AI Act 2026 : ce qui s'applique déjà et ce qui est reporté

AI Act 2026 : la transparence est obligatoire, report pour les règles RH

Pour encadrer l'évolution vertigineuse de l'IA, l'UE introduit progressivement de nouvelles règles avec l'AI Act. L'obligation de transparence est entrée en vigueur le 2 août 2026. Dans le même temps, l'Europe a reporté les obligations les plus lourdes à 2027 et 2028. Que devez-vous faire aujourd'hui, et à quoi vaut-il mieux vous préparer dès maintenant ?

Le calendrier de l'AI Act : quoi et quand ?

En juillet 2026, l'Europe a remanié le calendrier de l'AI Act avec l'AI Omnibus. Entré en vigueur le 27 juillet 2026, celui-ci reporte de plus d'un an les obligations relatives à l'IA à haut risque. Le reste de la loi demeure inchangé.

• Depuis le 2 février 2025 : interdiction des applications d'IA inacceptables et obligation en matière de maîtrise de l'IA.
• Depuis le 2 août 2025 : règles pour les modèles d'IA à usage général, comme ceux qui font tourner ChatGPT ou Copilot.
• Depuis le 2 août 2026 : l'obligation de transparence de l'article 50 et le contrôle de la maîtrise de l'IA.
• À partir du 2 décembre 2026 : interdiction des applications « nudify » et des images d'abus sexuels d'enfants générées par IA.
• À partir du 2 décembre 2027 : obligations pour les systèmes autonomes à haut risque, dont les outils RH.
• À partir du 2 août 2028 : obligations pour l'IA intégrée dans des machines et d'autres produits réglementés.

La transparence désormais obligatoire

Depuis le 2 août 2026, votre organisation doit faire preuve de transparence sur son utilisation de l'IA. Les utilisateurs doivent savoir quand ils ont affaire à l'IA. Jusqu'il y a peu, c'était surtout une question de correction. Aujourd'hui, c’est une obligation légale. Toute utilisation dissimulée de l'IA expose à une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial.

Que devez-vous faire ?  

• Rendez votre utilisation de l'IA visible : signalez-la clairement et sans ambiguïté à vos utilisateurs si vous recourez par exemple à un chatbot ou à un assistant virtuel dans vos contacts avec la clientèle. Une phrase au début de la conversation suffit : « Vous discutez avec un assistant IA. »
• Étiquetez les contenus générés par IA : les images et les vidéos produites par IA qui semblent réelles sont juridiquement des deepfakes et doivent donc être étiquetées. Pour les textes, cette obligation ne s'applique qu'aux publications d'intérêt général sans relecture humaine. Vous n'avez donc pas à étiqueter votre blog, votre newsletter ou vos posts sur les réseaux sociaux qui passent par un contrôle humain.

Maîtrise de l'IA : soutenez vos collaborateurs

L'article 4 de l'AI Act s'applique depuis le 2 février 2025, mais son contrôle n'a débuté que le 2 août 2026. L'AI Omnibus a assoupli la formulation : vous devez soutenir la maîtrise de l'IA de vos collaborateurs, pas la garantir. L'obligation elle-même ne disparaît pas : pour la plupart des entreprises de la CP 200, il s'agit donc de l'obligation la plus importante du moment.

Que devez-vous faire ?  

• Cartographiez votre utilisation de l'IA : quels outils vos équipes utilisent-elles, y compris ceux qui ne sont pas officiels ? Sans inventaire, vous ne pouvez rien démontrer.
• Établissez une politique en matière d'IA : définissez ce qui est autorisé et ce qui ne l'est pas, avec quelles données, et qui est la personne de contact.
• Investissez dans la formation : veillez à ce que celles et ceux qui travaillent avec l'IA puissent évaluer les résultats et connaissent les limites de l'outil. Documentez ce que vous proposez et qui y a participé.

IA à haut risque dans les outils RH : report à décembre 2027

Les systèmes d'IA à haut risque (dmbre 2027 Les systèmes d'IA à haut risque (la deuxième catégorie la plus lourde) représentent, selon l'AI Act, un danger pour la santé, la sécurité ou les droits fondamentaux des personnes. L'AI Act range également dans cette catégorie les outils RH de recrutement, de sélection, d'évaluation et de planification du personnel. Pensez aux systèmes qui filtrent automatiquement les CV ou évaluent les candidats.

Ces obligations devaient entrer en vigueur le 2 août 2026, mais l'Omnibus les a reportées au 2 décembre 2027. Les développeurs disposent donc de plus de temps pour démontrer que leur système est sûr – et vous, pour vous préparer. Les systèmes que vous utilisiez déjà avant le 2 août 2026 conservent leur délai initial, jusqu'en décembre 2030.

Attention : un report n'est pas un blanc-seing. L'article 22 du RGPD (règlement général sur la protection des données) interdit déjà de prendre de manière entièrement automatisée des décisions ayant une incidence importante. Rejeter un candidat sans qu'aucun être humain n'intervienne est donc déjà impossible aujourd'hui.

Que devez-vous faire ?  

• Inventoriez vos logiciels d'IA : identifiez les outils de recrutement, d'évaluation et de planification qui intègrent un soutien de l'IA.
• Informez vos collaborateurs : informez votre conseil d'entreprise ou votre CPPT conformément à la CCT n° 39 sur l'introduction de nouvelles technologies, et prévenez les collaborateurs concernés avant de mettre le système en service.
• Exigez des garanties de vos fournisseurs : intégrez le respect de l'AI Act dans vos contrats de fournisseurs et demandez la documentation sur la manière dont le système lutte contre les biais. Les données d'entraînement relèvent de la responsabilité du développeur. Votre tâche consiste à veiller à ce que les données que vous introduisez dans le système soient pertinentes et représentatives.
• • Garantissez un contrôle humain : veillez à ne jamais automatiser entièrement vos décisions, comme le rejet d'un candidat. Formez vos collaborateurs à évaluer les résultats de l'IA de manière critique et à les corriger. 
• Réalisez une analyse d'impact : elle n'est obligatoire que pour les autorités publiques, les organisations assurant un service public et les fournisseurs de crédits ou d'assurances vie et maladie. Mais l'exercice peut aussi être utile pour votre entreprise. Identifiez ce que fait votre système d'IA, qui est concerné, quels risques cela implique et qui intervient en cas de problème.

L'IA dans les machines et les équipements : report à août 2028  

L'intelligence artificielle n'est pas toujours une application ou un outil distinct. L'IA est souvent dissimulée dans des équipements physiques comme des appareils médicaux, des robots de production, des ascenseurs ou des composants de sécurité. Ces applications d'IA étaient déjà soumises à des règles européennes strictes en matière de sécurité mécanique et physique. L'AI Act y ajoute désormais « une couche IA ».

À partir du 2 août 2028, l'IA devra être fiable et cybersécurisée de manière démontrable, et continuer à fonctionner correctement dans des situations imprévues. Cette échéance a également été déplacée : elle était initialement fixée au 2 août 2027.

Que devez-vous faire ?

• Demandez la déclaration UE de conformité : demandez à vos fournisseurs la documentation démontrant que l'IA présente dans vos équipements ou vos machines est sûre et satisfait à toutes les exigences européennes applicables en matière de sécurité, de santé et d'environnement. Pour « la couche IA » elle-même, cette documentation ne suivra que vers 2028 : demandez dès maintenant comment votre fournisseur s'y prépare.
• Actualisez vos protocoles de sécurité : adaptez les procédures de sécurité sur votre lieu de travail et formez les travailleurs qui utilisent des machines ou des robots pilotés par IA aux risques spécifiques.
• Surveillez les incidents : enregistrez les pannes ou les comportements inattendus des systèmes d'IA. Signalez immédiatement les incidents de sécurité graves à votre fournisseur et aux autorités compétentes.

Interrogez votre fournisseur sur la sandbox IA

D'ici le 2 août 2027, chaque État membre de l'UE doit mettre en place une sandbox réglementaire pour l'IA. Il s'agit d'un environnement de test contrôlé et sécurisé dans lequel les développeurs peuvent, sous la surveillance des régulateurs, développer et tester des applications d'IA sans craindre de lourdes amendes en cas d'erreur.

Demandez à vos fournisseurs s'ils testent leurs applications d'IA dans une sandbox. Ce n'est pas un label de qualité – la participation ne donne droit à aucun certificat de conformité – mais bien un signal fort que votre fournisseur prend les règles au sérieux.

Et qui contrôle tout cela en Belgique ?

Pour l'instant, personne. Au 2 août 2026, la Belgique n'avait toujours pas désigné d'autorité de surveillance. Le SPF Économie coordonne la mise en œuvre et a confirmé qu'il existe actuellement un vide juridique : celui qui souhaite faire valoir ses droits ne peut, pour le moment, que s'adresser aux tribunaux.

Mais ce n'est pas une raison pour attendre. Les obligations s'appliquent bel et bien et les amendes européennes restent d'actualité. Les premiers contrôles se feront sur la base de plaintes et viseront les plus grands acteurs. Celui qui aura d'ici là mis en ordre son inventaire, sa politique et ses formations sera bien mieux armé.