AI Act : checklist de conformité pour les développeurs d'apps (2026)

Mis à jour en octobre 2026 : ce guide tient compte de l'AI Act tel que modifié par l'omnibus numérique sur l'IA (règlement (UE) 2026/1744), en vigueur depuis le 27 juillet 2026. Il s'agit d'informations générales et non d'un conseil juridique.

L'AI Act, le règlement européen sur l'IA, n'est plus un problème pour plus tard. Ses interdictions de certaines pratiques d'IA s'appliquent depuis février 2025, les règles relatives aux modèles d'IA à usage général depuis août 2025 et, le 2 août 2026, les dispositions générales du règlement, y compris les obligations de transparence qui concernent la plupart des apps grand public, sont entrées en application.

Ce qui n'a pas commencé en août 2026, c'est la partie la plus lourde : les obligations applicables à l'IA à haut risque. En juillet 2026, l'UE a adopté l'omnibus numérique sur l'IA, qui a reporté ces échéances à des dates fixes ultérieures. Si vous avez lu un ancien guide annonçant une « application intégrale le 2 août 2026 », il est obsolète.

Les amendes sont bien réelles : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les pratiques interdites. À titre de comparaison, le plafond du RGPD est de 20 millions d'euros ou 4 %.

Comme le RGPD, l'AI Act s'applique au-delà de l'Europe. Il vise les fournisseurs qui mettent des systèmes d'IA sur le marché de l'UE ou les y mettent en service, les déployeurs établis dans l'UE, ainsi que les fournisseurs et déployeurs situés hors de l'UE dont les sorties produites par l'IA sont utilisées dans l'UE. Une entreprise de San Francisco qui sert des utilisateurs européens peut être tout aussi soumise au règlement qu'une entreprise berlinoise.

Chez iHux, nous développons des apps d'IA pour nous-mêmes et pour nos clients, nous suivons donc ce sujet de près. Voici ce qui compte pour les développeurs d'apps, en langage clair.

Le système de classification des risques : où se situe votre app ?

Vos obligations dépendent du niveau de risque de votre système d'IA. Bien le classer est l'étape la plus importante.

Risque inacceptable (interdit)

Ces pratiques sont interdites depuis le 2 février 2025. Elles comprennent :

• la notation sociale qui évalue les personnes en fonction de leur comportement ou de leurs caractéristiques personnelles ;
• les techniques manipulatrices ou trompeuses, et l'IA qui exploite des vulnérabilités liées à l'âge, au handicap ou à la situation économique ;
• le moissonnage non ciblé d'images faciales pour constituer des bases de données de reconnaissance faciale ;
• la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement (sauf exceptions limitées) ;
• la catégorisation biométrique qui déduit des caractéristiques sensibles comme l'origine ethnique, les opinions politiques ou l'orientation sexuelle ;
• la prédiction qu'une personne commettra une infraction pénale sur la seule base du profilage ;
• l'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, sauf exceptions strictes.

À partir du 2 décembre 2026, l'omnibus numérique ajoute une nouvelle interdiction : les systèmes d'IA qui génèrent des images intimes non consenties ou du matériel relatif à des abus sexuels sur enfants.

Si votre app fait l'une de ces choses, arrêtez. Il n'existe aucune voie de mise en conformité.

Haut risque (réglementation lourde)

L'IA à haut risque comprend les systèmes utilisés dans les infrastructures critiques, l'éducation (admissions, évaluation), l'emploi (recrutement, évaluation des performances), l'accès aux services essentiels (évaluation de la solvabilité, assurance), les activités répressives, la migration et l'administration de la justice, ainsi que l'IA qui constitue un composant de sécurité de produits réglementés comme les dispositifs médicaux ou les machines.

Les exigences comprennent la gestion des risques, la gouvernance des données, la documentation technique, la tenue de registres, la transparence envers les utilisateurs, le contrôle humain, l'exactitude et la cybersécurité, ainsi qu'une évaluation de la conformité avant la mise sur le marché du système.

Nouvelles échéances fixées par l'omnibus numérique :

• 2 décembre 2027 : systèmes à haut risque autonomes énumérés à l'annexe III (les domaines ci-dessus, comme l'emploi et l'évaluation de la solvabilité).
• 2 août 2028 : IA à haut risque intégrée dans des produits couverts par la législation de l'UE sur les produits (annexe I).

Ce sont des dates fixes. Elles ne dépendent pas de la date de publication des normes techniques.

Risque limité (obligations de transparence)

C'est là que se situent la plupart des apps grand public et professionnelles, et ces règles s'appliquent depuis le 2 août 2026. En vertu de l'article 50 :

• Les personnes doivent être informées qu'elles interagissent avec une IA (par exemple un chatbot), sauf si cela ressort clairement du contexte.
• Les fournisseurs d'IA générative doivent marquer les contenus de synthèse (texte, images, audio, vidéo) dans un format lisible par machine afin qu'ils puissent être détectés comme générés par l'IA. Les systèmes génératifs déjà mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour s'y conformer ; les systèmes plus récents ne bénéficient d'aucun délai de grâce.
• Les personnes doivent être informées lorsqu'un système de reconnaissance des émotions ou de catégorisation biométrique leur est appliqué.
• Les hypertrucages (deepfakes) doivent être signalés, et les textes générés par l'IA publiés dans le but d'informer le public sur des questions d'intérêt public doivent être étiquetés, sous réserve de certaines exceptions.

Les simples moteurs de recommandation ne sont pas couverts par l'article 50.

Risque minimal (aucune exigence supplémentaire)

Les filtres anti-spam, l'IA dans les jeux vidéo, les moteurs de recommandation basiques et les usages similaires à faible impact ne sont soumis à aucune exigence supplémentaire de l'AI Act au-delà du droit existant. Les codes de conduite volontaires sont encouragés.

Modèles d'IA à usage général : ce qui s'applique à vous

Si votre app repose sur un modèle d'IA à usage général d'un fournisseur tiers, la plupart des obligations au niveau du modèle incombent à ce fournisseur. Depuis août 2025, ces fournisseurs doivent fournir une documentation technique, respecter le droit d'auteur de l'UE et publier un résumé de leurs données d'entraînement. Les modèles présentant un risque systémique sont soumis à des obligations supplémentaires, comme les tests adversariaux et le signalement des incidents.

En tant que développeur d'apps utilisant ces modèles, vous devez utiliser le modèle dans le cadre de sa destination documentée, ajouter des garde-fous adaptés à votre cas d'usage, respecter les obligations de transparence ci-dessus et conserver une trace de votre évaluation des risques.

La checklist de conformité pratique pour les développeurs d'apps

Priorité 1 : classification et évaluation (à faire maintenant)

1. Auditez chaque composant d'IA de votre application : chaque endroit où l'IA prend ou influence des décisions, y compris les services d'IA tiers et les modèles embarqués.
2. Classez chaque composant par niveau de risque, en vous appuyant sur l'annexe III du règlement et sur les lignes directrices de la Commission. En cas de doute, classez au niveau supérieur.
3. Documentez votre raisonnement. Ce dossier est votre première ligne de défense en cas d'enquête réglementaire.

Priorité 2 : transparence (déjà obligatoire)

1. Indiquez aux utilisateurs lorsqu'ils interagissent avec un système d'IA, par exemple avec des mentions claires dans les conversations avec un chatbot.
2. Si vous proposez une fonctionnalité d'IA générative, rendez ses sorties détectables comme générées par l'IA grâce à un marquage lisible par machine, et pas seulement une mention visuelle. Pour les systèmes déjà sur le marché, l'échéance est le 2 décembre 2026.
3. Signalez les hypertrucages et les textes d'intérêt public générés par l'IA lorsque l'article 50 l'exige.
4. Par bonne pratique (et en partie en vertu du RGPD), expliquez dans votre politique de confidentialité quelles fonctionnalités d'IA vous utilisez et quelles données elles traitent.

Priorité 3 : préparer les obligations haut risque (avant décembre 2027)

Si un composant est à haut risque, mettez ce délai supplémentaire à profit :

1. Concevez le contrôle humain : les personnes doivent pouvoir comprendre, surveiller et annuler les décisions de l'IA.
2. Mettez en place une journalisation et des pistes d'audit qui enregistrent les entrées, les sorties et les facteurs de décision.
3. Testez en continu les biais et les effets discriminatoires, dans le cadre de votre pipeline de développement.
4. Définissez ce qu'est un incident grave pour votre produit et la manière dont vous le signaleriez.
5. Préparez l'évaluation de la conformité, qui peut prendre des mois.

Le régime des amendes : ce qui est réellement en jeu

Les sanctions sont fixées à l'article 99 et s'appliquent depuis le 2 août 2025 :

• Pratiques interdites (toute violation de l'article 5) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
• La plupart des autres obligations, y compris les obligations de transparence de l'article 50 et les obligations des fournisseurs, déployeurs, importateurs et distributeurs : jusqu'à 15 millions d'euros ou 3 %, le montant le plus élevé étant retenu.
• Fourniture d'informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités en réponse à une demande : jusqu'à 7,5 millions d'euros ou 1 %, le montant le plus élevé étant retenu.

Pour les PME et les jeunes pousses, chaque amende est plafonnée au montant le moins élevé des deux, et l'omnibus numérique étend un allègement similaire aux petites entreprises à moyenne capitalisation. Par ailleurs, depuis le 2 août 2026, la Commission européenne peut infliger aux fournisseurs de modèles d'IA à usage général des amendes allant jusqu'à 15 millions d'euros ou 3 %.

Au-delà de la conformité : l'opportunité stratégique

Les exigences de l'AI Act (transparence, contrôle humain, tests de biais, documentation) sont aussi les marques des produits d'IA bien conçus. Les utilisateurs font confiance aux apps transparentes sur leur IA. Les acheteurs en entreprise demandent des pistes d'audit et un contrôle humain. Les tests de biais détectent les problèmes de qualité avant qu'ils ne deviennent des problèmes d'image.

Les équipes qui abordent l'AI Act comme un cadre de qualité produit plutôt que comme une corvée juridique construisent de meilleurs produits et gagnent davantage la confiance, en particulier sur les marchés B2B où la conformité fait partie de la décision d'achat.

Le calendrier en un coup d'œil

• 1er août 2024 : entrée en vigueur de l'AI Act.
• 2 février 2025 : interdiction des pratiques interdites ; début des obligations de maîtrise de l'IA. (L'omnibus numérique a depuis assoupli cette obligation, qui consiste désormais à prendre des mesures favorisant la maîtrise de l'IA.)
• 2 août 2025 : application des règles relatives aux modèles d'IA à usage général ; application de la gouvernance et du régime de sanctions.
• 27 juillet 2026 : entrée en vigueur de l'omnibus numérique sur l'IA.
• 2 août 2026 : application générale, y compris les obligations de transparence de l'article 50 et le pouvoir de la Commission d'infliger des amendes aux fournisseurs de modèles d'IA à usage général.
• 2 décembre 2026 : échéance du marquage lisible par machine pour les systèmes génératifs déjà sur le marché ; interdiction de l'IA qui génère des images intimes non consenties ou du matériel relatif à des abus sexuels sur enfants.
• 2 décembre 2027 : obligations applicables aux systèmes à haut risque autonomes (annexe III).
• 2 août 2028 : obligations applicables à l'IA à haut risque dans les produits réglementés (annexe I).

Par où commencer

Lancez votre classification des risques dès cette semaine, assurez-vous que vos obligations de transparence sont couvertes (elles concernent presque tout le monde et sont déjà en vigueur) et, si vous soupçonnez un usage à haut risque, faites appel à un conseil juridique sans attendre. Décembre 2027 peut sembler lointain, mais le travail de mise en conformité prend des mois.

Chez iHux, nous intégrons les exigences de l'AI Act au processus de développement de chaque produit que nous livrons, car cela coûte bien moins cher que de mettre en conformité après le lancement. Si vous développez une app d'IA et cherchez un partenaire qui y pense dès le premier jour, parlons-en.