AI Act :
Pourquoi votre entreprise est probablement concernée

L’AI Act — règlement (UE) 2024/1689 du 13 juin 2024 — est le premier cadre européen consacré à l’intelligence artificielle. Il s’applique directement dans les 27 États membres, sans transposition, et vient d’être remanié par le règlement (UE) 2026/1744 du 8 juillet 2026 (« Digital Omnibus AI »), en vigueur depuis le 27 juillet 2026.
Une idée reçue veut que ce règlement ne concerne que les éditeurs d’IA. C’est faux. Dès qu’une entreprise utilise un outil d’IA dans son activité professionnelle, elle entre dans le champ du règlement. Et à chaque rôle correspondent des obligations distinctes.

Un cadre déjà applicable
Contrairement à ce que certains ont laissé entendre, l’AI Act n’a pas été reporté en bloc. Le règlement Omnibus a maintenu les grandes échéances, assoupli quelques obligations et ajouté deux interdictions nouvelles.

Le calendrier consolidé :

2 février 2025

Pratiques interdites (art. 5) et obligation de maîtrise de l’IA (art. 4). Cette date est déjà derrière nous.

2 août 2025

Obligations applicables aux modèles d’IA à usage général (GPT, Claude, Mistral, Gemini…).

2 août 2026

Date générale d’application, en particulier les obligations de transparence de l’article 50 (marquage des deepfakes, information des personnes exposées à des systèmes de reconnaissance émotionnelle).

2 décembre 2026

Deux nouvelles interdictions ajoutées par le règlement Omnibus (contenus intimes non consentis, matériel relatif à des abus sur enfants).

2 décembre 2027 et 2 août 2028

Obligations relatives aux systèmes à haut risque (respectivement Annexe III et Annexe I).

Les sanctions maximales atteignent 35 millions d’euros ou 7 % du chiffre d’affaires mondial.

Six rôles possibles, un piège central

L’AI Act ne raisonne pas par secteur ou par taille. Il raisonne par rôle :

Fournisseur :

Entité qui met sur le marché un système d’IA sous son nom, qu’elle l’ait développé ou fait développer.

Déployeur :

Entité qui utilise un système d’IA sous sa propre autorité dans un cadre professionnel. C’est la qualification la plus large.

Importateur et distributeur :

Rôles logistiques classiques appliqués à l’IA.

Nos expertises

Fabricant :

Intègre un système d’IA à haut risque dans un produit soumis à réglementation sectorielle (dispositif médical, machine, jouet…).

Fournisseur de modèle d'IA à usage général (GPAI) :

Régime spécifique pour les modèles fondation.

Une même entreprise peut cumuler plusieurs rôles. Surtout, elle peut basculer d’un rôle à l’autre sans s’en apercevoir.

C’est le point le plus sous-estimé du règlement. L’article 25 AI Act prévoit qu’un simple utilisateur (déployeur) devient fournisseur à part entière dans trois hypothèses :

Il commercialise sous son propre nom un système à haut risque acheté à un tiers.
Il modifie substantiellement un système à haut risque.
Il modifie la destination d’un système d’IA — y compris un modèle générique — de sorte qu’il bascule dans le haut risque.

Concrètement :

Une entreprise qui achète une licence d’un modèle générique et l’utilise pour construire un outil de tri de candidatures bascule fournisseur. Cette requalification est légale, pas contractuelle : elle est inopposable au régulateur par une clause du contrat conclu avec l’éditeur.

Ce qui doit être dans vos contrats

Trois blocs de clauses doivent être présents dans tout contrat de fourniture, licence ou intégration d’IA :

La qualification des parties. Le contrat doit expressément qualifier chaque partie au sens de l’AI Act (fournisseur, déployeur, importateur…) et identifier la classification du système (usage général, transparence, haut risque).

La répartition des obligations. Documentation technique, journaux (logs), notification des incidents, information des personnes concernées, marquage des contenus IA : le contrat doit préciser qui fait quoi.

Les garanties de conformité. Le fournisseur devrait garantir la conformité de son système à l’AI Act et indemniser le déployeur des sanctions résultant d’un défaut imputable au produit lui-même. Compte tenu du plafond des sanctions (35 M€ ou 7 % du CA mondial), l’articulation avec la clause générale de limitation de responsabilité doit être travaillée précisément.

Trois obligations à traiter sans attendre

Pour la plupart des entreprises françaises, la priorité n’est pas de préparer les échéances 2027-2028, mais de traiter les obligations déjà exigibles :

La maîtrise de l’IA (art. 4) : politique interne d’usage de l’IA, formation minimale des collaborateurs qui utilisent des outils IA.
Les pratiques interdites (art. 5) : audit de vos usages actuels pour vérifier qu’aucun ne relève des catégories interdites.
La transparence (art. 50) : marquage des contenus générés par IA publiés au public, information des personnes exposées à des systèmes de reconnaissance émotionnelle.

À retenir :

L’AI Act est déjà applicable pour plusieurs blocs d’obligations.
La qualification dépend du rôle de l’entreprise face à un système d’IA donné, pas de sa taille ni de son secteur.
Une entreprise utilisatrice peut basculer fournisseur sans le savoir (art. 25) — ce risque doit être encadré contractuellement.
Vos contrats de fourniture, licence ou intégration d’IA doivent intégrer des stipulations dédiées : qualification, répartition des obligations, garantie de conformité. La première étape de conformité est une cartographie des systèmes d’IA utilisés dans l’entreprise et de vos rôles pour chacun.

Vous utilisez des solutions d’IA dans votre activité ? Nous auditons vos usages et adaptons vos contrats de fourniture aux exigences de l’AI Act. Contactez-nous.

contactez le cabinet Horya Avocat