Ce que la réglementation européenne demande, et quand
Trois obligations européennes s’appliquent déjà à toute entreprise qui utilise l’IA, cinq autres arrivent d’ici 2028, et le report annoncé pour 2027 n’en efface aucune.
Le cadre européen de l’IA circule surtout par son commentaire, et le commentaire se trompe de dates.
Ce qui s’applique déjà#
- 2 février 2025 — certaines utilisations de l’IA sont interdites, et toute entreprise doit veiller à ce que les personnes qui s’en servent sachent s’en servir. Déduire les émotions d’un salarié sur son lieu de travail figure parmi les interdits, hors raison médicale ou de sécurité.
- 2 août 2025 — les fournisseurs de modèles généralistes portent leurs propres obligations, et les sanctions deviennent applicables.
- 2 août 2026 — une personne qui s’adresse à une IA doit pouvoir le savoir. Les autorités nationales peuvent contrôler la formation des équipes, et le marquage CE des systèmes concernés entre en vigueur.
Les dates qui arrivent#
| Date | Ce qui change |
|---|---|
| 11 septembre 2026 | Les fabricants de produits connectés signalent les vulnérabilités exploitées et les incidents graves. |
| 2 décembre 2026 | Deux nouvelles utilisations s’ajoutent à la liste des pratiques interdites. |
| 2 décembre 2026 | Les outils génératifs mis en service avant août 2026 doivent marquer leurs productions de façon lisible par une machine. |
| 9 décembre 2026 | La responsabilité du fait des produits s'étend au logiciel. |
| 12 janvier 2027 | Un hébergeur de données ne peut plus facturer le passage chez un concurrent. |
| 2 décembre 2027 | Usages à haut risque : maîtrise des risques, qualité des données, documentation, journaux, contrôle humain. |
| 2 août 2028 | Les mêmes exigences, pour l’IA embarquée dans un produit déjà réglementé. |
La deuxième ligne de décembre 2026 vise les outils déjà en service, pas seulement les nouveaux. C’est celle qu’on découvre tard.
Ce que le report de 2027 ne reporte pas#
Le report est réel, et il est étroit : il ne concerne que les usages à haut risque. Il tient à l’attente de normes techniques, et cette attente profite au fabricant du système, pas à l’entreprise qui l’exploite.
Ce que doit tenir l’entreprise qui exploite un système est déjà écrit, et ne dépend d’aucune norme à paraître : un contrôle humain confié à des personnes formées et qui ont l’autorité de dire non, des données d’entrée pertinentes, des journaux conservés six mois au moins, et l’information des salariés et de leurs représentants avant la mise en service.
Un système conçu aujourd’hui sans cela est un système à reprendre.
Ce que prévoient les sanctions#
Trois plafonds, selon l’obligation manquée — et le montant retenu n’est pas toujours le plus élevé des deux.
Les plafonds sont de 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, de 15 millions d’euros ou 3 % pour les autres obligations, et de 7,5 millions d’euros ou 1 % pour une information incorrecte donnée à une autorité. Pour une PME, c’est le plus faible des deux montants qui est retenu, et non le plus élevé.
Nous avons le temps, puisque tout est reporté à 2027 ?
Le report ne porte que sur les usages à haut risque. Annoncer l’IA à son interlocuteur, former les équipes et se tenir hors des pratiques interdites produit effet aujourd’hui.
Faut-il dire à un client qu’il parle à une IA ?
Oui, dès le premier message, sauf si cela ressort clairement du contexte. Cela se traite à la conception du canal, pas après.
Sommes-nous concernés si nous achetons l’outil plutôt que de le construire ?
Oui. L’entreprise qui exploite un système porte ses propres obligations, distinctes de celles de l'éditeur. Celle qui assemble son agent et l’utilise pour elle-même porte les deux séries.
Le diagnostic situe vos usages actuels au regard de ces dates. La formation Gouverner l’IA traite le sujet avec le comité de direction.