Conformité AI Act : ce que le règlement européen impose à votre organisation
Le règlement européen sur l'intelligence artificielle s'applique par vagues successives depuis le 1er août 2024. Certaines obligations pèsent déjà sur toute organisation qui utilise un outil d'IA, y compris un assistant grand public. D'autres ont été repoussées par le Digital Omnibus de juillet 2026. Cette page fait le point sur le périmètre, le calendrier révisé, les sanctions et les étapes concrètes de mise en conformité.
En bref
L'AI Act est le règlement (UE) 2024/1689, premier cadre juridique complet consacré à l'intelligence artificielle. Il classe les usages selon quatre niveaux de risque et fait dépendre les obligations de ce classement. Toute organisation qui utilise un système d'IA dans un cadre professionnel est concernée, le plus souvent en qualité de déployeur. Deux obligations s'appliquent déjà, l'interdiction de certaines pratiques et la littératie IA du personnel exigée par l'article 4, en vigueur depuis le 2 février 2025. Les obligations lourdes pesant sur les systèmes à haut risque ont été reportées par le Digital Omnibus sur l'IA au 2 décembre 2027 pour l'annexe III et au 2 août 2028 pour l'annexe I. Les sanctions de l'article 99 atteignent 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites.
- Texte : règlement (UE) 2024/1689
- Entrée en vigueur : 1er août 2024
- Déjà applicable : interdictions et article 4
- Haut risque annexe III : 2 décembre 2027
- Haut risque annexe I : 2 août 2028
- Sanction maximale : 35 M€ ou 7 % du CA mondial
1. Ce qu'est l'AI Act
Un règlement d'application directe, échelonné dans le temps, qui gradue les obligations selon le risque.
L'AI Act, formellement le règlement (UE) 2024/1689, établit des règles harmonisées applicables à l'intelligence artificielle dans l'Union européenne. Entré en vigueur le 1er août 2024, il retient une approche par les risques. Plus l'usage est susceptible de porter atteinte à la sécurité ou aux droits fondamentaux, plus les obligations sont lourdes, jusqu'à l'interdiction pure et simple. Étant un règlement, il s'applique directement dans chaque État membre sans transposition nationale préalable.
La comparaison avec le RGPD revient souvent, et elle éclaire une partie du sujet. Les deux textes partagent une portée extraterritoriale et un régime de sanctions calculé sur le chiffre d'affaires mondial. La mise en œuvre diffère nettement. Là où le RGPD est devenu applicable d'un seul bloc, l'AI Act déploie ses obligations par vagues successives, chacune ajoutant une strate. Cette progressivité explique la confusion fréquente sur ce qui s'applique déjà et ce qui reste à venir.
Une seconde particularité mérite attention. Le règlement encadre les systèmes d'IA indépendamment de la question des données personnelles. Un modèle de maintenance prédictive entraîné sur des relevés de capteurs relève du texte alors qu'aucune donnée à caractère personnel n'entre en jeu. La qualification s'opère sur la finalité du système et son domaine d'emploi, pas sur la nature des données traitées.
2. Qui est concerné, et à quel titre
Le rôle que vous tenez pour chaque système détermine les obligations qui vous incombent.
Le règlement ne vise pas une catégorie d'entreprises mais des rôles, appréciés système par système. Une même organisation peut être déployeur pour l'assistant conversationnel qu'elle a souscrit et fournisseur pour l'outil de tri de candidatures qu'elle a fait développer en interne. La première question à trancher, pour chaque système d'IA en service, porte donc sur la qualification du rôle.
| Rôle | Situation typique | Ce qui vous incombe |
|---|---|---|
| Fournisseur | Vous développez un système d'IA, ou vous le faites développer, et vous le mettez sur le marché ou en service sous votre nom. | Le régime le plus complet, documentation technique, gestion des risques, qualité des données, marquage et déclaration de conformité pour les systèmes à haut risque. |
| Déployeur | Vous utilisez un système d'IA sous votre autorité, dans un cadre professionnel. La situation de la grande majorité des entreprises. | Utilisation conforme à la notice, supervision humaine effective, information des personnes concernées, conservation des journaux et littératie IA des équipes. |
| Importateur et distributeur | Vous mettez à disposition sur le marché de l'Union un système développé par un tiers établi hors de l'Union. | Vérification que le fournisseur a rempli ses obligations, conservation des documents et coopération avec les autorités. |
| Requalification en fournisseur | Vous apposez votre marque sur un système existant, vous en modifiez la finalité ou vous le transformez substantiellement. | Vous basculez dans le régime du fournisseur, avec les obligations correspondantes. Un point de vigilance fréquent lors des personnalisations poussées. |
La portée du texte dépasse les frontières de l'Union. Un fournisseur établi dans un pays tiers entre dans le champ dès lors que son système est mis sur le marché européen, et un opérateur extérieur y entre également lorsque la sortie produite par son système est utilisée dans l'Union. Cette extraterritorialité place de fait la plupart des chaînes de sous-traitance sous le régime du règlement.
3. Les quatre niveaux de risque
Le classement de chaque système commande l'intensité des obligations qui s'y attachent.
Pratiques interdites
Manipulation subliminale, exploitation des vulnérabilités liées à l'âge ou au handicap, notation sociale, police prédictive individuelle, reconnaissance des émotions au travail et dans l'enseignement, moissonnage non ciblé d'images faciales.
Systèmes à haut risque
Annexe III pour les systèmes autonomes en biométrie, infrastructures critiques, éducation, recrutement et gestion RH, accès aux services essentiels et au crédit, justice et maintien de l'ordre. Annexe I pour les composants de sécurité de produits déjà réglementés.
Obligations de transparence
Systèmes interagissant avec des personnes, générant ou manipulant des contenus. La personne doit savoir qu'elle s'adresse à une machine, et les contenus produits ou modifiés par l'IA doivent être identifiables comme tels.
Usages courants
Filtres anti-spam, moteurs de recommandation, jeux vidéo et la majorité des applications professionnelles. Aucune obligation spécifique au titre du règlement, au-delà de l'article 4 et des règles générales applicables.
Une catégorie transversale s'ajoute à ce classement, celle des modèles d'IA à usage général. Les grands modèles de langage relèvent d'un régime propre, entré en application le 2 août 2025, qui impose à leurs fournisseurs une documentation technique, le respect du droit d'auteur et une transparence sur les données d'entraînement. Un régime renforcé s'applique aux modèles présentant un risque systémique. Ce volet pèse sur les éditeurs de modèles, pas sur les entreprises qui se contentent de les utiliser.
4. L'article 4 et la littératie IA
L'obligation la plus large, la plus ancienne en application, et la plus souvent ignorée.
Les fournisseurs et les déployeurs de systèmes d'IA doivent prendre des mesures pour garantir, autant que possible, un niveau suffisant de littératie en intelligence artificielle chez leur personnel et chez les personnes qui utilisent ces systèmes pour leur compte. Cette appréciation tient compte des connaissances techniques, de l'expérience, de l'éducation et de la formation de ces personnes, ainsi que du contexte d'utilisation prévu.
Trois enseignements se dégagent de cette rédaction. Le premier tient au périmètre, l'obligation vise les déployeurs autant que les fournisseurs, donc la quasi-totalité des organisations dès lors que leurs équipes utilisent un outil d'IA, fût-il grand public. Le deuxième tient au caractère proportionné, le texte n'impose ni durée ni format, il exige un niveau adapté au poste, aux outils réellement employés et au niveau de départ des personnes. Le troisième découle du précédent, une session unique et générique servie à l'ensemble d'une entreprise répond mal au critère lorsque les usages diffèrent fortement d'un service à l'autre.
L'obligation s'applique depuis le 2 février 2025. Aucune autorité ne délivre de certificat de conformité à l'article 4, la démonstration repose donc sur les traces produites par l'organisation. Un registre de formation horodaté, les supports utilisés, la liste des personnes formées par service et les attestations individuelles constituent le socle de cette preuve. Le catalogue de formations en intelligence artificielle de BADIS AI Institute couvre ce besoin, avec des parcours différenciés selon les profils et une attestation de fin de formation pour chaque participant.
L'article 99 du règlement n'établit pas de palier de sanction spécifiquement dédié au manquement à l'article 4, ce qui explique les divergences d'interprétation observées sur ce point. Depuis le 2 août 2026, les autorités nationales disposent de leurs pouvoirs de sanction et un manquement peut être appréhendé au titre du palier applicable aux obligations des opérateurs. Au-delà du montant, le risque le plus tangible reste opérationnel, un incident en production, une donnée sensible transmise à un service tiers, ou un contrôle déclenché à l'occasion d'un audit portant sur la protection des données.
5. Le calendrier d'application après le Digital Omnibus
L'état du calendrier au 5 septembre 2026, une fois intégrées les modifications entrées en vigueur en juillet.
Le Digital Omnibus sur l'IA, approuvé par le Parlement européen le 16 juin 2026 et publié au Journal officiel de l'Union le 24 juillet 2026, a reporté l'application des obligations pesant sur les systèmes d'IA à haut risque. Le texte ne modifie ni l'approche par les risques, ni les obligations déjà entrées en application. Il ajoute par ailleurs de nouvelles interdictions et étend certains allégements aux entreprises de taille intermédiaire.
| Échéance | Ce qui s'applique | Qui est visé |
|---|---|---|
| 1er août 2024 | Entrée en vigueur du règlement (UE) 2024/1689. | Aucune obligation immédiate, le compte à rebours démarre. |
| 2 février 2025 | Interdiction des pratiques du niveau inacceptable. Obligation de littératie IA de l'article 4. | Toutes les organisations, fournisseurs comme déployeurs. |
| 2 août 2025 | Obligations des fournisseurs de modèles à usage général. Mise en place de la gouvernance et désignation des autorités nationales. | Éditeurs de modèles, États membres. |
| 2 août 2026 | Obligations de transparence de l'article 50. Pouvoirs de contrôle et de sanction pleinement opérationnels. | Toutes les organisations exploitant des systèmes interactifs ou génératifs. |
| 2 décembre 2026 | Nouvelles interdictions introduites par le Digital Omnibus. Fin de la période de transition pour le marquage des contenus générés par IA déjà sur le marché. | Fournisseurs et déployeurs de systèmes génératifs. |
| 2 décembre 2027 | Obligations applicables aux systèmes à haut risque autonomes de l'annexe III, initialement prévues au 2 août 2026. | Recrutement, crédit, éducation, biométrie, services essentiels. |
| 2 août 2028 | Obligations applicables aux systèmes à haut risque de l'annexe I, intégrés comme composants de sécurité dans des produits réglementés. | Dispositifs médicaux, machines, jouets connectés et produits assimilés. |
Calendrier consolidé au 5 septembre 2026, après entrée en vigueur du Digital Omnibus sur l'IA.
Le report mérite une lecture précise, car il porte sur un périmètre étroit. Les interdictions, la littératie IA, les obligations de transparence et le régime de sanctions demeurent pleinement applicables. Seul le volet haut risque bascule à des échéances plus lointaines. Une organisation qui avait bâti sa trajectoire de conformité autour de la date du 2 août 2026 gagne du temps sur la documentation technique et la gestion des risques, sans rien gagner sur les obligations qui la concernent déjà.
Ce délai supplémentaire trouve son meilleur emploi dans les travaux qui ne dépendent d'aucune norme technique à paraître. Recenser les systèmes en service, qualifier leur niveau de risque, identifier votre rôle pour chacun et documenter la gouvernance représentent plusieurs mois d'effort dans une organisation de taille moyenne. Ces étapes conditionnent toutes les suivantes et restent réalisables dès aujourd'hui.
6. Le régime de sanctions
Des paliers gradués selon la gravité, calculés sur le chiffre d'affaires annuel mondial.
L'article 99 fixe le régime d'amendes administratives, dont l'application relève des autorités nationales. Le principe directeur retient, pour chaque palier, le montant le plus élevé entre une somme forfaitaire et un pourcentage du chiffre d'affaires annuel mondial total de l'exercice précédent. Une exception notable protège les petites structures.
| Manquement | Plafond forfaitaire | Pourcentage du CA mondial |
|---|---|---|
| Pratiques interdites de l'article 5 Notation sociale, manipulation subliminale, reconnaissance des émotions au travail. |
35 millions d'euros | 7 % |
| Manquements aux autres obligations Obligations des fournisseurs, des déployeurs, des importateurs, des distributeurs et des organismes notifiés. |
15 millions d'euros | 3 % |
| Informations inexactes ou trompeuses Réponses incomplètes ou erronées adressées aux autorités ou aux organismes notifiés. |
7,5 millions d'euros | 1 % |
Le montant le plus élevé des deux colonnes est retenu, sauf pour les PME et les jeunes pousses.
Le paragraphe 6 de l'article 99 aménage un régime protecteur pour les PME et les jeunes pousses. Pour ces structures, chaque amende est plafonnée au montant le plus bas des deux, et non au plus élevé. Le risque financier reste néanmoins réel à l'échelle d'une entreprise de taille moyenne, et s'accompagne de risques indirects rarement chiffrés, exclusion d'appels d'offres, exigences nouvelles des assureurs et mise en cause de responsabilité civile en cas de dommage.
7. AI Act et RGPD, ce qui se cumule
Deux régimes distincts qui s'appliquent souvent au même projet, sans se substituer l'un à l'autre.
| Critère | RGPD | AI Act |
|---|---|---|
| Objet protégé | Les données à caractère personnel et les droits des personnes concernées | La sécurité et les droits fondamentaux face aux systèmes d'IA |
| Déclencheur | Le traitement de données personnelles, quelle que soit la technologie | La mise sur le marché ou l'utilisation d'un système d'IA, avec ou sans données personnelles |
| Logique | Licéité du traitement, minimisation, droits des personnes | Classement par niveau de risque, obligations graduées |
| Autorité en France | La CNIL | Plusieurs autorités désignées selon les secteurs, coordination européenne assurée par le Bureau de l'IA |
| Document clé | Registre des traitements, analyse d'impact | Inventaire des systèmes d'IA, documentation technique, registre de littératie |
En pratique, un projet d'assistant documentaire interne illustre bien ce cumul. Il relève du RGPD dès lors que les documents indexés contiennent des données personnelles, ce qui impose une base légale, une durée de conservation et l'information des personnes concernées. Il relève parallèlement de l'AI Act, au titre de la littératie IA des utilisateurs, des obligations de transparence si l'assistant interagit directement avec des personnes, et d'une qualification de risque si son usage touche à la gestion des ressources humaines. Les deux analyses se mènent en parallèle, sur le même périmètre.
8. Pourquoi le déploiement on-premise simplifie la preuve
L'architecture retenue ne change pas les obligations, elle change radicalement leur coût de démonstration.
Aucune disposition du règlement n'impose un mode d'hébergement particulier. Une organisation conforme peut parfaitement s'appuyer sur un service en ligne, sous réserve de maîtriser la chaîne contractuelle et documentaire qui l'accompagne. La question pratique porte ailleurs, sur l'effort nécessaire pour démontrer cette conformité le jour où une autorité la demande.
Quatre obligations deviennent nettement plus faciles à établir lorsque le système tourne dans l'infrastructure de l'organisation. La localisation des traitements se vérifie directement, sans reposer sur les engagements d'un tiers ni sur une cartographie de sous-traitants successifs. La traçabilité s'appuie sur des journaux détenus et conservés par l'organisation elle-même, avec la durée de rétention qu'elle décide. La supervision humaine s'exerce sur un système dont les paramètres restent accessibles, ce qui permet de documenter les points de contrôle. Enfin, la maîtrise des évolutions évite qu'une mise à jour décidée par un éditeur modifie le comportement du système sans que l'organisation en soit informée, situation délicate à concilier avec une documentation technique à jour.
Cette logique prend un relief particulier dans les secteurs régulés. En pharmacie, la sortie d'un système engage une décision sur un domaine soumis aux bonnes pratiques. Dans l'administration, la nature des données concernées rend le transfert vers un tiers difficilement défendable. BADIS AI conçoit ses briques pour un déploiement en environnement régulé, dans l'infrastructure du client, sans dépendance à un service externe.
9. La checklist de mise en conformité
Sept étapes réalisables dès aujourd'hui, sans attendre les normes techniques encore en préparation.
Recenser les systèmes d'IA réellement utilisés
Établissez un inventaire des outils en service, y compris ceux souscrits en dehors du circuit informatique officiel. Les comptes individuels ouverts sur des assistants grand public relèvent du périmètre dès lors qu'ils servent à un usage professionnel. Sans cet inventaire, aucune étape suivante n'est fiable.
Qualifier votre rôle pour chaque système
Déterminez si vous agissez en fournisseur ou en déployeur, système par système. Portez une attention particulière aux outils personnalisés en profondeur ou diffusés sous votre marque, cette situation entraîne une requalification en fournisseur et un régime d'obligations nettement plus lourd.
Classer chaque système par niveau de risque
Confrontez chaque usage aux quatre niveaux du règlement, en vous appuyant sur les annexes I et III pour le haut risque. Les usages touchant au recrutement, à l'évaluation des personnes, à l'accès au crédit ou à la biométrie appellent une vigilance particulière, y compris quand l'échéance reste lointaine.
Mettre en place une charte d'usage de l'IA
Écrivez ce que vos équipes ont le droit de faire, avec quels outils et sur quelles catégories de données. Une charte diffusée, expliquée et opposable vaut mieux qu'un document parfait resté dans un espace partagé. Elle constitue le premier élément de preuve d'une démarche structurée.
Former les équipes et documenter la formation
Construisez un parcours différencié par profil, calibré sur les outils réellement utilisés. Conservez le registre horodaté des personnes formées, les supports employés et les attestations individuelles. Le catalogue BADIS AI Institute couvre ce besoin, en classe virtuelle ou dans vos locaux.
Articuler la démarche avec la conformité RGPD
Associez votre délégué à la protection des données dès la qualification des systèmes. Les analyses d'impact existantes constituent souvent un point de départ solide, et le registre des traitements recoupe partiellement l'inventaire des systèmes d'IA.
Superviser les systèmes en production
Une conformité établie au moment du déploiement se dégrade sans surveillance. Les journaux d'usage, le suivi de la qualité des réponses et la détection des dérives fournissent la preuve continue attendue. BADIS Control Center outille cette supervision pour les systèmes en service.
Cette page présente une synthèse à visée informative du règlement (UE) 2024/1689 et de ses modifications, arrêtée au 5 septembre 2026. Elle ne constitue pas une consultation juridique. La qualification d'un système donné et l'appréciation des obligations qui s'y attachent appellent l'avis d'un conseil compétent, au regard de votre situation particulière.
10. Comment BADIS AI intervient
Trois volets complémentaires, du cadrage initial à la supervision des systèmes en service.
Cartographier et qualifier
Le Plan de transformation IA recense vos systèmes, qualifie chaque cas d'usage au regard du règlement et intègre les exigences de traçabilité et de supervision dans la feuille de route, avant tout déploiement.
Plan de transformation IAFormer et documenter
BADIS AI Institute répond à l'obligation de littératie de l'article 4, avec des parcours calibrés par profil, en classe virtuelle ou en présentiel, et une attestation de fin de formation pour chaque participant.
Catalogue de formationsSuperviser en continu
BADIS Control Center audite les Agents IA, RAG, Chatbots et Data Assistant en production, produit les journaux exigés et signale les dérives, sur une infrastructure qui reste la vôtre.
BADIS Control Center11. Questions fréquentes
Les questions les plus posées sur la conformité au règlement européen sur l'intelligence artificielle.
L'AI Act est le règlement (UE) 2024/1689, premier cadre juridique complet consacré à l'intelligence artificielle. Entré en vigueur le 1er août 2024, il classe les usages selon quatre niveaux de risque, de la pratique interdite au risque minimal, et fait dépendre les obligations de ce classement. Son application est échelonnée dans le temps, chaque échéance ajoutant une strate d'obligations.
Très probablement, dès lors qu'elle utilise un système d'intelligence artificielle dans un cadre professionnel, y compris un assistant grand public comme ChatGPT ou Copilot. Le règlement vise les fournisseurs qui développent ou mettent sur le marché un système, et les déployeurs qui l'utilisent sous leur autorité. La majorité des entreprises relèvent de la seconde catégorie. Il s'applique aussi aux acteurs établis hors de l'Union dès lors que la sortie du système est utilisée dans l'Union.
L'article 4 impose aux fournisseurs comme aux déployeurs de garantir un niveau suffisant de littératie en intelligence artificielle chez les personnes qui utilisent leurs systèmes. Cette maîtrise doit tenir compte des connaissances techniques, de l'expérience, de la formation de ces personnes et du contexte d'utilisation. L'obligation s'applique depuis le 2 février 2025. Aucun format pédagogique n'est imposé, mais l'organisation doit pouvoir démontrer ce qu'elle a mis en place.
Le règlement est entré en vigueur le 1er août 2024. Les interdictions et l'obligation de littératie IA s'appliquent depuis le 2 février 2025, les obligations des fournisseurs de modèles à usage général depuis le 2 août 2025, les obligations de transparence et les pouvoirs de sanction depuis le 2 août 2026. Après l'adoption du Digital Omnibus sur l'IA, les obligations des systèmes à haut risque de l'annexe III s'appliqueront le 2 décembre 2027 et celles de l'annexe I le 2 août 2028.
Le Digital Omnibus sur l'IA, approuvé par le Parlement européen le 16 juin 2026 et publié au Journal officiel de l'Union le 24 juillet 2026, reporte l'application des obligations pesant sur les systèmes d'IA à haut risque. Celles de l'annexe III passent au 2 décembre 2027, celles de l'annexe I au 2 août 2028. Le texte ne touche ni à l'approche par les risques, ni aux obligations déjà en vigueur comme la littératie IA, et il ajoute de nouvelles interdictions applicables au 2 décembre 2026.
L'article 99 organise plusieurs paliers d'amendes administratives. Le non-respect des pratiques interdites de l'article 5 expose à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements aux autres obligations des opérateurs relèvent d'un palier à 15 millions d'euros ou 3 %. La fourniture d'informations inexactes ou trompeuses aux autorités est sanctionnée jusqu'à 7,5 millions d'euros ou 1 %. Pour les PME et les jeunes pousses, le montant le plus bas des deux est retenu.
Le règlement distingue deux familles. L'annexe III vise des systèmes autonomes utilisés dans des domaines sensibles, notamment la biométrie, les infrastructures critiques, l'éducation, le recrutement et la gestion des ressources humaines, l'accès aux services essentiels et au crédit, la justice et le maintien de l'ordre. L'annexe I vise les systèmes intégrés comme composants de sécurité dans des produits déjà réglementés, par exemple les dispositifs médicaux ou les machines.
Rien dans le texte n'impose une durée ni un format. Le critère est le caractère suffisant et proportionné de la maîtrise acquise, apprécié au regard du poste, des outils réellement utilisés et du niveau de départ des personnes. Une session unique et générique répond mal à ce critère dans une organisation où les usages diffèrent fortement d'un service à l'autre. Un parcours différencié par profil, documenté et actualisé, résiste mieux à un contrôle.
Par la documentation. Un inventaire des systèmes d'IA utilisés, leur qualification par niveau de risque, une charte d'usage diffusée aux équipes, un registre de formation horodaté avec les supports et les attestations, les analyses d'impact menées avec le délégué à la protection des données, et les journaux de supervision des systèmes en production. La conformité se démontre par des traces, pas par une déclaration d'intention.
Les deux textes se cumulent sans se remplacer. Le RGPD encadre le traitement des données à caractère personnel, quelle que soit la technologie employée. L'AI Act encadre la mise sur le marché et l'utilisation des systèmes d'intelligence artificielle, y compris lorsqu'ils ne traitent aucune donnée personnelle. Un cas d'usage qui traite des données personnelles au moyen d'un système d'IA relève des deux régimes, avec une base légale au sens du RGPD et une qualification de risque au sens de l'AI Act.
Il en simplifie plusieurs volets. Un système hébergé dans l'infrastructure de l'organisation évite les transferts de données vers un tiers, rend la localisation des traitements vérifiable, place les journaux et la traçabilité sous la maîtrise directe de l'organisation et facilite la démonstration de la supervision humaine. Le déploiement on-premise ne dispense d'aucune obligation, il rend simplement leur preuve nettement plus accessible.
Par l'inventaire. Recensez les systèmes d'intelligence artificielle réellement utilisés, y compris les outils souscrits hors du circuit informatique officiel. Qualifiez ensuite chacun au regard des quatre niveaux de risque et identifiez votre rôle, fournisseur ou déployeur, pour chaque système. Ces deux étapes ne dépendent d'aucune norme technique à paraître et conditionnent toutes les suivantes, du plan de formation à la documentation.
Non. Le report ne touche que le volet haut risque. Les interdictions, l'obligation de littératie IA, les obligations de transparence et le régime de sanctions restent pleinement applicables. Le délai supplémentaire sert à cartographier les systèmes, qualifier leur niveau de risque et documenter la gouvernance avant l'échéance de décembre 2027, un travail qui prend plusieurs mois dans une organisation de taille moyenne.
Sur trois volets complémentaires. Le Plan de transformation IA cartographie les systèmes et qualifie chaque cas d'usage au regard du règlement. BADIS AI Institute forme les équipes pour répondre à l'obligation de littératie de l'article 4, avec attestation de fin de formation. BADIS Control Center supervise les systèmes en production et produit les journaux d'audit exigés. L'ensemble se déploie on-premise, dans l'infrastructure du client.
Sources
- Union européenne, règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle, EUR-Lex.
- Commission européenne, article 99, sanctions, AI Act Service Desk.
- Digital Omnibus sur l'IA, approuvé par le Parlement européen le 16 juin 2026, publié au Journal officiel de l'Union européenne le 24 juillet 2026.
Pour aller plus loin
Les ressources qui prolongent la mise en conformité.
BADIS Control Center : auditer vos systèmes d'IA en production
Découvrir → Article 4Formation intelligence artificielle : répondre à l'obligation de littératie IA
Voir le catalogue → CadragePlan de transformation IA : cartographier et qualifier vos cas d'usage
Consulter → Page de référenceIntelligence artificielle en France : marché, acteurs, technologies et méthode
Consulter le guide →L'AI Act, règlement (UE) 2024/1689, est le premier cadre juridique complet consacré à l'intelligence artificielle dans l'Union européenne. Entré en vigueur le 1er août 2024, il classe les usages en quatre niveaux de risque et applique ses obligations par vagues successives. L'interdiction des pratiques inacceptables et l'obligation de littératie IA de l'article 4 s'appliquent depuis le 2 février 2025, les obligations de transparence et les pouvoirs de sanction depuis le 2 août 2026. Le Digital Omnibus sur l'IA, publié au Journal officiel de l'Union le 24 juillet 2026, a reporté les obligations relatives aux systèmes à haut risque au 2 décembre 2027 pour l'annexe III et au 2 août 2028 pour l'annexe I. Les amendes de l'article 99 atteignent 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, avec un plafonnement au montant le plus bas pour les PME et les jeunes pousses. BADIS AI, éditeur de logiciels d'intelligence artificielle souverains on-premise pour les secteurs régulés, accompagne la mise en conformité sur trois volets, la cartographie et la qualification des systèmes, la formation des équipes au titre de l'article 4, et la supervision continue des systèmes en production.