Un guide sans prérequis juridique, à l’usage des enseignants en gestion qui doivent expliquer un règlement dont le calendrier a changé quatre semaines avant son application.

Un étudiant lève la main : « Madame, l’AI Act, il est entré en vigueur ou il a été reporté ? »

La réponse honnête est : les deux. Et c’est précisément là que commence le travail pédagogique.

Le 2 août 2026, le règlement européen sur l’intelligence artificielle est devenu applicable dans sa plus grande partie — obligations de transparence, pouvoirs de contrôle, régime de sanctions. Cinq jours plus tôt, le 27 juillet, un autre règlement était entré en vigueur pour repousser de seize mois les obligations les plus lourdes, celles qui concernent le recrutement, le scoring de crédit ou la tarification en assurance.

Résultat : une presse professionnelle qui a titré « l’AI Act est reporté », une autre qui a titré « l’AI Act s’applique », et des directions d’entreprise qui ne savent plus lequel des deux articles imprimer.

Ce dossier tranche. Il est organisé en six parties : le texte, sa grammaire, puis quatre fonctions de l’entreprise — marketing, RH, finance, stratégie. À la fin, un glossaire, un arbre de décision, dix questions d’amphi avec leurs réponses courtes, trois cas pédagogiques et un agenda de recherche.

1. Le texte

1.1 Ce que l’AI Act régule — et ce qu’il ne régule pas

Le règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1^er août 2024. C’est le premier cadre juridique général au monde consacré à l’intelligence artificielle.

Première chose à faire comprendre à un étudiant de gestion : ce n’est pas une loi sur l’intelligence artificielle au sens où l’on parlerait d’une loi sur la bioéthique. C’est un texte de sécurité des produits, construit sur le modèle de ceux qui encadrent les jouets, les ascenseurs ou les dispositifs médicaux. Il ne dit pas ce que l’IA a le droit d’être. Il dit à quelles conditions un système peut être mis sur le marché européen et utilisé, et qui en répond.

Conséquence immédiate, et c’est le contresens le plus fréquent en cours : la même technologie peut relever de trois régimes différents selon l’usage. Un grand modèle de langage qui reformule une fiche de poste ne relève de presque rien. Le même modèle qui classe des candidatures relève du haut risque. Le même modèle qui adapte une interface pour exploiter les biais cognitifs d’un consommateur relève de l’interdiction pure et simple.

Ce n’est pas l’outil qui est classé. C’est la finalité.

1.2 Les quatre niveaux de risque

L’architecture est pyramidale, et elle tient en une phrase : plus un système peut nuire, plus les obligations sont lourdes.

1.3 Le calendrier réel, après l’Omnibus

Le 19 novembre 2025, la Commission a proposé un « train de mesures omnibus numérique ». Le volet IA a été voté par le Parlement européen le 16 juin 2026 (423 voix pour, 57 contre, 174 abstentions), approuvé par le Conseil le 29 juin, signé le 8 juillet, publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet 2026. C’est le règlement (UE) 2026/1744, dit Digital Omnibus sur l’IA.

Voici le calendrier consolidé :

• 2 février 2025 — Interdictions de l’article 5. Obligation de littératie en IA (article 4). Appliqué.
• 2 août 2025 — Obligations des fournisseurs de modèles d’IA à usage général (GPAI). Désignation des autorités nationales. Appliqué.
• 2 août 2026 — Date d’application générale. Obligations de transparence de l’article 50. Surveillance du marché (chapitre IX) et sanctions (chapitre XII) : les autorités peuvent contrôler et sanctionner. Appliqué.
• 2 décembre 2026 — Fin du délai transitoire pour le marquage lisible par machine (article 50 § 2), réservé aux systèmes génératifs déjà sur le marché avant le 2 août 2026. Entrée en vigueur de la nouvelle interdiction introduite par l’Omnibus : systèmes générant des contenus intimes non consentis ou pédocriminels.
• 2 décembre 2027 — Obligations applicables aux systèmes à haut risque autonomes de l’annexe III (emploi, crédit, assurance, éducation, biométrie, services essentiels). Reporté depuis le 2 août 2026.
• 2 août 2028 — Obligations applicables aux systèmes à haut risque intégrés dans des produits réglementés de l’annexe I. Reporté depuis le 2 août 2027.

Ces deux dernières dates sont fermes. Dans la proposition initiale, le report était conditionné à la disponibilité des normes harmonisées ; le compromis final a retenu des dates fixes. C’est un détail qui compte : il n’y a plus de clause d’échappement.

1.4 Le contresens de l’été 2026

Le raccourci qui a circulé — « l’AI Act est reporté » — est faux, et il est coûteux.

Ce qui a été reporté, ce sont les exigences substantielles du chapitre III applicables aux systèmes à haut risque : gestion des risques, gouvernance des données, documentation technique, journalisation, supervision humaine, exactitude et robustesse, évaluation de conformité, marquage CE, enregistrement en base européenne.

Ce qui n’a pas bougé : la date d’application générale du 2 août 2026 ; les interdictions de l’article 5, en vigueur depuis février 2025 ; les obligations de transparence de l’article 50 ; les obligations sur les modèles à usage général (articles 51 à 55) ; l’obligation de littératie de l’article 4, dans une rédaction assouplie ; les plafonds de sanction ; la portée extraterritoriale.

1.5 Pourquoi ce report a eu lieu

Trois raisons, qu’il est honnête d’exposer à des étudiants sans les caricaturer.

La première est technique. L’AI Act fonctionne par présomption de conformité : une entreprise qui respecte des normes harmonisées élaborées par le CEN et le CENELEC est réputée conforme. Or ces normes — gestion des risques, qualité des données, supervision humaine — ont pris un retard considérable. La Commission a également manqué son échéance de février 2026 pour publier les lignes directrices de classification des systèmes à haut risque. Demander à des entreprises de se conformer à un référentiel qui n’existe pas encore est difficile à défendre.

La deuxième est politique. Le rapport Draghi et la pression concurrentielle ont installé un discours de simplification à Bruxelles. L’Omnibus IA fait partie d’un paquet plus large qui allège aussi les charges des PME et des petites entreprises de taille intermédiaire.

La troisième est structurelle, et c’est la plus intéressante en cours. L’AI Act a été rédigé pour l’essentiel avant novembre 2022. Sa définition initiale du système d’IA n’intégrait pas la notion de contenu généré ; il a fallu l’adapter après l’arrivée de ChatGPT. Le texte poursuit un objet qui se déplace plus vite que la procédure législative qui le vise. Le report n’est pas seulement une concession aux lobbies : c’est aussi le symptôme d’un problème de conception que vos étudiants retrouveront dans toutes les régulations technologiques.

2. La grammaire du règlement

Cette partie est courte, et c’est celle qu’il faut faire apprendre. Sans elle, tout le reste est du bavardage.

2.1 Les rôles avant tout

L’AI Act n’attribue pas d’obligations à des « entreprises ». Il en attribue à des rôles. Quatre comptent en gestion.

Le fournisseur (provider) développe un système d’IA, ou le fait développer, et le met sur le marché sous son nom. Il porte les obligations lourdes : conception, tests, documentation technique, évaluation de conformité, marquage CE, surveillance après commercialisation.

Le déployeur (deployer) utilise un système sous sa propre autorité, dans un cadre professionnel. C’est le rôle de l’immense majorité des entreprises. Ses obligations portent sur l’usage : respecter la notice, assurer une supervision humaine compétente, contrôler la pertinence des données d’entrée, conserver les journaux, signaler les incidents graves, informer les personnes concernées.

L’importateur et le distributeur ont des obligations de vérification, définies aux articles 23 et 24.

2.2 Le piège de l’article 25

C’est le point que les directions générales découvrent le plus tard, et il mérite une diapositive à lui seul.

Un déployeur devient juridiquement fournisseur — et hérite de toutes les obligations correspondantes — dans trois cas :

1. il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché ;
2. il apporte une modification substantielle à un système à haut risque qui le reste ;
3. il modifie la destination d’un système qui n’était pas classé à haut risque, y compris un modèle à usage général, de telle sorte qu’il le devienne.

Le fournisseur initial cesse alors d’être considéré comme fournisseur pour ce système, mais doit coopérer et transmettre la documentation.

2.3 L’extraterritorialité

Le règlement s’applique aux fournisseurs qui mettent des systèmes sur le marché de l’Union, quel que soit leur lieu d’établissement, et aux fournisseurs et déployeurs établis hors de l’Union lorsque les résultats produits par le système sont utilisés dans l’Union.

Un éditeur américain ou britannique dont l’outil sert à trier des candidatures à Lyon est dans le champ. Une filiale française qui utilise un scoring développé au siège hors d’Europe l’est également, comme déployeur.

2.4 Les sanctions

Le montant retenu est le plus élevé des deux. Pour les PME et les start-up, la logique s’inverse : c’est le plus bas des deux qui s’applique.

3. Marketing et communication

C’est la fonction où l’AI Act produit le plus d’obligations immédiates et le moins d’obligations lourdes. Un paradoxe qu’il faut expliciter : le marketing est peu concerné par le haut risque, mais presque intégralement concerné par la transparence, laquelle est applicable depuis le 2 août 2026.

3.1 Les trois interdictions qui visent le marketing

a) La manipulation

L’article 5 § 1 a) interdit les systèmes recourant à des techniques subliminales, ou délibérément manipulatrices ou trompeuses, ayant pour objectif ou pour effet d’altérer substantiellement le comportement d’une personne en portant atteinte à sa capacité de décider en connaissance de cause, de manière à causer ou risquer de causer un préjudice important.

Les lignes directrices de la Commission sur les pratiques interdites précisent que le caractère subliminal recouvre des stimuli audio, visuels ou tactiles trop brefs ou trop subtils pour être remarqués — et que l’interdiction couvre même les cas où la personne sait qu’elle subit la technique sans pouvoir y résister.

Exemples marketing typiquement discutés : une interface d’e-commerce qui s’adapte en continu pour exploiter des biais cognitifs identifiés par IA (le dark pattern augmenté), une tarification dynamique indexée sur l’état émotionnel détecté de l’utilisateur, un agent de négociation qui lit les micro-expressions en temps réel.

b) L’exploitation des vulnérabilités

L’article 5 § 1 b) vise les systèmes qui exploitent les vulnérabilités liées à l’âge, au handicap ou à la situation sociale ou économique. Un assistant conversationnel commercial calibré pour convertir des personnes âgées isolées, ou un ciblage de crédit renouvelable optimisé sur des signaux de détresse financière, sont les cas d’école.

c) La notation sociale

L’article 5 § 1 c) interdit l’évaluation ou la classification de personnes sur la base de leur comportement social ou de caractéristiques personnelles lorsque le score conduit à un traitement défavorable dans un contexte sans rapport avec la collecte, ou disproportionné. En CRM, la frontière avec un score de valeur client mérite une séance entière.

3.2 L’article 50 : quatre obligations, deux rôles

C’est le cœur de ce qui s’applique maintenant.

Obligation 1 — pour le fournisseur. Un système d’IA destiné à interagir directement avec des personnes doit être conçu pour que celles-ci sachent qu’elles s’adressent à une IA, sauf si cela est évident pour une personne normalement avertie compte tenu du contexte.

Obligation 2 — pour le fournisseur. Un système génératif doit marquer ses sorties dans un format lisible par machine : métadonnées signées, filigrane imperceptible, empreinte de provenance. Exception lorsque le système remplit une fonction d’assistance à l’édition standard ou ne modifie pas substantiellement les données d’entrée. Délai transitoire jusqu’au 2 décembre 2026 pour les seuls systèmes déjà sur le marché avant le 2 août 2026.

Obligation 3 — pour le déployeur. Qui utilise un système de reconnaissance des émotions ou de catégorisation biométrique doit en informer les personnes exposées.

Obligation 4 — pour le déployeur. Qui publie un hypertrucage (deepfake) doit indiquer que le contenu a été généré ou manipulé artificiellement. Qui publie un texte destiné à informer le public sur des questions d’intérêt public doit le signaler, sauf lorsque le contenu a fait l’objet d’une revue éditoriale humaine et qu’une personne physique ou morale en assume la responsabilité éditoriale.

3.3 Les exceptions, et leur zone grise

Les œuvres manifestement artistiques, créatives, satiriques ou fictionnelles bénéficient d’un traitement adapté : l’information doit être donnée sans dénaturer l’expérience de l’œuvre. Une campagne publicitaire n’échappe pas automatiquement à l’obligation par ce biais — il faut examiner le réalisme du contenu, son contexte et le risque de tromper le public.

Le critère n’est pas l’intention subjective de l’annonceur mais l’effet potentiel sur la cible. Une photographie simplement retouchée par IA peut, dans certains cas, être qualifiée d’hypertrucage. C’est le point sur lequel les agences ont le plus de mal, et celui qui rend l’exercice intéressant en cours de communication.

L’exception éditoriale, elle, n’est pas une case à cocher : elle suppose une revue humaine substantielle, un responsable désigné et un statut de validation documenté. Une relecture de forme ne suffit pas.

3.4 Comment marquer : un référentiel volontaire pour une obligation contraignante

La Commission a publié le 10 juin 2026 la version finale du code de bonnes pratiques sur le marquage et l’étiquetage des contenus générés par l’IA, complété par des lignes directrices sur l’article 50 approuvées le 20 juillet 2026. Fin juillet, environ 190 organisations l’avaient signé.

Le code recommande une approche multicouche : au minimum des métadonnées signées numériquement et un filigrane imperceptible, avec un filigranage spécifique du texte libre au-delà d’un certain volume. Le standard C2PA / Content Credentials y est cité comme mécanisme technique de référence. La Commission met à disposition des icônes « IA », « généré par l’IA » et « modifié par l’IA », dont l’usage est facultatif.

3.5 Ce qui n’est pas haut risque en marketing

À dire explicitement, parce que la panique est aussi une source de mauvaise gestion. Ne relèvent pas du haut risque : les moteurs de recommandation e-commerce, la segmentation, le scoring d’appétence commerciale, le lead scoring B2B, l’automatisation d’e-mails, la génération de visuels, la traduction, les chatbots de service client sans pouvoir de décision.

3.6 Le cumul réglementaire

L’AI Act ne remplace rien. Il s’empile. Pour une direction marketing, la pile complète comprend :

• le RGPD — base légale, information, droits des personnes, analyse d’impact ;
• le DSA, dont l’article 25 interdit déjà les interfaces trompeuses aux plateformes en ligne ;
• le droit de la consommation — pratiques commerciales trompeuses et agressives ;
• la loi SREN de mai 2024, qui a créé un délit de diffusion d’hypertrucage sans consentement, puni de deux ans d’emprisonnement et 45 000 euros d’amende pour une diffusion en ligne (article 226-8-1 du code pénal) ;
• les règles des plateformes, qui vont parfois plus loin que la loi : Meta étiquette les publicités créées ou substantiellement modifiées avec ses outils génératifs, Google exige que les images de Merchant Center conservent les métadonnées d’origine et autorise depuis juillet 2026 l’incrustation de mentions de transparence sans que cela viole ses règles sur les surimpressions.

Le risque réel, pour un annonceur, est aujourd’hui plus souvent un rejet de campagne par une plateforme qu’une amende européenne. C’est un argument utile pour convaincre une direction marketing.

4. Ressources humaines

C’est la fonction la plus lourdement régulée du management, et pour une raison simple : c’est celle où un algorithme décide du sort de personnes qui ne l’ont pas choisi.

4.1 Ce qui est déjà interdit — et ne l’a jamais cessé

L’article 5 § 1 f) interdit les systèmes d’IA destinés à inférer les émotions d’une personne sur le lieu de travail et dans les établissements d’enseignement, sauf pour des raisons médicales ou de sécurité strictement définies.

Cette interdiction est en vigueur depuis le 2 février 2025. Elle n’a pas été reportée. En France, son contrôle relève de la CNIL.

Ce qu’elle couvre en pratique : les modules d’analyse du ton de voix ou de l’expression faciale en entretien vidéo, les outils de mesure de l’« engagement » ou du « stress » des équipes à partir de signaux comportementaux, les assistants managériaux qui notent l’état émotionnel des collaborateurs.

4.2 Ce qui devient haut risque le 2 décembre 2027

L’annexe III point 4 classe à haut risque les systèmes destinés :

a) au recrutement ou à la sélection de personnes physiques, notamment pour publier des offres d’emploi ciblées, analyser et filtrer les candidatures, et évaluer les candidats ;

b) à prendre des décisions concernant les conditions de la relation de travail, la promotion ou la résiliation, à attribuer des tâches sur la base du comportement individuel ou de traits personnels, ou à surveiller et évaluer les performances et le comportement des personnes.

Traduction : tri de CV, matching, scoring de candidats, analyse d’entretien, plateformes d’affectation de missions, outils de mesure de la performance, systèmes de gestion des compétences qui alimentent les entretiens annuels, management algorithmique des plateformes de travail.

Ce qui n’est pas visé : un assistant qui rédige une annonce, corrige une lettre, résume un compte rendu ou traduit un référentiel de compétences. La ligne de partage est toujours la même — le système agit-il sur une décision qui affecte une personne, ou aide-t-il seulement à produire un document ?

4.3 Les obligations de l’employeur déployeur

À l’échéance de décembre 2027, un employeur qui utilise un tel système devra, au titre de l’article 26 :

• utiliser le système conformément à la notice d’utilisation du fournisseur ;
• confier la supervision humaine à des personnes physiques compétentes, formées et dotées de l’autorité nécessaire pour écarter une recommandation ;
• veiller, lorsqu’il contrôle les données d’entrée, à leur pertinence et à leur représentativité ;
• surveiller le fonctionnement, suspendre l’usage et signaler aux autorités les incidents graves ;
• conserver les journaux générés automatiquement, au moins six mois ;
• informer les travailleurs concernés et leurs représentants avant la mise en service (article 26 § 7) ;
• informer les personnes soumises à une décision prise ou assistée par le système.

4.4 Une précision que presque tous les articles ratent : la FRIA

L’analyse d’impact sur les droits fondamentaux (Fundamental Rights Impact Assessment, article 27) est présentée un peu partout comme une obligation des employeurs utilisant de l’IA RH. Elle ne l’est pas.

L’article 27 vise les déployeurs qui sont des organismes de droit public, des entités privées fournissant des services publics, et les déployeurs des systèmes visés aux points 5 b) et 5 c) de l’annexe III — c’est-à-dire le scoring de crédit et la tarification en assurance vie et santé.

Un employeur privé qui déploie un outil de tri de candidatures n’est donc pas tenu de réaliser une FRIA au titre de l’AI Act. Il reste tenu, le cas échéant, d’une analyse d’impact relative à la protection des données au titre du RGPD — ce qui est un autre exercice, avec un autre objet.

4.5 La couche française, qui s’applique déjà

Le report européen ne suspend rien du droit du travail français. Et c’est là que le risque est le plus concret pour un DRH.

Consultation du CSE. L’article L. 2312-8 du code du travail impose la consultation du comité social et économique sur l’introduction de nouvelles technologies et sur tout aménagement important modifiant les conditions de travail. L’article L. 2312-38 la précise. Le CSE peut recourir à une expertise sur ce fondement. Cette consultation se cumule avec — et précède, en pratique — l’information des représentants prévue à l’article 26 § 7 de l’AI Act.

Information des candidats. L’article L. 1221-9 du code du travail interdit de collecter des informations sur un candidat par un dispositif qui ne lui a pas été préalablement porté à sa connaissance.

Décision automatisée. L’article 22 du RGPD encadre strictement les décisions produisant des effets juridiques ou affectant significativement une personne, prises sur le seul fondement d’un traitement automatisé. Un rejet de candidature entièrement automatisé, sans intervention humaine réelle, n’est pas conforme.

Jurisprudence. La Cour de cassation juge de longue date qu’un dispositif de surveillance mis en place sans consultation préalable des représentants du personnel ne peut fonder une sanction disciplinaire. La transposition aux systèmes de management algorithmique est directe.

4.6 La dérogation de l’article 6 § 3, et pourquoi elle est étroite en RH

Un fournisseur peut estimer qu’un système listé à l’annexe III ne présente pas de risque important — parce qu’il n’accomplit qu’une tâche procédurale étroite, améliore le résultat d’une activité humaine déjà achevée, détecte des schémas décisionnels sans se substituer à l’évaluation humaine, ou effectue une tâche préparatoire.

Deux garde-fous. D’abord, l’évaluation doit être documentée avant la mise sur le marché et fournie aux autorités sur demande. Ensuite, et c’est décisif en RH : un système qui effectue un profilage de personnes physiques reste à haut risque, sans exception.

Autant dire que la dérogation est de peu de secours dès qu’on trie des candidats.

5. Finance, comptabilité, assurance

5.1 Deux cas d’usage, et deux seulement

L’annexe III point 5 vise, pour le secteur financier :

5 b) les systèmes destinés à évaluer la solvabilité des personnes physiques ou à établir leur score de crédit, à l’exception des systèmes utilisés à des fins de détection de la fraude financière ;

5 c) les systèmes destinés à l’évaluation des risques et à la tarification pour les personnes physiques en matière d’assurance vie et d’assurance maladie.

Tout le reste — trading algorithmique, gestion de trésorerie, rapprochement bancaire, détection d’anomalies comptables, chatbots de conseiller, résumé de documents réglementaires — ne relève pas du haut risque au titre de l’annexe III. Ce qui ne veut pas dire que ces systèmes échappent à toute règle : la transparence de l’article 50 et la littératie de l’article 4 s’appliquent, et le droit sectoriel n’a pas disparu.

Échéance pour 5 b) et 5 c) : 2 décembre 2027.

5.2 L’exception fraude, et sa fragilité

C’est le point le plus mal compris du secteur.

L’exception existe bien : un système dont la finalité est de détecter la fraude financière n’est pas classé à haut risque au titre de 5 b). Mais elle est étroite, et l’ACPR a apporté des précisions qui la rétrécissent encore, sur la base du projet de lignes directrices soumis à consultation par la Commission le 19 mai 2026 :

• l’évaluation des risques s’entend largement — proposer, refuser, retirer ou fournir un service, y compris en modifiant la couverture, les exclusions ou les franchises ;
• un système comportant des fonctionnalités de détection de fraude, même à titre principal, reste dans le champ dès lors qu’il effectue de l’évaluation de risque ou de la tarification ;
• l’« assurance santé » recouvre les branches 1 et 2 de l’assurance non-vie au sens de Solvabilité II ; l’« assurance-vie » exclut les produits d’investissement fondés sur l’assurance mais inclut l’assurance emprunteur ;
• la finalité prévue est le seul critère : l’intervention d’un opérateur humain ne change pas la qualification.

5.3 La FRIA, obligation oubliée des banques et des assureurs

Ici, c’est l’inverse de la RH. Les déployeurs des systèmes visés aux points 5 b) et 5 c) sont expressément soumis à l’analyse d’impact sur les droits fondamentaux de l’article 27, à réaliser avant la première utilisation.

Une banque qui achète un moteur de scoring à un éditeur ne se décharge donc de rien : elle est déployeur, elle doit conduire la FRIA, superviser, journaliser et informer. C’est le point que les directions des risques découvrent en dernier.

5.4 Le régime spécifique des établissements financiers

L’AI Act prévoit une articulation avec la réglementation sectorielle. Lorsque les fournisseurs ou déployeurs d’un système à haut risque sont des établissements financiers, certaines exigences du règlement sont intégrées dans leurs obligations existantes de contrôle interne, et d’autres sont présumées satisfaites par le respect des règles sectorielles. L’autorité de surveillance compétente est, en France, l’ACPR.

C’est une bonne nouvelle en gestion de projet : la majorité des artefacts exigés par l’AI Act pour un modèle de crédit peuvent être produits en étendant ce que la banque documente déjà au titre de la gouvernance des modèles. Le travail réellement nouveau se concentre sur trois points : la journalisation événementielle, la transparence du déployeur envers les personnes, et la documentation formelle de conformité.

5.5 La pile réglementaire

Pour une direction financière, l’AI Act arrive par-dessus DORA (un modèle de crédit est un actif informatique au sens de DORA, et un prestataire de scoring est un tiers ICT), Solvabilité II, MiFID II, les orientations de l’ABE sur l’octroi et le suivi des prêts, et le RGPD. Les obligations ne se substituent pas : elles se composent.

C’est aussi un bon exemple pour vos cours de contrôle de gestion : la conformité IA n’est pas un projet juridique, c’est un projet d’architecture documentaire.

5.6 Et la comptabilité ?

Question fréquente, réponse courte : presque rien au titre du haut risque. Ni la tenue comptable, ni la révision, ni la consolidation, ni le lettrage automatique, ni la détection d’anomalies dans les écritures ne figurent à l’annexe III.

Ce qui s’applique tout de même à un cabinet ou à une direction comptable : l’article 4 (littératie des collaborateurs) ; l’article 50 (contenus générés publiés, assistant conversationnel client) ; l’article 25 (outil interne appliqué ensuite à un cas d’usage haut risque, ou commercialisé sous la marque du cabinet) ; le secret professionnel et le RGPD, la question la plus sensible en pratique étant celle des données clients transmises à un service tiers.

Un point de vigilance sectoriel toutefois : les outils de pré-qualification de dossiers clients ou d’aide à la décision d’octroi utilisés par des cabinets travaillant pour des établissements de crédit peuvent, selon leur finalité réelle, se rapprocher du point 5 b).

6. Stratégie et gouvernance

6.1 Les cinq chantiers, dans l’ordre

Si vous n’aviez qu’une diapositive à donner à une direction générale, ce serait celle-ci.

6.2 La littératie IA : ce que l’Omnibus a changé

L’article 4 a été entièrement réécrit par le règlement 2026/1744.

Version initiale : les fournisseurs et déployeurs prennent des mesures pour garantir, dans la mesure du possible, un niveau suffisant de littératie en IA de leur personnel.

Version en vigueur : ils prennent des mesures pour soutenir le développement de cette littératie — et le texte précise que cela n’impose ni aux fournisseurs ni aux déployeurs de garantir un niveau spécifique pour un individu donné. Un second paragraphe charge la Commission et les États membres de soutenir ces efforts, en particulier pour les PME.

L’obligation passe donc d’une obligation de résultat atténuée à une obligation de moyens. Ce qui ne change pas : elle existe, elle est en vigueur depuis février 2025, et depuis le 2 août 2026 les autorités peuvent en contrôler l’exécution.

Pour une école ou un département de gestion, c’est aussi une observation de marché : cette obligation crée une demande de formation continue dans toutes les fonctions, pas seulement à la DSI.

6.3 Les achats, ou le contrat comme instrument de conformité

Le déployeur ne peut pas se conformer sans le fournisseur. Il lui faut la notice d’utilisation de l’article 13, la documentation sur les données d’entraînement et les tests de biais, l’accès aux journaux, l’information sur les limites connues, et l’engagement de coopération prévu à l’article 25 § 2.

Rien de tout cela ne s’obtient après la signature. Une clause AI Act dans un contrat SaaS de 2026 vaut plus qu’un audit en 2027.

6.4 Qui contrôle, en France

La France a retenu un modèle décentralisé et sectoriel : plutôt que de créer une autorité unique, elle s’appuie sur une quinzaine de régulateurs existants.

• La DGCCRF assure la coordination opérationnelle et joue le rôle de point de contact unique au sens de l’article 70 § 2.
• La DGE assure la coordination stratégique et représente la France au comité européen de l’IA.
• La CNIL occupe la place la plus large : contrôle de plusieurs pratiques interdites — dont l’inférence des émotions au travail et dans l’enseignement, la catégorisation biométrique, la police prédictive, le moissonnage de visages —, systèmes à haut risque de l’annexe III, et obligations de transparence portant sur la reconnaissance des émotions et sur les contenus synthétiques. Le véhicule juridique est le volet numérique du projet de loi DDADUE, discuté au Sénat le 17 février 2026, qui modifie la loi Informatique et Libertés.
• L’Arcom intervient sur les contenus, l’ACPR sur la banque et l’assurance, l’AMF sur les marchés, l’ANSM et la HAS sur la santé.
• L’ANSSI et le PEReN apportent un appui technique sans pouvoir d’exécution.

Autre nouveauté qui change la nature du risque : la Commission a ouvert un outil de plainte AI Act et un dispositif de signalement pour lanceurs d’alerte. L’application ne dépend plus d’un contrôle d’office — un salarié, un candidat écarté ou un client peut déclencher un examen.

6.5 Le report n’efface pas le risque

C’est le message stratégique à faire passer, et il vaut pour n’importe quelle régulation en transition.

Une décision de recrutement ou de crédit prise en 2026 par un système biaisé engage l’entreprise aujourd’hui, au titre du droit de la non-discrimination, du droit du travail, du RGPD et de la responsabilité civile. L’AI Act ne crée pas ce risque : il le documente. Et les journaux techniques que le règlement imposera de conserver à partir de 2027 seront précisément les pièces qu’un demandeur cherchera à obtenir pour prouver un biais.

Ajoutez que les grands donneurs d’ordre intègrent déjà des exigences AI Act dans leurs contrats. Pour un fournisseur, la conformité est devenue une condition d’accès au marché bien avant d’être une obligation légale.

6.6 La lecture stratégique

Trois angles pour un cours de stratégie.

La conformité comme barrière à l’entrée. Un régime documentaire lourd avantage structurellement les acteurs qui ont déjà des fonctions conformité — banques, assureurs, grands groupes. Les allègements consentis aux PME et aux petites ETI dans l’Omnibus sont une réponse partielle à cette critique. Faites évaluer à vos étudiants si elle suffit.

La conformité comme signal. Signer le code de bonnes pratiques, publier une charte IA, afficher les icônes de transparence : ce sont des actes de communication autant que de conformité. Le marketing de la conformité est un objet de recherche à part entière.

Le débat sur l’effet Bruxelles. L’AI Act a été présenté comme un texte destiné à s’imposer au monde par la taille du marché européen, sur le modèle du RGPD. Deux ans plus tard, l’Union simplifie et reporte avant même la pleine application. Est-ce l’ajustement normal d’un texte pionnier, ou le premier recul de la puissance normative européenne ? Les deux thèses sont défendables, et c’est un excellent sujet de débat contradictoire.

7. Boîte à outils

7.1 L’arbre de décision, en quatre questions

À faire recopier par vos étudiants. Il résout la grande majorité des cas.

1. Est-ce un système d’IA au sens du règlement ? Si c’est une règle métier déterministe écrite à la main, non. Si le système infère des sorties à partir d’entrées avec une part d’autonomie, oui.
2. Fait-il partie des pratiques interdites de l’article 5 ? Manipulation, exploitation de vulnérabilités, notation sociale, inférence des émotions au travail ou en formation. Si oui : arrêtez. Ce n’est pas un sujet de calendrier.
3. Décide-t-il, ou aide-t-il à décider, quelque chose qui affecte une personne, dans l’un des domaines de l’annexe III ? Si oui : haut risque, échéance 2 décembre 2027, chantier à ouvrir maintenant.
4. Parle-t-il à des personnes, ou produit-il du contenu ? Si oui : transparence, applicable depuis le 2 août 2026, chantier de quelques jours.

Si les réponses sont non partout : rien au titre de l’AI Act. Le RGPD, le droit du travail et le droit de la consommation continuent de s’appliquer.

7.2 Glossaire

• AI Act — Règlement (UE) 2024/1689. On dit aussi RIA (règlement sur l’intelligence artificielle).
• Digital Omnibus sur l’IA — Règlement (UE) 2026/1744 du 8 juillet 2026 : report du haut risque, assouplissement de l’article 4, deux nouvelles interdictions, allègements pour les PME et petites ETI.
• Fournisseur — Celui qui développe un système ou le fait développer et le met sur le marché sous son nom.
• Déployeur — Celui qui utilise un système sous sa propre autorité, dans un cadre professionnel.
• GPAI — Modèle d’IA à usage général. Régime propre, articles 51 à 55, applicable depuis août 2025.
• Annexe III — Liste des huit domaines d’usage dans lesquels un système autonome est classé à haut risque.
• Annexe I — Liste des législations sectorielles de produits dans lesquels une IA peut être intégrée comme composant de sécurité.
• FRIA — Analyse d’impact sur les droits fondamentaux (article 27).
• Hypertrucage (deepfake) — Contenu généré ou manipulé ressemblant à des personnes, objets, lieux ou événements existants, et de nature à passer pour authentique.
• Marquage lisible par machine — Signal technique intégré à un contenu généré permettant sa détection automatique.
• C2PA — Standard de provenance des contenus (Content Credentials), cité comme référence par le code de bonnes pratiques européen.
• Modification substantielle — Changement non prévu lors de l’évaluation initiale de conformité et affectant la conformité ou la finalité. Déclencheur de requalification en fournisseur.
• Bac à sable réglementaire — Cadre contrôlé de test sous supervision d’un régulateur. Bacs à sable nationaux opérationnels au 2 août 2027.

7.3 Dix questions d’amphi et leurs réponses courtes

7.4 Trois cas pédagogiques

Cas 1 — L’agence de recrutement lyonnaise. Un cabinet de 45 salariés utilise un ATS américain doté d’un module de scoring des candidatures par apprentissage automatique. Le dirigeant pense n’être concerné que par le RGPD. Travail demandé : qualifier le rôle du cabinet et celui de l’éditeur, identifier la date d’échéance applicable, lister les obligations déjà exigibles en août 2026, et dire ce qui relève du code du travail et non de l’AI Act. Piège : la FRIA n’est pas obligatoire ici.

Cas 2 — La campagne d’image générée. Une marque de cosmétiques lance une campagne dont les visuels sont produits par un générateur d’images, avec un modèle photoréaliste inexistant. Les images sont diffusées en display programmatique et en social. Travail demandé : déterminer s’il s’agit d’hypertrucages, identifier qui doit marquer et qui doit étiqueter, dire ce que change le fait que le générateur ait été mis sur le marché avant ou après le 2 août 2026, et lister les règles de plateformes qui s’ajoutent au règlement. Piège : l’exception artistique ne couvre pas automatiquement une campagne commerciale.

Cas 3 — Le modèle de scoring rebaptisé. Une banque régionale achète un moteur de détection de fraude, puis le réentraîne sur ses propres données et l’utilise pour prioriser les dossiers de crédit à la consommation. Travail demandé : qualifier le système au regard de l’exception fraude, identifier le moment exact où la banque a changé de rôle, dire quelles obligations elle vient d’hériter, et déterminer si la FRIA est due. Piège : les trois réponses tiennent dans l’article 25 et le point 5 b).

7.5 Un agenda de recherche en management

Parce que le sujet n’appartient pas qu’aux juristes, et que la littérature de gestion est encore mince.

En marketing. Quel est l’effet de l’étiquetage « généré par l’IA » sur la confiance, l’attitude envers la marque et l’intention d’achat ? Les premiers travaux sur la divulgation algorithmique suggèrent des effets non linéaires et dépendants du contexte. La généralisation de l’étiquetage à l’échelle européenne, à partir d’une date précise et documentée, offre une condition quasi expérimentale rare — et une fenêtre qui se referme.

En comportement du consommateur. Où passe la frontière entre personnalisation et manipulation, empiriquement ? L’article 5 pose un critère juridique — l’altération substantielle de la capacité de décider — sans instrument de mesure. Construire cet instrument est un programme de recherche, et il intéresse directement les autorités.

En GRH. La supervision humaine « effective » de l’article 14 est-elle observable ? Comment distingue-t-on une validation substantielle d’un entérinement mécanique ? La littérature sur l’aversion et sur la complaisance algorithmiques fournit les bases, mais l’objet réglementaire est nouveau.

En stratégie. Le coût de conformité produit-il un effet de concentration mesurable dans les secteurs exposés ? La comparaison avec la trajectoire post-RGPD des ad-tech européennes est un point de départ.

En systèmes d’information et gouvernance. Que devient une obligation contraignante dont la spécification technique est confiée à un code volontaire adossé à un standard privé ? Le cas du marquage des contenus est un objet de recherche en soi sur la privatisation de la normalisation.

En informétrie. La circulation des interprétations erronées du calendrier de l’AI Act dans la littérature professionnelle en juillet-août 2026 est un cas d’école de diffusion d’une erreur par recopie. Le corpus est daté, borné et accessible.

7.6 Sources

Textes. Règlement (UE) 2024/1689, texte consolidé et navigable sur artificialintelligenceact.eu et sur l’AI Act Service Desk de la Commission. Règlement (UE) 2026/1744 (Digital Omnibus sur l’IA), JO L du 24 juillet 2026, sur EUR-Lex.

Commission européenne. Cadre réglementaire de l’IA · Code de bonnes pratiques sur la transparence des contenus générés par l’IA · Icônes de l’UE pour l’étiquetage.

France. CNIL, questions-réponses sur le règlement IA (mise à jour du 17 août 2026) · DGE, schéma des autorités compétentes · ACPR, règlement européen sur l’IA.

Dossier arrêté au 20 août 2026. Le calendrier de l’AI Act a été modifié une fois ; il peut l’être encore. Vérifiez les dates avant réutilisation en cours.