Sommaire6
Le 27 juillet 2026, l’entrée en vigueur du règlement (UE) 2026/1744 a repoussé au 2 décembre 2027 les règles de l’AI Act sur l’IA à haut risque utilisée pour recruter, gérer le personnel ou accorder un crédit. Au 20 octobre 2026, il reste un peu plus de treize mois. C’est peu, quand l’outil concerné est un logiciel qu’on choisit, qu’on paramètre et qu’on déploie avant de s’en servir.
Cet article de notre rubrique IA d’entreprise s’appuie sur le texte consolidé du règlement et sur le projet de lignes directrices de la Commission. Ce n’est pas un conseil juridique : pour classer un usage précis, votre DPO ou un avocat a le dernier mot. Le panorama complet des obligations est dans notre guide de l’AI Act et du RGPD pour les PME.
En bref
Deux dates : le 2 décembre 2027 pour les usages de l’annexe III (recrutement, personnel, crédit, assurance), le 2 août 2028 pour l’IA intégrée à des produits réglementés.
Les lignes directrices qui diront précisément ce qui est à haut risque sont encore à l’état de projet, publié le 19 mai 2026.
Une entreprise qui utilise un tel outil devra assurer un contrôle humain, conserver les journaux et informer ses salariés.
Le RGPD s’applique déjà, et un outil choisi en 2027 sera en service quand les nouvelles règles tomberont : c’est maintenant que se négocient les garanties.
Quand s’appliquent les règles du haut risque ?
L’article 113 consolidé fixe deux dates, qui remplacent celles du texte d’origine (2 août 2026 et 2 août 2027) :
- 19 mai 2026
La Commission publie son projet de lignes directrices sur la classification des systèmes à haut risque.
- 23 juillet 2026
Fin de la consultation sur ce projet.
- 27 juillet 2026
Le règlement (UE) 2026/1744 entre en vigueur et repousse les dates du haut risque.
- 2 décembre 2027
Les règles s’appliquent aux usages de l’annexe III (recrutement, personnel, crédit, assurance, éducation, biométrie).
- 2 août 2028
Elles s’appliquent à l’IA qui est un composant de sécurité d’un produit réglementé (dispositif médical, jouet, ascenseur).
La date de consultation est celle donnée par le cabinet Osborne Clarke. Le report lui-même est détaillé dans ce que l’Omnibus numérique a changé dans l’AI Act.
Quels usages d’une entreprise sont à haut risque ?
L’annexe III liste huit domaines. Pour une entreprise privée, cinq usages reviennent le plus souvent :
- Recruter : publier des offres d’emploi ciblées, analyser et filtrer les candidatures, évaluer les candidats.
- Gérer le personnel : décider d’une promotion ou d’un licenciement, attribuer des tâches selon le comportement ou la personnalité, suivre et évaluer les performances.
- Accorder un crédit : évaluer la solvabilité d’une personne ou établir sa note de crédit, la détection de fraude financière exceptée.
- Assurer : évaluer le risque et fixer le prix d’une assurance vie ou santé pour une personne.
- Former : décider de l’accès à une formation professionnelle ou évaluer ce qu’une personne y a acquis.
La biométrie (catégorisation des personnes, reconnaissance des émotions) figure aussi dans la liste. Dans tous les cas, il s’agit de décisions qui touchent des personnes physiques : un outil qui note des entreprises clientes ou trie des tickets de support n’y entre pas à ce titre.
Mon usage est-il vraiment à haut risque ?
Figurer dans un domaine de l’annexe III ne suffit pas toujours. L’article 6 prévoit une exception pour les systèmes qui n’ont pas d’incidence significative sur la décision. Le raisonnement se fait en quatre temps :
- Le domaine.
L’usage figure-t-il dans l’annexe III ? Sinon, les règles du haut risque ne s’appliquent pas.
- Le profilage.
Le système évalue-t-il des personnes à partir de leurs données (profilage) ? Si oui, il reste à haut risque, sans exception possible.
- Le rôle dans la décision.
S’il se limite à une tâche procédurale étroite, améliore un travail humain déjà fait, repère des écarts sans remplacer l’évaluation humaine ou prépare une évaluation, il peut sortir du haut risque.
- La preuve.
Le fournisseur qui estime son système hors du haut risque doit documenter son évaluation avant la mise sur le marché, et la remettre aux autorités sur demande.
L’étape 2 pèse lourd : selon l’analyse d’Osborne Clarke, les outils de recrutement ou d’évaluation du crédit font en général du profilage, ce qui ferme souvent la porte de l’exception. Le projet de lignes directrices, que la Commission devait publier au plus tard le 2 février 2026 selon l’article 6, est toujours présenté comme un projet sur sa page, mise à jour le 23 juillet 2026.
Ce qu’une entreprise utilisatrice devra faire
L’AI Act appelle « déployeur » l’entreprise qui utilise le système sous sa propre autorité. L’article 26 lui demande notamment :
- Utiliser le système selon sa notice et surveiller son fonctionnement.
- Confier le contrôle humain à des personnes qui ont la compétence, la formation et l’autorité nécessaires.
- Conserver les journaux générés par le système, au moins six mois.
- Informer les représentants du personnel et les salariés concernés avant d’utiliser le système sur le lieu de travail ; en France, cela passe par le comité social et économique.
- Signaler un risque ou un incident grave au fournisseur et à l’autorité, et suspendre l’usage si nécessaire.
Les entreprises qui notent le crédit ou tarifent l’assurance vie et santé doivent en plus mener une analyse d’impact sur les droits fondamentaux (article 27). Et l’autorité qui contrôlera tout cela en France n’est pas encore désignée : le projet de loi confie l’emploi à la CNIL, comme l’explique qui contrôle l’AI Act en France.
Pourquoi ne pas attendre décembre 2027
Treize mois laissent le temps de bien faire, pas de tout faire au dernier trimestre. Quatre raisons de commencer maintenant :
- Le RGPD s’applique déjà. Son article 22 encadre les décisions entièrement automatisées qui produisent des effets juridiques ou significatifs, comme un refus de candidature ou de crédit. Les enjeux sont dans l’IA qui décide d’un licenciement ou d’un crédit.
- Les outils se choisissent avant de servir. Un logiciel de recrutement retenu courant 2027 sera en service quand les règles tomberont. C’est au moment du contrat qu’on obtient de l’éditeur sa notice, ses journaux et son plan de conformité, pas après.
- L’inventaire sert à tout. Savoir quels outils touchent des personnes, et lesquels décident seuls, sert au RGPD, à l’AI Act et à la sécurité. C’est la première étape de notre guide de la gouvernance de l’IA, comme de notre guide pour intégrer l’IA en entreprise.
- Le contrôle humain s’organise. Désigner qui valide, avec quelle formation et quelle autorité, prend du temps dans une équipe de 20 à 500 personnes ; c’est aussi ce qui rend la décision défendable, comme le montre le rôle de l’humain face au jugement de l’IA.
Attention
L’article 111 prévoit qu’un système à haut risque mis en service avant le 2 décembre 2027 n’est soumis aux nouvelles règles que s’il subit ensuite d’importantes modifications de conception. Ce n’est pas une raison d’attendre : ce que vaut cette exception pour un logiciel en ligne mis à jour en continu est à faire préciser par votre conseil, et elle ne couvre ni le RGPD ni les obligations déjà en vigueur.
Sur le terrain
Le contrôle humain n’est pas une formalité, nous l’avons vu sur un site que nous opérons. Palmora Property, un portail immobilier, l’a appris à ses dépens : un modèle d’IA y a publié des articles qui présentaient trois projets immobiliers inexistants, dépubliés depuis (constat interne, sur notre propre chantier pour ce client, consigné dans notre catalogue de prestations). Depuis, rien de ce qu’un modèle produit n’y part sans une personne qui le lit et le valide. Un tri de candidatures mérite au moins le même soin qu’un article de blog.
Date à retenir : le 2 décembre 2027. Les autres échéances, du marquage des contenus générés au 2 décembre 2026 jusqu’à l’annexe I en 2028, sont dans notre calendrier de la réglementation de l’IA. Pour faire l’inventaire de vos usages et repérer ceux qui approchent du haut risque, notre offre IA au juste coût part de vos outils réels.
Questions fréquentes
Quand s’appliquent les règles de l’AI Act sur l’IA à haut risque ?
Le 2 décembre 2027 pour les usages de l’annexe III, dont le recrutement, la gestion du personnel, la note de crédit et l’assurance vie et santé, et le 2 août 2028 pour l’IA qui sert de composant de sécurité à un produit réglementé. Ces dates résultent du règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026.
Un logiciel de tri de CV est-il une IA à haut risque ?
En principe oui : analyser et filtrer des candidatures figure dans l’annexe III. L’exception de l’article 6 ne joue pas si le logiciel fait du profilage, ce qui est fréquent pour ce type d’outil. Les lignes directrices définitives de la Commission, encore en projet, préciseront les cas limites.
Que doit faire une entreprise qui utilise une IA à haut risque ?
À partir du 2 décembre 2027 : l’utiliser selon sa notice, confier le contrôle humain à des personnes formées, conserver les journaux au moins six mois, informer les représentants du personnel et les salariés concernés, et signaler les incidents graves. Le RGPD, lui, s’applique déjà.
Faut-il attendre les lignes directrices de la Commission pour se préparer ?
Non. Le projet du 19 mai 2026 donne déjà la méthode, et l’inventaire des outils qui touchent des personnes sert quel que soit le texte final. Les lignes directrices préciseront les cas limites ; elles ne changeront pas la liste de l’annexe III, fixée par le règlement.
Sources
- Article 113 consolidé (nouvel onglet)ai-act-service-desk.ec.europa.eu
- Le cabinet Osborne Clarke (nouvel onglet)osborneclarke.com
- Annexe III (nouvel onglet)ai-act-service-desk.ec.europa.eu
- Article 6 (nouvel onglet)ai-act-service-desk.ec.europa.eu
- Toujours présenté comme un projet (nouvel onglet)digital-strategy.ec.europa.eu
- Article 26 (nouvel onglet)ai-act-service-desk.ec.europa.eu
- Article 27 (nouvel onglet)ai-act-service-desk.ec.europa.eu
- Article 111 (nouvel onglet)ai-act-service-desk.ec.europa.eu
Jim · fondateur de Brain Plus AI
À lire aussi en ia d'entreprise
Guide pratique10 min
AI Act et RGPD : ce qu'une PME qui utilise l'IA doit faire
Une PME qui utilise ChatGPT ou un CRM doté d'IA a déjà des obligations. Ce guide fait le point en octobre 2026 : votre rôle au sens de l'AI Act, le calendrier révisé en juillet 2026, ce que demande le RGPD et les étapes pour vous mettre en règle.
Comprendre10 min
Calendrier AI Act et numérique : les échéances 2026 à 2028
AI Act, Data Act, Cyber Resilience Act, NIS2, facturation électronique et premières lois américaines : toutes les dates qui comptent pour une entreprise, de l'automne 2026 à août 2028, sur une seule page tenue à jour. Pour chaque échéance, qui est visé et ce qu'il faut préparer.
Prendre du recul8 min
Décision automatisée : l'IA peut-elle trancher seule ?
L'algorithme serait plus cohérent qu'un manager pressé, mais une décision qui touche une vie doit pouvoir être expliquée et contestée. Le droit penche nettement d'un côté : les deux positions, notre avis, et la règle à adopter sans attendre 2027.