AI Act : obligations, calendrier et sanctions du règlement sur l’IA

Dossier tenu à jour. Dernière mise à jour le 31 octobre 2026. Prochaine revue le 2 décembre 2026. Temps de lecture : 21 minutes.

Dossier Régulation

Sommaire

1. Calendrier d’application
2. Qui est concerné ?
3. Pratiques interdites
4. Systèmes d’IA à haut risque
5. Transparence : l’article 50
6. Modèles d’IA à usage général
7. Ce que l’omnibus a changé
8. Normes et lignes directrices
9. Sanctions et autorités en France
10. Nos analyses sur ce texte
11. Ce que nous ne savons pas encore
12. Questions fréquentes
13. Historique des mises à jour
14. Textes et sources officielles

Calendrier d’application

• 12 juillet 2024 Publication du règlement au Journal officiel de l’Union européenne.
• 1^er août 2024 Entrée en vigueur (article 113).
• 2 février 2025 Dispositions générales, dont la maîtrise de l’IA (article 4), et pratiques interdites (article 5).
• 2 août 2025 Modèles d’IA à usage général, gouvernance, autorités notifiantes et organismes notifiés, sanctions à l’exception de l’article 101 ; les États membres devaient avoir désigné leurs autorités nationales et publié leurs coordonnées (articles 70 et 113).
• 2 février 2026 Date limite des lignes directrices de la Commission sur la classification des systèmes à haut risque (article 6, paragraphe 5) ; seul un projet a été publié, le 19 mai 2026.
• 27 juillet 2026 Entrée en vigueur du règlement omnibus 2026/1744. Notre analyse.
• 2 août 2026 Application générale : transparence (article 50), pouvoirs de contrôle de la Commission sur les fournisseurs de modèles d’IA à usage général et amendes correspondantes (articles 88 à 94 et 101).
• 2 décembre 2026 Nouvelles interdictions ajoutées par l’omnibus ; marquage des contenus générés par les systèmes mis sur le marché avant le 2 août 2026 (article 111, paragraphe 4).
• 2 août 2027 Mise en conformité des modèles d’IA à usage général mis sur le marché avant le 2 août 2025 (article 111, paragraphe 3) ; bacs à sable réglementaires nationaux opérationnels (article 57, paragraphe 1).
• 2 décembre 2027 Exigences et obligations des systèmes à haut risque de l’annexe III (chapitre III, sections 1 à 3).
• 2 août 2028 Exigences et obligations des systèmes à haut risque liés aux produits de l’annexe I, section A. Pour les machines, désormais en section B, les exigences relatives à l’IA seront fixées par actes délégués du règlement « machines », applicables au plus tard à cette date.
• 2 août 2030 Mise en conformité des systèmes à haut risque destinés à être utilisés par des autorités publiques (article 111, paragraphe 2).
• 31 décembre 2030 Mise en conformité des systèmes d’IA intégrés aux grands systèmes d’information de l’annexe X mis sur le marché avant le 2 août 2027 (article 111, paragraphe 1).

Qui est concerné ?

Le règlement définit le système d’IA comme « un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels » (article 3, point 1). La Commission a publié des lignes directrices sur cette définition le 6 février 2025.

Les obligations dépendent du rôle de chacun. Le fournisseur développe ou fait développer un système ou un modèle et le met sur le marché ou en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit (point 3). Le déployeur utilise un système sous sa propre autorité, hors activité personnelle à caractère non professionnel (point 4) : c’est le cas d’une entreprise qui utilise un logiciel intégrant de l’IA. Le mandataire (point 5), l’importateur (point 6) et le distributeur (point 7) ont aussi des obligations propres.

Le règlement s’applique aux fournisseurs qui mettent sur le marché ou mettent en service un système d’IA, ou mettent sur le marché un modèle d’IA à usage général, dans l’Union, où qu’ils soient établis ; aux déployeurs établis ou situés dans l’Union ; aux fournisseurs et déployeurs établis hors de l’Union lorsque les sorties du système sont utilisées dans l’Union ; ainsi qu’aux importateurs, distributeurs, mandataires et fabricants de produits qui intègrent un système d’IA sous leur nom (article 2, paragraphe 1).

Il ne s’applique pas aux systèmes utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale (paragraphe 3), aux systèmes et modèles spécifiquement développés et mis en service uniquement à des fins de recherche et développement scientifiques (paragraphe 6), aux activités de recherche, d’essai et de développement menées avant la mise sur le marché, hors essais en conditions réelles (paragraphe 8), ni aux systèmes publiés sous licence libre et ouverte, sauf s’ils sont à haut risque ou relèvent des articles 5 ou 50 (paragraphe 12).

Un distributeur, un importateur, un déployeur ou tout autre tiers devient fournisseur d’un système à haut risque, avec les obligations de l’article 16, s’il le commercialise sous son propre nom ou sa propre marque (sauf autre répartition prévue par contrat), s’il y apporte une modification substantielle, ou s’il modifie la destination d’un système, y compris d’un système d’IA à usage général, de sorte qu’il devienne à haut risque (article 25, paragraphe 1).

Pratiques interdites

L’article 5, paragraphe 1, interdit depuis le 2 février 2025 la mise sur le marché, la mise en service ou l’utilisation de systèmes d’IA qui :

• recourent à des techniques subliminales ou délibérément manipulatrices ou trompeuses ayant pour objectif ou pour effet d’altérer substantiellement le comportement d’une personne ou d’un groupe, d’une manière qui cause, ou est raisonnablement susceptible de causer, un préjudice important à cette personne ou à d’autres (point a) ;
• exploitent les vulnérabilités dues à l’âge, au handicap ou à la situation sociale ou économique d’une personne ou d’un groupe pour altérer substantiellement son comportement, d’une manière qui cause, ou est raisonnablement susceptible de causer, un préjudice important (point b) ;
• évaluent ou classent des personnes selon leur comportement social ou leurs caractéristiques personnelles, lorsque la note obtenue entraîne un traitement préjudiciable dans un contexte sans rapport avec celui de la collecte des données, ou un traitement injustifié ou disproportionné (point c) ;
• évaluent le risque qu’une personne commette une infraction « uniquement sur la base du profilage » ou de ses traits de personnalité (point d) ;
• constituent des bases de données de reconnaissance faciale par moissonnage non ciblé d’images sur internet ou de vidéosurveillance (point e) ;
• déduisent les émotions d’une personne sur le lieu de travail ou dans un établissement d’enseignement, sauf pour des raisons médicales ou de sécurité (point f) ;
• catégorisent les personnes à partir de données biométriques pour déduire leur race, leurs opinions politiques, leur affiliation syndicale, leurs convictions religieuses ou philosophiques, leur vie sexuelle ou leur orientation sexuelle (point g) ;
• servent à l’identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives : seule leur utilisation est interdite, sauf pour trois finalités limitativement énumérées (recherche de victimes ou de personnes disparues, prévention d’une menace imminente ou d’une attaque terroriste, localisation d’un suspect d’infraction grave) et sur autorisation préalable (point h et paragraphes 2 et 3).

L’omnibus ajoute deux interdictions, applicables à partir du 2 décembre 2026 : les systèmes qui génèrent ou manipulent des contenus réalistes représentant les parties intimes d’une personne identifiable, ou cette personne dans des activités sexuellement explicites, sans son consentement (point b bis), et ceux qui génèrent ou manipulent du matériel pédopornographique au sens de la directive 2011/93/UE (point b ter). La mise sur le marché ou la mise en service n’est interdite que si cette production est la destination du système, ou si sa conception en fait un résultat raisonnablement prévisible et reproductible faute de garde-fous techniques adéquats ; l’utilisation n’est interdite que si le déployeur se sert du système dans ce but (paragraphe 1 bis). La Commission a publié des lignes directrices sur les pratiques interdites le 4 février 2025.

Systèmes d’IA à haut risque

Un système est à haut risque dans deux cas. Le premier : il sert de composant de sécurité d’un produit couvert par la législation d’harmonisation de l’annexe I, ou constitue lui-même un tel produit, et ce produit doit passer une évaluation de la conformité par un tiers (article 6, paragraphe 1). Pour les produits de la section A (jouets, ascenseurs, équipements radioélectriques, dispositifs médicaux, etc.), les exigences du règlement s’appliquent directement. Pour ceux de la section B (aviation civile, véhicules et, depuis l’omnibus, machines), seuls quelques articles s’appliquent (article 2, paragraphe 2) : les exigences propres à l’IA passent par la législation sectorielle.

Le second : il relève d’un des cas d’usage des huit domaines de l’annexe III, que l’omnibus n’a pas modifiée (article 6, paragraphe 2).

1. Biométrie, dans la mesure où son utilisation est autorisée par le droit de l’Union ou le droit national.
2. Infrastructures critiques (composants de sécurité).
3. Éducation et formation professionnelle.
4. Emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant.
5. Accès et droit aux services privés essentiels et aux services publics et prestations sociales essentiels : éligibilité aux prestations sociales, évaluation de la solvabilité (hors détection de fraude), tarification de l’assurance-vie et de l’assurance maladie, tri des appels d’urgence.
6. Répression, dans la mesure où l’utilisation est autorisée.
7. Migration, asile et gestion des contrôles aux frontières.
8. Administration de la justice et processus démocratiques.

Un système de l’annexe III n’est pas à haut risque s’il ne présente pas de risque important de préjudice et s’il est destiné à accomplir une tâche procédurale étroite, à améliorer le résultat d’une activité humaine préalable, à détecter des constantes ou des écarts sans remplacer l’évaluation humaine, ou à exécuter une tâche préparatoire (article 6, paragraphe 3). Cette dérogation ne vaut jamais pour un système qui effectue un profilage de personnes physiques. Le fournisseur qui l’invoque documente son évaluation et enregistre le système (article 6, paragraphe 4, et article 49, paragraphe 2).

Le fournisseur devra respecter les exigences des articles 8 à 15 : gestion des risques, gouvernance des données d’entraînement et de test, documentation technique, journalisation automatique, notice d’utilisation, contrôle humain, exactitude, robustesse et cybersécurité. Il tient un système de gestion de la qualité (article 17), réalise l’évaluation de la conformité, établit la déclaration UE de conformité, appose le marquage CE et enregistre le système dans la base de données de l’Union (articles 16, 43 et 47 à 49). Pour la plupart des systèmes de l’annexe III (points 2 à 8), l’évaluation repose sur un contrôle interne, sans organisme notifié (article 43, paragraphe 2). Il assure ensuite la surveillance après commercialisation et signale les incidents graves (articles 72 et 73).

Le déployeur utilise le système conformément à la notice, confie le contrôle humain à des personnes compétentes, formées et dotées de l’autorité nécessaire, surveille le fonctionnement, conserve au moins six mois les journaux sous son contrôle, informe les représentants des travailleurs et les travailleurs concernés avant la mise en service ou l’utilisation sur le lieu de travail, informe les personnes soumises à une décision prise ou facilitée par un système de l’annexe III et, s’il constate un risque ou un incident grave, prévient le fournisseur et l’autorité de surveillance du marché et suspend si nécessaire l’utilisation (article 26). Les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics, ainsi que ceux qui utilisent des systèmes d’évaluation de la solvabilité ou de tarification de l’assurance-vie et de l’assurance maladie, réalisent en outre, avant la première utilisation, une analyse d’impact sur les droits fondamentaux, dont ils notifient les résultats à l’autorité de surveillance du marché ; les systèmes d’infrastructures critiques en sont exclus (article 27).

Un système à haut risque mis sur le marché ou mis en service avant la date d’application de ces obligations n’est visé que s’il subit ensuite d’importantes modifications de sa conception ; selon l’omnibus, ce délai de grâce vaut pour tout le type et modèle dont une première unité a été mise sur le marché avant cette date (article 111, paragraphe 2, et considérant 39). Pour un logiciel de recrutement, nous avons détaillé ces règles dans notre analyse de l’omnibus.

Transparence : l’article 50

Depuis le 2 août 2026, quatre obligations s’appliquent, que le système soit ou non à haut risque (article 50, paragraphe 6) :

• le fournisseur d’un système qui interagit directement avec des personnes le conçoit de façon qu’elles sachent qu’elles échangent avec une IA, sauf si c’est évident (paragraphe 1) ;
• le fournisseur d’un système, y compris d’un système d’IA à usage général, qui génère du son, des images, des vidéos ou du texte veille à ce que ces sorties soient marquées « dans un format lisible par machine » et identifiables comme générées ou manipulées par une IA ; l’obligation ne vise pas les fonctions d’assistance à la mise en forme standard ni les systèmes qui ne modifient pas de manière substantielle les données fournies par le déployeur (paragraphe 2) ;
• le déployeur d’un système de reconnaissance des émotions ou de catégorisation biométrique en informe les personnes exposées (paragraphe 3) ;
• le déployeur indique qu’un hypertrucage a été généré ou manipulé par une IA (pour une œuvre manifestement artistique, satirique ou fictive, une mention appropriée suffit) ; il fait de même pour les textes générés ou manipulés publiés pour informer le public sur des questions d’intérêt public, sauf si ces textes ont fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale assume la responsabilité éditoriale de leur publication (paragraphe 4).

Les systèmes de génération mis sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour appliquer le marquage du paragraphe 2 (article 111, paragraphe 4). La Commission a publié le 20 juillet 2026 des lignes directrices sur l’article 50 et a jugé adéquat, le 8 juillet 2026, le code de bonnes pratiques sur la transparence des contenus générés par IA.

Modèles d’IA à usage général

Le chapitre V vise les fournisseurs de modèles « qui présente[nt] une généralité significative » et sont capables d’exécuter de manière compétente un large éventail de tâches distinctes (article 3, point 63), comme les grands modèles de langage. Depuis le 2 août 2025, tout fournisseur d’un tel modèle établit une documentation technique, transmet des informations aux fournisseurs qui intègrent le modèle dans leurs systèmes, met en place une politique de respect du droit d’auteur et publie un résumé suffisamment détaillé des contenus utilisés pour l’entraînement (article 53, paragraphe 1). Les deux premières obligations ne s’appliquent pas aux modèles publiés sous licence libre et ouverte dont les paramètres, y compris les poids, sont publics, sauf s’ils présentent un risque systémique (paragraphe 2).

Un modèle est présumé avoir des capacités à fort impact, et donc présenter un risque systémique, lorsque la quantité cumulée de calcul utilisée pour son entraînement dépasse 10²⁵ opérations en virgule flottante (article 51, paragraphes 1 et 2). Son fournisseur le notifie à la Commission dans un délai de deux semaines et peut contester ce classement (article 52). Il doit en plus évaluer le modèle, y compris par des essais contradictoires, évaluer et atténuer les risques systémiques, signaler les incidents graves au Bureau de l’IA et assurer la cybersécurité du modèle (article 55).

La Commission a publié le code de bonnes pratiques le 10 juillet 2025, des lignes directrices le 18 juillet et le modèle de résumé des données d’entraînement le 24 juillet 2025. Elle est seule compétente pour contrôler ces fournisseurs (article 88), et peut leur infliger depuis le 2 août 2026 des amendes allant jusqu’à 3 % du chiffre d’affaires annuel mondial ou 15 millions d’euros, le montant le plus élevé étant retenu (article 101). Les modèles mis sur le marché avant le 2 août 2025 doivent être conformes au plus tard le 2 août 2027.

Ce que l’omnibus a changé

Le règlement (UE) 2026/1744, proposé par la Commission le 19 novembre 2025 et entré en vigueur le 27 juillet 2026, modifie le texte sur plusieurs points :

• Report des obligations des systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I, section A), au lieu du 2 août 2026 et du 2 août 2027.
• Machines : le règlement (UE) 2023/1230 passe de la section A à la section B de l’annexe I. Le règlement sur l’IA ne s’applique plus directement aux machines, dont les exigences relatives à l’IA seront fixées par actes délégués applicables au plus tard le 2 août 2028.
• Composant de sécurité : un système utilisé uniquement pour l’assistance aux utilisateurs, l’optimisation des performances, l’efficacité des services, l’automatisation ou le contrôle de la qualité n’en est pas un, sauf si sa défaillance met en danger la santé et la sécurité (article 6, paragraphes 1 bis à 1 quater).
• Maîtrise de l’IA : l’obligation de prendre des mesures pour « garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA » devient celle de prendre « des mesures pour favoriser le développement de la maîtrise de l’IA », sans obligation de garantir un niveau donné ; la Commission et les États membres doivent soutenir ces efforts (article 4).
• Allègements : la documentation technique simplifiée, déjà ouverte aux PME, l’est aussi aux petites entreprises à moyenne capitalisation (article 11, paragraphe 1) ; la mise en œuvre simplifiée de certains éléments du système de gestion de la qualité, réservée aux microentreprises, s’étend à toutes les PME sans entreprise partenaire ni liée (article 63, paragraphe 1) ; l’enregistrement d’un système que son fournisseur juge non à haut risque demande moins d’informations (annexe VIII, section B).
• Données sensibles : fournisseurs et déployeurs peuvent traiter, à titre exceptionnel et sous conditions, des catégories particulières de données personnelles pour détecter et corriger des biais (article 4 bis).
• Chaîne de valeur : le fournisseur initial d’un système transformé en système à haut risque par un tiers doit coopérer avec le nouveau fournisseur, sauf s’il a clairement exclu cette transformation, et le fournisseur d’un système à haut risque conclut un accord écrit avec les tiers qui lui fournissent modèles, outils ou composants (article 25, paragraphes 2 et 4), sous peine de l’amende de 15 millions d’euros ou 3 % (article 99, paragraphe 4).
• Interdictions : deux points ajoutés (article 5, points b bis et b ter).
• Bureau de l’IA : il devient seul compétent pour surveiller les systèmes fondés sur un modèle d’IA à usage général du même fournisseur ou de la même entreprise, sauf exceptions (produits de l’annexe I, infrastructures critiques, justice, etc.), ainsi que les systèmes qui constituent une très grande plateforme ou un très grand moteur de recherche en ligne, ou qui y sont intégrés (article 75, paragraphe 1).
• Bacs à sable réglementaires : chaque État doit en disposer au plus tard le 2 août 2027, au lieu du 2 août 2026 (article 57).

Normes et lignes directrices

Les systèmes à haut risque conformes aux normes harmonisées publiées au Journal officiel sont présumés conformes aux exigences correspondantes (article 40). Par une décision d’exécution du 23 juin 2025, qui remplace la demande initiale de 2023, la Commission a demandé au CEN et au Cenelec d’élaborer des normes dans dix domaines : gestion des risques, gouvernance et qualité des données, journalisation, transparence, contrôle humain, exactitude, robustesse, cybersécurité, gestion de la qualité et évaluation de la conformité (page de la Commission). La première, la norme EN 18286:2026 sur le système de gestion de la qualité (article 17), a été référencée au Journal officiel par la décision d’exécution (UE) 2026/2274 du 12 octobre 2026, publiée le 14 octobre (annonce de la Commission). Les autres sont en cours d’élaboration.

La Commission a publié des lignes directrices sur la définition du système d’IA, les pratiques interdites, les modèles d’IA à usage général et la transparence, ainsi que des projets sur la classification des systèmes à haut risque (19 mai 2026, toujours au stade de projet à la mise à jour de sa page le 19 octobre 2026) et sur le signalement des incidents graves, avec un modèle de rapport (26 septembre 2025). Elle annonce des lignes directrices sur les obligations des fournisseurs et des déployeurs de systèmes à haut risque, l’analyse d’impact sur les droits fondamentaux, la chaîne de valeur, la modification substantielle, un modèle facultatif de plan de surveillance après commercialisation, la gestion de la qualité simplifiée pour les PME et les petites entreprises à moyenne capitalisation, et l’articulation avec les autres textes de l’Union, dont la protection des données.

Sanctions et autorités en France

Manquement	Amende maximale (article 99)
Pratiques interdites (article 5) : paragraphe 3	35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial
Obligations des fournisseurs, mandataires, importateurs, distributeurs et déployeurs (dont l’article 25, paragraphes 2 et 4), des organismes notifiés, et transparence (article 50) : paragraphe 4	15 millions d’euros ou 3 %
Informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités nationales compétentes en réponse à une demande : paragraphe 5	7,5 millions d’euros ou 1 %

Le montant le plus élevé est retenu, sauf pour les PME, pour lesquelles c’est le plus faible ; l’omnibus étend cette règle aux petites entreprises à moyenne capitalisation pour les deux derniers paliers (article 99, paragraphes 6 et 6 bis). Chaque État fixe son régime de sanctions dans ces limites.

En France, le schéma présenté par la DGE le 9 septembre 2025, sous réserve de son adoption par le Parlement, confie à la DGCCRF la coordination des autorités de surveillance du marché et le rôle de point de contact unique, et à la CNIL plusieurs domaines, dont la biométrie, l’éducation et l’emploi ; l’ACPR et l’Arcom y ont aussi des compétences. La liste des points de contact uniques de la Commission (mise à jour le 7 septembre 2026) cite la DGCCRF, avec un astérisque signalant que la décision nationale de désignation n’est pas encore définitivement adoptée. Le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (DDADUE), adopté par le Sénat le 18 février 2026, doit organiser ces compétences ; l’Assemblée nationale, saisie le 20 février 2026, ne l’avait pas adopté au 31 octobre 2026.

Nos analyses sur ce texte

• Tri de candidatures par IA : ce que l’omnibus reporte au 2 décembre 2027 Classement d’un logiciel de recrutement, logiciels déjà vendus, règles déjà applicables, obligations de l’éditeur et de l’employeur. Publiée le 31 octobre 2026
• Calendrier des échéances numériques 2026-2027 Les dates de l’AI Act à côté de celles des autres textes, chacune reliée à sa source. Revu chaque mois

Ce que nous ne savons pas encore

• Le contenu définitif des lignes directrices sur la classification des systèmes à haut risque, attendues depuis le 2 février 2026.
• La date d’application exacte des dispositions que l’article 113 ne cite pas : évaluation de la conformité et enregistrement (chapitre III, section 5), surveillance après commercialisation et signalement des incidents (chapitre IX). À la lettre, elles relèvent du 2 août 2026, mais elles supposent la classification reportée au 2 décembre 2027.
• Ce qu’est une « importante modification » de la conception (article 111, paragraphe 2), notion distincte de la « modification substantielle » (article 3, point 23), pour un logiciel mis à jour en continu : l’omnibus précise seulement que le délai de grâce cesse si la conception change.
• La publication des autres normes harmonisées, que l’omnibus cite parmi les motifs du report.
• La désignation définitive des autorités françaises et le régime national de sanctions, qui dépendent du vote du projet de loi DDADUE.

Questions fréquentes

Une entreprise qui utilise un outil d’IA générative est-elle concernée ?

Oui, comme déployeur. Elle doit prendre des mesures pour développer la maîtrise de l’IA de son personnel (article 4). Si elle publie des hypertrucages, elle doit l’indiquer ; si elle publie des textes générés pour informer le public sur des questions d’intérêt public, elle doit aussi l’indiquer, sauf si ces textes ont été relus ou contrôlés et qu’elle en assume la responsabilité éditoriale (article 50, paragraphe 4). Les obligations des systèmes à haut risque ne la concernent que si elle utilise l’outil pour un cas d’usage de l’annexe III, à partir du 2 décembre 2027. En affectant un outil généraliste à un tel usage, le tri de candidatures par exemple, elle peut devenir fournisseur d’un système à haut risque (article 25, paragraphe 1, point c). Si elle intègre un modèle dans son propre outil, un assistant conversationnel par exemple, elle en devient fournisseur et doit respecter l’article 50, paragraphes 1 et 2.

Le report de l’omnibus vaut-il pour les interdictions ?

Non. Les interdictions de l’article 5, points a à h, s’appliquent depuis le 2 février 2025. Les deux interdictions ajoutées par l’omnibus s’appliquent à partir du 2 décembre 2026.

Faut-il un organisme notifié pour un système à haut risque ?

Pas pour la plupart des systèmes de l’annexe III, qui relèvent du contrôle interne (article 43, paragraphe 2). Pour les systèmes liés aux produits de l’annexe I, section A, le fournisseur suit la procédure d’évaluation de la conformité de la législation sectorielle du produit, qui intègre les exigences du règlement sur l’IA (article 43, paragraphe 3). Pour les produits de la section B, dont les machines, ce sont les règles sectorielles qui s’appliquent.

Une PME est-elle dispensée ?

Non. Elle peut fournir une documentation technique simplifiée (article 11, paragraphe 1), mettre en œuvre de manière simplifiée certains éléments du système de gestion de la qualité si elle n’a ni entreprise partenaire ni entreprise liée (article 63, paragraphe 1), et le plafond de ses amendes est le plus faible des deux montants (article 99, paragraphe 6).

Historique des mises à jour

31 octobre 2026 : création du dossier.