Règlement européen sur l’IA en 2026 : que devez-vous avoir mis en place ?

Le calendrier du règlement après l’omnibus numérique

Le règlement sur l’IA (règlement (UE) 2024/1689) est entré en vigueur le 1er août 2024 et s’applique par étapes. En 2026, ce calendrier a été modifié par l’omnibus numérique sur l’IA (règlement (UE) 2026/1744), entré en vigueur le 27 juillet 2026. Les dates clés désormais :

Reporter n’est pas supprimer. Le fond des exigences pour l’IA à haut risque reste largement identique ; vous disposez simplement de plus de temps.

Êtes-vous fournisseur ou déployeur ?

Le règlement fait peser l’essentiel des obligations sur le fournisseur : celui qui développe un système d’IA et le met sur le marché. La plupart des organisations sont des déployeurs : elles utilisent un système d’IA sous leur propre autorité, pour leur propre activité.

Attention : on peut devenir fournisseur sans s’en rendre compte. Par exemple en mettant en service un système d’IA sous son propre nom, ou en modifiant un système au point d’en faire une application à haut risque. Si vous développez vous-même des automatisations sur un modèle open-weight, faites évaluer votre rôle.

Que devez-vous avoir mis en place en tant que déployeur ?

1. Aucune pratique interdite. Par exemple la reconnaissance des émotions au travail ou dans l’enseignement, la notation sociale et les techniques manipulatrices. Vérifiez qu’aucun de vos outils ne le fait, même en fonction secondaire.
2. La maîtrise de l’IA. L’article 4 vous demande de favoriser la maîtrise de l’IA du personnel qui l’utilise. L’omnibus numérique a assoupli cette exigence, d’une obligation de résultat à une obligation d’accompagnement, mais elle demeure. Concrètement : formation, charte d’usage et consignes sur ce qui peut ou non être confié à un modèle.
3. La transparence. Si des clients ou des usagers échangent avec un chatbot, ils doivent savoir qu’il s’agit d’une IA. Si vous publiez des textes générés par IA sur des sujets d’intérêt public, ou des images réalistes, vous devez en principe le signaler.
4. Un registre des systèmes d’IA. Pas obligatoire pour tous les déployeurs, mais indispensable : quels systèmes utilisez-vous, pour quoi faire, avec quelles données et à quel niveau de risque ? Sans cette vue d’ensemble, impossible de répondre aux autres questions.
5. Anticiper le haut risque. Utilisez-vous l’IA pour le recrutement, l’évaluation du personnel, l’accès à l’éducation ou l’évaluation de solvabilité ? À partir de décembre 2027 s’appliqueront notamment contrôle humain, journalisation, conservation des journaux et information des personnes concernées. Les organismes publics et certains autres déployeurs devront aussi réaliser une analyse d’impact sur les droits fondamentaux.

Le règlement sur l’IA s’ajoute au RGPD, il ne le remplace pas

Beaucoup de questions sur l’IA au travail relèvent du RGPD, pas du règlement sur l’IA. Un salarié peut-il saisir des données clients dans un chatbot ? Avez-vous un accord de sous-traitance ? Faut-il une analyse d’impact ? Ces questions se posent dès aujourd’hui, quel que soit le niveau de risque attribué à l’application. Voir ChatGPT est-il conforme au RGPD ? et Shadow AI.

Ce qui aide : une IA dont vous pouvez rendre compte

Le fil rouge du règlement, c’est la redevabilité : savoir quelle IA tourne, qui l’utilise, et pouvoir montrer ce qui s’est passé. C’est difficile quand l’IA est dispersée entre comptes personnels et outils SaaS. Cela devient plus simple quand l’IA tourne à un seul endroit, que vous administrez vous-même.

Avec l’IA privée de werqly, les modèles tournent sur votre propre nœud, et werqly AI Control enregistre par prompt, modèle et automatisation qui a fait quoi et quand. Vous fixez la durée de conservation et exportez le journal d’audit vers votre SIEM. La provenance des modèles est transparente : uniquement des modèles open-weight comme Llama, Mistral et Qwen. Et vous formalisez la politique de visibilité sur l’usage, consultable par le DPO et le CSE.