AI Act : obligations, calendrier et bonnes pratiques

Vous utilisez ChatGPT, Copilot ou un autre outil d’intelligence artificielle dans votre organisation ? Le règlement européen sur l’IA, l’AI Act, vous concerne déjà. Son calendrier a été modifié en 2026 par l’« omnibus numérique ». Voici ce qui s’applique aujourd’hui, ce qui arrive, et comment s’organiser sans paniquer.

Cet article fournit une information générale à jour au 10 octobre 2026. Il ne constitue pas un conseil juridique. Pour une situation précise, référez-vous aux textes officiels cités et, si nécessaire, à un conseiller juridique.

L’AI Act en quelques mots

L’AI Act est le règlement (UE) 2024/1689. Il est entré en vigueur le 1er août 2024 et s’applique progressivement. Il ne réglemente pas « l’IA » en bloc : il classe les usages selon leur niveau de risque. Le SPF Économie résume cette logique en quatre niveaux (SPF Économie) :

risque inacceptable : pratiques interdites, comme la manipulation ou la notation sociale ;
haut risque : systèmes qui ont un impact important sur la sécurité, la santé ou les droits fondamentaux, par exemple en ressources humaines, en matière de crédit ou d’éducation ;
risque limité : obligations de transparence, par exemple pour les chatbots et l’IA générative ;
risque minimal : applications comme la vérification orthographique ou le tri automatique.

Le règlement distingue aussi les rôles. Le fournisseur développe un système d’IA et le met sur le marché sous son nom. Le déployeur utilise un système d’IA sous sa propre autorité, dans un cadre professionnel. Une PME qui utilise ChatGPT ou Microsoft Copilot est en principe déployeur. L’AI Act ne s’applique pas, en revanche, aux personnes qui utilisent l’IA dans un cadre strictement personnel et non professionnel (article 2, paragraphe 10).

Le calendrier après l’omnibus numérique

Le règlement (UE) 2026/1744, dit « omnibus numérique sur l’IA », a été adopté le 8 juillet 2026, publié au Journal officiel le 24 juillet 2026 et il est entré en vigueur le 27 juillet 2026 (EUR-Lex). Il modifie plusieurs dates. Voici le calendrier qui en résulte, d’après l’article 113 du texte consolidé de l’AI Act (EUR-Lex) :

1er août 2024 — entrée en vigueur du règlement.
2 février 2025 — dispositions générales, dont l’obligation de maîtrise de l’IA (article 4), et interdiction des pratiques inacceptables (article 5).
2 août 2025 — règles applicables aux modèles d’IA à usage général, gouvernance et régime de sanctions.
2 août 2026 — application générale du règlement, notamment des obligations de transparence de l’article 50.
2 décembre 2026 — nouvelles interdictions ajoutées par l’omnibus (contenus intimes non consentis, matériel d’abus sexuel sur enfants) ; date limite de marquage des contenus générés pour les systèmes mis sur le marché avant le 2 août 2026.
2 août 2027 — mise en conformité des modèles d’IA à usage général mis sur le marché avant le 2 août 2025.
2 décembre 2027 — obligations relatives aux systèmes à haut risque de l’annexe III (emploi, éducation, crédit, biométrie, etc.), initialement prévues le 2 août 2026.
2 août 2028 — obligations relatives aux systèmes à haut risque intégrés à des produits réglementés (annexe I), initialement prévues le 2 août 2027.

Ce que l’omnibus a changé, et ce qu’il n’a pas changé

L’omnibus reporte les obligations « haut risque » à des dates fixes, assouplit la formulation de l’obligation de maîtrise de l’IA, ajoute deux pratiques interdites et prévoit des allègements ciblés pour les PME et les petites entreprises à moyenne capitalisation. En revanche, les interdictions en vigueur depuis février 2025, l’obligation de maîtrise de l’IA et les obligations de transparence de l’article 50 restent applicables. Le report concerne le haut risque, pas le reste du règlement.

Ce que l’AI Act interdit déjà

Depuis le 2 février 2025, l’article 5 interdit notamment :

les techniques subliminales, manipulatrices ou trompeuses qui altèrent substantiellement le comportement d’une personne et lui causent un préjudice important ;
l’exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation sociale ou économique ;
la notation sociale conduisant à un traitement préjudiciable ;
l’utilisation de systèmes d’IA pour inférer les émotions d’une personne sur le lieu de travail et dans les établissements d’enseignement, sauf pour des raisons médicales ou de sécurité ;
la constitution de bases de données de reconnaissance faciale par moissonnage non ciblé d’images sur internet ou de vidéosurveillance.

À partir du 2 décembre 2026 s’y ajoute l’interdiction des systèmes qui génèrent ou manipulent des images, vidéos ou sons réalistes représentant une personne identifiable dans un contexte intime ou sexuellement explicite sans son consentement explicite, ainsi que du matériel d’abus sexuel sur enfants. Les pratiques interdites sont passibles d’amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial ; pour les PME, c’est le montant le plus faible des deux qui sert de plafond (article 99).

Vos obligations si vous utilisez des outils d’IA au quotidien

Favoriser la maîtrise de l’IA (article 4)

Depuis l’omnibus, les fournisseurs et les déployeurs doivent prendre des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes qui utilisent les systèmes pour leur compte, en tenant compte de leurs connaissances, de leur expérience, de leur formation et du contexte d’utilisation. Aucun niveau précis n’est imposé à chaque individu. La Commission européenne précise qu’aucun certificat n’est nécessaire, qu’un registre interne des formations peut servir de trace, et que la surveillance et le contrôle de cette obligation s’appliquent à partir du 3 août 2026 (Commission européenne).

Être transparent dans certains cas (article 50)

Depuis le 2 août 2026, plusieurs obligations de transparence s’appliquent :

si vous diffusez une image, un son ou une vidéo constituant un « hypertrucage » (deepfake), vous devez indiquer qu’il a été généré ou manipulé par une IA ; pour une œuvre manifestement artistique, satirique ou fictive, une mention appropriée suffit ;
si vous publiez un texte généré par IA pour informer le public sur des questions d’intérêt public, vous devez le signaler, sauf si ce texte a fait l’objet d’une relecture humaine ou d’un contrôle éditorial et qu’une personne en assume la responsabilité éditoriale ;
si vous utilisez un système de reconnaissance des émotions ou de catégorisation biométrique (dans les cas où il est autorisé), vous devez en informer les personnes exposées ;
les systèmes conçus pour dialoguer avec des personnes, comme les chatbots, doivent leur faire savoir qu’elles échangent avec une IA, sauf si c’est évident. Cette obligation vise d’abord le fournisseur : si vous installez un chatbot sur votre site, vérifiez votre rôle et l’information donnée aux visiteurs.

Respecter les interdictions

Par exemple : pas d’outil qui analyse les émotions des collaborateurs pendant les réunions ou les appels.

Décisions sur des personnes : repérez les usages à haut risque

Un système d’IA peut être considéré comme à haut risque lorsqu’il soutient des décisions qui ont des conséquences directes sur des personnes. Le SPF Économie cite notamment l’IA qui sélectionne des candidats ou évalue des employés, les systèmes qui évaluent la solvabilité ou l’accès à des services, l’identification biométrique à distance et l’analyse des émotions.

Pour les systèmes de l’annexe III, les obligations des déployeurs prévues à l’article 26 s’appliqueront à partir du 2 décembre 2027. Elles comprennent notamment :

utiliser le système conformément à sa notice d’utilisation ;
confier le contrôle humain à des personnes qui disposent des compétences, de la formation et de l’autorité nécessaires ;
veiller à la pertinence des données d’entrée, lorsque vous les maîtrisez ;
surveiller le fonctionnement du système, signaler les risques et les incidents graves, et suspendre son utilisation si nécessaire ;
conserver les journaux générés automatiquement pendant au moins six mois ;
informer les représentants des travailleurs et les travailleurs concernés avant d’utiliser un tel système sur le lieu de travail ;
informer les personnes concernées lorsque le système sert à prendre ou à faciliter des décisions les concernant.

Le report à fin 2027 laisse du temps, mais il est utile d’identifier dès maintenant ces usages, par exemple un logiciel de tri de CV ou un outil d’évaluation automatisée, et d’en parler avec votre fournisseur.

AI Act et RGPD : deux règlements qui s’additionnent

L’AI Act ne remplace pas le RGPD. Dès que des données personnelles sont saisies dans un outil d’IA, par exemple le nom d’un client dans une demande ou un CV analysé par un logiciel, les règles habituelles s’appliquent : base légale, information des personnes, minimisation des données, sécurité, contrat de sous-traitance avec le fournisseur de l’outil et, pour les traitements à risque élevé, analyse d’impact. En Belgique, l’autorité compétente pour le RGPD est l’Autorité de protection des données.

Le réflexe le plus simple reste souvent le plus efficace : ne pas saisir de données personnelles ou confidentielles dans un outil grand public, et privilégier des données fictives ou anonymisées pour les tests.

Bonnes pratiques : une feuille de route en six étapes

Le SPF Économie rappelle que l’AI Act n’exige pas d’agir dans l’urgence, mais une approche structurée. Voici une démarche pragmatique, inspirée de ses recommandations :

Inventorier — listez les outils d’IA réellement utilisés, y compris ceux adoptés spontanément par les équipes.
Qualifier — pour chaque usage, déterminez votre rôle (déployeur ou fournisseur) et le niveau de risque.
Encadrer — rédigez une charte simple : outils autorisés, données interdites, vérification humaine obligatoire, mention de l’IA lorsque c’est requis.
Former — organisez des formations adaptées aux usages de chacun et conservez-en une trace, pour répondre à l’article 4.
Contrôler — vérifiez régulièrement la qualité des résultats et la pertinence des données utilisées.
Suivre — assurez une veille : lignes directrices, normes et précisions nationales continuent d’être publiées.

Où trouver de l’aide en Belgique ?

Le SPF Économie propose une rubrique dédiée à l’AI Act, organisée par profil, et un guide téléchargeable intitulé « L’AI Act, aussi pour moi ? » (SPF Économie — AI Act). Pour la protection des données, consultez l’Autorité de protection des données.

Sources officielles

Se former à l’AI Act et au RGPD

Notre formation de sensibilisation AI Act et RGPD aide vos équipes à comprendre ce que le règlement change concrètement pour votre organisation : qualification des usages, pratiques interdites, transparence, protection des données dans les projets IA et mise en place d’une charte d’utilisation. Elle est pratique, illustrée par vos propres cas, et peut être organisée dans vos locaux partout en Wallonie ou à distance.

Pour les dirigeants qui veulent piloter l’adoption de l’IA dans leur structure, la formation IA pour PME est un bon complément. Durée, format et tarif sont établis sur devis, selon vos objectifs, votre niveau et le nombre de participants.

Préparez votre organisation à l’AI Act, pas à pas

Recevez le programme de la sensibilisation AI Act et RGPD, adapté à vos usages, ou appelez-nous au +32 479 65 11 78.

Demander le programme

Voir la formation AI Act et RGPD

AI Act : obligations et bonnes pratiques à connaître