AI Act : les six chiffres qu'un dirigeant doit suivre

Depuis le 2 février 2025, l'article 4 de l'AI Act demande à toute entreprise qui utilise l'IA de prendre des mesures pour favoriser la maîtrise de l'IA chez ceux qui s'en servent pour son compte.

Le texte ne prévoit pour cette obligation ni contrôle ni amende. Dans les faits, la question arrive par vos clients : une section IA dans le questionnaire fournisseur, une clause dans un appel d'offres, une réponse attendue dans la semaine.

Ce qui suit est ce qu'un dirigeant a réellement besoin de savoir : ce qui s'applique aujourd'hui, ce qui arrive en 2027, et les six chiffres qui tiennent dans une réunion de direction.

D'abord, dans quelle catégorie le règlement vous range

Deux rôles, deux jeux d'obligations. S'y tromper, c'est lire les mauvais articles.

Déployeur : vous utilisez un système d'IA sous votre autorité. Vous achetez un abonnement, vous branchez une IA dans un processus, vos équipes s'en servent. C'est le cas de la quasi-totalité des entreprises françaises.

Fournisseur : vous développez un système et vous le mettez sur le marché sous votre nom. Une PME peut le devenir sans l'avoir voulu, en apposant son nom sur un système à haut risque ou en le modifiant substantiellement.

De là vient l'erreur d'attribution la plus répandue. L'article 14, « contrôle humain », revient dans toutes les présentations. Il oblige le fournisseur, pas vous : il lui demande de concevoir un système qu'un humain puisse superviser. L'obligation du déployeur, c'est l'article 26 § 2  : confier la supervision à des personnes qui ont la compétence, la formation et l'autorité pour le faire.

Trois obligations s'appliquent déjà

« On a le temps » est la phrase la plus coûteuse du dossier.

• 2 février 2025 : article 5, les pratiques interdites. Notation sociale, manipulation, reconnaissance des émotions sur le lieu de travail.
• 2 février 2025 : article 4, la maîtrise de l'IA. Prendre des mesures pour la favoriser chez ceux qui utilisent l'IA pour votre compte.
• 2 août 2026 : article 50, la transparence. Le fournisseur d'un robot conversationnel doit le concevoir pour qu'on sache qu'on parle à une IA. L'entreprise utilisatrice, elle, doit signaler les hypertrucages, ainsi que les textes publiés pour informer le public sur une question d'intérêt public, sauf s'ils ont été relus par un humain et qu'une personne en assume la responsabilité éditoriale.
• 2 décembre 2027 : annexe III, le haut risque autonome : recrutement, gestion des travailleurs, scoring de crédit. C'est là que l'article 26 commence à produire ses effets.
• 2 août 2028 : annexe I, les systèmes intégrés à des produits déjà réglementés.

Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a changé deux choses qu'il faut connaître. Il a réécrit l'article 4 : on ne demande plus de prendre des mesures « pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA », mais des mesures « pour favoriser le développement de la maîtrise de l'IA », et le texte précise : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu. » Il a aussi reporté l'annexe III à décembre 2027. Toute note antérieure à cette date est périmée sur ces deux points.

Ce qui est sanctionné, et ce qui ne l'est pas

L'article 99 § 4 fixe un plafond de quinze millions d'euros ou 3 % du chiffre d'affaires mondial, le plus faible des deux étant retenu pour une PME. Il vise les articles 16, 22, 23, 24, 26, 31, 33, 34 et 50, ainsi que, depuis le règlement (UE) 2026/1744, l'article 25 §§ 2 et 4.

Pour un déployeur, deux comptent dans cette liste. Le 50, pour la transparence, depuis le 2 août 2026. Et le 26, qui ne s'applique qu'aux systèmes à haut risque : à partir du 2 décembre 2027 pour ceux de l'annexe III, du 2 août 2028 pour ceux de l'annexe I.

L'article 4 relève d'une autre logique : il demande de prendre des mesures, et s'applique depuis le 2 février 2025. Rien n'est exigé sous une forme précise, mais il est utile de pouvoir montrer les mesures prises : qui a été sensibilisé, ce qui a été décidé pour chaque outil, et quand cela a été revu.

Au-delà de ce règlement, l'exposition la plus proche est ailleurs :

• Le RGPD, qui s'applique déjà et qui est sanctionné, dès qu'une donnée personnelle entre dans un outil d'IA.
• L'article 26, à partir de décembre 2027, pour le recrutement et la gestion des travailleurs.
• Vos clients, qui n'attendent pas 2027  : le questionnaire fournisseur comporte désormais une section IA, et une clause dans un appel d'offres vous engage à la signature.

Les six chiffres à suivre

Un tableau de bord ne sert pas à prouver quelque chose à un contrôleur. Il sert à ce que la direction sache où elle en est, avant qu'on le lui demande.

• L'écart d'inventaire : les outils recensés, rapportés à ceux que les équipes utilisent vraiment. Seuil d'alerte : tout écart non expliqué.
• La couverture de sensibilisation : la part des personnes qui utilisent l'IA et ont été sensibilisées à son usage. Un repère de pilotage, que le règlement n'impose pas sous cette forme.
• Les décisions consignées : chaque outil recensé porte une décision écrite : autorisé, encadré, refusé. Un seul outil sans décision est une alerte.
• La fraîcheur des clauses : la date de la dernière relecture des conditions de chaque éditeur. Au-delà de douze mois, elle ne vaut plus grand-chose.
• L'information du personnel : pour un système à haut risque de l'annexe III utilisé sur le lieu de travail (recrutement, évaluation, gestion des salariés), l'employeur devra informer les représentants du personnel et les salariés concernés avant de le mettre en service ou de l'utiliser, au titre de l'article 26 § 7, à partir du 2 décembre 2027.
• La veille annexe III : quels usages pourraient basculer en haut risque le 2 décembre 2027 ?

Le premier est le seul qu'on ne peut pas estimer depuis un bureau de direction. La liste des outils que la direction croit connaître et celle que les équipes utilisent ne se recouvrent jamais entièrement. Et l'écart est précisément ce qui expose l'entreprise. Il se mesure en demandant aux équipes, de façon anonyme.

Qui vous posera la question

Dans les faits, elle ne vient presque jamais d'une autorité. Elle vient de quelqu'un avec qui vous êtes déjà en relation, et qui attend une réponse dans la semaine : un client qui envoie son questionnaire fournisseur, un assureur avant de couvrir un dommage, un salarié qui demande ce qui est autorisé, un auditeur ISO 42001 ou un expert-visiteur de la HAS.

Ce qui fait la différence ce jour-là n'est pas d'avoir « tout en règle ». C'est de pouvoir répondre en une demi-journée : voici les outils que nous utilisons, voici ce que nous avons décidé pour chacun, voici qui a été sensibilisé, voici quand nous l'avons revu.

Une entreprise qui sait répondre cela gagne l'appel d'offres contre une entreprise qui demande un délai.

Cinq questions pour votre prochain comité

À poser telles quelles, et à faire figurer au procès-verbal :

• Quels outils d'IA nos équipes utilisent-elles réellement, aujourd'hui ?
• Pour chacun : qu'avons-nous décidé, et où est-ce écrit ?
• Qui, parmi ceux qui s'en servent, a été sensibilisé ?
• Utilisons-nous un système à haut risque sur le lieu de travail ? Si oui, qui informera les représentants du personnel et les salariés concernés avant de l'utiliser ?
• Lequel de nos usages pourrait relever de l'annexe III le 2 décembre 2027 ?

Une case vide n'est pas un échec : c'est un point de départ, et elle dit que personne n'a encore pris le sujet en charge. Ce qui compte, c'est qu'elle ait un propriétaire et une date avant la fin de la réunion.

Le tableau de bord complet, avec le calendrier détaillé, la grille à imprimer et chaque affirmation rattachée à son article, sera publié sur ce site dans les prochains jours.