Depuis l'accord de mai 2026, une phrase revient dans toutes les directions : « c'est reporté à 2027, on a le temps ». C'est vrai pour une seule brique du règlement. Faux pour tout le reste, c'est-à-dire pour tout ce que votre entreprise fait déjà avec l'IA.
Soyons clairs sur ce qui a réellement bougé.
Le report du 2 décembre 2027 concerne uniquement les systèmes d'IA à haut risque de l'Annexe III : recrutement automatisé, scoring crédit, évaluation des collaborateurs, biométrie, éducation, justice. Les systèmes intégrés à des produits déjà réglementés (Annexe I : dispositifs médicaux, machines) suivent, eux, en août 2028.
Le problème ?
Pour la plupart des entreprises, ce sont justement les systèmes qu'elles n'ont pas encore déployés. Pendant qu'on regarde ce « haut risque » lointain reculer, tout un socle reste debout, applicable et sanctionnable dès maintenant.
L'analyse d'impact (AIPD) est obligatoire depuis 2018.
Elle ne dépend pas de l'AI Act, mais du RGPD. Dès qu'un système d'IA traite des données personnelles à risque (un outil de recrutement, un moteur de scoring, un profilage client) l'analyse d'impact préalable est due. Le report de l'AI Act n'y change absolument rien, et la CNIL contrôle déjà ce point.
Les IA interdites sont à bannir, pas à corriger un jour.
Notation sociale, manipulation comportementale, surveillance biométrique de masse : ces pratiques sont purement et simplement interdites depuis février 2025, assorties des sanctions les plus lourdes du règlement, jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial. Si l'un de vos systèmes tombe dans ces catégories, ce n'est pas un chantier de conformité, c'est un arrêt immédiat.
La transparence est le vrai point névralgique aujourd'hui.
C'est l'échéance qui touche le plus grand nombre d'entreprises, et elle n'a jamais été reportée : elle tombe le 2 août 2026. Concrètement, vos chatbots doivent se déclarer comme des IA, vos contenus générés (textes, images, deepfakes) doivent être étiquetés, et les personnes exposées à de la reconnaissance d'émotions doivent être informées.
Chatbots support, copilotes commerciaux, transcripteurs de réunion, outils GenAI en marketing : voilà où se joue votre conformité réelle. S'ajoute l'obligation de former vos équipes (littératie IA, Article 4).
Deux catégories seulement, celles en gris dans la frise : les systèmes intégrés à des produits réglementés (Annexe I, 2028) et les systèmes à haut risque des domaines RH, crédit ou justice (Annexe III, décembre 2027).
C'est aussi cette dernière catégorie qui déclenchera le marquage CE, un chantier lourd, à préparer sans attendre, mais qui n'est pas l'urgence de cette année.
La conformité ne démarre pas par le calendrier. Elle démarre par un inventaire.
La première étape est de cartographier vos IA : recenser tous les systèmes utilisés dans l'entreprise, y compris les outils du quotidien qu'on oublie systématiquement.
La deuxième est de créer et tenir à jour un registre de vos systèmes d'IA, c'est la pièce qui prouve votre démarche en cas de contrôle, exactement comme le registre des traitements pour le RGPD. (Un modèle de registre des systèmes d'IA est téléchargeable gratuitement sur notre site.)
Cet inventaire prend des semaines, parfois des mois. C'est lui, et non la date d'application, qui détermine si vous serez prêt. Un accompagnement structuré n'est pas un luxe : c'est ce qui évite de reconstruire dans l'urgence en 2027 ce qu'on pouvait poser sereinement dès 2026.
Commencez par répertorier vos IA et classifier vos systèmes dès maintenant, avec notre logiciel Guardian.
Lisez nos derniers articles et restez informés sur l'IA.
.png){kind=icon}