IA Act : quelles obligations pour les entreprises et comment former leurs collaborateurs en 2026 ?

Mis à jour le 17 octobre 2026. Article rédigé par l’équipe du CIDFP, organisme de formation professionnelle certifié Qualiopi. Il présente des repères juridiques et ne remplace pas l’avis d’un juriste ou de votre DPO.

En octobre 2026, l’AI Act s’applique déjà à toute entreprise qui utilise l’intelligence artificielle, y compris un simple assistant comme ChatGPT, Copilot ou Mistral. Trois blocs d’obligations sont en vigueur : les pratiques interdites, la maîtrise de l’IA par le personnel (article 4) et les règles de transparence (article 50). En revanche, les exigences les plus lourdes, celles des systèmes à haut risque, ont été reportées au 2 décembre 2027 par le règlement « omnibus numérique sur l’IA » adopté en juillet 2026.

Pour la plupart des organisations, la priorité n’est donc pas technique. Il s’agit d’abord de savoir quels outils sont utilisés, par qui et pour quoi faire, puis de donner aux équipes les compétences pour s’en servir sans risque. Voici ce que dit le texte, ce qui a changé en 2026 et comment organiser la formation de vos collaborateurs.

En bref. L’AI Act n’impose ni certification ni volume d’heures de formation. Il oblige en revanche chaque fournisseur et chaque déployeur de systèmes d’IA à prendre des mesures concrètes pour développer la maîtrise de l’IA de ses équipes, et à pouvoir le démontrer.

Qu’est-ce que l’AI Act ?

L’AI Act, ou règlement européen sur l’intelligence artificielle (RIA), est le règlement (UE) 2024/1689 publié sur EUR-Lex. Paru au Journal officiel de l’Union européenne le 12 juillet 2024, il est entré en vigueur le 1er août 2024. La Commission européenne le présente comme le premier cadre juridique complet consacré à l’IA dans le monde. Son objectif : favoriser une IA digne de confiance, qui protège la santé, la sécurité et les droits fondamentaux, sans freiner l’innovation.

Le texte s’applique directement dans tous les États membres, sans transposition. Il vise les acteurs publics comme privés, quelle que soit leur taille, dès qu’un système d’IA est mis sur le marché ou utilisé dans l’Union, ou qu’il produit des effets sur des personnes qui s’y trouvent.

Une approche fondée sur quatre niveaux de risque

Comme le résume la FAQ de la CNIL sur le règlement IA, les systèmes sont classés selon leur niveau de risque :

• Risque inacceptable : pratiques interdites, comme la notation sociale ou la reconnaissance des émotions au travail.
• Haut risque : systèmes qui peuvent porter atteinte à la sécurité ou aux droits fondamentaux, comme le tri automatique de CV. Ils sont soumis à des exigences renforcées.
• Risque spécifique de transparence : agents conversationnels, contenus générés par IA, hypertrucages (deepfakes).
• Risque minimal : la grande majorité des usages, comme les filtres anti-spam, sans obligation particulière.

Fournisseur ou déployeur : quel est le rôle de votre entreprise ?

Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché sous son propre nom. Le déployeur utilise un système d’IA sous sa propre autorité, dans un cadre professionnel. Une PME qui équipe ses salariés d’un assistant d’IA générative est donc déployeur. Ses obligations sont moins nombreuses que celles du fournisseur, mais elles sont bien réelles : maîtrise de l’IA, transparence et, pour les systèmes à haut risque, contrôle humain.

Attention toutefois : une entreprise qui commercialise sous sa marque un système à haut risque, ou qui le modifie substantiellement, peut être requalifiée en fournisseur.

Obligations de l’AI Act en 2026 : ce qui s’applique déjà

Le calendrier initial a été modifié par le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA. Signé le 8 juillet 2026, publié le 24 juillet et entré en vigueur le 27 juillet 2026, ce texte est définitivement adopté. Il ne supprime aucune catégorie d’obligation : il décale surtout le volet « haut risque », réécrit l’article 4 et ajoute une interdiction. La CNIL a mis à jour sa FAQ le 17 août 2026 pour intégrer ces changements.

Calendrier de l’AI Act vérifié au 17 octobre 2026

Sources : CNIL (FAQ mise à jour le 17 août 2026), Commission européenne, version consolidée du règlement au 27 juillet 2026 (article 113).

Les pratiques interdites

Depuis le 2 février 2025, l’article 5 interdit huit pratiques, parmi lesquelles la manipulation subliminale, l’exploitation des vulnérabilités, la notation sociale et la reconnaissance des émotions sur le lieu de travail ou à l’école, sauf pour raisons médicales ou de sécurité. Pour un employeur, un outil qui analyserait les émotions des téléconseillers entre dans cette interdiction. La neuvième interdiction, ajoutée par l’omnibus, vise les applications de « dénudage » et s’appliquera le 2 décembre 2026.

Les obligations de transparence

L’article 50 s’applique depuis le 2 août 2026. D’une part, une personne doit savoir qu’elle échange avec une IA, sauf si c’est évident. D’autre part, le fournisseur doit marquer les contenus générés de façon détectable par une machine. Côté déployeur, l’entreprise qui diffuse un hypertrucage doit le signaler. Il en va de même pour un texte généré publié afin d’informer le public sur un sujet d’intérêt général, sauf s’il a été relu sous la responsabilité éditoriale d’une personne identifiée.

Les systèmes à haut risque, reportés mais pas supprimés

L’annexe III vise notamment le recrutement et la gestion du personnel (tri des candidatures, décisions de promotion ou de licenciement, suivi des performances), l’éducation et la formation professionnelle, l’accès au crédit et la biométrie. À partir du 2 décembre 2027, ces systèmes devront respecter des exigences de gestion des risques, de qualité des données, de documentation, de traçabilité et de contrôle humain. Les déployeurs devront aussi confier la supervision humaine à des personnes formées et informer les représentants du personnel avant la mise en service d’un tel outil.

Sanctions et contrôles

L’article 99 prévoit des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, 15 millions d’euros ou 3 % pour la plupart des autres obligations, transparence comprise, et 7,5 millions d’euros ou 1 % pour des informations inexactes transmises aux autorités. Pour les PME, c’est le montant le plus faible qui s’applique. Le manquement à l’article 4 ne figure pas dans ces plafonds : il relève du régime fixé par chaque État membre.

En France, la désignation des autorités de contrôle passe par un projet de loi d’adaptation au droit de l’Union, adopté par le Sénat en février 2026 et toujours en discussion à l’Assemblée nationale début octobre 2026. Le schéma annoncé par le Gouvernement confie la coordination à la DGCCRF et une large part des domaines sensibles, dont l’emploi et la biométrie, à la CNIL. Tant que la loi n’est pas votée, cette répartition reste un projet.

Article 4 de l’AI Act : la maîtrise de l’IA, une obligation de compétences

La maîtrise de l’IA, ou AI literacy, désigne les compétences, les connaissances et la compréhension qui permettent d’utiliser un système d’IA en connaissance de cause : savoir ce qu’il fait, connaître ses limites et mesurer les risques qu’il peut créer.

Ce que dit l’article 4 depuis l’omnibus

Dans sa version de 2024, l’article 4 demandait aux fournisseurs et aux déployeurs d’assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA. Depuis le 27 juillet 2026, il leur impose de prendre des mesures pour soutenir le développement de cette maîtrise chez leur personnel et chez les autres personnes qui utilisent les systèmes pour leur compte, comme les prestataires. Le texte précise désormais qu’aucun niveau précis n’est exigé pour une personne donnée.

L’obligation devient donc une obligation de moyens. Elle n’a pas disparu pour autant : une entreprise qui ne fait rien ne la respecte pas. Selon la FAQ de la Commission européenne sur la maîtrise de l’IA, mise à jour le 27 juillet 2026, ce sont les autorités nationales de surveillance du marché qui la contrôlent depuis août 2026, et non le Bureau européen de l’IA.

Ce que l’article 4 n’impose pas

• Aucune certification : la Commission indique qu’un registre interne des formations et des actions d’accompagnement suffit pour documenter la démarche.
• Aucun format ni volume horaire standard : les mesures dépendent du rôle de l’entreprise, des outils utilisés, des risques et du niveau des personnes.
• Aucune structure obligatoire : l’article 4 n’exige ni « responsable IA » ni comité dédié.

La Commission souligne cependant qu’il est souvent inefficace de se contenter de faire lire les notices d’utilisation. Elle cite un cas très courant : des salariés qui utilisent ChatGPT pour rédiger ou traduire doivent être informés des risques propres à ces outils, comme les hallucinations.

Sensibilisation, formation ou certification ?

Quelles conséquences concrètes pour les entreprises ?

L’AI Act ne remplace pas le RGPD. La CNIL rappelle que les deux textes se complètent : dès qu’un outil d’IA traite des données personnelles, les règles de protection des données continuent de s’appliquer. Voici comment cela se traduit selon les fonctions.

• Ressources humaines : rédiger une offre d’emploi avec une IA relève du risque minimal. En revanche, un outil qui trie ou classe des candidats entrera dans le haut risque en décembre 2027, et il est déjà soumis au RGPD.
• Marketing : une vidéo générée montrant un dirigeant est un hypertrucage, à signaler comme tel. Les droits sur les contenus utilisés doivent aussi être vérifiés.
• Management : un logiciel d’analyse des émotions en réunion est interdit. Un suivi automatisé des performances sera classé à haut risque.
• Fonctions administratives : synthèses, courriers et comptes rendus exigent une relecture humaine et l’absence de données confidentielles dans des outils non validés.
• Informatique : un chatbot destiné aux clients doit indiquer qu’il s’agit d’une IA. Intégrer un modèle dans un produit vendu peut faire de l’entreprise un fournisseur.

Se préparer à l’AI Act : le plan d’action en 7 étapes

1. Cartographier les outils et les usages de l’IA

Recensez les outils validés, mais aussi les usages non déclarés, souvent appelés shadow AI. Un questionnaire anonyme auprès des équipes révèle fréquemment des comptes personnels utilisés pour des tâches professionnelles.

2. Identifier les systèmes et les situations à risque

Classez chaque usage selon les quatre niveaux de risque. Portez une attention particulière aux outils RH, d’évaluation ou de scoring, susceptibles de relever de l’annexe III.

3. Définir les responsabilités internes

Désignez qui valide un nouvel outil, qui suit la réglementation et qui répond aux questions des équipes. Un référent IA travaillant avec le DPO, la DSI, les RH et le service juridique est une bonne pratique, sans être une obligation.

4. Élaborer une politique d’utilisation de l’IA

Une charte précise les outils autorisés, les données interdites, les vérifications attendues et la mention des contenus générés. Notre guide pour rédiger une charte d’utilisation de l’IA en entreprise détaille la méthode.

5. Former et sensibiliser les collaborateurs

C’est le cœur de l’article 4. Les actions doivent être adaptées aux profils, puis tracées dans un registre interne.

6. Mettre en place une supervision humaine

Définissez les décisions qui ne peuvent jamais être prises par une IA seule et les contenus qui doivent être relus avant diffusion. Par exemple, aucun refus de candidature ne devrait reposer uniquement sur un score automatique.

7. Suivre les pratiques et actualiser les compétences

Les outils et les textes évoluent vite : prochaine échéance le 2 décembre 2026, puis lignes directrices et normes sur le haut risque. Prévoyez une revue annuelle de la cartographie, de la charte et des formations.

Comment former ses collaborateurs à l’IA en 2026 ?

La formation, premier levier de maîtrise des risques

La plupart des incidents liés à l’IA générative viennent de l’usage plutôt que de l’outil : une donnée client copiée dans un assistant public, une source inventée reprise dans un rapport, une décision prise sans vérification. Former les équipes réduit ces risques et répond directement à l’article 4. Nous détaillons ces enjeux dans notre article IA en entreprise et formation des équipes.

Identifier les besoins selon les métiers

Partez de la cartographie : quels outils, pour quelles tâches, avec quelles données ? Un assistant de rédaction utilisé occasionnellement ne demande pas le même accompagnement qu’un outil d’aide à la décision en recrutement.

Différencier les parcours

Les thèmes à couvrir

Quel que soit le public, quelques notions sont incontournables : le fonctionnement simplifié de l’IA générative, les hallucinations et la vérification des sources, les biais, la confidentialité et la protection des données personnelles, la propriété intellectuelle et les nouvelles menaces, comme l’injection de prompt.

Accompagner le changement et évaluer les acquis

L’IA modifie les tâches, parfois les métiers. Associer les managers et les représentants du personnel facilite l’adoption. Pour évaluer les acquis, privilégiez les mises en situation et les quiz plutôt que la seule présence. Enfin, conservez la trace des actions menées : c’est ce registre qui permettra de démontrer vos efforts en cas de contrôle.

Se faire accompagner par le CIDFP

Le CIDFP, organisme certifié Qualiopi, propose des formations à l’IA en inter, en intra ou sur mesure, adaptées à chaque niveau de responsabilité :

• Sensibilisation à l’IA pour les salariés : une demi-journée pour acquérir les bons réflexes.
• Formation IA pour les salariés : une journée pour utiliser l’IA générative avec méthode.
• Formation management d’équipe avec l’IA : pour les managers qui accompagnent le changement.
• Formation risques IA : cartographier et maîtriser les risques, AI Act compris.
• Formation politique d’usage et gouvernance de l’IA : pour les fonctions conformité, juridique, RH et SI.
• Formation IA et RGPD : protéger les données personnelles dans les usages de l’IA.

Selon votre situation, ces formations peuvent être financées, notamment par votre OPCO. Notre guide pour financer une formation professionnelle en 2026 présente les dispositifs existants.

FAQ : l’AI Act en questions

L’AI Act concerne-t-il une PME qui utilise seulement ChatGPT ?

Oui. En utilisant un outil d’IA dans un cadre professionnel, la PME est déployeur. Elle doit au minimum prendre des mesures de maîtrise de l’IA (article 4) et respecter les règles de transparence lorsqu’elles s’appliquent, par exemple pour un hypertrucage.

La formation à l’IA est-elle obligatoire ?

L’article 4 impose de prendre des mesures pour développer la maîtrise de l’IA, sans imposer de format. Dans la pratique, une sensibilisation ou une formation adaptée aux usages est le moyen le plus simple de respecter cette obligation et de le prouver.

Faut-il une certification AI Act ?

Non. Selon la Commission européenne, aucun certificat n’est requis au titre de l’article 4. Un registre interne des formations et des actions menées suffit à documenter la démarche.

Les obligations sur l’IA à haut risque sont-elles reportées ?

Oui. Le règlement (UE) 2026/1744 les reporte au 2 décembre 2027 pour les domaines de l’annexe III, comme le recrutement, et au 2 août 2028 pour les produits de l’annexe I. Le contenu des obligations, lui, n’a pas changé.

Qui contrôle l’AI Act en France ?

Les autorités nationales de surveillance du marché. Leur désignation dépend d’un projet de loi encore en discussion en octobre 2026, qui prévoit un rôle de coordination pour la DGCCRF et une compétence étendue pour la CNIL.

Conclusion : un report qui laisse le temps de former

Le report du haut risque ne signifie pas une pause. Les interdictions, la transparence et la maîtrise de l’IA s’appliquent déjà, et les autorités disposent de leurs pouvoirs de contrôle depuis août 2026. Les quatorze mois qui précèdent décembre 2027 offrent surtout l’occasion de construire une démarche progressive : cartographier, encadrer, former et suivre. Une entreprise qui s’y prend dès maintenant sécurise ses usages et gagne en efficacité.

Sources officielles et références

• EUR-Lex, Union européenne : Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle, JOUE du 12 juillet 2024.
• EUR-Lex, Union européenne : Version consolidée du règlement (UE) 2024/1689, au 27 juillet 2026.
• EUR-Lex, Union européenne : Règlement (UE) 2026/1744 du 8 juillet 2026 (omnibus numérique sur l’IA), JOUE du 24 juillet 2026.
• Commission européenne : AI Act, cadre réglementaire de l’IA, page mise à jour le 3 août 2026.
• Commission européenne : Maîtrise de l’IA, questions et réponses, mise à jour le 27 juillet 2026.
• CNIL : Entrée en vigueur du règlement européen sur l’IA, les premières questions-réponses de la CNIL, mise à jour le 17 août 2026.
• CNIL : Dossier intelligence artificielle.