AI Act 2026 : ce qui s'applique vraiment aux agents IA

TL;DR

• Le 2 août 2026, l'AI Act entre dans une nouvelle phase, mais pas celle que la plupart des articles publiés avant l'été annoncent encore.
• Ce qui s'applique vraiment ce jour-là : la gouvernance (AI Office et autorités nationales opérationnelles) et l'obligation de transparence de l'article 50 pour les agents conversationnels et les contenus générés par IA.
• Ce qui a été repoussé au 2 décembre 2027 par le règlement Digital Omnibus (entré en vigueur le 27 juillet 2026) : les obligations lourdes sur les systèmes à haut risque de l'annexe III, dont le tri automatisé de CV ou le scoring de crédit.
• En France, la CNIL est l'autorité de référence, avec la DGCCRF en coordinatrice. Les sanctions sont plafonnées au plus bas des deux seuils pour les PME, pas au plus haut.

Pourquoi la plupart des articles sur l'AI Act sont déjà datés

Depuis le printemps, une vague d'articles a présenté le 2 août 2026 comme la date où les PME françaises basculeraient massivement dans des obligations lourdes sur leurs systèmes d'intelligence artificielle. Beaucoup de ces contenus, écrits en mai ou en juin, décrivaient un calendrier qui, sur le papier réglementaire de l'époque, était exact.

Le problème, c'est que ce calendrier a changé depuis. Le règlement dit Digital Omnibus, qui simplifie et étale certaines obligations de l'AI Act, a fait l'objet d'un accord politique entre le Parlement européen et le Conseil le 7 mai 2026. Il a été validé par le Parlement le 16 juin, approuvé définitivement par le Conseil le 29 juin, et il est entré en vigueur le 27 juillet 2026, quelques jours seulement avant l'échéance du 2 août (itsocial.fr, l'accord du 7 mai reporte l'annexe III à décembre 2027). Concrètement, ça veut dire qu'une bonne partie des articles publiés au printemps sur l'AI Act donnent aujourd'hui une échéance fausse pour les systèmes à haut risque. Ce n'est pas de la mauvaise foi, c'est un calendrier réglementaire qui a bougé sous leurs pieds après publication.

Le calendrier réel, tel qu'il se présente aujourd'hui

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'Union européenne. Depuis, il s'applique par étapes, et c'est cette progressivité qu'il faut avoir en tête plutôt qu'une seule date couperet.

Depuis le 2 février 2025, huit des neuf pratiques d'IA jugées inacceptables sont interdites : notation sociale généralisée, manipulation subliminale, exploitation de vulnérabilités, reconnaissance faciale de masse dans l'espace public en dehors de cas très encadrés, entre autres. La neuvième interdiction, ajoutée par le Digital Omnibus et qui vise les contenus sexuels non consentis générés par IA, entrera en vigueur en décembre 2026. Aucune de ces interdictions ne concerne, en pratique, les agents IA métier qu'on décrit dans notre guide sur les agents IA en PME : elles visent des usages qui n'ont rien à voir avec un agent de support, de qualification ou de RAG documentaire bien conçu.

Depuis le 2 août 2025, les fournisseurs de modèles d'IA à usage général comme les grands modèles de langage sont soumis à des obligations spécifiques de transparence et de gestion des risques systémiques. Ce point concerne les éditeurs de ces modèles, pas les PME qui les utilisent comme simples clients.

Le 2 août 2026, deux choses précises entrent en application. D'abord la gouvernance : l'AI Office européen et les autorités nationales deviennent officiellement compétents pour superviser et sanctionner. Ensuite la transparence, prévue à l'article 50 : informer les utilisateurs qu'ils interagissent avec une IA, labelliser les contenus de synthèse générés par IA. C'est confirmé par la Commission européenne elle-même, sur sa page officielle de référence sur l'AI Act, mise à jour le 31 juillet 2026, dans un communiqué annonçant le début de l'application de ces règles.

Ce qui n'entre pas en application le 2 août 2026, contrairement à ce que le calendrier initial prévoyait, ce sont les obligations sur les systèmes à haut risque listés à l'annexe III (recrutement et gestion RH, scoring de crédit, éducation, justice, infrastructures critiques). Le Digital Omnibus a repoussé cette échéance au 2 décembre 2027. Les systèmes à haut risque intégrés dans des produits déjà réglementés par ailleurs (dispositifs médicaux, ascenseurs, jouets connectés) voient leur échéance étendue plus loin encore, au 2 août 2028.

Les 4 niveaux de risque, avec des exemples d'agents IA en PME

L'AI Act classe les systèmes selon quatre niveaux de risque, et situer son propre agent dans cette grille est la première chose à faire avant de parler d'obligations.

Le risque inacceptable regroupe les pratiques interdites depuis février 2025 : aucun agent IA légitime déployé en PME (support client, qualification commerciale, RAG documentaire, RH avec supervision humaine) ne tombe normalement dans cette catégorie, sauf dérive volontaire vers de la notation comportementale ou de la manipulation.

Le haut risque concerne les systèmes qui décident seuls dans des contextes sensibles : élimination automatique de candidatures sans validation humaine, notation de solvabilité sans recours possible, surveillance de performance des salariés avec alertes automatiques. C'est la catégorie dont l'échéance vient d'être repoussée à décembre 2027, mais dont les grands principes (documentation, supervision humaine, gestion des risques) restent la référence à anticiper pour qui construit ce type de système.

La transparence concerne les agents qui interagissent avec des humains sans nécessairement prendre de décision à fort impact : un chatbot de support, un agent de qualification commerciale qui échange avec un prospect, un outil de génération de contenu marketing. C'est la catégorie qui entre en application le 2 août 2026 avec l'article 50 : l'obligation n'est pas de s'abstenir, elle est d'informer.

Le risque minimal couvre la grande majorité des usages actuels en PME : filtres anti-spam, outils de rédaction assistée en interne, recommandations de produits. Aucune obligation spécifique ne s'y applique.

Ce que ça change concrètement pour un agent conversationnel ou un agent de support

Si votre PME a déployé un agent IA qui répond à des demandes de support, qualifie des prospects ou anime un chatbot sur votre site, l'obligation qui s'applique réellement à partir du 2 août 2026 est simple à mettre en œuvre. Indiquer clairement, dans l'interface de l'agent, que l'interlocuteur est un système automatisé. Prévoir un moyen raisonnable de basculer vers un humain si la personne le demande. Labelliser les contenus de synthèse (visuel, audio) que l'agent pourrait produire et qui seraient susceptibles d'être pris pour un contenu humain authentique.

Pour la plupart des agents construits sur les architectures qu'on documente régulièrement, ce point se règle en configuration plutôt qu'en développement : une mention dans le message d'accueil de l'agent, un lien visible vers un contact humain, et c'est fait. C'est un point beaucoup plus léger que ce que le bruit médiatique autour de l'AI Act laisse parfois entendre.

Ce que ça change pour un agent IA RH, de scoring ou de décision automatisée

C'est là que la nuance de calendrier compte le plus. Si votre agent se contente de trier, résumer ou proposer un classement à une personne qui valide ensuite, vous restez dans une logique d'aide à la décision, pas de décision automatisée, et vous ne basculez pas dans le haut risque de l'annexe III, quelle que soit sa date d'application. C'est précisément le choix de conception qu'on a documenté dans notre étude de cas sur un agent IA RH déployé dans une PME de 50 salariés : présélection et onboarding assistés, décision d'embauche toujours humaine.

Si en revanche votre système élimine automatiquement des candidats, refuse un crédit ou évalue la performance d'un salarié sans validation humaine, vous entrez dans le haut risque tel que défini par l'annexe III. Le report à décembre 2027 donne du temps, pas une exemption définitive : les obligations de fond (documentation technique, gouvernance des données, supervision humaine effective, enregistrement dans une base européenne pour les fournisseurs) restent la cible. Sur ce point, la logique développée dans notre guide sur la sécurité des agents IA en production, qui pose déjà le principe de moindre privilège et de validation humaine sur les effets irréversibles, s'applique presque telle quelle à l'anticipation de cette échéance.

Qui contrôle, et avec quelles vraies sanctions pour une PME

En France, la CNIL a été désignée autorité de référence pour l'application de l'AI Act, une compétence actée par le projet de loi DDADUE validé par le Sénat le 17 février 2026, qui modifie la loi Informatique et Libertés de 1978. La DGCCRF joue le rôle de point de contact unique et de coordinatrice entre les autorités sectorielles : Arcom pour l'audiovisuel et le numérique, ACPR pour la banque et l'assurance, AMF pour les marchés financiers, ANSM et HAS pour la santé, chacune compétente selon le domaine d'application du système d'IA concerné.

Sur les sanctions, le règlement prévoit trois paliers : jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial annuel pour les pratiques interdites, jusqu'à 15 millions ou 3% pour les manquements sur le haut risque, les modèles à usage général ou la transparence, jusqu'à 7,5 millions ou 1% pour des informations incorrectes fournies aux autorités. Ce qui change tout pour une PME, c'est que le règlement retient explicitement le plus bas des deux seuils pour les PME et jeunes entreprises, pas le plus haut : une entreprise à 800 000 EUR de chiffre d'affaires qui commettrait un manquement grave et répété risquerait 7% de ce chiffre, soit 56 000 EUR, pas 35 millions. C'est un montant réel qui mérite attention, mais dans un ordre de grandeur très différent de ce que suggèrent les gros titres. En pratique, les autorités commencent presque systématiquement par une mise en demeure avant d'engager une procédure de sanction financière.

Cinq actions concrètes avant la fin de l'année, sans paniquer

Cartographier en une demi-journée les outils IA réellement utilisés dans l'entreprise, du correcteur automatique à l'agent métier construit sur mesure, et noter pour chacun s'il prend une décision qui impacte directement une personne (client, candidat, salarié). Vérifier, pour un agent conversationnel exposé aux clients ou prospects, que la mention de transparence de l'article 50 est bien présente et visible. Pour un agent qui touche au recrutement, à la notation ou au crédit, vérifier explicitement qu'une validation humaine s'interpose avant toute décision définitive, et documenter cette étape même sommairement. Demander à vos éditeurs SaaS (RH, scoring, CRM) leur feuille de route de conformité AI Act, un éditeur sérieux doit pouvoir répondre. Nommer, même informellement dans une PME de quelques dizaines de salariés, une personne responsable de tenir ce dossier à jour, sans en faire une fonction à temps plein.

Rien de tout cela ne nécessite un cabinet d'avocats spécialisé pour une PME qui utilise des agents IA dans un rôle d'assistance plutôt que de décision automatisée. La vraie vigilance, dans les mois qui viennent, consiste moins à se conformer dans l'urgence qu'à ne pas construire, par facilité, un système qui basculerait sans le vouloir dans le haut risque de l'annexe III d'ici décembre 2027. C'est aussi une question de budget bien réparti : mieux vaut consacrer quelques heures à documenter la supervision humaine d'un agent que découvrir après coup un poste de conformité imprévu, un arbitrage qu'on retrouve dans notre guide sur le coût réel d'un agent IA en production.

Un agent IA PME bien cadré, avec une limite claire entre ce qu'il propose et ce qu'un humain décide, traverse cette échéance réglementaire sans drame. C'est le message qui manque le plus dans le bruit actuel autour de l'AI Act.