Le calendrier de l’AI Act européen évolue, mais il ne s’arrête pas. En 2026, certaines obligations s’imposent déjà aux entreprises, tandis que plusieurs exigences applicables aux systèmes à haut risque sont reportées afin de laisser du temps aux normes techniques et à l’organisation de la supervision.
Pour les indépendants, TPE et PME wallonnes, le bon réflexe n’est donc pas d’attendre une date définitive. Il faut comprendre ce qui est déjà obligatoire, identifier les échéances reportées et mettre en place dès maintenant une démarche de conformité proportionnée aux usages réels de l’entreprise.
Ce point de situation présente les principales étapes de l’AI Act 2026 et les actions à engager pour préparer la conformité AI Act 2027.
AI Act 2026 : les obligations déjà applicables
Le règlement européen ne devient pas contraignant en une seule fois. Son calendrier prévoit une entrée en vigueur progressive, avec des obligations qui concernent déjà les fournisseurs et les déployeurs de systèmes d’intelligence artificielle.
Les pratiques interdites et la maîtrise de l’IA
Depuis le 2 février 2025, les pratiques d’IA interdites ainsi que l’obligation de développer la maîtrise de l’IA du personnel s’appliquent. Une entreprise ne peut donc pas se limiter à attendre les règles relatives aux systèmes à haut risque pour commencer à encadrer ses usages.
Les personnes qui utilisent, supervisent ou prennent des décisions à partir d’un système d’IA doivent disposer d’un niveau de compréhension adapté à leurs missions. Cette exigence concerne notamment les équipes qui recourent à des outils génératifs pour rédiger, analyser, classer ou produire du contenu.
Dans la pratique, une organisation doit notamment :
- recenser les usages d’IA déjà présents dans l’entreprise ;
- écarter les pratiques susceptibles de relever des interdictions prévues par le règlement ;
- informer les collaborateurs des limites, risques et règles d’utilisation des outils ;
- définir les situations dans lesquelles une validation humaine est nécessaire.
Gouvernance et modèles d’IA à usage général
Depuis le 2 août 2025, les règles de gouvernance et les obligations concernant les modèles d’IA à usage général sont applicables. Elles visent principalement les fournisseurs de modèles, mais les entreprises utilisatrices doivent vérifier la répartition des responsabilités avec leurs prestataires.
Cette vérification passe par les contrats, les conditions d’utilisation, la documentation fournie et les garanties relatives à la sécurité ou à la confidentialité. Une PME qui intègre un outil d’IA dans son service reste responsable de ses propres usages, même si elle ne développe pas le modèle utilisé.
Ce que le Digital Omnibus 2026 reporte
Le règlement européen 2026/1744, présenté comme le Digital Omnibus sur l’IA, est entré en vigueur le 27 juillet 2026. Il reporte plusieurs exigences afin de tenir compte du calendrier des normes harmonisées et de la mise en place des autorités compétentes.
Ce report AI Act Omnibus 2026 ne constitue toutefois pas une suspension générale de la réglementation intelligence artificielle Europe. Les obligations déjà en vigueur restent applicables et les entreprises doivent préparer les échéances à venir.
Systèmes à haut risque de l’annexe III
Les obligations relatives aux systèmes d’IA à haut risque relevant de l’annexe III s’appliqueront à partir du 2 décembre 2027. Cette catégorie couvre notamment certains usages dans l’emploi, l’éducation, le crédit, les infrastructures critiques, la biométrie, la police et la gestion des frontières.
Une entreprise qui utilise l’IA pour trier des candidatures, évaluer des personnes, contribuer à une décision de crédit ou gérer un accès sensible doit donc examiner attentivement la qualification de son système. Le report donne du temps pour se préparer, mais il ne dispense pas de documenter les décisions prises aujourd’hui.
Produits réglementés de l’annexe I
Les systèmes à haut risque intégrés à des produits réglementés relevant de l’annexe I bénéficient d’un délai supplémentaire. Les règles concernées s’appliqueront à partir du 2 août 2028, notamment pour certains dispositifs médicaux, jouets, machines et ascenseurs soumis à la législation européenne de sécurité.
Ce calendrier concerne surtout les fabricants et fournisseurs de produits réglementés. Les entreprises qui conçoivent, intègrent ou distribuent de tels produits doivent néanmoins clarifier leur rôle dans la chaîne de conformité et conserver les informations transmises par leurs partenaires.
Les prochaines échéances à anticiper
Transparence des contenus générés par IA
L’obligation de transparence concernant certains contenus générés ou manipulés par IA est annoncée pour le 2 décembre 2026. Les entreprises qui produisent ou diffusent des contenus synthétiques doivent anticiper leur identification et leur étiquetage.
Cette préparation concerne notamment les visuels, vidéos, sons et textes générés ou modifiés par des outils d’IA. Il est utile de définir une règle interne simple : quels contenus doivent être signalés, qui vérifie l’information et dans quel support l’étiquette apparaît-elle ?
Le bac à sable réglementaire
Le bac à sable réglementaire national, initialement attendu en 2026, est reporté au 2 août 2027. Ce dispositif pourra accompagner certains projets innovants dans un cadre supervisé, mais son lancement ne doit pas devenir un prétexte pour différer les premières actions de conformité.
Une entreprise peut déjà cartographier ses systèmes, clarifier ses responsabilités et analyser ses fournisseurs sans attendre la mise en place de ce dispositif. Le bac à sable sera éventuellement un outil complémentaire, pas le point de départ de la gouvernance interne.
Ce que les entreprises doivent préparer en 2026
La conformité AI Act 2027 commence par une démarche concrète et progressive. L’objectif n’est pas de produire immédiatement une documentation disproportionnée, mais de savoir où l’IA est utilisée, à quelles fins et avec quels risques.
1. Établir un inventaire des usages
Commencez par recenser les outils utilisés par les équipes, y compris ceux souscrits directement par un collaborateur. L’inventaire doit couvrir les logiciels intégrant de l’IA, les assistants génératifs, les outils de recrutement, les solutions d’analyse et les fonctionnalités activées dans des applications existantes.
Pour chaque usage, notez au minimum le service concerné, la finalité, les données traitées, le fournisseur et le niveau d’intervention humaine. Cette photographie permet déjà de repérer les usages sensibles ou insuffisamment encadrés.
2. Qualifier les risques et les responsabilités
Il faut ensuite déterminer si l’entreprise est fournisseur, déployeur ou simple utilisatrice d’un système. Cette distinction influence les obligations, la documentation attendue et les relations à formaliser avec les partenaires technologiques.
La qualification doit également tenir compte de la finalité du système. Un assistant utilisé pour reformuler un courriel ne présente pas le même enjeu qu’un outil intervenant dans une décision de recrutement, d’évaluation ou d’accès à un service.
3. Encadrer les fournisseurs
Les contrats et conditions d’utilisation doivent être examinés avec attention. Vérifiez notamment les informations disponibles sur le traitement des données, la sécurité, la conservation des contenus, les mises à jour du modèle et les responsabilités de chaque partie.
Une entreprise ne doit pas supposer que le fournisseur prend en charge toute la conformité. L’usage concret du système, les instructions données au personnel et la supervision des résultats relèvent souvent de l’organisation qui déploie l’outil.
4. Former et documenter
La formation ne consiste pas uniquement à expliquer comment rédiger une bonne consigne. Elle doit aussi aborder les erreurs possibles, la confidentialité, les biais, la vérification des résultats et les situations dans lesquelles l’outil ne peut pas être utilisé sans contrôle.
Conservez une trace proportionnée des règles communiquées, des personnes concernées et des décisions prises. Cette documentation facilite le pilotage interne et permet de démontrer que la maîtrise de l’IA est réellement organisée.
Les erreurs à éviter malgré les reports
Le principal risque est de confondre report réglementaire et absence d’obligations. Une entreprise qui attend 2027 ou 2028 pour agir peut découvrir trop tard que ses outils, ses contrats et ses pratiques ne sont pas documentés.
- Attendre la publication de toutes les normes techniques avant de recenser les usages.
- Considérer qu’un outil acheté à un fournisseur est automatiquement conforme à tous les usages.
- Autoriser l’introduction de données confidentielles dans un outil sans règle interne.
- Former uniquement les équipes informatiques alors que les utilisateurs métiers prennent aussi des décisions.
- Ne pas conserver de trace des contrôles humains et des validations effectuées.
Pour une TPE ou une PME, une gouvernance efficace peut commencer par quelques règles claires, un inventaire partagé et un responsable identifié. Elle doit ensuite évoluer en fonction des outils utilisés et de la qualification des risques.
Une feuille de route réaliste pour la conformité AI Act
La première étape consiste à établir un état des lieux des outils et des processus concernés. La deuxième consiste à traiter en priorité les usages liés aux collaborateurs, aux clients, aux données sensibles et aux décisions qui peuvent avoir un impact significatif.
La feuille de route peut ensuite intégrer les actions suivantes :
- recenser et décrire les systèmes utilisés ou fournis ;
- classer les usages selon leur finalité et leur niveau de risque ;
- vérifier les obligations contractuelles des fournisseurs ;
- formaliser les règles d’utilisation et de supervision humaine ;
- former les personnes concernées ;
- préparer la transparence applicable aux contenus synthétiques ;
- réviser régulièrement l’inventaire lorsque de nouveaux outils sont introduits.
Cette approche permet de relier la réglementation aux réalités opérationnelles de l’entreprise. Elle évite également de traiter l’AI Act comme un projet purement juridique ou informatique, alors que sa mise en œuvre concerne les métiers, les achats, les ressources humaines et la direction.
Le report ne suspend pas l’AI Act
En 2026, l’AI Act impose déjà des exigences sur les pratiques interdites, la maîtrise de l’IA, la gouvernance et les modèles à usage général. Les reports vers 2027 et 2028 concernent certaines obligations à haut risque, mais ils offrent surtout un délai pour se préparer correctement.
Pour les entreprises wallonnes et belges, la priorité est de transformer ce délai en plan d’action : inventorier les usages, qualifier les risques, encadrer les fournisseurs, former les équipes et organiser la supervision humaine. Un premier audit des pratiques actuelles permet d’identifier les écarts avant que les échéances futures ne deviennent urgentes.