AI Act,
de l'inventaire à la preuve.

Piloter l’AI Act par usage, par rôle et par échéance

Un assistant documentaire et un outil de classement des candidatures peuvent s’appuyer sur des technologies proches sans relever des mêmes obligations. Le point de départ est la décision soutenue par le système : qui l’utilise, quelles personnes sont affectées et quelles conséquences sont possibles ? Cette lecture métier permet d’éviter deux erreurs : traiter toute IA comme un système à haut risque ou considérer qu’un fournisseur prend tout en charge.

Ce guide tient compte des informations officielles disponibles en novembre 2026, notamment de l’Omnibus sur l’IA entré en vigueur le 27 juillet 2026. Les calendriers établis avant cette évolution doivent être revus.

Qui entre dans le champ du règlement ?

Le règlement (UE) 2024/1689 concerne notamment les fournisseurs qui mettent des systèmes d’IA ou des modèles d’IA à usage général sur le marché européen, les déployeurs établis ou situés dans l’Union et certains acteurs de la chaîne de distribution. Il peut aussi viser des fournisseurs et déployeurs situés hors de l’Union lorsque les sorties du système y sont utilisées.

La taille réduite d’une entreprise ou l’implantation étrangère de son prestataire ne suffisent donc pas à l’exclure. Il faut qualifier chaque activité. Le fournisseur développe, ou fait développer, un système qu’il commercialise ou met en service sous son nom. Le déployeur utilise un système sous son autorité.

Une modification substantielle ou un changement de marque peut faire évoluer les responsabilités. Consignez les usages, leurs propriétaires, les fournisseurs, les données d’entrée et les décisions concernées. Cet inventaire interne constitue une mesure pratique de gouvernance ; il ne signifie pas que tout usage doit être inscrit dans une base européenne.

Le calendrier actualisé après les changements de 2025 et 2026

La présentation officielle de la Commission et son annonce sur l’entrée en vigueur de l’Omnibus permettent de distinguer les jalons :

• 1er août 2024 : entrée en vigueur du règlement, sans application immédiate de toutes les exigences.
• 2 février 2025 : application des premières interdictions et des dispositions initiales sur la maîtrise de l’IA.
• 2 août 2025 : début d’application des règles relatives aux modèles d’IA à usage général, avec les dispositions transitoires pertinentes.
• 19 novembre 2025 : proposition de l’Omnibus ; cette annonce ne modifiait pas, à elle seule, les obligations.
• 27 juillet 2026 : entrée en vigueur de l’Omnibus, qui modifie le dispositif et reporte les échéances du haut risque.
• 2 août 2026 : jalon général d’application, notamment pour la transparence, mais plus pour l’ensemble des exigences du haut risque.
• 2 décembre 2027 : application des exigences pour les systèmes à haut risque de l’annexe III.
• 2 août 2028 : application des exigences pour l’IA à haut risque intégrée aux produits relevant de l’annexe I.

La Commission indique également une nouvelle interdiction visant les systèmes générant des contenus sexuels ou intimes non consentis, ou des contenus d’abus sexuels sur mineurs, applicable en décembre 2026. En novembre, distinguez cette échéance future des interdictions déjà applicables depuis 2025.

L’article 4 sur la maîtrise de l’IA a été amendé. Ne reprenez pas sa rédaction initiale comme si elle était inchangée. Organisez un soutien adapté aux compétences des utilisateurs et superviseurs, en tenant compte du rôle renforcé de la Commission et des États membres. Une formation générique ne remplace pas la préparation des personnes chargées de contester une décision.

Quelles exigences faut-il organiser ?

Examinez d’abord les pratiques interdites. La reconnaissance des émotions au travail, par exemple, nécessite une analyse précise du texte et de ses exceptions. L’intérêt commercial d’un usage ne suffit pas à le rendre autorisé.

Évaluez ensuite le haut risque au regard de l’article 6 et des annexes pertinentes. Le tri de candidatures ou certaines évaluations de solvabilité demandent une attention particulière. La classification dépend de la finalité et des conditions d’utilisation, pas seulement du modèle sous-jacent.

Pour les fournisseurs de systèmes à haut risque, les exigences comprennent notamment :

• une gestion des risques et une gouvernance appropriée des données ;
• une documentation technique et des capacités de journalisation ;
• des informations permettant au déployeur de comprendre l’usage et les limites ;
• une supervision humaine, la robustesse, l’exactitude et la cybersécurité ;
• un système de gestion de la qualité, les procédures de conformité applicables et la surveillance après commercialisation.

Les déployeurs ont leurs propres responsabilités : suivre les instructions, attribuer la supervision et surveiller le fonctionnement. L’analyse d’impact sur les droits fondamentaux ne concerne pas automatiquement toute entreprise ; elle vise certains déployeurs et usages.

La transparence de l’article 50 constitue un chantier distinct. Selon le cas, elle porte sur l’information concernant l’interaction avec une IA, l’identification des contenus générés ou l’étiquetage de contenus synthétiques déterminés. Vérifiez les conditions et exceptions. Le RGPD reste applicable aux traitements de données personnelles.

Sanctions et conséquences opérationnelles

L’article 99 prévoit, pour les pratiques interdites, jusqu’à 35 millions d’euros ou, pour une entreprise, 7 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. D’autres manquements spécifiés peuvent atteindre 15 millions d’euros ou 3 %. Pour les PME, les plafonds retiennent le montant applicable le plus faible.

Ces plafonds ne sont pas des sanctions automatiques pour tout document manquant. Les autorités peuvent aussi imposer des corrections ou restreindre un système. Il faut anticiper le retrait d’une fonctionnalité, l’interruption d’un processus ou l’explication d’une décision contestée. Les fournisseurs de modèles relèvent également de dispositions spécifiques.

Le texte officiel de l’article 99 précise les catégories de manquements et les règles de calcul.

Une démarche en six étapes

1. Repérer les usages réels. Interrogez les métiers et les achats. Incluez les fonctionnalités intégrées à des logiciels existants, pas seulement les projets portant une étiquette IA.
2. Attribuer les rôles. Déterminez les responsabilités de fournisseur, déployeur, importateur ou distributeur. Faites examiner les modifications et changements de marque avant contractualisation.
3. Justifier la classification. Documentez la finalité, les critères examinés, les preuves et le valideur. Séparez interdictions, haut risque et transparence.
4. Affecter les échéances. Distinguez obligations applicables et exigences reportées. Vérifiez individuellement le régime transitoire des systèmes et modèles existants.
5. Compléter les preuves. Demandez les instructions et limites du fournisseur. Définissez tests, supervision et escalade ; vérifiez que les superviseurs peuvent réellement intervenir.
6. Autoriser puis surveiller. Fixez les conditions de déploiement et les déclencheurs de réévaluation : changement de modèle, de finalité, de données ou de population affectée.

Comment Domyno soutient ce pilotage

Domyno associe une plateforme SaaS à un expert humain dédié : les agents préparent le travail, l’humain le valide. La Cartographie des actifs aide à structurer systèmes et dépendances ; Contrôles & conformité rassemble contrôles, preuves et plans d’action dans une bibliothèque couvrant plus de 28 référentiels.

L’analyse de risques, le suivi des fournisseurs et la documentation versionnée complètent cette organisation. Domyno ne remplace ni la qualification juridique ni l’évaluation de conformité éventuellement requise. Les responsables conservent la décision de mise en service et la maîtrise opérationnelle.

Apportez un cas d’usage et sa documentation fournisseur à une démo Domyno pour construire une démarche adaptée.