2 août 2026, AI Act, IA à haut risque, contrats à renégocier, ce que les entreprises françaises doivent affronter

Depuis le 2 août 2026, l’entrée en application progressive de l’AI Act oblige les entreprises à regarder leurs outils d’intelligence artificielle comme des actifs réglementés. Le sujet ne concerne plus seulement les directions juridiques ou informatiques. Les achats, les ressources humaines, la conformité, la sécurité et les métiers utilisateurs doivent documenter leurs usages, identifier les systèmes à risque et renégocier certains contrats avec leurs prestataires.

Le calendrier AI Act décale les obligations haut risque

La date du 2 août 2026 marque une étape importante, mais elle ne déclenche pas toutes les obligations applicables aux systèmes d’IA à haut risque. Le règlement européen prévoit une entrée en vigueur par blocs, selon la nature de l’outil, son usage et le rôle de l’entreprise dans la chaîne de valeur. Cette progressivité crée une difficulté concrète pour les directions générales, qui doivent distinguer ce qui s’applique déjà de ce qui doit être préparé.

Les systèmes à haut risque visés en raison de leur finalité, notamment dans l’emploi, l’éducation, le crédit ou certains services essentiels, relèvent d’un calendrier spécifique. Plusieurs analyses juridiques récentes indiquent une échéance au 2 décembre 2027 pour ces systèmes. Les outils intégrés à des produits déjà réglementés, par exemple dispositifs médicaux, machines industrielles ou équipements connectés, relèvent d’une autre échéance, fixée au 2 août 2028.

Cette distinction impose un travail de cartographie précis. Une entreprise qui utilise un outil de tri de candidatures n’est pas placée dans la même situation qu’un fabricant intégrant un module d’IA dans une machine. Dans le premier cas, le risque vient de la finalité sociale de l’outil. Dans le second, il dépend du produit qui embarque le système. Le même fournisseur technologique peut donc être soumis à des obligations différentes selon ses clients.

Le AI Act n’autorise pas une attente passive. Les organisations doivent dès maintenant inventorier leurs outils, relever les données utilisées, identifier les prestataires et conserver les preuves de gouvernance. Les contrats conclus en 2026 auront souvent des effets au-delà des prochaines échéances. Un achat mal cadré aujourd’hui peut devenir une source de non-conformité lorsque les obligations haut risque deviendront pleinement opposables.

RH, crédit et santé concentrent les usages sensibles

Dans l’entreprise, les usages les plus exposés se trouvent dans les décisions qui affectent directement les personnes. Les ressources humaines constituent le premier terrain d’attention. Les outils de présélection de CV, d’évaluation automatisée des compétences, de notation interne ou d’analyse de performance peuvent entrer dans la catégorie haut risque. Le raisonnement vaut même si l’outil se présente comme une aide à la décision et non comme un système entièrement autonome.

Le secteur financier est aussi concerné. Les systèmes utilisés pour apprécier une solvabilité, ajuster une offre de crédit ou prioriser des dossiers clients sont susceptibles de produire des effets importants sur l’accès à un service. La logique du règlement consiste à encadrer les outils qui peuvent modifier la situation économique ou sociale d’une personne. L’entreprise doit donc regarder l’usage réel, pas seulement la brochure commerciale du logiciel.

La santé ajoute une couche de complexité, car certains systèmes relèvent à la fois de règles sectorielles et du cadre européen sur l’IA. Un logiciel d’aide au diagnostic, un outil d’orientation des patients ou un module de priorisation des urgences exige une documentation renforcée. Les obligations porteront sur la qualité des données, la robustesse du système, la surveillance humaine et la capacité à expliquer les résultats produits.

L’Annexe III du règlement sert de point de départ, mais elle ne remplace pas une analyse de terrain. Un chatbot de support interne peut relever d’une obligation de transparence limitée, tandis qu’un module utilisé pour classer des salariés dans un plan de mobilité peut basculer dans une zone plus sensible. Les entreprises doivent donc qualifier chaque cas d’usage, décrire la décision concernée et mesurer les effets possibles sur les droits des personnes.

Les contrats AI Act répartissent les responsabilités opérationnelles

La conformité ne se joue pas uniquement dans les politiques internes. Elle dépend aussi de la qualité des contrats signés avec le fournisseur, l’intégrateur, l’importateur ou le distributeur. Chaque acteur détient une partie des informations nécessaires à la preuve réglementaire. Une entreprise cliente qui déploie un outil sans accès suffisant aux documents techniques, aux limites d’usage ou aux journaux de fonctionnement se place dans une position fragile.

Le rôle de déployeur mérite une attention particulière. Une société qui utilise une solution conçue par un tiers ne peut pas se contenter de transférer tout le risque au vendeur. Elle doit employer l’outil conformément à sa notice, former les utilisateurs, surveiller les résultats et signaler les incidents graves. Si elle modifie l’usage prévu, ajoute ses propres données ou détourne l’outil de son contexte initial, sa responsabilité peut augmenter.

Les clauses contractuelles doivent donc prévoir l’accès à la documentation technique, les conditions d’audit, les délais de notification en cas d’incident, les mesures correctives et les garanties liées aux données. Les entreprises ont intérêt à exiger une description claire des jeux de données, des performances connues, des biais identifiés et des limites du système. Une clause générale de conformité ne suffit pas lorsque l’outil intervient dans une décision sensible.

La traçabilité devient un point central. Les journaux d’utilisation, les versions du modèle, les paramètres appliqués et les interventions humaines doivent pouvoir être retrouvés. Cette exigence concerne autant les directions informatiques que les métiers. Dans un contentieux lié à un refus d’embauche, une décision de crédit ou une priorisation médicale, l’entreprise devra expliquer qui a utilisé l’outil, avec quelles données et sous quel contrôle.

Les sanctions AI Act imposent des preuves de conformité

Le règlement européen prévoit des amendes élevées, avec des plafonds pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les manquements les plus graves. Ces montants placent l’IA au niveau des grands risques réglementaires suivis par les comités exécutifs. La menace financière n’est pas le seul sujet. Une enquête administrative peut exposer une entreprise à une suspension d’outil, une injonction de correction ou une atteinte durable à sa réputation.

La réponse ne consiste pas à interdire tous les usages. Elle passe par une gouvernance lisible, proportionnée et documentée. Les entreprises les plus avancées créent un registre des systèmes d’IA, avec propriétaire métier, finalité, fournisseur, données traitées, niveau de risque et date de revue. Ce registre permet de prioriser les contrôles, d’identifier les outils sensibles et d’éviter les déploiements isolés par une direction sans validation juridique ou technique.

Le contrôle humain reste l’un des marqueurs forts des systèmes à haut risque. Il ne s’agit pas d’ajouter une validation formelle en fin de processus. La personne chargée de superviser l’outil doit comprendre ses limites, pouvoir contester un résultat et disposer du temps nécessaire pour intervenir. Une validation automatique, sans formation ni marge de manœuvre, risque d’être jugée insuffisante lors d’un contrôle.

La cybersécurité complète ce dispositif. Les systèmes d’IA peuvent être exposés à des manipulations de données, des attaques sur le modèle ou des fuites d’informations sensibles. Les plans de conformité doivent intégrer des tests, des procédures d’incident, des sauvegardes et une revue régulière des accès. Depuis le 2 août 2026, les entreprises disposent d’une fenêtre utile pour transformer ces exigences en pratiques vérifiables avant les prochaines échéances haut risque.