Calendrier AI Act : chaque échéance décryptée

Chronologie après le Digital Omnibus

Le règlement européen sur l'IA (Regulation (EU) 2024/1689) est entré en vigueur le 1er août 2024, mais ses obligations arrivent par vagues successives^[2]. Le calendrier AI Act initialement prévu a été réaménagé en juillet 2026 par le Digital Omnibus (règlement UE 2026/1744, en vigueur depuis le 27 juillet 2026), qui reporte les obligations « haut risque » sans en modifier le fond^[8].

La conséquence directe : les systèmes IA à haut risque listés à l'Annexe III, initialement soumis à conformité dès août 2026, disposent désormais d'un délai jusqu'au 2 décembre 2027. Les systèmes à haut risque relevant de l'Annexe I (composants de sécurité de produits déjà réglementés) voient leur échéance repoussée au 2 août 2028^[5][7].

Ce report ne concerne pas toutes les obligations. Les pratiques interdites, la littératie IA et les règles applicables aux modèles d'IA à usage général (GPAI) sont déjà en vigueur. Quant aux obligations de transparence de l'article 50, elles s'appliquent depuis le 2 août 2026^[2].

Calendrier AI Act après le Digital Omnibus

1er août 2024	Entrée en vigueur du règlement (EU) 2024/1689[2]
2 février 2025	Interdiction des pratiques à risque inacceptable (art. 5) et obligation de littératie IA (art. 4)[2]
2 août 2025	Obligations GPAI, gouvernance et sanctions[2]
2 août 2026	Obligations de transparence (art. 50)[2]
2 décembre 2027	Systèmes IA haut risque Annexe III (reporté par le Digital Omnibus)[5][8]
2 août 2028	Systèmes IA haut risque Annexe I (produits réglementés)[5][7]

Ce qui s'applique déjà

Deux paliers d'obligations sont déjà effectifs à la date de rédaction de cet article. Le premier, depuis le 2 février 2025, concerne l'interdiction des pratiques IA à risque inacceptable au sens de l'article 5 : notation sociale par les autorités publiques, exploitation de vulnérabilités, manipulation subliminale causant un préjudice, reconnaissance biométrique en temps réel dans l'espace public (sauf exceptions), reconnaissance émotionnelle sur le lieu de travail et dans l'éducation, catégorisation biométrique fondée sur des attributs sensibles, et constitution de bases de données faciales par collecte non ciblée^[1]. Les amendes pour violation de ces interdictions atteignent 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu^[2].

L'article 4, entré en vigueur à la même date, impose une obligation de littératie IA : le personnel impliqué dans l'exploitation de systèmes d'IA doit disposer de compétences suffisantes^[1]. Ce point est souvent sous-estimé. Pour une entreprise romande qui déploie un chatbot de service client, cela signifie que les agents utilisant l'outil doivent comprendre ses limites, ses biais potentiels et les conditions dans lesquelles une intervention humaine est requise.

Le second palier, effectif depuis le 2 août 2025, soumet les fournisseurs de modèles d'IA à usage général (GPAI) à des exigences de transparence et de documentation^[6]. Les fournisseurs de nouveaux modèles GPAI mis sur le marché après cette date doivent s'y conformer immédiatement. Les modèles déjà sur le marché avant cette date bénéficient d'un délai jusqu'au 2 août 2027^[2].

Août 2026 : transparence (article 50)

Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026, y compris pour des systèmes qui ne sont pas classés à haut risque^[2]. Concrètement, le fournisseur d'un système d'IA qui interagit avec une personne (un chatbot, par exemple) doit informer clairement l'utilisateur qu'il échange avec une IA. Les contenus générés ou modifiés par l'IA (deepfakes, textes de synthèse) doivent être étiquetés comme tels^[1][8].

Pour un responsable conformité confronté à l'AI Act, cette obligation de transparence est la première à vérifier dans le parc de systèmes IA de l'organisation. Elle touche un périmètre large : tout système conversationnel, tout générateur de contenu, tout système de reconnaissance émotionnelle (qui doit informer les personnes concernées).

Un piège fréquent : considérer que la transparence ne concerne que les chatbots grand public. L'article 50 s'applique aussi aux systèmes internes. Si votre outil RH utilise un modèle génératif pour rédiger des synthèses d'entretien, l'obligation d'étiquetage du contenu généré par IA s'applique.

Décembre 2027 : haut risque Annexe III

L'échéance la plus lourde en termes de charge de conformité est désormais fixée au 2 décembre 2027 pour les systèmes IA à haut risque relevant de l'Annexe III^[5][8]. Ces systèmes couvrent des domaines sensibles : identification biométrique, gestion d'infrastructures critiques, éducation et formation professionnelle, emploi et gestion des travailleurs, accès aux services (crédit, assurance, aide publique), forces de l'ordre, migration et contrôle aux frontières, administration de la justice^[1].

Les exigences du chapitre 2 du règlement s'appliqueront intégralement à ces systèmes. Elles comprennent un système de gestion des risques tout au long du cycle de vie (art. 9), une gouvernance des données d'entraînement, de validation et de test (art. 10), une documentation technique exhaustive (art. 11), la tenue de registres automatiques (art. 12), la supervision humaine (art. 14) et des exigences de précision, de robustesse et de cybersécurité (art. 15)^[1].

Exemple concret : une société genevoise qui développe un modèle de scoring de crédit pour des banques européennes opère un système IA classé haut risque au sens de l'Annexe III. Elle devra, avant décembre 2027, disposer d'un dossier de conformité complet incluant la gestion des risques, la gouvernance des données, la documentation technique, la traçabilité et la supervision humaine. C'est un chantier de 12 à 18 mois selon les observations de terrain.

Le report accordé par le Digital Omnibus ne change rien au fond des obligations. Il offre du temps supplémentaire, pas un allègement. Les organisations qui n'ont pas encore lancé leur inventaire des systèmes IA ont intérêt à le faire sans attendre.

Août 2028 : produits réglementés Annexe I

Les systèmes IA qui constituent des composants de sécurité de produits déjà couverts par la législation d'harmonisation européenne (dispositifs médicaux, machines, véhicules, etc.) relèvent de l'Annexe I. Leur échéance de conformité est fixée au 2 août 2028^[5][7].

Ces systèmes étaient initialement soumis à une date limite d'août 2027^[1]. Le Digital Omnibus leur accorde une année supplémentaire. Pour les fabricants de dispositifs médicaux intégrant de l'IA, par exemple, cela signifie que la conformité AI Act s'ajoute aux exigences sectorielles existantes (MDR, etc.) avec un calendrier désormais aligné sur 2028.

Niveaux de risque et obligations

L'AI Act repose sur une classification par niveau de risque. Chaque système IA doit être rattaché à l'un des quatre paliers, et c'est ce classement qui détermine les obligations applicables^[8]. Mal classifier un système revient à ignorer des obligations que l'on ne sait même pas avoir^[2].

Le risque inacceptable regroupe les pratiques purement interdites (art. 5). Le haut risque désigne les systèmes autorisés sous conditions strictes : évaluation de conformité, gestion des risques, documentation, supervision humaine^[1]. Le risque limité se traduit par des obligations de transparence (art. 50) : informer l'utilisateur qu'il interagit avec une IA, étiqueter les contenus générés^[3]. Le risque minimal ne génère aucune obligation contraignante, mais des codes de conduite volontaires sont encouragés^[1].

Le premier travail du responsable conformité est donc de constituer un inventaire exhaustif des systèmes IA de l'organisation et de les classifier. Pour chaque système, il faut documenter le raisonnement de classification. C'est ce que la norme ISO 42001 appelle la détermination du périmètre du SMIA et l'inventaire des systèmes IA.

Sanctions par palier

L'article 99 du règlement prévoit trois niveaux de sanctions^[2]. La violation des pratiques interdites est passible d'une amende pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. La plupart des autres infractions, y compris le non-respect des obligations haut risque, sont plafonnées à 15 millions d'euros ou 3 %. La fourniture d'informations inexactes ou trompeuses aux autorités est sanctionnée jusqu'à 7,5 millions d'euros ou 1 %. Pour les PME, l'amende retenue est le montant le plus bas entre la somme fixe et le pourcentage^[2].

Là où ISO 42001 couvre l'AI Act

La norme ISO/IEC 42001, publiée en décembre 2023, fournit un cadre de système de management qui recoupe directement plusieurs exigences du règlement. Selon ISACA, l'AI Act définit ce qui doit être atteint et ISO 42001 décrit comment gérer, documenter et améliorer en continu un programme de gouvernance IA^[6].

Le recouvrement est particulièrement net sur les points suivants, tels qu'identifiés dans les guides de mapping disponibles^[1][2] :

• Gestion des risques (art. 9 AI Act) : la clause 6.1 d'ISO 42001 exige une appréciation des risques liés à l'IA tout au long du cycle de vie, avec identification, analyse et traitement documentés.
• Gouvernance des données (art. 10) : les contrôles de l'Annexe A d'ISO 42001 couvrent la qualité, la représentativité et la préparation des données.
• Documentation technique (art. 11) : la clause 7.5 impose la gestion des informations documentées, et l'Annexe A prévoit des contrôles de documentation spécifiques aux systèmes IA.
• Traçabilité et journalisation (art. 12) : ISO 42001 exige la conservation de traces d'audit et de journaux d'exploitation.
• Supervision humaine (art. 14) : les contrôles de l'Annexe A incluent des exigences de supervision humaine des systèmes IA.
• Transparence (art. 13 et 50) : ISO 42001 prévoit des contrôles de transparence et de communication aux parties intéressées.

Pour approfondir le recouvrement entre les deux référentiels, consultez notre analyse détaillée de la couverture comparée.

Limites de la certification ISO 42001

Toutes les sources convergent sur un point : la certification ISO 42001 ne vaut pas conformité automatique à l'AI Act^[1][2][6]. C'est une preuve solide de gouvernance IA structurée, pas un blanc-seing réglementaire.

Plusieurs raisons expliquent cet écart. D'abord, ISO 42001 n'est pas (encore) un standard harmonisé au sens du règlement. Tant qu'elle ne figure pas dans la liste des normes harmonisées publiée au Journal officiel de l'UE, la certification ne déclenche pas la présomption de conformité prévue par le règlement^[2]. Selon le cabinet Konfirmity, en juillet 2026, ce statut n'était pas encore acquis^[2]. Nous invitons à vérifier l'évolution depuis cette date sur le site de la Commission européenne.

Ensuite, certaines obligations de l'AI Act n'ont pas d'équivalent direct dans la norme. L'évaluation de conformité (conformity assessment) propre aux systèmes à haut risque, l'enregistrement dans la base de données européenne, l'analyse d'impact sur les droits fondamentaux (FRIA) exigée des déployeurs, et les obligations spécifiques aux GPAI à risque systémique dépassent le périmètre d'ISO 42001^[1].

La bonne lecture est donc celle d'une approche en couches : ISO 42001 comme socle de gouvernance, complété par les exigences spécifiques du règlement qui ne sont pas couvertes par la norme^[1]. C'est la position défendue par ISACA^[6] et par les guides de mapping consultés.

Plan d'action pour le responsable conformité

Le report des échéances haut risque par le Digital Omnibus n'est pas une raison de ralentir^[5]. Les obligations déjà en vigueur (interdictions, littératie IA, GPAI, transparence) requièrent une action immédiate. Et la conformité haut risque, même repoussée à décembre 2027, représente un chantier qui ne s'improvise pas en quelques mois.

Quatre étapes pour structurer la démarche, de l'inventaire à la surveillance continue.

1Inventaire et classification de chaque système IA par niveau de risque^[8]

2Vérification de conformité immédiate (art. 5, art. 4, GPAI, art. 50)

3Construction du dossier haut risque : gestion des risques, données, documentation, supervision^[1]

4Surveillance post-marché et amélioration continue

L'étape 3 peut s'appuyer sur un SMIA conforme à ISO 42001 pour structurer les livrables^[6].

Inventaire et classification

Recensez tous les systèmes IA, qu'ils soient développés en interne ou acquis auprès de tiers. Déterminez votre rôle pour chacun : fournisseur, déployeur, importateur ou distributeur. Classifiez chaque système dans l'un des quatre niveaux de risque et documentez le raisonnement^[8]. Cette étape correspond à la détermination du périmètre du SMIA dans ISO 42001.

Vérification des obligations déjà en vigueur

Passez en revue vos systèmes au regard des pratiques interdites (art. 5). Vérifiez que votre programme de littératie IA (art. 4) est opérationnel. Si vous fournissez ou déployez un modèle GPAI, assurez-vous que les exigences de transparence et de documentation sont satisfaites^[6]. Contrôlez que vos systèmes à risque limité respectent les obligations de l'article 50 depuis août 2026^[2].

Préparation du dossier haut risque

Pour chaque système classé haut risque, constituez le dossier de conformité : système de gestion des risques, gouvernance des données, documentation technique conforme à l'Annexe IV, mécanismes de journalisation, dispositifs de supervision humaine, et mesures de robustesse et cybersécurité^[1]. Si vous êtes déployeur, ajoutez l'analyse d'impact sur les droits fondamentaux (FRIA)^[8].

Le rôle d'ISO 42001 dans cette démarche

ISO 42001 structure la gouvernance IA selon un cycle PDCA (planifier, réaliser, vérifier, agir) compatible avec d'autres systèmes de management comme ISO 27001^[6]. Pour les organisations qui disposent déjà d'un SMSI certifié ISO 27001, l'intégration d'ISO 42001 au système existant permet de mutualiser les processus d'audit, la gestion documentaire et les revues de direction^[6].

La norme ne remplace pas le travail juridique de qualification réglementaire, mais elle fournit l'ossature opérationnelle qui rend la conformité répétable et auditable. C'est la distinction que résume bien ISACA : l'AI Act est le cahier des charges, ISO 42001 est le système d'exploitation qui rend la conformité traçable^[6].

Piège fréquent : confondre report et allègement

Le Digital Omnibus a reporté les échéances, pas réduit les exigences^[8]. Les organisations qui interprètent le report comme un signal de relâchement risquent de se retrouver en décembre 2027 avec un dossier de conformité incomplet et des sanctions pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial^[2]. Le temps gagné est du temps de préparation, pas du temps libre.

Questions fréquentes

À lire ensuite