Dernière revue :
AI Act : quel calendrier révisé et quelles obligations pour le comité de direction ?
L'AI Act, en vigueur depuis le 1er août 2024, classe les systèmes d'IA par niveau de risque, et l'Omnibus numérique a reporté jusqu'à fin 2027 les obligations sur le haut risque. Ce report ne dispense pas un comité de direction de cartographier ses usages, de former (article 4), de tracer et de désigner un responsable.
L'AI Act est en vigueur depuis le 1er août 2024 et classe les systèmes d'IA selon le risque. L'Omnibus numérique a décalé une partie du calendrier et reporté jusqu'à fin 2027 les obligations sur le haut risque. Un comité de direction doit cartographier, former, tracer et désigner un responsable.
01La réponse en clair
L'AI Act est le règlement (UE) 2024/1689 du 13 juin 2024. Il est entré en vigueur le 1er août 2024, avec une application progressive. Son principe est simple. Plus un système d'IA peut nuire à des personnes, plus les obligations qui l'entourent sont strictes.
Le texte classe les systèmes d'IA par niveau de risque : inacceptable, haut risque, risque limité, risque minimal. C'est l'approche par les risques. Elle vaut pour les fournisseurs de systèmes d'IA comme pour les organisations qui les utilisent.
Le règlement a ensuite été modifié. Le règlement (UE) 2026/1744, appelé « Omnibus numérique sur l'IA », date du 8 juillet 2026. Il est entré en vigueur le 27 juillet 2026. Il a décalé une partie du calendrier de l'AI Act. Les obligations sur les systèmes à haut risque sont reportées jusqu'à fin 2027.
Pour un comité de direction, la lecture utile tient en trois points. Le texte reste en vigueur. Le calendrier a bougé pour le haut risque. Les gestes de gouvernance qui préparent une conformité future ne dépendent pas de ce report.
Un report de calendrier n'est pas une dispense. Il donne du temps à ceux qui s'en servent pour cartographier, former et décider. Il coûte cher à ceux qui y lisent un signal d'attendre.
02Pourquoi c'est un sujet de comité de direction
L'AI Act ne s'adresse pas seulement aux fournisseurs d'IA. Il concerne aussi les organisations qui utilisent des systèmes d'IA dans leur activité. Un dirigeant n'a pas à connaître chaque article. Il doit savoir quels usages de l'IA existent dans son entreprise, qui en répond, et quelle preuve il peut produire si on le lui demande.
Sur ce point, l'écart entre le texte et la pratique est documenté. Le baromètre ESSCA et Forvis Mazars, publié le 1er octobre 2026 auprès de 826 répondants (professionnels IT et digital en France, au Royaume-Uni, en Allemagne et en Espagne), donne trois repères :
- deux tiers des organisations constatent un usage d'IA non encadré, ce que l'on appelle le shadow AI
- 44 % seulement ont formalisé des règles éthiques sur l'IA
- 28 % des répondants estiment que leur entreprise connaît bien l'AI Act
Ces trois repères décrivent un décalage. Les usages sont là. Les règles écrites et la connaissance du texte restent minoritaires. C'est précisément le terrain du comité de direction, parce que ni l'informatique, ni le juridique, ni les métiers ne peuvent arbitrer seuls.
Un règlement qui impose de former, de contrôler et de tracer suppose que l'on sache d'abord ce qui est utilisé. Sans inventaire, un comité de direction ne peut ni arbitrer, ni répondre à la question d'un régulateur, d'un client ou d'un assureur.
03Ce que le texte demande, en trois repères
Ces trois repères suffisent pour piloter. Ils viennent du règlement lui-même et de la page de présentation de la Commission européenne.
L'approche par les risques
Le règlement range les systèmes d'IA en quatre niveaux. Le risque inacceptable correspond à des pratiques interdites. Le haut risque porte les obligations les plus lourdes. Le risque limité relève surtout de la transparence. Le risque minimal n'appelle pas d'exigence propre. Votre première question est donc : dans quel niveau tombe chacun de nos usages ?
La littératie IA (article 4)
L'article 4 pose une obligation de littératie IA. Il s'agit de former les personnes qui utilisent l'IA, avec un niveau de compréhension adapté à leur rôle. L'obligation de littératie IA ne vise pas que les spécialistes. Elle concerne le dirigeant qui valide un usage comme le collaborateur qui rédige avec un assistant.
Le contrôle humain (article 14)
L'article 14 traite du contrôle humain des systèmes à haut risque. L'idée est qu'un système à haut risque doit pouvoir être supervisé par des personnes. Pour un dirigeant, la question est concrète. Qui contrôle, avec quelle compétence, et avec quel pouvoir de corriger ou d'arrêter ?
Le texte distingue aussi les rôles, notamment celui qui fournit un système et celui qui l'utilise. La portée exacte de chaque obligation dépend de votre rôle et du niveau de risque du système. Elle se vérifie dans le texte, avec votre conseil juridique. Certains usages en recrutement ou en évaluation du personnel, par exemple, peuvent relever du haut risque. Cela se qualifie au cas par cas.
04Le calendrier de l'AI Act après l'Omnibus numérique
Le calendrier de l'AI Act se lit en trois repères datés, tous issus des textes officiels.
- 1er août 2024 : entrée en vigueur de l'AI Act, avec une application progressive.
- 8 juillet 2026 : date du règlement (UE) 2026/1744, l'Omnibus numérique sur l'IA, qui modifie le règlement 2024/1689.
- 27 juillet 2026 : entrée en vigueur de l'Omnibus. Il a décalé une partie du calendrier. Les obligations sur les systèmes à haut risque sont reportées jusqu'à fin 2027.
Le point à retenir tient dans une distinction. Le report porte sur une partie des obligations, celles des systèmes à haut risque. Il ne dit rien contre l'utilité de préparer dès maintenant l'inventaire, la formation et la traçabilité.
Nous ne donnons pas ici d'autres dates. Un texte à application progressive vient d'être modifié, et une date erronée dans un plan de conformité fait plus de dégâts qu'une date absente. Pour toute échéance précise, reportez-vous au règlement 2024/1689 sur EUR-Lex, à l'Omnibus 2026/1744 et à la page de la Commission européenne.
05Quatre réflexes pour un comité de direction
Les obligations de l'AI Act pèsent d'abord sur l'organisation, selon son rôle. Pour un comité de direction, elles se traduisent en quatre réflexes. Ils sont utiles quel que soit le calendrier.
Cartographier ses systèmes d'IA
Dressez l'inventaire de tout ce qui relève de l'IA dans l'entreprise. Incluez les outils achetés, les fonctions d'IA intégrées à des logiciels existants et les usages individuels que personne n'a déclarés. Pour chaque usage, notez la finalité, les données concernées, le fournisseur et un responsable. Classez ensuite chaque usage dans l'un des quatre niveaux de risque. Un simple tableau suffit pour démarrer.
Former, au sens de l'article 4
Prévoyez un parcours par rôle. Le comité de direction a besoin des enjeux, des responsabilités et des bonnes questions. Les managers ont besoin des règles d'usage et de la manière de vérifier une production. Les utilisateurs ont besoin de savoir ce qu'ils peuvent saisir dans un outil, et comment relire. Conservez la trace de qui a été formé, sur quoi, et quand. Le glossaire IA détaille la littératie IA.
Tracer
Gardez une trace de ce qui est autorisé, par qui et pourquoi. Tenez un registre des systèmes, un journal des décisions d'autorisation et, pour les usages sensibles, la preuve du contrôle humain : qui a relu, qui a validé, ce qui a été corrigé. Cette traçabilité sert l'article 14 pour le haut risque. Elle sert aussi à répondre à la question d'un client ou d'un régulateur.
Désigner un responsable
Nommez une personne qui répond du sujet devant le comité de direction. Ce n'est pas forcément un nouveau poste. C'est un nom, un mandat et une date de revue. Cette personne tient l'inventaire à jour, suit les évolutions du texte, dont les reports, et rend compte à intervalles fixes.
Ces quatre réflexes ne demandent pas un grand programme. Ils échouent quand le sujet reste une tâche déléguée sans mandat, ou quand il attend la dernière échéance pour être ouvert.
06Les erreurs fréquentes
Lire le report comme une pause générale
Le report porte sur une partie du calendrier, celle des obligations sur le haut risque. Il ne suspend pas le RGPD, qui est un autre texte. La CNIL publie des recommandations sur un usage de l'IA conforme au RGPD, dans son dossier Intelligence artificielle. Il ne suspend pas non plus les risques de fuite de données, de réputation ou de contrat.
Confier le sujet à une seule fonction
L'AI Act traverse les ressources humaines, la finance, la relation client et l'informatique. Si le sujet est confié à une seule fonction, les autres continuent d'adopter des outils sans le savoir. Le comité de direction est le seul endroit où ces arbitrages se rejoignent.
Confondre formation et information ponctuelle
Une conférence unique ne démontre pas une montée en compétence adaptée à chaque rôle. L'article 4 parle de former les personnes qui utilisent l'IA. Un parcours par rôle, avec une trace écrite, répond mieux à cette exigence qu'un message général envoyé à toute l'entreprise.
Ne regarder que les outils achetés
L'inventaire doit couvrir ce qui n'est pas au catalogue : fonctions d'IA ajoutées par un éditeur à un logiciel existant, comptes personnels, outils gratuits. Le baromètre ESSCA et Forvis Mazars constate que deux tiers des organisations observent un usage non encadré. Ce que vous ne voyez pas ne figure pas dans la cartographie.
07Ce que fait WYP, et ce qu'il ne fait pas
WYP.agency est un cabinet de conseil en stratégie pour dirigeants, comités de direction et conseils d'administration. Sur l'AI Act, nous préparons la décision. Nous croisons plusieurs modèles d'IA (Claude, ChatGPT, Gemini, Perplexity, Mistral, Grok), nous recoupons leurs réponses, nous repérons les angles morts et les contradictions, puis une personne relit et signe. L'IA aiguise la décision, elle ne la prend pas.
Ce que nous faisons. Le Cadrage IA est un forfait à périmètre fixe, livré en dix jours ouvrés. Il comprend un audit des usages, une politique d'IA écrite, un outil validé et une restitution au comité de direction. L'audit des usages alimente directement la cartographie. La politique écrite peut fixer les règles de formation, de traçabilité et de responsabilité.
Ce que nous ne faisons pas. Nous ne sommes pas un cabinet d'avocats et nous ne rendons pas d'avis juridique. Nous ne certifions pas la conformité d'un système. Nous ne sommes ni éditeur d'outil, ni société de développement, ni agence marketing. Pour qualifier juridiquement un système à haut risque, vous avez besoin de votre conseil juridique.
08Par où commencer
Commencez par savoir où vous en êtes. Le diagnostic de maturité IA est gratuit et court. Il donne une première lecture de la maturité de votre organisation. Consultez ensuite le glossaire IA pour les fiches sur l'AI Act, la littératie IA, le RGPD et l'IA, et les garde-fous. Enfin, si le sujet doit être tranché en comité de direction, le Cadrage IA en fait un livrable.
Pour les textes de référence, la CNIL publie son dossier Intelligence artificielle et la Commission européenne sa page de présentation du cadre réglementaire.
Questions fréquentes
Quelles sont les obligations d'un dirigeant au titre de l'AI Act ?
Elles pèsent d'abord sur l'organisation, selon son rôle (fournisseur ou utilisateur d'un système) et selon le niveau de risque. Retenez trois repères : l'approche par les risques, l'obligation de littératie IA de l'article 4 et le contrôle humain de l'article 14 pour le haut risque. Le comité de direction arbitre les moyens : cartographier, former, tracer, désigner un responsable.
Que change l'Omnibus numérique sur l'IA ?
Le règlement (UE) 2026/1744 du 8 juillet 2026 modifie le règlement 2024/1689. Il est entré en vigueur le 27 juillet 2026 et a décalé une partie du calendrier. Les obligations sur les systèmes à haut risque sont reportées jusqu'à fin 2027.
Faut-il encore former ses équipes si le calendrier a été reporté ?
Oui, c'est le choix prudent. L'article 4 pose l'obligation de littératie IA, c'est-à-dire de former les personnes qui utilisent l'IA. Le report décrit par l'Omnibus porte sur les obligations des systèmes à haut risque. Vérifiez la portée exacte dans le texte avec votre conseil juridique. Former reste en tout cas le premier levier contre l'usage non encadré.
Quels sont les niveaux de risque de l'AI Act ?
Quatre niveaux : risque inacceptable, haut risque, risque limité et risque minimal. Plus le risque est élevé, plus les obligations sont strictes. La page de présentation de la Commission européenne décrit cette approche par les risques.
Mon entreprise est-elle concernée si elle ne fait qu'utiliser des outils d'IA du marché ?
Probablement, si vous utilisez de l'IA dans l'Union européenne. Le texte vise aussi les organisations qui utilisent des systèmes d'IA, et l'article 4 concerne les personnes qui utilisent l'IA. Votre exposition dépend de l'usage et du niveau de risque. Commencez par la cartographie.
Les entreprises sont-elles prêtes pour l'AI Act ?
Le baromètre ESSCA et Forvis Mazars publié le 1er octobre 2026 (826 répondants) indique que 28 % des répondants estiment que leur entreprise connaît bien l'AI Act, et que 44 % seulement ont formalisé des règles éthiques sur l'IA.
À voir aussi
Pour aller plus loin
AI Act, Commission européenne, page de présentation officielle
Sources
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 (AI Act). https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- Règlement (UE) 2026/1744 « Omnibus numérique sur l'IA » du 8 juillet 2026, modifiant le règlement 2024/1689. https://eur-lex.europa.eu/eli/reg/2026/1744/oj
- AI Act, Commission européenne, page de présentation officielle. https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- ESSCA et Forvis Mazars, 2e Baromètre IA : Entreprise et Durabilité, 826 répondants (professionnels IT et digital en France, Royaume-Uni, Allemagne, Espagne), publié le 1er octobre 2026. https://www.essca-knowledge.fr/tous-les-articles/ia-developpement-durable/barometre-ia-durabilite-2026-entreprises-europeennes/
- CNIL, dossier thématique « Intelligence artificielle » (recommandations IA et RGPD). https://www.cnil.fr/fr/intelligence-artificielle