L'AI Act ne commence pas par un formulaire de conformité. Il commence par une question beaucoup plus simple, et souvent plus embarrassante : où votre entreprise utilise-t-elle réellement de l'intelligence artificielle ? La plupart des dirigeants savent citer deux ou trois outils officiels. Ils découvrent ensuite les fonctions IA activées par défaut dans leur logiciel de gestion, l'assistant intégré à leur suite bureautique, et les comptes personnels que les équipes utilisent depuis dix-huit mois sans l'avoir signalé.
Un calendrier qui a bougé cet été
Le Digital Omnibus consacré à l'IA, publié au Journal officiel de l'Union européenne le 24 juillet 2026, a révisé le calendrier d'application de l'AI Act. Deux mouvements sont à retenir. Les obligations de transparence prévues à l'article 50 sont confirmées au 2 août 2026, elles s'appliquent donc déjà. En revanche, les obligations lourdes qui pèsent sur les systèmes classés à haut risque ont été repoussées de seize mois.
- 2 février 2025 : pratiques interdites et obligation de littératie IA
- 2 août 2025 : obligations des fournisseurs de modèles d'IA à usage général
- 2 août 2026 : obligations de transparence de l'article 50
- 2 décembre 2026 : délai complémentaire pour le marquage de certains contenus générés, et nouvelle interdiction visant les contenus intimes non consentis
- 2 décembre 2027 : systèmes à haut risque de l'annexe III, initialement attendus en août 2026
- 2 août 2028 : systèmes à haut risque intégrés à des produits déjà réglementés (annexe I)
Ce report est une respiration, pas une dispense. Les entreprises concernées par le haut risque ont gagné du temps pour se structurer proprement. Celles qui ne le sont pas restent soumises à la transparence et à la littératie IA, qui sont, elles, déjà exigibles.
La pyramide des risques, en clair
L'AI Act ne régule pas la technologie, il régule les usages. Un même modèle de langage peut relever de trois niveaux de risque selon ce qu'on lui fait faire. Résumer des comptes rendus internes, filtrer des candidatures ou évaluer la solvabilité d'un client ne se traitent pas de la même manière. C'est la finalité qui classe, pas l'outil.
- Risque inacceptable : pratiques interdites, comme la notation sociale généralisée, certaines formes de manipulation ou la reconnaissance des émotions sur le lieu de travail
- Haut risque : usages limitativement listés par le règlement, notamment le recrutement, l'accès au crédit, l'éducation, la biométrie ou certaines infrastructures critiques. Documentation, gestion des risques, qualité des données, supervision humaine et journalisation deviennent obligatoires
- Risque limité : obligations de transparence. L'utilisateur doit savoir qu'il interagit avec une IA, et certains contenus générés ou manipulés doivent être identifiables
- Risque minimal : la grande majorité des usages en entreprise. Aucune obligation spécifique au titre de l'AI Act, ce qui ne dispense ni du RGPD ni d'un contrat sérieux
Dans les organisations que nous accompagnons, la répartition est étonnamment stable : l'essentiel des usages relève du risque minimal ou limité. Un ou deux cas, presque toujours liés aux ressources humaines ou à l'évaluation de clients, méritent un examen sérieux. Le travail utile consiste donc moins à tout auditer qu'à repérer vite les rares usages sensibles.
Ce qui s'applique déjà, et que beaucoup ignorent
La transparence, d'abord. Depuis le 2 août 2026, une interaction avec un système d'IA doit être identifiable comme telle. Un agent conversationnel sur votre site doit indiquer qu'il n'est pas humain, et les contenus générés ou manipulés qui entrent dans le champ du règlement doivent être signalés. Un délai complémentaire court jusqu'au 2 décembre 2026 pour certaines modalités de marquage.
La littératie IA, ensuite. C'est l'obligation la plus sous-estimée du texte, et elle est exigible depuis février 2025. Les organisations qui déploient des systèmes d'IA doivent veiller à un niveau suffisant de compétence chez les personnes qui les utilisent. Une sensibilisation générique d'une heure ne suffit pas toujours : le niveau attendu dépend du rôle, du système concerné et des risques associés. Un juriste qui relit une clause générée et un comptable qui valide une extraction de facture n'ont pas les mêmes besoins.
La démarche, en six temps
Le bon point de départ n'est pas une veille juridique supplémentaire. C'est un registre simple des usages, des responsables et des risques. Voici l'ordre de travail que nous recommandons.
- Inventorier : recensez les outils officiels, les fonctions IA intégrées à vos logiciels métiers et les usages individuels déjà installés dans les équipes. Cette troisième catégorie est presque toujours la plus fournie
- Qualifier : pour chaque usage, documentez la finalité, les données traitées, les personnes concernées et votre rôle, fournisseur ou déployeur. Classez ensuite le niveau de risque
- Former : calibrez le niveau de compétence sur le rôle et sur le système, plutôt que de diffuser un module unique à toute l'entreprise
- Informer : rendez identifiables les interactions et les contenus qui doivent l'être, côté clients comme côté collaborateurs
- Organiser le contrôle : précisez qui contrôle, avec quelles informations, à quel moment, et avec le pouvoir réel de corriger ou d'arrêter le système
- Conserver les preuves : usage prévu, fournisseur, formation, règles de validation, incidents et décisions. Une conformité crédible laisse des traces
“Tant que vous n'avez pas écrit qui contrôle, avec quelles informations et avec quel pouvoir d'arrêt, vous n'avez pas de supervision humaine. Vous avez une intention.”
Fournisseur ou déployeur : la distinction qui change tout
C'est le point que les entreprises manquent le plus souvent. Si vous utilisez un outil du marché tel quel, vous êtes déployeur, et vos obligations portent surtout sur l'usage, l'information et la supervision. Si vous développez un système, si vous le commercialisez sous votre marque, ou si vous modifiez substantiellement un système à haut risque, vous pouvez basculer du côté fournisseur, avec des obligations nettement plus lourdes.
Ce basculement n'a rien de théorique. Une entreprise qui intègre un modèle du marché dans un produit vendu à ses propres clients, sous son propre nom, se retrouve à porter des responsabilités qu'elle croyait déléguées à son fournisseur. C'est une question à trancher au moment de la conception, pas après la mise en production.
Et depuis Monaco ?
Monaco n'est pas membre de l'Union européenne et n'a pas transposé l'AI Act. Cela ne met pas les entreprises de la Principauté hors du sujet, pour deux raisons. D'abord, le règlement a une portée extraterritoriale : il vise aussi les acteurs établis en dehors de l'Union dès lors qu'ils mettent un système sur le marché européen ou que les résultats produits y sont utilisés. Une structure monégasque qui sert une clientèle européenne peut donc être concernée. Ensuite, le traitement des données personnelles est encadré localement par la loi n° 1.565 du 3 décembre 2024 et son ordonnance souveraine d'application, sous le contrôle de l'APDP.
En pratique, la plupart des entreprises que nous accompagnons à Monaco et sur la Côte d'Azur pilotent un dispositif unique, calibré sur l'exigence la plus élevée à laquelle elles sont soumises. C'est plus simple à tenir dans la durée que deux régimes parallèles, et cela évite d'avoir à trancher au cas par cas quel texte s'applique à quel flux.
Par où commencer, concrètement
Un registre des usages tient dans un tableau. Une ligne par usage : nom, service concerné, outil, finalité, données traitées, rôle, niveau de risque estimé, responsable désigné, règles de validation. Une demi-journée d'atelier par direction suffit généralement à le remplir aux quatre cinquièmes. Le reste vient en creusant les usages individuels, qui ne se déclarent pas spontanément tant que la démarche est perçue comme un contrôle plutôt que comme une mise à plat.
Ce document n'est pas un livrable juridique et il ne remplace pas l'avis de votre conseil sur la qualification de vos systèmes. C'est un outil de pilotage : il montre où vous en êtes, ce qui est sensible et ce qui peut avancer sans réserve. Dans la plupart des cas, il débloque plus de projets qu'il n'en freine, parce qu'il rend visible que l'immense majorité des usages ne pose aucun problème.
Notre intervention porte sur la partie opérationnelle de ce chantier : cartographier les usages, définir les points de contrôle humain, former les équipes au niveau attendu et concevoir des solutions en conformité avec les cadres applicables. La qualification juridique de vos systèmes, elle, se travaille avec votre conseil.