La mise en conformité à l’IA Act se heurte à une difficulté qui n’est pas juridique : l’ordre. La plupart des démarches commencent par ce qui est le plus visible (un comité, une charte, un audit) et laissent de côté ce qui est déjà exigible.
Ce que le marché vend le plus n’est pas encore exigible : gestion des risques, documentation technique, gouvernance des données relèvent des sections 2 et 3 du chapitre III, reportées au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I. Ce qui est exigible aujourd’hui est rarement traité : les pratiques interdites et la maîtrise de l’IA depuis le 2 février 2025, la transparence de l’article 50 depuis le 2 août 2026.
La séquence, dans l’ordre où elle se fait
Chaque étape suppose la précédente. C’est ce qui rend l’ordre plus important que la vitesse.
1. Recenser
Aucune disposition ne l’impose, mais aucune des obligations qui suivent ne peut être remplie sans savoir de quels systèmes on parle. Y compris les usages informels apparus dans les équipes, qui restent des usages sous l’autorité de l’organisation.
2. Qualifier son rôle, système par système
Fournisseur, déployeur, ou les deux sur des systèmes différents. Cette qualification commande l’intégralité des obligations, et elle bascule : modifier la destination d’un système, y compris à usage général, de telle manière qu’il devienne à haut risque fait passer un déployeur au statut de fournisseur, avec toutes les obligations de l’article 16.
→ Les rôles et le champ d’application
3. Vérifier l’article 5 : huit interdictions exigibles depuis février 2025, deux au 2 décembre 2026
Les pratiques interdites ne dépendent d’aucune qualification préalable, ne connaissent aucun régime d’antériorité, et portent le plafond de sanction le plus élevé du règlement : jusqu’à 35 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, 7 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 3). Une pratique interdite ne se découvre pas dans un cahier des charges, elle se découvre dans un usage.
Huit d’entre elles s’appliquent depuis le 2 février 2025. Deux interdictions nouvelles, introduites par le règlement (UE) 2026/1744, s’appliquent à compter du 2 décembre 2026 : le matériel intime non consenti, point b bis), et le matériel ou spectacle d’abus sexuels sur enfants, point b ter).
→ Les dix pratiques interdites
4. Documenter la maîtrise de l’IA, exigible depuis février 2025
C’est la seule obligation qui pèse sur tout fournisseur et tout déployeur, quel que soit le niveau de risque, sous réserve des exclusions de l’article 2 : usage personnel non professionnel, recherche scientifique, développement avant mise sur le marché, défense et sécurité nationale, et systèmes publiés sous licence libre hors haut risque, article 5 et article 50. Elle impose des mesures, pas un résultat, et le texte précise qu’elle « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». Attention à la datation : l’obligation existe depuis le 2 février 2025, mais la rédaction citée ici est celle en vigueur depuis le 27 juillet 2026, issue du règlement (UE) 2026/1744. La rédaction antérieure était plus exigeante.
→ Ce que l’article 4 exige vraiment
5. Traiter l’article 50, exigible depuis le 2 août 2026
C’est l’échéance déjà passée, et elle concerne un très grand nombre d’organisations. Attention à la répartition : informer l’utilisateur qu’il parle à une IA et marquer les contenus de synthèse pèsent sur le fournisseur du système ; indiquer qu’un hypertrucage ou qu’un texte d’intérêt public a été généré par une IA pèse sur le déployeur.
Une seule échéance courte reste devant certains : le 2 décembre 2026, pour les fournisseurs de systèmes générant des contenus de synthèse mis sur le marché avant le 2 août 2026.
→ Les obligations de transparence
6. Classer, et documenter le classement
Être cité à l’annexe III ne suffit pas à être à haut risque : le filtre de l’article 6, paragraphe 3 peut faire sortir un système. Mais s’en prévaloir n’est pas gratuit : il faut documenter cette évaluation avant la mise sur le marché ou la mise en service, et s’enregistrer (article 6, paragraphe 4, et article 49, paragraphe 2).
→ Mon système est-il à haut risque ?
7. Construire la trajectoire vers décembre 2027
Pour ce qui relève du haut risque seulement. Et en vérifiant d’abord si le régime d’antériorité de l’article 111, paragraphe 2 vous en exonère : un système mis sur le marché ou mis en service avant la date d’application du chapitre III n’y est soumis que s’il subit ensuite d’importantes modifications de sa conception. Cette exonération a une limite : les systèmes destinés à être utilisés par des autorités publiques doivent en tout état de cause être conformes au 2 août 2030.
Les trois outils que le marché vend, et ce qu’ils valent
Ils ont chacun leur page, parce qu’ils appellent chacun la même mise au point.
L’audit n’a aucun effet juridique propre : il vaut ce que valent son référentiel et son auteur. Il ne confère aucune présomption et ne remplace ni la documentation technique, ni la procédure d’évaluation de la conformité.
La gouvernance n’est imposée nulle part en général. Ce que le règlement exige est ciblé, et le mot qui compte n’est pas « comité » mais autorité : le contrôle humain doit être confié à des personnes qui ont le pouvoir de refuser.
La charte n’est mentionnée par aucun article. Elle peut servir de support à des obligations réelles, à condition d’être écrite pour elles ; un document qui récite le règlement n’en remplit aucune.
Et la certification ISO 42001, la plus vendue de toutes, ne rend pas conforme : au 24 août 2026, sa référence n’était pas publiée au Journal officiel, et elle n’a pas été écrite pour l’IA Act.
Ce qui décide vraiment de la charge de travail
Une seule question : avez-vous des systèmes à haut risque ?
Si la réponse est non (le cas le plus fréquent), votre conformité tient dans les étapes 1 à 5, elle est intégralement exigible aujourd’hui, et elle se compte en semaines.
Si la réponse est oui, vous avez en plus un chantier de plusieurs trimestres, dont l’échéance est le 2 décembre 2027, et dont l’article 111, paragraphe 2 peut vous exonérer pour le parc déjà installé, sauf s’il est destiné à des autorités publiques, auquel cas le butoir du 2 août 2030 s’applique.
Ce qui ne change rien dans les deux cas : l’absence de normes harmonisées ne suspend rien et ne dispense de rien. Elle déplace la charge de la démonstration sur votre documentation. Ceux qui attendent « que les normes sortent » attendent un allègement, pas une obligation.
→ Ce qui vaut preuve de conformité, et ce qui n’en vaut pas
Sur quoi ce silo s’appuie
Les articles 3, 4, 5, 6, 16, 25, 26, 50, 111 et 113 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744, le texte qui fait foi restant celui publié au Journal officiel. La séquence proposée est une lecture de l’ordre des obligations et de leurs dates d’exigibilité : c’est une grille de travail, pas une disposition du texte, et chaque étape renvoie à la page où le fondement est cité. L’état de la normalisation harmonisée est établi sur quatre sources officielles vérifiées le 24 août 2026.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 27 août 2026. L’absence de référence de norme harmonisée se vérifie sur le portail des normes harmonisées de la Commission, consulté le 27 août 2026.
Questions fréquentes
Par quoi commencer concrètement ?
Par le recensement, puis par les obligations déjà exigibles : les pratiques interdites de l’article 5 depuis le 2 février 2025, à l’exception des deux points ajoutés par l’omnibus qui s’appliquent le 2 décembre 2026 ; la maîtrise de l’IA de l’article 4 depuis la même date ; et les obligations de transparence de l’article 50 depuis le 2 août 2026. Un fournisseur de modèle d’IA à usage général porte en outre les obligations du chapitre V depuis le 2 août 2025. Le reste des obligations du haut risque relève des sections 2 et 3 du chapitre III, reportées au 2 décembre 2027 et au 2 août 2028.
Combien de temps faut-il pour se mettre en conformité ?
La question dépend entièrement de la qualification. Une organisation qui n’a aucun système à haut risque a devant elle un travail de quelques semaines, entièrement sur des obligations déjà exigibles. Une organisation qui en a porte un chantier de plusieurs trimestres (documentation technique, système de gestion des risques et gouvernance des données ne se construisent pas plus vite) mais dont l’échéance est fin 2027.
Faut-il attendre les normes harmonisées ?
Non. Au 24 août 2026, date de notre dernière vérification, aucune référence de norme harmonisée n’a été publiée au Journal officiel de l’Union européenne au titre du règlement (UE) 2024/1689, et leur absence ne suspend rien ni ne dispense de rien. Elle change seulement le coût de la démonstration : sans présomption, c’est votre documentation qui portera la charge.
Notre système n’est pas à haut risque : sommes-nous concernés ?
Oui, et c’est le cas le plus fréquent. La maîtrise de l’IA de l’article 4 pèse sur tout fournisseur et tout déployeur, quel que soit le niveau de risque. Les pratiques interdites de l’article 5 ne dépendent d’aucune qualification préalable. Et les obligations de transparence de l’article 50 ne dépendent d’aucune qualification de risque : elles visent des systèmes définis par ce qu’ils font, interagir avec des personnes ou générer des contenus de synthèse, et se cumulent avec les obligations du chapitre III lorsque le système est aussi à haut risque, l’article 50, paragraphe 6 précisant qu’elles n’ont pas d’incidence sur ces dernières.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.