Ce que la loi exige vraiment,
et ce qu’elle ne vous demande pas.
Le 2 août 2026 a fait basculer une vague d’obligations, et un règlement de juillet en a repoussé une autre. Le discours ambiant mélange depuis ce qui s’applique, ce qui est reporté et ce qui n’a jamais existé. On remet chaque texte à sa place, on descend jusqu’au geste concret, et on termine par les seules obligations qui vous concernent.
Partie 00
Avant toute obligation : savoir qui elle vise
Presque toutes les contradictions entre articles et formations viennent de trois confusions : le texte concerné, le rôle de la personne visée, et la force juridique de la règle citée. Deux affirmations opposées peuvent être vraies toutes les deux si elles ne parlent ni du même texte, ni du même acteur.
Le règlement sur l'IA
Il classe les usages par niveau de risque et fixe des obligations selon votre rôle dans la chaîne. Il s'ajoute à l'existant, et il ne remplace aucun texte antérieur.
Règlement (UE) 2024/1689
Le règlement sur les données
Dès qu'une donnée personnelle entre dans un prompt, il s'applique en parallèle. Dans la vie quotidienne d'une structure, c'est lui qui commande la majorité des obligations réelles.
Règlement (UE) 2016/679
Travail, propriété, pénal
Consultation du comité social et économique, droit d'auteur, droit à l'image, deepfakes. Ces textes préexistaient à l'IA, et ils produisent aujourd'hui l'essentiel du contentieux français.
Code du travail, code de la propriété intellectuelle, code pénal
Le réflexe à installer : quand quelqu'un demande « est-ce que c'est légal ? », la première question est « au regard de quel texte ? ». Un usage peut être conforme à l'AI Act et illicite au regard du RGPD ou du code du travail.
Vous, presque toujours
Vous employez un système d'IA sous votre propre autorité : un assistant pour rédiger, un agent conversationnel sur votre site, une IA intégrée à la suite bureautique. Les obligations sont réelles, et elles tiennent en quelques gestes.
AI Act, article 3(4)
Celui qui met le système sur le marché
Il développe un système et le diffuse sous son nom ou sa marque. Documentation technique, évaluation de conformité, marquage, enregistrement : la charge lourde du règlement se concentre là.
AI Act, article 3(3)
Trois cas, et trois seulement
Un déployeur devient fournisseur s'il appose sa marque sur un système à haut risque, s'il y apporte une modification substantielle, ou s'il en change la destination au point de le rendre haut risque. L'usage par interface de programmation et l'ajustement léger n'y suffisent pas.
AI Act, article 25
L'erreur la plus fréquente : exposer les obligations du fournisseur à un public de déployeurs. La documentation technique de l'article 11, le marquage CE, l'enregistrement dans la base européenne, l'analyse d'impact sur les droits fondamentaux : rien de tout cela ne concerne une structure qui emploie un outil du marché.
Applicable, sanctionnable
Pratiques interdites, littératie, transparence, obligations des modèles à usage général. Le pouvoir de sanction est effectif depuis le 2 août 2026.
AI Act, articles 4, 5, 50 et 99
Le texte existe, l'échéance non
Exigences sur le haut risque de l'annexe III au 2 décembre 2027, directive sur la responsabilité du fait des produits défectueux à transposer d'ici le 9 décembre 2026. On prépare.
AI Act, article 113 modifié ; directive (UE) 2024/2853
Non contraignant, et opposable
Lignes directrices de la Commission, code de bonnes pratiques, recommandations de la CNIL. Aucune n'est une loi, et s'en écarter oblige à démontrer qu'on fait aussi bien.
Commission européenne, Bureau de l'IA, CNIL
En contrôle, la soft law déplace la charge de la preuve. Suivre une recommandation de la CNIL vous dispense de justifier votre méthode ; vous en écarter vous oblige à documenter en quoi votre solution est équivalente. C'est là toute sa puissance pratique.
La France n'a pas fini de désigner son gendarme
Au 25 août 2026, la désignation formelle des autorités françaises de surveillance reste inachevée. Le vecteur, le volet numérique du projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne, a été adopté par le Sénat en février 2026 et reste en examen à l'Assemblée. Les sources divergent encore entre la DGCCRF comme point de contact unique et la CNIL comme autorité chef de file. Et pourtant : l'AI Act étant un règlement, il est directement applicable. Ce retard national ne suspend aucune échéance.
Projet de loi DDADUE, volet numérique, en cours d'examen
Trois mécanismes récurrents
- Le raccourci de report« l'AI Act est reporté ». La date générale du 2 août 2026 tient toujours ; ce sont des exceptions à cette date qui ont bougé.
- La confusion de rôleles obligations du fournisseur présentées comme celles de tout le monde, ce qui produit des plans de conformité surdimensionnés, puis abandonnés.
- Le glissement de forceune ligne directrice ou une recommandation citée comme une amende, avec un montant à l'appui qui ne lui correspond pas.
Partie 01
Le calendrier réel, échéance par échéance
Le règlement Omnibus, en vigueur depuis le 27 juillet 2026, a bien modifié le calendrier de l’AI Act. Dans un seul sens, et sur un seul bloc : les systèmes à haut risque. Tout le reste est resté à sa place.
1ᵉʳ août 2024appliqué
Entrée en vigueur du règlement (UE) 2024/1689
Le compte à rebours démarre. Aucune obligation immédiate.
2 février 2025appliqué
Pratiques interdites (art. 5) et littératie IA (art. 4)
Premier bloc contraignant. Il concerne toutes les structures, sans seuil de taille.
2 août 2025appliqué
Modèles à usage général, gouvernance, organismes notifiés
Documentation, résumé public des données d'entraînement, politique de respect du droit d'auteur. Obligations du fournisseur de modèle, pas de celui qui l'emploie.
2 août 2026appliqué
Application générale, transparence (art. 50), surveillance, sanctions
Le bloc qui concerne directement une structure ordinaire : marquage des contenus, mention des agents conversationnels, divulgation des deepfakes. Les sanctions deviennent applicables.
2 décembre 2026à venir
Deux interdictions de plus, et marquage des systèmes antérieurs
Applications de dénudage et contenus pédocriminels générés, ajoutés par l'Omnibus à l'initiative de la France, sanctionnés au palier maximal. Le marquage lisible par machine s'étend aux systèmes mis sur le marché avant le 2 août 2026.
2 août 2027reporté
Bacs à sable réglementaires dans chaque État membre
Était fixé au 2 août 2026. La France n'en dispose pas encore au titre de l'article 57.
2 décembre 2027reporté
Exigences substantielles sur le haut risque de l'annexe III
Était fixé au 2 août 2026. Ressources humaines, recrutement, crédit, éducation, biométrie. Gestion des risques, gouvernance des données, journalisation, contrôle humain.
2 août 2028reporté
Haut risque intégré dans les produits réglementés de l'annexe I
Était fixé au 2 août 2027.
2 août 2030à venir
Certains systèmes à haut risque déjà employés par les autorités publiques
Article 111(2), échéance inchangée. Elle concerne les collectivités et les établissements publics équipés avant 2026.
Ce que l'Omnibus a déplacé, et ce qu'il a laissé en place
Déplacé : les exigences lourdes sur le haut risque, et les bacs à sable. Restés à leur date : l'application générale, les interdictions, la littératie, les obligations des modèles à usage général, la transparence de l'article 50, les pouvoirs de surveillance et les plafonds de sanction.
Une structure qui a retenu « c'est reporté, on verra en 2027 » se retrouve en infraction sur exactement les trois points qui la concernaient : informer, former, et se tenir à distance de l'article 5.
Règlement (UE) 2026/1744, JOUE du 24 juillet 2026
Les normes n'étaient pas prêtes
- Normes harmonisées CEN-CENELEC attenduesnon publiées
- Lignes directrices de classification (art. 6)échéance manquée
- Vote du Parlement européen, 16 juin 2026423 voix pour
Les consultations publiques sur les normes ne sont attendues que fin 2026 ou début 2027, et la Commission a manqué sa propre échéance du 2 février 2026 pour les lignes directrices de classification. Point décisif : le mécanisme de déclenchement conditionnel, qui aurait lié l'entrée en vigueur à la publication des normes, a été supprimé en trilogue. Les nouvelles dates sont fixes et inconditionnelles.
Commission européenne, CEN-CENELEC, Parlement européen
Partie 02
Les quatre niveaux de risque, appliqués à une structure réelle
Le règlement classe les usages, et non les outils. Le même assistant relève du risque minimal quand il rédige une lettre d’information, du risque limité quand il alimente un agent conversationnel public, et du haut risque quand il trie des candidatures.
4niveaux de risque
- Risque minimal76 %aucune obligation AI Act
- Risque limité, article 5018 %transparence
- Haut risque, annexe III5,5 %reporté à déc. 2027
- Pratiques interdites0,5 %à supprimer
Reconstruction pédagogique pour une structure ayant inventorié ses usages : cette ventilation n'existe pas dans la littérature et n'a aucune valeur juridique. Elle montre un ordre de grandeur, à savoir que l'écrasante majorité des usages professionnels courants relève des deux niveaux les plus légers.
Ce qui est banni
Notation sociale, manipulation subliminale, exploitation des vulnérabilités, police prédictive individuelle, moissonnage non ciblé d'images faciales, et surtout : reconnaissance des émotions sur le lieu de travail et dans l'éducation, sauf raisons médicales ou de sécurité.
AI Act, article 5, applicable depuis le 2 février 2025
Deux ajouts
L'Omnibus interdit les applications de dénudage et les matériels pédocriminels générés par IA. Ces deux ajouts viennent du Conseil, à l'initiative de la France, et sont sanctionnés au palier maximal.
AI Act, articles 5(1)(ba) et 5(1)(bb), ajoutés par le règlement 2026/1744
Le palier haut
Le plus élevé des deux montants, apprécié à l'échelle du groupe mondial. C'est le seul niveau où l'infraction se corrige en cessant : on arrête, on ne met pas en conformité.
AI Act, article 99(3)
Le cas à poser : l'outil qui « mesure la satisfaction client par analyse faciale », ou qui « détecte l'engagement de l'équipe en réunion », relève de l'interdiction, et ce depuis le 2 février 2025. Ce sont des produits réellement commercialisés.
Les cas qui vous concernent
Recrutement et sélection de candidats, décisions de promotion ou de licenciement, répartition des tâches, surveillance des salariés, accès aux services essentiels, éducation et formation professionnelle. Le paragraphe 4, « emploi », touche le plus de structures.
AI Act, annexe III, paragraphe 4
Ce qui arrivera
Système de gestion des risques, gouvernance des données, documentation technique, journalisation, contrôle humain, robustesse. Seize mois, c'est le délai réel de construction d'un dossier défendable.
AI Act, articles 9 à 15
Ce qui s'applique déjà
Le report ne vide pas le sujet. Un outil de tri de candidatures relève dès aujourd'hui de la décision automatisée au sens du RGPD, de l'interdiction de la reconnaissance des émotions, et de la consultation du comité social et économique. Trois régimes actifs, un seul reporté.
RGPD article 22 ; AI Act article 5 ; code du travail L2312-8
La double conformité est la vraie difficulté : un outil d'IA en ressources humaines relève simultanément de l'AI Act, du RGPD et du code du travail, avec trois calendriers et trois autorités. C'est la seule situation où une petite structure a réellement besoin d'un conseil juridique.
Le niveau qui vous concerne
Agents conversationnels, générateurs de contenu, deepfakes. C'est ici que se joue l'essentiel de la conformité d'une structure qui s'adresse à un public. Applicable depuis le 2 août 2026.
AI Act, article 50
Deux pour le fournisseur, deux pour vous
Le fournisseur informe de l'interaction avec une IA et marque les contenus de synthèse de façon lisible par machine. Le déployeur informe en cas de reconnaissance d'émotions ou de biométrie, et divulgue les deepfakes et les textes d'intérêt public.
AI Act, article 50, paragraphes 1 à 4
Ce qui échappe au paragraphe 4
Les œuvres manifestement artistiques, créatives, satiriques ou fictionnelles. Un éléphant qui conduit une voiture reste une image de fiction. Une photographie retouchée d'un élu en contexte d'information, elle, relève de la divulgation.
AI Act, article 50(4), second alinéa
Un point tranché par les lignes directrices de la Commission : une mention enfouie dans les conditions générales, dans une adresse ou dans une documentation ne suffit pas. Elle peut compléter une notification visible, jamais la remplacer. C'est le manquement le plus facile à constater, donc le plus probable en contrôle.
La grande majorité de vos usages
Correction, traduction, résumé de compte rendu, brouillon de lettre d'information, reformulation d'une fiche, génération d'images d'ambiance non trompeuses. Le règlement ne dit rien de plus.
AI Act, considérant 165
La littératie reste due
Elle s'applique quel que soit le niveau de risque, sans seuil de taille. Depuis le 27 juillet 2026, c'est une obligation de moyens : prendre des mesures pour soutenir la montée en compétence, sans avoir à garantir le niveau d'une personne donnée.
AI Act, article 4, modifié par le règlement 2026/1744
Et lui ignore les niveaux de risque
Un usage en risque minimal au sens de l'AI Act peut parfaitement violer le RGPD si des données personnelles partent dans un outil grand public. Les deux grilles sont indépendantes.
Règlement (UE) 2016/679
Aucune amende propre n'est attachée à l'article 4. Une politique de formation documentée reste pourtant la seule preuve de conformité disponible, et la Commission a indiqué qu'une simple vidéo d'accueil ne suffit pas. En cas de dommage, l'absence de formation pèse sur l'appréciation de la responsabilité.
Partie 03
Vos obligations réelles
Renseignez votre profil, la liste se recompose. Rien n’est enregistré et rien ne sort de cette page : c’est un outil de cadrage, pas un audit de conformité.
7 points de vigilance pour ce profil
- à faireInventorier tous les usages d'IA de la structure, y compris ceux déjà intégrés aux outils existantsSocle de toute conformité : aucun texte ne l'impose, et rien n'est faisable sans
- à fairePrendre des mesures documentées de montée en compétence des équipesAI Act, article 4 : applicable depuis le 2 février 2025, obligation de moyens
- impératifVérifier qu'aucun usage ne relève des pratiques interdites, à commencer par l'analyse des émotions des salariésAI Act, article 5 : 35 M€ ou 7 % du chiffre d'affaires mondial
- à faireVérifier que chaque agent conversationnel indique clairement qu'il s'adresse à une IAAI Act, article 50(1) : obligation du fournisseur, et vous répondez de votre site
- à faireSignaler les deepfakes et les textes générés publiés sur un sujet d'intérêt généralAI Act, article 50(4) : obligation du déployeur, exceptions artistiques et satiriques
- à faireBasculer sur des versions entreprise pour tout usage touchant des données personnelles ou confidentiellesRGPD : la clause contractuelle exclut la réutilisation des prompts pour l'entraînement
- à faireTenir le registre des traitements à jour, et réaliser une analyse d'impact si le risque est élevéRGPD, articles 30 et 35 : obligation préexistante, indépendante de l'IA
- hors périmètreMarquage CE
- hors périmètreDocumentation technique de l'article 11
- hors périmètreEnregistrement dans la base de données européenne
- hors périmètreAnalyse d'impact sur les droits fondamentaux
- hors périmètreDéclaration d'usage à une autorité
Cette liste est un cadrage pédagogique construit à partir des textes en vigueur au 25 août 2026. Ce n'est pas un audit de conformité : elle ne remplace ni une analyse de vos traitements réels, ni un avis juridique sur votre situation.
Le détail, corpus par corpus
Ce que vous devez faire
- Rendre visible la nature artificielle de l'agent conversationnelL'obligation pèse sur le fournisseur, et c'est vous qui répondez de ce que votre site affiche. Une phrase courte au premier message, plutôt qu'une ligne dans les conditions générales.
- Divulguer les deepfakes et les textes d'intérêt publicUne image de destination générée et présentée comme réelle, un communiqué rédigé par IA sur un sujet d'intérêt général : mention explicite.
- Former, et le documenterFeuille d'émargement, support, date, périmètre. C'est la seule preuve disponible, et elle ne coûte rien à constituer au fil de l'eau.
- Vérifier qu'aucun usage ne franchit l'article 5En pratique, un seul point de contrôle sérieux : aucune analyse d'émotions sur les salariés, ni en réunion, ni à l'accueil, ni en formation.
Ce qui reste hors de votre périmètre
- Le marquage CEIl vise les systèmes à haut risque, et il est porté par le fournisseur.
- La documentation technique de l'article 11C'est une obligation du fournisseur : un déployeur n'a rien à produire de tel.
- L'enregistrement dans la base européenneElle recense les systèmes, pas ceux qui les emploient.
- L'analyse d'impact sur les droits fondamentauxElle ne vise que certains déployeurs de systèmes à haut risque, dont les structures privées ordinaires ne font pas partie.
- La déclaration d'usage à une autoritéNi la CNIL, ni la DGCCRF, ni la Commission ne tiennent un tel guichet : il n'existe pas.
Une nuance de calendrier utile : le marquage lisible par machine bénéficie du seul délai accordé dans ce bloc. Pour les systèmes déjà sur le marché avant le 2 août 2026, il ne s'applique qu'au 2 décembre 2026, et le contenu généré avant cette date reste hors de l'obligation.
L'intérêt légitime, sous conditions
C'est la base la plus courante pour l'entraînement, sous réserve du triple test : intérêt réel, nécessité, mise en balance.
CNIL, fiches du 19 juin 2025, dont une sur le moissonnage du web
Un modèle n'est pas forcément anonyme
Le Comité européen retient une appréciation au cas par cas : des données personnelles peuvent rester absorbées dans les paramètres et en être extraites. Un entraînement illicite peut compromettre l'usage ultérieur du modèle.
EDPB, avis 28/2024
Les outils américains restent employables
Le Data Privacy Framework est valide : le Tribunal de l'Union a rejeté le recours Latombe le 3 septembre 2025. Un pourvoi reste pendant. Vérifier la certification du fournisseur, ou passer par des clauses contractuelles types.
Tribunal de l'UE, 3 septembre 2025 ; pourvoi C-703/25 P pendant
Le geste qui règle l'essentiel du sujet
Basculer sur une version entreprise pour tout usage impliquant des données personnelles ou confidentielles. La différence n'est pas technique, elle est contractuelle : les versions grand public peuvent réutiliser les prompts pour l'entraînement, les versions entreprise l'excluent. C'est cette clause, et non la qualité du modèle, qui fait la conformité.
Sur les sanctions, la prudence s'impose : l'amende de 15 M€ infligée à OpenAI par l'autorité italienne en décembre 2024 a été annulée par le tribunal de Rome le 18 mars 2026, pour incompétence au titre du guichet unique et sans se prononcer sur le fond. Le paysage jurisprudentiel reste très mince.
La fouille de textes et de données
L'exception générale joue quelle que soit la finalité, sauf opposition exprimée par le titulaire de droits, notamment par un procédé lisible par machine. L'effectivité de cette opposition est très contestée.
Directive 2019/790 ; article L122-5-3 du code de la propriété intellectuelle
Vos contenus générés restent hors protection
Une production issue du seul prompt n'est pas protégeable, faute d'auteur humain et d'empreinte de la personnalité. Un contenu où l'humain a fait des choix créatifs libres et substantiels peut l'être, pour sa part humaine.
Code de la propriété intellectuelle, article L111-1
Celui qui publie répond
Si le contenu généré contrefait une œuvre, c'est vous qui l'avez publié. Les garanties d'indemnisation des fournisseurs existent et restent conditionnées : filtres activés, version payante, absence de contournement.
Conditions contractuelles des fournisseurs
Deepfakes de personnes réelles : le pénal, avant le civil
L'article 226-8 du code pénal punit la publication d'un contenu généré reproduisant l'image ou la voix d'une personne sans son consentement, lorsque le caractère artificiel n'est ni évident ni mentionné. L'article 226-8-1 aggrave les peines pour les contenus à caractère sexuel. Cela vise directement l'usage marketing du visage d'un élu, d'un salarié ou d'un ambassadeur sans accord écrit.
Décision à connaître : le tribunal régional de Munich I a jugé le 11 novembre 2025 qu'un développeur d'IA est directement responsable, la mémorisation d'œuvres dans les paramètres du modèle et leur restitution constituant des reproductions non couvertes par l'exception de fouille. Première décision européenne en ce sens, non définitive.
Consultation du CSE, préalable
À partir de 50 salariés, l'introduction d'une nouvelle technologie impose l'information-consultation préalable. Préalable veut dire : avant toute décision irréversible, quand les élus peuvent encore peser. Délai d'avis d'un mois en général, deux à trois en cas d'expertise.
Code du travail, article L2312-8
Trois décisions convergentes
Nanterre a suspendu un déploiement d'outils d'IA avant la fin de la consultation. Créteil l'a confirmé en qualifiant expressément l'IA d'introduction de nouvelle technologie. Nanterre a récidivé sur des logiciels de ressources humaines.
TJ Nanterre 14/02/2025 · TJ Créteil 15/07/2025 · TJ Nanterre 29/01/2026
Opposable une fois intégrée
Pour fonder une sanction disciplinaire, les dispositions contraignantes suivent la procédure du règlement intérieur : consultation du CSE, transmission à l'inspection du travail, dépôt au greffe. Une charte isolée reste un guide.
Code du travail, articles L1321-1 et suivants
La sanction du défaut de consultation est le délit d'entrave, auquel s'ajoutent la suspension possible du déploiement et des dommages-intérêts. Le montant de l'amende est modeste, l'arrêt du projet ne l'est pas. Au-delà de 300 salariés, l'avis de la CSSCT est également requis.
Partie 04
Huit affirmations à corriger
Elles reviennent à chaque échange, souvent apportées par un article de presse professionnelle ou une formation antérieure. Chacune est fausse, et chacune contient une part de vrai qu’il faut nommer.
- Faux« L'AI Act interdit les assistants d'IA en entreprise »
Aucune interdiction d'usage professionnel d'un outil à usage général. Seules certaines pratiques sont interdites par l'article 5, quel que soit l'outil employé.
- Faux« Il faut déclarer son usage de l'IA à la CNIL »
Aucune déclaration d'usage n'existe. Restent les obligations RGPD préexistantes : registre des traitements, analyse d'impact si le risque est élevé. Elles n'ont pas attendu l'IA.
- Partiellement faux« Tout contenu généré doit porter une mention IA visible »
L'article 50(2) exige un marquage lisible par machine, côté fournisseur. La mention visible n'est due que pour les deepfakes et les textes d'intérêt public, avec exceptions artistiques et satiriques.
- Faux« L'AI Act s'applique de la même façon à toutes les entreprises »
L'obligation dépend du rôle et du niveau de risque de l'usage. S'y ajoutent des allègements pour les PME et les entreprises de taille intermédiaire, dont un plafonnement d'amende au montant le plus faible, à rebours de la règle générale.
- Faux« La formation à l'IA est sanctionnée par une amende »
L'article 4 n'a aucune sanction propre, et c'est désormais une obligation de moyens. Elle reste due, et son absence pèse en cas de dommage, sans qu'aucun montant lui soit attaché.
- Faux« Le RGPD interdit les outils américains »
Le Data Privacy Framework a été validé par le Tribunal de l'Union le 3 septembre 2025, et plus de 2 800 organisations sont certifiées. Le risque lié au CLOUD Act justifie une analyse pour les données sensibles, plutôt qu'une interdiction de principe.
- Faux« Les contenus générés appartiennent au fournisseur du modèle »
Les conditions générales cèdent à l'utilisateur les droits sur les sorties. La vraie question porte sur la protégeabilité, le plus souvent nulle faute d'auteur humain.
- Faux« Il faut un délégué à la protection des données pour employer l'IA »
Le DPO s'impose selon les critères de l'article 37 du RGPD, indépendamment de l'IA : autorité publique, suivi régulier à grande échelle, données sensibles à grande échelle.
Les zones qui restent réellement incertaines
Corriger les idées reçues laisse des questions ouvertes, et elles se présentent comme telles : la portée exacte de l'opposition à la fouille face à l'IA générative ; la protégeabilité d'un contenu mêlant prompt et retouches, faute de jurisprudence française fixée ; la qualification en haut risque de certains outils intégrés ; l'identité définitive de l'autorité française chef de file, tant que la DDADUE n'est pas votée ; la portée réelle des garanties d'indemnisation des fournisseurs ; l'issue de l'appel de la décision de Munich et du pourvoi devant la Cour de justice sur le Data Privacy Framework.
Partie 05
Sanctions et marge d’action réelle
Les montants circulent beaucoup, presque toujours sans préciser à qui ils s’appliquent. L’échelle est logarithmique : chaque graduation vaut dix fois la précédente, sans quoi le délit d’entrave tiendrait dans l’épaisseur du trait.
- Délit d'entrave, défaut de consultation du CSE7 500 €et suspension du projet
- AI Act : informations inexactes aux autorités7 500 000 €ou 1 % du CA mondial
- AI Act : manquement à la transparence (art. 50)15 000 000 €ou 3 % du CA mondial
- Amende infligée à OpenAI en Italie, annulée15 000 000 €annulée le 18 mars 2026
- RGPD : plafond du palier haut20 000 000 €ou 4 % du CA mondial
- AI Act : pratiques interdites (art. 5)35 000 000 €ou 7 % du CA mondial
€, échelle logarithmique : chaque graduation vaut dix fois la précédente.
Les plafonds de l'AI Act s'apprécient au plus élevé des deux termes et à l'échelle du groupe mondial : pour un acteur pesant plusieurs dizaines de milliards, 7 % dépasse largement le plafond nominal de 35 M€. Pour une PME ou une entreprise de taille intermédiaire, l'Omnibus retient au contraire le montant le plus faible. La même règle protège les petites structures et frappe fort les grandes.
Les trois gestes qui pèsent
- Inventorier les usages réels, y compris invisibles.Ceux qui sont déjà intégrés à la gestion de la relation client, à la suite bureautique, au moteur de réservation ou à l'agent conversationnel du site. C'est le socle de tout le reste, et c'est presque toujours ce qui manque.
- Basculer sur des versions entreprise.Une clause contractuelle qui exclut la réutilisation des prompts règle d'un coup l'essentiel du risque RGPD et du risque de fuite de secret des affaires.
- Consulter le CSE avant, plutôt qu'après.Au-delà de 50 salariés, c'est le seul manquement qui peut faire arrêter un projet en cours, et trois décisions récentes l'ont fait.
Les gestes dont l'effet reste marginal
- Rédiger une charte d'IA de vingt pages.Sans intégration au règlement intérieur, elle reste un guide. Deux pages déposées valent mieux que vingt pages sans procédure.
- Interdire l'IA à ses équipes.L'interdiction déplace l'usage vers l'invisible. C'est le raisonnement retenu par l'État français, qui a préféré déployer un outil souverain à ses agents.
- Attendre 2027 pour s'y mettre.Le report ne concerne que le haut risque. Ce qui vous concerne est déjà applicable, et déjà sanctionnable.
La formulation à retenir quand la question arrive
« Vous avez raison, c'est réglementé, et depuis le 2 août dernier ça l'est pour de bon. Maintenant, sur les cinq cents pages du texte, ce qui vous concerne tient en trois lignes : dites à vos visiteurs quand ils s'adressent à une machine, formez vos équipes et gardez-en la trace, et laissez les émotions de vos salariés en dehors de vos outils. Le reste vise ceux qui fabriquent les modèles. Si vous faites des ressources humaines avec de l'IA, c'est un autre sujet, et on en reparle. »
Traçabilité
Sources et niveau de confiance
Chaque élément porte sa force juridique : droit dur, soft law, ou reconstruction pédagogique. Ce statut se conserve à la reprise.
| Donnée | Source primaire | Statut |
|---|---|---|
| Architecture, niveaux de risque, obligations, plafonds de sanction | Règlement (UE) 2024/1689, texte consolidé, EUR-Lex | Établi |
| Nouveau calendrier, allègements PME, interdictions ajoutées | Règlement (UE) 2026/1744, JOUE du 24 juillet 2026 | Établi |
| Transparence de l'article 50, périmètre et exceptions | Lignes directrices de la Commission, 20 juillet 2026 | Soft law, publiée |
| Modèles à usage général et code de bonnes pratiques | Commission européenne, Bureau de l'IA, juillet 2025 | Établi et soft law |
| Intérêt légitime, moissonnage, anonymat des modèles | CNIL, fiches du 19 juin 2025 ; EDPB, avis 28/2024 | Soft law, opposable en pratique |
| Validité du Data Privacy Framework | Tribunal de l'UE, 3 septembre 2025 ; pourvoi C-703/25 P pendant | Établi, sous réserve du pourvoi |
| Fouille de textes et de données, opposition du titulaire | Directive 2019/790 ; article L122-5-3 du code de la propriété intellectuelle | Établi, portée contestée |
| Responsabilité du développeur pour mémorisation d'œuvres | Tribunal régional de Munich I, 11 novembre 2025 | Décision isolée, non définitive |
| Consultation du CSE préalable au déploiement d'IA | TJ Nanterre 14/02/2025 · TJ Créteil 15/07/2025 · TJ Nanterre 29/01/2026 | Établi, jurisprudence convergente |
| Deepfakes, sanctions pénales | Loi n° 2024-449 du 21 mai 2024 ; articles 226-8 et 226-8-1 du code pénal | Établi, quantum à revérifier sur Légifrance |
| Gouvernance française, désignation des autorités | Projet de loi DDADUE, volet numérique, en examen | En cours, non stabilisé |
| Ventilation des usages par niveau de risque | Reconstruction pédagogique du cabinet | Estimation raisonnée, sans valeur juridique |
Solidité de l’ensemble : 6 sur 7
Le calendrier et les textes européens sont solidement sourcés et recoupés entre EUR-Lex, la Commission, la CNIL et l'EDPB. L'incertitude résiduelle se concentre sur deux points signalés comme tels : la gouvernance nationale française, encore à l'état de projet de loi, et quelques quanta pénaux à revérifier sur Légifrance avant diffusion. La ventilation des usages par niveau de risque est une reconstruction pédagogique, et elle ne se présente jamais comme une donnée.