AI Act et agents IA : ce qui change pour les entreprises

Depuis le 2 août 2026, l'AI Act, le règlement européen sur l'intelligence artificielle, s'applique pour l'essentiel de ses dispositions. Quelques jours plus tôt, toutefois, une modification a décalé la partie la plus exigeante : le haut risque glisse au 2 décembre 2027, et au 2 août 2028 pour les systèmes intégrés dans des produits.

Les entreprises qui utilisent des agents IA pour les données, les documents, les rapports ou le support sont presque toujours des déployeurs, pas des fournisseurs. Voici ce que le règlement leur demande aujourd'hui.

01Utiliser un agent IA, c'est être déployeur

L'AI Act distingue les rôles (art. 3). Le fournisseur développe ou fait développer un système d'IA et le met sur le marché ou le met en service sous son propre nom. Le déployeur utilise un système d'IA sous sa propre autorité, dans le cadre d'une activité professionnelle.

Si vous adoptez un agent fourni par un tiers, vous êtes donc en principe déployeur ; si vous développez un système et le mettez en service pour votre propre usage, sous votre nom, vous pouvez aussi être fournisseur. La Commission européenne a précisé ce qu'est un système d'IA dans ses lignes directrices sur la définition de février 2025.

02Le calendrier après l'omnibus numérique

Le règlement (UE) 2026/1744, dit omnibus numérique sur l'IA, est en vigueur depuis le 27 juillet 2026 et modifie le règlement (UE) 2024/1689, c'est-à-dire l'AI Act. Voici les dates qui comptent si vous utilisez des agents IA.

interdictions et maîtrise de l'IA

2 févr. 2025

application générale et obligations de transparence

2 août 2026

haut risque, usages listés à l'annexe III

2 déc. 2027

haut risque, systèmes dans les produits de l'annexe I

2 août 2028

Les obligations relatives aux modèles d'IA à usage général, en vigueur depuis le 2 août 2025, concernent les fournisseurs de ces modèles, pas ceux qui les utilisent au travers d'un agent. Les mêmes dates figurent sur la page de la Commission européenne.

03Maîtrise de l'IA : une obligation déjà en vigueur

L'article 4 vise les fournisseurs et les déployeurs : la maîtrise de l'IA est déjà obligatoire, depuis le 2 février 2025. L'omnibus l'a réécrit : il demande de prendre des mesures pour la favoriser chez votre personnel et chez les personnes qui utilisent les systèmes pour votre compte, sans devoir garantir un niveau spécifique à chacun.

Selon les questions-réponses de la Commission, les autorités nationales de surveillance du marché contrôlent le respect de ces règles depuis le 2 août 2026.

04Les pratiques interdites

Depuis le 2 février 2025, l'article 5 interdit certaines pratiques en matière d'IA, y compris à ceux qui se contentent de les utiliser. Parmi celles qui peuvent concerner une entreprise :

• Manipulation : techniques subliminales, manipulatrices ou trompeuses qui causent, ou sont susceptibles de causer, un préjudice important.
• Vulnérabilités : exploiter l'âge, le handicap ou la situation sociale ou économique des personnes.
• Note sociale : classer les personnes selon leur comportement ou leurs caractéristiques personnelles, avec un traitement défavorable injustifié.
• Émotions au travail : les inférer sur le lieu de travail et dans les établissements d'enseignement, sauf pour des raisons médicales ou de sécurité.
• Catégorisation biométrique : déduire des données biométriques, par exemple, les opinions politiques ou l'orientation sexuelle.

À partir du 2 décembre 2026, l'omnibus interdit aussi d'utiliser des systèmes d'IA pour générer du matériel intime non consenti de personnes identifiables et du matériel relatif à des abus sexuels sur enfants. Pour les pratiques interdites, les amendes atteignent 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu ; pour les PME, c'est le montant le plus bas (art. 99). Le détail figure dans les lignes directrices sur les pratiques interdites.

05Quand un agent devient à haut risque

Dans l'AI Act, le risque dépend de l'usage, pas de la technologie. L'annexe III énumère les usages à haut risque ; parmi ceux qui concernent le plus souvent les entreprises :

• Emploi : recrutement, filtrage des candidatures, décisions de promotion et de fin de contrat, attribution des tâches selon le comportement ou des traits personnels, suivi des performances.
• Crédit et assurance : solvabilité des personnes physiques, sauf détection des fraudes, et évaluation des risques et tarification en assurance-vie et assurance maladie.
• Autres domaines : biométrie, infrastructures critiques, éducation, services publics essentiels.

Saisie de données, lecture de documents, rapports et première réponse aux clients ne figurent pas, en soi, sur la liste. Un agent peut devenir à haut risque si son travail sert l'une de ces finalités : par exemple, trier des CV. Les lignes directrices de la Commission sur la classification sont encore à l'état de projet.

06Les obligations du déployeur pour le haut risque

À partir du 2 décembre 2027, si vous utilisez des systèmes à haut risque de l'annexe III, vous devez respecter l'article 26 :

• Notice d'utilisation : utiliser le système selon les indications du fournisseur, avec des mesures techniques et organisationnelles appropriées.
• Contrôle humain : le confier à des personnes disposant des compétences, de la formation et de l'autorité nécessaires.
• Surveillance : surveiller le fonctionnement et, si un risque apparaît, informer le fournisseur et les autorités et suspendre l'utilisation.
• Journaux : conserver au moins six mois ceux générés automatiquement, s'ils sont sous votre contrôle.
• Information : prévenir les travailleurs et leurs représentants avant l'utilisation sur le lieu de travail, ainsi que les personnes soumises à des décisions prises ou assistées par le système.

Les organismes de droit public, les entités privées fournissant des services publics et ceux qui utilisent des systèmes pour la solvabilité ou l'assurance-vie et maladie doivent aussi réaliser une analyse d'impact sur les droits fondamentaux (art. 27). Des règles transitoires s'appliquent aux systèmes déjà sur le marché avant le 2 décembre 2027 (art. 111).

07Transparence envers les clients et le public

Les obligations de l'article 50 n'ont pas été reportées : la transparence s'applique depuis le 2 août 2026.

• Interaction : le fournisseur conçoit les systèmes qui dialoguent avec les personnes de manière qu'elles sachent qu'elles interagissent avec un système d'IA, sauf si c'est évident.
• Marquage : le fournisseur de systèmes génératifs marque les contenus dans un format lisible par machine ; pour ceux mis sur le marché avant le 2 août 2026, l'échéance est le 2 décembre 2026.
• Hypertrucages et textes : le déployeur indique les hypertrucages et les textes générés publiés pour informer le public sur des questions d'intérêt public, sauf examen humain et responsabilité éditoriale.

Si un agent répond directement à vos clients, vérifiez avec le fournisseur comment cela est signalé ; si vous l'avez développé vous-même, l'obligation peut vous incomber. Le détail figure dans les lignes directrices sur les obligations de transparence.

08AI Act et RGPD

L'AI Act ne remplace pas le RGPD, qui continue de s'appliquer aux données personnelles traitées par les agents (art. 2, par. 7). Pour les systèmes à haut risque, le déployeur utilise les informations du fournisseur dans l'analyse d'impact relative à la protection des données (art. 26, par. 9), à laquelle l'analyse d'impact sur les droits fondamentaux peut renvoyer.

09Une liste de contrôle pour commencer

1. 01Faites l'inventaire de vos agents et outils d'IA : processus, données, fournisseurs.
2. 02Clarifiez votre rôle : pour chaque système, êtes-vous déployeur, fournisseur ou les deux ?
3. 03Classez les usages : aucune pratique interdite, puis annexe III et obligations de transparence.
4. 04Formez les personnes qui utilisent les agents, selon leur rôle.
5. 05Définissez le contrôle humain : qui valide quoi, avec quelle autorité.
6. 06Enregistrez les actions des agents et conservez les journaux.
7. 07Demandez la documentation aux fournisseurs : notice d'utilisation, limites connues, traitement des données.

Dans nos projets d'agents IA et d'automatisation, nous travaillons avec une validation humaine et la traçabilité de chaque action, des données traitées dans l'Union européenne et des agents dans des environnements isolés, avec des accès limités au strict nécessaire. Ces éléments aident à organiser le contrôle humain et l'enregistrement exigés pour le haut risque ; ils ne constituent pas une certification de conformité. Pour choisir par où commencer, lisez quels processus automatiser en premier.

Sources : règlement (UE) 2024/1689, règlement (UE) 2026/1744, Commission européenne, AI Act, maîtrise de l'IA, pratiques interdites, définition du système d'IA, systèmes à haut risque, obligations de transparence.