Le 2 août 2026 devient une échéance pratique pour les entreprises qui utilisent, achètent, intègrent ou commercialisent des systèmes d’intelligence artificielle. Le sujet n’est plus réservé aux directions innovation. Il touche déjà les dirigeants de PME, les services RH, les éditeurs SaaS, les directions commerciales, les acheteurs, les assureurs, les banques, les professions réglementées et les entreprises qui insèrent des outils d’IA dans leurs prestations.

L’actualité réglementaire accélère la demande. L’AI Act est en vigueur depuis le 1er août 2024, mais ses obligations s’appliquent par étapes. Les interdictions les plus sensibles ont commencé en 2025. Les obligations de transparence, certaines obligations relatives aux systèmes à haut risque et les bacs à sable réglementaires arrivent au 2 août 2026. Les produits intégrant des IA à haut risque connaissent ensuite une échéance au 2 août 2027.

La question utile pour une entreprise n’est donc pas seulement : « qu’est-ce que l’AI Act ? ». La vraie question est : mon outil de recrutement, mon chatbot, mon scoring client, mon système de détection de fraude, mon logiciel métier ou mon prestataire IA déclenche-t-il une obligation juridique dès 2026, et quelles preuves dois-je conserver si un client, un candidat, un salarié, un régulateur ou un cocontractant conteste l’usage de l’IA ?

AI Act 2026 : quelles entreprises sont concernées ?

L’AI Act vise les acteurs qui fournissent, distribuent, importent ou déploient des systèmes d’IA. Une entreprise française peut donc être concernée même si elle n’a pas développé elle-même le modèle. Elle peut l’être parce qu’elle vend un outil intégrant de l’IA, parce qu’elle intègre une brique IA dans un produit, parce qu’elle utilise une solution de recrutement automatisé, parce qu’elle déploie un chatbot client ou parce qu’elle confie une décision commerciale sensible à un logiciel.

La première distinction à faire est celle du rôle. Le fournisseur conçoit ou met sur le marché le système. Le déployeur l’utilise sous sa propre autorité. L’importateur, le distributeur ou le mandataire interviennent dans la mise à disposition. Cette qualification commande les obligations concrètes : documentation, contrôle humain, transparence, conformité, surveillance après mise sur le marché, information des utilisateurs, conservation des traces et gestion des incidents.

Une PME qui utilise un outil d’IA générative pour rédiger des emails ou préparer des synthèses n’est pas dans la même situation qu’une société qui commercialise un logiciel de tri automatique de CV. Une entreprise qui utilise un chatbot d’information n’est pas dans la même situation qu’un établissement qui automatise une décision d’accès au crédit, à l’assurance, à la formation ou à l’emploi.

Il faut donc éviter deux erreurs. La première consiste à croire que « nous ne sommes pas une entreprise d’IA » suffit à exclure l’AI Act. La seconde consiste à traiter tout usage d’IA comme un risque maximal. La bonne méthode est plus simple : cartographier les usages, qualifier le rôle de l’entreprise, classer le niveau de risque, puis rattacher chaque outil à des obligations vérifiables.

Le classement du risque : interdit, haut risque, transparence ou risque minimal

Le règlement repose sur une logique de risques. Certains usages sont interdits, notamment lorsqu’ils menacent directement les droits fondamentaux ou la sécurité des personnes. D’autres sont classés à haut risque parce qu’ils peuvent affecter l’accès à l’emploi, à l’éducation, au crédit, à des services essentiels, à la justice ou à des infrastructures critiques. D’autres encore sont soumis à des obligations de transparence : l’utilisateur doit savoir qu’il interagit avec une IA ou qu’un contenu a été généré artificiellement. Enfin, de nombreux usages restent à risque minimal.

Pour les entreprises, le point le plus sensible est souvent le haut risque. Sont notamment visés des systèmes utilisés dans l’emploi, la gestion des travailleurs et l’accès à l’activité indépendante, par exemple les outils de tri de candidatures, de classement de profils ou d’évaluation de performance lorsqu’ils influencent une décision humaine. Les systèmes liés au crédit, à l’assurance ou à l’accès à certains services essentiels peuvent aussi devenir sensibles.

La qualification ne se résume pas au nom commercial de l’outil. Un fournisseur peut présenter un logiciel comme un simple assistant, mais l’usage réel peut lui donner une portée décisionnelle. Si un recruteur suit systématiquement le score fourni par l’outil, si un commercial refuse des prospects selon une note automatisée, ou si une banque exige un indicateur produit par une IA, la discussion ne portera plus seulement sur la fiche marketing du prestataire. Elle portera sur l’effet concret du système dans la décision.

L’audit doit donc partir des usages réels : qui utilise l’outil, sur quelles données, pour quelle décision, avec quel niveau d’autonomie, selon quelle procédure de contrôle, et avec quelles conséquences pour la personne concernée ou pour le client.

Que faut-il faire avant le 2 août 2026 ?

L’entreprise doit d’abord établir un inventaire. Cet inventaire doit être assez concret pour être exploitable en cas de contrôle ou de litige : nom de l’outil, fournisseur, service utilisateur, finalité, données traitées, personnes concernées, rôle de l’IA dans la décision, niveau de risque pressenti, base contractuelle, documentation disponible, mesures de contrôle humain et personne responsable en interne.

Ensuite, il faut classer chaque système. Les usages les plus simples peuvent rester dans une catégorie de risque limité ou minimal. Ils doivent néanmoins être encadrés lorsqu’ils produisent du contenu visible, interagissent avec des clients ou traitent des données personnelles. Les usages sensibles doivent être isolés : recrutement, évaluation de salariés, scoring de clients, détection de fraude, priorisation de dossiers, octroi d’un avantage, filtrage automatisé, notation ou recommandation qui influence réellement une décision.

Pour les systèmes à haut risque, l’entreprise doit préparer une documentation plus robuste : gestion des risques, qualité des données, traçabilité, information claire des utilisateurs, supervision humaine, robustesse, exactitude, cybersécurité et suivi dans le temps. Si elle est seulement déployeur, elle doit exiger du fournisseur les documents nécessaires et vérifier que son usage réel reste dans le cadre prévu.

Enfin, il faut corriger les contrats. Beaucoup d’entreprises ont acheté des outils IA avec des conditions générales trop pauvres : pas de description du rôle du fournisseur, pas de garantie sur la conformité, pas de procédure d’incident, pas d’engagement sur les données d’entraînement ou d’entrée, pas de clause d’audit, pas de régime clair de responsabilité, pas de documentation réutilisable face aux clients ou aux autorités.

L’AI Act 2026 doit donc être traité comme un sujet de gouvernance contractuelle, pas seulement comme un sujet informatique.

Contrats fournisseurs IA : les clauses à vérifier

Le contrat avec le fournisseur est souvent la pièce la plus importante. Si l’outil est contesté, l’entreprise devra démontrer ce qu’elle a acheté, ce qu’elle pouvait raisonnablement savoir, quelles garanties lui ont été données, et comment elle a encadré l’usage interne.

La première clause à vérifier est la description du système. Le contrat doit expliquer la finalité, les fonctionnalités, les limites, les conditions d’utilisation et le rôle attendu de l’humain. Une clause vague du type « solution intelligente d’aide à la décision » ne suffit pas si l’outil influence un recrutement, un refus de service, une notation client ou une décision financière.

La deuxième clause porte sur la conformité. Le fournisseur doit préciser son propre rôle au regard de l’AI Act et livrer les éléments nécessaires : documentation, notice d’utilisation, mesures de contrôle, informations sur les risques connus, consignes de supervision humaine, procédure d’incident et mises à jour.

La troisième clause concerne les données. Il faut distinguer les données utilisées pour entraîner le modèle, les données envoyées par l’entreprise, les données produites par l’outil et les journaux de fonctionnement. Cette distinction conditionne la confidentialité, le RGPD, la preuve et la responsabilité. Une entreprise qui envoie des données clients, candidats ou salariés dans un outil IA doit aussi vérifier la base juridique, la sécurité, la localisation, la durée de conservation et les droits d’accès.

La quatrième clause porte sur la responsabilité. Si l’outil produit une recommandation erronée, un classement discriminatoire, une décision incohérente ou une faille de sécurité, qui supporte le dommage ? Le fournisseur répond-il seulement du fonctionnement technique, ou aussi de la conformité du système ? L’entreprise conserve-t-elle une obligation de contrôle humain ? Les plafonds de responsabilité sont-ils compatibles avec le risque réel ?

La cinquième clause concerne la sortie. Une entreprise doit pouvoir suspendre l’outil, récupérer ses données, prouver les décisions passées, changer de prestataire et conserver les traces nécessaires. Sans clause de réversibilité et sans journal exploitable, elle peut se retrouver dépendante d’un fournisseur au moment même où elle doit répondre à une réclamation.

Pour les contrats commerciaux plus larges, l’analyse doit être coordonnée avec la page du cabinet consacrée aux contrats commerciaux.

IA en recrutement, scoring client et services essentiels : les cas les plus risqués

Les usages RH sont parmi les plus exposés. Un outil qui trie des CV, classe des candidats, attribue un score d’adéquation, analyse une vidéo d’entretien ou recommande une décision peut affecter l’accès à l’emploi. Même si l’entreprise affirme que le recruteur décide toujours, le risque existe si la recommandation de l’IA structure réellement la décision.

Dans ce cas, il faut conserver les paramètres d’usage, les consignes données aux recruteurs, les critères utilisés, les informations communiquées aux candidats, les mécanismes de contrôle humain et les preuves que l’outil n’a pas été utilisé mécaniquement. Si un candidat conteste une décision, la société doit pouvoir expliquer le processus sans se retrancher derrière une boîte noire.

Les systèmes de scoring client ou d’accès à un service sont également sensibles. Un outil qui classe des prospects, évalue le risque d’impayé, recommande un refus, priorise des demandes ou influence un accès au crédit, à l’assurance ou à un service essentiel doit être examiné au regard de son impact réel. Plus la conséquence est sérieuse pour la personne concernée, plus la documentation doit être solide.

Les entreprises qui vendent des solutions IA à d’autres entreprises doivent ajouter un réflexe de conformité commerciale. Un client professionnel demandera de plus en plus souvent : êtes-vous fournisseur ou simple intégrateur ? Le système est-il à haut risque ? Quelle documentation fournissez-vous ? Comment gérez-vous les mises à jour ? Qui prend en charge une réclamation ? Quelle preuve de conformité peut être produite en audit ?

Ces questions doivent être anticipées dans les CGV, les contrats SaaS, les annexes de sécurité, les propositions commerciales et les dossiers de due diligence. Sur ce point, l’AI Act rejoint les réflexes de due diligence juridique et de cession d’entreprise.

Quelle preuve préparer en cas de litige ou de contrôle ?

Un dossier AI Act utile ne doit pas être un classeur théorique. Il doit permettre de répondre vite à une contestation.

La première preuve est l’inventaire des usages. Il doit être daté, mis à jour et validé par les services concernés. La deuxième preuve est le classement du risque, avec la raison du classement. La troisième preuve est contractuelle : commande, CGV, DPA, annexe de sécurité, notice fournisseur, documentation technique, clauses de responsabilité, clauses de réversibilité. La quatrième preuve est opérationnelle : procédures internes, formation, consignes aux utilisateurs, contrôle humain, journal des décisions et gestion des incidents.

Il faut aussi documenter les arbitrages. Si l’entreprise estime qu’un outil n’est pas à haut risque, elle doit pouvoir expliquer pourquoi. Si elle estime qu’une obligation appartient au fournisseur, elle doit pouvoir montrer le contrat et la documentation reçue. Si elle utilise un outil à risque limité, elle doit démontrer que l’utilisateur est informé lorsqu’il interagit avec une IA ou reçoit un contenu généré par IA.

Enfin, l’entreprise doit organiser la remontée des alertes. Un salarié, un client, un candidat ou un partenaire peut signaler une erreur, une discrimination, une réponse fausse, une absence d’information ou un usage non autorisé. Sans circuit interne, le dirigeant découvre souvent le sujet trop tard, lorsque le litige est déjà formalisé.

Lorsque le risque touche la responsabilité du dirigeant, il faut rapprocher l’audit IA des règles plus générales de responsabilité civile du dirigeant.

Paris et Île-de-France : audit IA avant levée de fonds, contrat stratégique ou contentieux

Pour une entreprise située à Paris ou en Île-de-France, l’AI Act peut devenir un sujet très concret avant une levée de fonds, une cession, un appel d’offres, une relation avec un grand compte ou un contentieux commercial.

Un investisseur peut demander la liste des outils IA utilisés, les contrats fournisseurs, la qualification des risques et les mesures de sécurité. Un client grand compte peut conditionner la signature à une annexe IA. Un candidat ou un salarié peut contester un processus de recrutement ou d’évaluation. Un partenaire peut demander des garanties lorsque l’outil IA influence une prestation facturée. Une banque ou un assureur peut demander des précisions sur un scoring ou un traitement automatisé.

Dans ces situations, le bon réflexe est de préparer un dossier court, lisible et probatoire : cartographie des outils, classement des risques, clauses contractuelles, preuves de contrôle humain, politique interne, preuves d’information, et plan de correction. L’objectif n’est pas d’écrire une politique IA abstraite. L’objectif est de prouver que l’entreprise maîtrise les usages qui peuvent créer un dommage.

En cas de contrat stratégique ou de cession de titres, l’audit peut être rattaché aux opérations de fusion-acquisition ou de cession de parts ou d’actions.

Checklist 30 jours pour se mettre en ordre

Dans les 30 jours, une entreprise peut déjà réduire fortement son risque.

Première semaine : recenser les outils. Il faut lister les outils IA visibles et les outils cachés dans des solutions métiers : CRM, ATS, chatbot, suite bureautique, logiciel marketing, outil de scoring, outil de support client, logiciel de conformité, solution d’analyse documentaire, outil de cybersécurité.

Deuxième semaine : qualifier les usages. Pour chaque outil, il faut identifier la finalité, les données, les personnes concernées, le rôle de l’humain, la conséquence possible et la catégorie de risque. Les usages RH, scoring, crédit, assurance, sécurité, éducation, santé, justice ou services essentiels doivent être traités en priorité.

Troisième semaine : récupérer les contrats et la documentation. Il faut demander au fournisseur sa qualification AI Act, sa documentation, ses garanties, ses limites d’usage, ses mesures de sécurité et ses procédures d’incident. Si le contrat est muet, il faut envisager un avenant.

Quatrième semaine : formaliser les preuves internes. Politique d’usage, consignes aux salariés, contrôle humain, information des utilisateurs, registre des outils, circuit d’alerte, personne responsable et calendrier de revue. Le document doit être court, mais exploitable.

L’AI Act ne doit pas être traité comme une panique réglementaire. Il doit être traité comme un sujet de preuve et de contrat : quels outils, quels risques, quelles obligations, quelles garanties, quelles traces.

Besoin d’un avis rapide sur votre dossier.

Consultation téléphonique en 48 heures avec un avocat du cabinet.

Le cabinet peut examiner vos outils IA, vos contrats fournisseurs, vos CGV, vos annexes de sécurité et vos risques AI Act en consultation téléphonique sous 48 heures.

Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact.

Pour une entreprise située à Paris ou en Île-de-France, l’analyse peut intégrer les contrats fournisseurs, les risques de recrutement ou de scoring, la due diligence, la responsabilité du dirigeant et les preuves à préparer avant le 2 août 2026.

Voir aussi notre page dédiée aux avocats en droit des affaires à Paris.