Depuis son adoption en 2024, l'AI Act européen (Règlement (UE) 2024/1689) est régulièrement résumé en une phrase : « les systèmes à haut risque devront être conformes en 2027 ». C'est vrai, et c'est en même temps la partie la moins urgente du texte. Cette échéance, la plus citée, est aussi la plus lointaine. Deux autres sont déjà derrière nous.
Ce qui est déjà en vigueur
Depuis le 2 février 2025, une liste de pratiques est purement et simplement interdite : notation sociale, manipulation comportementale, exploitation de vulnérabilités, identification biométrique à distance en temps réel dans l'espace public, reconnaissance d'émotions au travail ou en milieu scolaire, catégorisation biométrique de caractéristiques sensibles. Depuis le 2 août 2025, les sanctions associées sont pleinement applicables : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial, le montant le plus élevé des deux étant retenu.
À la même date du 2 août 2025 s'ajoute une obligation plus discrète mais tout aussi réelle : toute entreprise qui utilise ou développe des systèmes d'IA doit disposer d'une gouvernance dédiée (inventaire des systèmes, responsable identifié, documentation), quel que soit leur niveau de risque. Une obligation de structure, pas de résultat : elle ne dépend pas de la nature du système utilisé, seulement du fait d'en utiliser un.
Pourquoi cette confusion se répand
L'AI Act est souvent présenté comme un texte unique à cocher une fois, alors qu'il superpose quatre obligations à des échéances différentes : gouvernance et interdictions déjà actives, transparence depuis le 2 août 2026, haut risque seulement en 2027. Retenir uniquement la dernière échéance (la plus structurante, donc la plus commentée) laisse croire à un délai confortable qui n'existe déjà plus pour les trois autres piliers.
Ce que ça signifie concrètement
Une entreprise qui utilise un outil d'IA générative pour la rédaction, un chatbot de support client, ou un système de scoring interne, est déjà concernée par l'obligation de gouvernance, qu'elle ait ou non un système « à haut risque » au sens de l'Annexe III. La question n'est donc pas seulement « suis-je concerné par le haut risque en 2027 ? » mais « ai-je, aujourd'hui, un inventaire de mes systèmes d'IA et un responsable identifié ? ». Pour beaucoup d'entreprises, la réponse honnête est non, alors que l'obligation est en vigueur depuis plus d'un an.
Source : Règlement (UE) 2024/1689 (AI Act), art. 5 (pratiques interdites, sanctions applicables depuis le 02/08/2025) ; obligations de gouvernance en vigueur depuis le 02/08/2025