformité à l'AI Act, avec le détail de toutes les échéances, les quatre niveaux de risque et un plan d'action en sept étapes. 

Guide pratique

Comment vous mettre en conformité avec l'AI Act ?

Calendrier des obligations, niveaux de risque et checklist complète pour accompagner votre projet

Télécharger le guide

Télécharger le guide