← Retour aux Playbooks

Par Gianni Candido

Playbook 2 — Ce qui est déjà en vigueur

Le calendrier de conformité, pas toute la réglementation

L’AI Act est entré en vigueur par étapes ; la question utile n’est donc pas de savoir s’il s’applique, mais quelles parties sont déjà opposables. Lu comme un calendrier, il se sépare nettement entre ce qui est exigible maintenant et ce qui attend sur une piste.

Déjà en vigueur. L’interdiction des pratiques inacceptables et l’obligation de maîtrise de l’IA — faire en sorte que le personnel qui travaille avec l’IA en ait une compréhension suffisante — sont entrées en application en février 2025. Les obligations des fournisseurs de modèles d’IA à usage général, les grands modèles de fondation derrière de nombreux outils, sont entrées en vigueur en août 2025. Les obligations de transparence sont entrées en application en août 2026. Ce sont ces dernières que la plupart des PME rencontrent, parce qu’elles s’attachent aux systèmes à risque limité qu’une entreprise est le plus susceptible d’exploiter.

Reste à venir. Les principales obligations pour le risque élevé arrivent en décembre 2027, même si le Digital Omnibus adopté en mai 2026 a déjà déplacé cette date une fois. Les systèmes à risque élevé intégrés comme composants de sécurité dans des produits réglementés — dispositifs médicaux, machines, jouets — ont jusqu’à août 2028. Le filigrane pour les contenus générés par IA et deux nouvelles interdictions prennent effet en décembre 2026, quelle que soit la taille de l’entreprise. Traitez le calendrier comme actuel mais mouvant ; la Commission continue de publier des orientations pendant cette période.

Les sanctions sont la raison pour laquelle le calendrier compte. Les manquements suivent une échelle par paliers, et le palier le plus haut atteint 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé — le même ordre de grandeur que le plafond du RGPD. Ce chiffre s’applique aux manquements les plus graves, pas à une information omise, mais c’est le nombre qui doit empêcher une entreprise de traiter les obligations proches comme facultatives.

Deux choses à en faire.

D’abord, séparez votre liste par date. Tout ce qui relève d’un niveau à risque limité avec une obligation de transparence en vigueur va dans ce trimestre. Tout ce qui est à risque élevé va sur une piste délibérée avec une date avant décembre 2027, car la capacité des organismes notifiés pour les évaluations qui pourraient être requises devrait se tendre à l’approche de cette échéance. Commencer fin 2026 évite le goulot.

Ensuite, ne lisez pas le calendrier comme une permission d’attendre. Les parties déjà en vigueur incluent les obligations les moins coûteuses à remplir — une mention, un label, une courte séance de sensibilisation — et les plus coûteuses à ignorer, parce que ce sont celles qu’un client ou un régulateur peut pointer aujourd’hui.

Une vérification du calendrier :

Ceci est une information générale, pas un avis juridique.

Suite : le playbook 3 montre que ce que vous avez déjà écrit compte pour l’ISO 42001.