Nous contacter →Pour une structure qui emploie l’IA générative et qui veut savoir ce que le droit lui impose.
Le règlement européen sur l’IA s’applique depuis le 2 août 2026, et le pouvoir de sanction est effectif depuis cette date. Ce qu’il demande à une structure qui emploie des outils du marché tient en peu de gestes, tous vérifiables par un écrit. Le reste vise ceux qui fabriquent les modèles.
État du droit arrêté au 25 août 2026 · un cadrage, que votre conseil juridique reprend
Le règlement Omnibus du 24 juillet 2026 a déplacé les exigences lourdes sur le haut risque et les bacs à sable. La date générale n’a pas bougé, et c’est celle qui vous concerne.
Transparence, surveillance et sanctions. Cette date n’a jamais bougé.
AI Act, règlement (UE) 2024/1689, article 113
Les exigences substantielles sur le haut risque de l’annexe III, fixées auparavant au 2 août 2026.
Règlement (UE) 2026/1744, JOUE du 24 juillet 2026
Décision de sanction publiée au titre de l’AI Act à ce jour. Le pouvoir de sanction, lui, est effectif.
Relevé de KiXiT Ai, arrêté au 25 août 2026
Une structure qui a retenu « c’est reporté, on verra en 2027 » se découvre en écart sur exactement les trois points qui la concernaient : informer, former, et se tenir à distance de l’article 5.
Presque toutes les contradictions que vous avez lues sur l’IA et le droit viennent de ces trois confusions. Les lever prend cinq minutes, et ce qui reste après est court.
L’AI Act classe les usages par niveau de risque. Le RGPD commande dès qu’une donnée personnelle entre dans un prompt. Le droit français, lui, produit l’essentiel du contentieux déjà jugé : consultation du comité social et économique, droit d’auteur, droit à l’image.
Règlements (UE) 2024/1689 et 2016/679 · code du travail, code de la propriété intellectuelle
Vous employez un système sous votre autorité : un assistant qui rédige, un agent conversationnel sur votre site, une IA intégrée à la suite bureautique. La charge lourde du règlement (documentation technique, marquage, enregistrement) pèse sur le fournisseur, et l’usage par interface de programmation ne vous fait pas changer de rôle.
AI Act, articles 3(4) et 25 : trois cas de basculement, tous hors de l’usage courant
Une ligne directrice de la Commission ou une recommandation de la CNIL n’est pas une loi, et elle pèse quand même : la suivre vous dispense de justifier votre méthode, vous en écarter vous oblige à démontrer que vous faites aussi bien.
Commission européenne, Bureau de l’IA · CNIL, fiches du 19 juin 2025
Quand quelqu’un demande si un usage est légal, la première question porte sur le texte : un usage conforme à l’AI Act reste illicite au regard du RGPD ou du code du travail.
Le règlement classe les usages en quatre niveaux, et les usages professionnels courants relèvent des deux plus légers. Reste ce qui se démontre par un écrit.
Ventilation reconstruite par KiXiT Ai pour une structure ayant inventorié ses usages. Elle n’existe dans aucune littérature et n’a aucune valeur juridique : elle montre un ordre de grandeur.
Ce qui vous concerne
Quatre gestes, chacun vérifiable par une trace écrite.
Ce qui reste hors de votre périmètre
Ces cinq lignes visent le fournisseur, et la dernière n’existe pas.
Un outil qui trie des candidatures, qui évalue ou qui répartit des tâches relève en même temps de l’AI Act (annexe III, paragraphe 4, exigences au 2 décembre 2027), du RGPD (article 22, applicable aujourd’hui) et du code du travail (article L2312-8). Trois calendriers, trois autorités : c’est la situation où une structure prend un conseil juridique, et nous travaillons avec le vôtre dès le premier échange.
Aucun ne demande un logiciel, aucun ne demande un budget. Le premier se fait avec vos équipes, et il commande les deux autres.
Y compris ceux déjà intégrés à la suite bureautique, à la gestion de la relation client ou à l’agent conversationnel du site. Aucun texte ne l’impose, et rien d’autre ne se fait sans lui.
La différence se joue au contrat : les versions grand public peuvent réutiliser les prompts pour l’entraînement, les versions entreprise l’excluent. Cette clause règle l’essentiel du risque sur les données personnelles et sur le secret des affaires.
À partir de 50 salariés, l’introduction d’une nouvelle technologie appelle l’information consultation préalable (code du travail, article L2312-8). Trois décisions ont suspendu un déploiement : TJ Nanterre 14/02/2025, TJ Créteil 15/07/2025, TJ Nanterre 29/01/2026.
Ce qui occupe le temps sans réduire le risque
Le cadre réglementaire est l’un des chantiers que le dispositif ouvre, et le diagnostic établit s’il compte chez vous. Six pièces, dont vous n’aurez pas besoin des six.
La liste de ce qui tourne réellement dans la maison, outil par outil et service par service. C’est presque toujours ce qui manque, et le diagnostic PrismXAi le remplit à partir de ce que vos équipes déclarent elles-mêmes.
Ce qui vous reste
Usage par usage : quel texte le vise, à quel rôle il vous place, et à quelle échéance. C’est le document qui arrête les plans de conformité surdimensionnés, ceux qui exposent à un déployeur les obligations d’un fournisseur.
Ce qui vous reste
L’article 4 de l’AI Act demande des mesures de montée en compétence, sans seuil de taille, depuis le 2 février 2025. C’est une obligation de moyens depuis le 27 juillet 2026, et c’est la démarche, datée, qui se démontre.
Ce qui vous reste
Sur vos surfaces publiques : l’agent conversationnel du site, les contenus générés que vous publiez. Les lignes directrices de la Commission du 20 juillet 2026 demandent une notification visible à l’écran, que les conditions générales complètent.
Ce qui vous reste
Les usages qui touchent des données personnelles ou confidentielles passent en version entreprise. C’est la clause, et non la qualité du modèle, qui fait la conformité, et le registre des traitements se met à jour du même geste (RGPD, articles 30 et 35).
Ce qui vous reste
La consultation du CSE se tient avant toute décision irréversible, quand les élus peuvent encore peser. Au delà de 300 salariés, l’avis de la commission santé, sécurité et conditions de travail s’y ajoute.
Ce qui vous reste
Aucune de ces pièces n’appelle les autres, et le dispositif en ouvre d’autres qui ne sont pas dans cette liste. L’accompagnement porte l’ensemble, et le diagnostic PrismXAi désigne les pièces qui comptent chez vous.
État du droit arrêté au 25 août 2026. Cette page oriente : elle se reprend avec votre conseil juridique, et elle se met à jour quand un texte bouge.
Nous regardons vos usages réels, nous nommons ce qui vous oblige, et nous vous disons ce qui reste hors de votre périmètre.
Ce premier échange ne se facture jamais. Ou commencez par mesurer ce que vos équipes font déjà.
