Sprint IA AI Act : trois heures pour savoir ce que le règlement européen exige de vous

Formation

Le règlement européen sur l'IA dans sa version de juillet 2026, appliqué aux usages de votre entreprise

Durée

Une séance de trois heures, en cinq séquences, dont près d'une heure d'atelier sur vos usages

Public

DPO, juristes, responsables conformité, DRH, DSI, dirigeants et managers qui valident des outils

Tarif

À partir de 1 980 € HT la séance, prix identique pour un participant seul et pour un groupe complet de douze

Financement

Séance éligible à une demande auprès de votre OPCO, Masteria étant certifié Qualiopi ; la réponse dépend des critères de la branche

Prérequis

Aucune formation juridique ; envoyer avant la séance la liste des outils d'IA utilisés dans l'entreprise, même incomplète

L'Omnibus de juillet 2026 a déplacé les échéances du haut risque

Signé le 8 juillet 2026, paru au Journal officiel le 24, l'Omnibus produit ses effets depuis le 27 juillet. Il retouche le calendrier du texte de 2024 sans en changer la logique. Pour les usages listés à l'annexe III, comme le recrutement, la gestion des carrières ou l'éducation, les devoirs propres au haut risque attendront le 2 décembre 2027. Ceux qui visent l'IA logée dans des produits déjà encadrés par le droit européen (annexe I : machines, dispositifs médicaux, jouets) prennent effet le 2 août 2028.

Plusieurs dates restent en place. Les pratiques interdites et la première version de l'article 4 jouent depuis début février 2025, les devoirs des éditeurs de modèles d'IA à usage général (OpenAI, Google, Anthropic, Mistral AI) depuis début août 2025. L'Omnibus ajoute en revanche une interdiction : les systèmes conçus pour fabriquer des images intimes de personnes sans leur consentement, ou des contenus pédocriminels, seront prohibés à partir du 2 décembre 2026.

Le premier réflexe enseigné pendant le Sprint consiste à dater toute source avant de la croire. Une note interne, une présentation de fournisseur ou un article qui situe le haut risque à l'été 2026 a été rédigé avant l'Omnibus et doit être relu avec le nouveau calendrier sous les yeux.

Votre entreprise est presque toujours déployeur, parfois fournisseur

Le règlement distingue plusieurs rôles. Le fournisseur conçoit un système d'IA, seul ou par un sous-traitant, puis le commercialise sous son nom. Le déployeur utilise un système sous sa propre autorité, dans le cadre d'une activité professionnelle. Une PME qui équipe ses salariés de Microsoft Copilot ou de ChatGPT Business est déployeur de ces outils ; Microsoft et OpenAI en sont les fournisseurs.

La frontière bouge quand l'entreprise construit elle-même. Un assistant de réponse aux clients bâti sur l'interface de programmation (API) d'un modèle, puis ouvert au public sur votre site, fait de vous le fournisseur de ce système, avec les obligations qui vont avec. Pendant le Sprint, chaque participant classe ses outils dans l'une ou l'autre colonne, et les cas douteux sont notés pour un examen juridique.

Le niveau de risque dépend de l'usage, rarement de l'outil

Le même assistant peut servir un usage sans enjeu et un usage sensible. Rédiger un compte rendu, reformuler une lettre ou condenser une étude relève du risque minimal, sans devoir particulier en dehors de l'article 4. Faire trier des candidatures, noter la performance d'un salarié ou décider de l'accès à une formation touche en revanche aux domaines de l'annexe III, que le régime du haut risque encadrera fin 2027.

En attendant, le RGPD, le texte européen de 2016 sur les données personnelles, encadre déjà ces usages, puisqu'ils portent sur des personnes. Le Sprint mène donc les deux lectures de front : pour chaque usage, son niveau dans l'échelle de risque de l'AI Act, puis les données personnelles qui y transitent. La plupart des entreprises découvrent pendant l'exercice qu'un usage sensible a déjà été testé par un service, souvent sur un compte personnel.

L'article 4 demande des mesures, sans niveau individuel ni certificat

Récrit par l'Omnibus, l'article 4 demande désormais aux fournisseurs comme aux déployeurs d'agir, par des mesures concrètes, pour que leurs salariés et les personnes qui emploient les systèmes en leur nom progressent dans la maîtrise de l'IA. La version initiale, applicable dès février 2025, parlait d'un niveau suffisant de maîtrise ; la nouvelle décrit une obligation de moyens, valable pour toute entreprise utilisatrice, que ses outils présentent un risque élevé ou minime.

Le texte ne prévoit ni examen ni certificat. D'après les questions-réponses diffusées par la Commission européenne, il suffit de consigner les actions menées dans un registre interne. La Commission et les États membres doivent soutenir ces efforts, en particulier ceux des PME, et la Commission publie des exemples pratiques. Le Sprint montre comment tenir ce registre : qui a été formé, à quoi, quand, avec quel support.

L'article 50 concerne ce que vous montrez au public

L'article 50, en application depuis août 2026, organise la transparence. Quiconque converse avec un système d'IA conçu pour le public doit pouvoir l'apprendre, et un contenu qui reproduit avec réalisme un visage, un lieu ou une scène qui existent (un hypertrucage, ou deepfake) doit porter la mention de son origine. Les éditeurs d'outils qui fabriquent images, sons ou textes doivent aussi y apposer une marque que les logiciels savent lire ; pour un outil commercialisé avant août, ce marquage est exigé au 2 décembre 2026.

La Commission a publié le 20 juillet 2026 ses lignes directrices définitives sur cet article, et le code de bonnes pratiques sur la transparence des contenus générés, finalisé le 10 juin 2026, a été jugé adéquat. Un usage interne, dont le résultat ne quitte pas l'entreprise, échappe à ces règles de transparence. Le Sprint repère donc les points de contact avec le public : l'assistant du site, les visuels des campagnes, les vidéos de présentation.

Mise en situation : une PME de services ouvre son registre des usages

Prenons une entreprise de services de 80 salariés, équipée de ChatGPT Business depuis le printemps. Lors du cadrage, la DRH a recensé cinq usages : la rédaction des offres d'emploi, un essai de tri de candidatures fait par un manager, des visuels générés pour les réseaux sociaux, un assistant de réponse aux questions des clients sur le site, et la synthèse des comptes rendus de comité. Personne ne sait lesquels posent problème. Cette entreprise est imaginaire ; elle sert de support à l'atelier.

1. La DRH colle dans la conversation la liste des cinq usages, avec pour chacun l'outil, le service et les données employées.
2. Elle copie le prompt ci-dessous, en précisant que l'entreprise utilise ces outils sans les avoir développés.
3. Le groupe relit chaque classement proposé et le confronte aux exemples vus pendant la séance, en notant les désaccords.
4. Les cas signalés comme douteux, ici le tri de candidatures et l'assistant du site, partent vers le DPO et le juriste avec la question précise à trancher.
5. La DRH reporte le résultat dans la trame de registre remise pendant le Sprint, avec un responsable et une date de revue par ligne.

Aide-moi à dresser le registre des usages de l'intelligence artificielle de notre entreprise. Nous sommes une entreprise de services de 80 salariés. Nous utilisons des outils du marché sans les avoir développés, sauf mention contraire.

Voici nos usages, avec l'outil, le service et les données concernées :
[liste des usages]

Pour chaque usage, indique dans un tableau :
1. notre rôle probable selon l'AI Act, dans sa version révisée en juillet 2026 (règlements 2024/1689 et 2026/1744) : déployeur ou fournisseur ;
2. la catégorie de risque probable : pratique interdite, haut risque (annexe III), obligation de transparence (article 50) ou risque minimal ;
3. la date à laquelle les obligations correspondantes s'appliquent ;
4. la présence de données personnelles, et donc la question RGPD à poser ;
5. la question précise à soumettre à notre DPO ou à notre juriste.

Ne tranche aucun cas douteux : écris « à examiner » et explique en une phrase ce qui fait hésiter. Cite l'article du règlement sur lequel tu t'appuies pour chaque classement, sans inventer de numéro.

Ce que vous obtenez. Vous obtenez un premier tableau qui sert de brouillon au registre, avec les questions à poser à vos experts. Le classement proposé par l'assistant reste une hypothèse : un modèle de langage peut se tromper de numéro d'article ou ignorer une modification récente du texte, d'où la vérification par le groupe à l'étape 3. Dans cet exemple, le tri de candidatures ressort comme un usage de l'annexe III, à suspendre jusqu'à un examen, et l'assistant du site comme un sujet de transparence relevant de l'article 50.

Les pièges à connaître

Envoyez-nous la liste des outils d'IA que vos équipes utilisent : la séance classera vos propres usages, ceux que vos équipes pratiquent déjà.