AI Act : plus que 30 jours avant la prochaine échéance. Votre application IA est-elle prête pour 2027 ?

Si vous avez lu que l'AI Act avait été repoussé, vous n'avez lu que la moitié de l'histoire.

Le Digital Omnibus sur l'IA, en vigueur depuis le 27 juillet 2026, a décalé les règles de l'AI Act sur les systèmes à haut risque à décembre 2027 et août 2028. Tout le reste est resté dans les temps. L'AI literacy s'applique depuis février 2025, les règles de transparence depuis août 2026, et le 2 décembre 2026, deux nouvelles obligations entrent en vigueur. Les amendes pour les manquements les plus graves atteignent 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

Ce guide s'adresse aux équipes qui construisent leurs produits sur des API d'IA. Il fait le point sur ce qui s'applique déjà à vous, ce qui change dans 30 jours et ce qu'il faut commencer à préparer pour 2027.

D'abord, quel est votre rôle au sens de l'AI Act ?

L'AI Act fixe des obligations différentes selon ce que vous faites de l'IA. La plupart des équipes qui construisent sur une API jouent deux rôles à la fois : fournisseur de leur propre produit IA, et deployer quand elles utilisent l'IA en interne.

Le calendrier de l'AI Act après l'Omnibus

Ce qui s'applique déjà à votre application IA

• L'AI literacy : les personnes qui construisent ou utilisent des systèmes d'IA dans votre entreprise doivent être suffisamment formées pour les utiliser de manière responsable. Depuis l'Omnibus, il faut montrer des efforts raisonnables et documentés plutôt que garantir un niveau. Gardez une trace de qui a été formé à quoi.
• Aucune pratique interdite : depuis février 2025, l'AI Act interdit les techniques de manipulation, la notation sociale, la reconnaissance des émotions au travail ou à l'école, la collecte non ciblée d'images de visages et quelques autres usages. Vérifiez qu'aucune fonctionnalité de votre produit n'entre dans ces cas.
• Dire aux gens qu'ils parlent à une IA : si votre produit interagit directement avec des personnes, comme un chatbot ou un agent vocal, les utilisateurs doivent en être informés, sauf si c'est évident.
• Signaler les deepfakes et les textes IA publiés : les images, sons ou vidéos générés par IA qui paraissent réels, et les textes générés par IA publiés pour informer le public, doivent être signalés. Notre guide sur les règles d'étiquetage de l'AI Act entre dans le détail.
• Demander leur documentation à vos fournisseurs de modèles : les fournisseurs de modèles d'IA à usage général doivent donner aux entreprises qui construisent dessus les informations nécessaires pour respecter leurs propres obligations. Si vous utilisez GPT, Claude, Gemini ou Mistral, cette documentation existe. Demandez-la et archivez-la.

2 décembre 2026 : ce qu'il faut faire ce mois-ci

Deux obligations démarrent le 2 décembre 2026.

1. Le marquage lisible par machine pour les produits existants. Depuis le 2 août 2026, les systèmes d'IA qui génèrent du son, des images, de la vidéo ou du texte synthétiques doivent marquer leurs sorties de façon lisible par une machine et détectable. Les produits déjà sur le marché avant cette date bénéficiaient d'un délai. Il prend fin le 2 décembre.

En pratique, vérifiez si les modèles que vous utilisez intègrent déjà un marquage, comme les métadonnées C2PA ou le filigrane SynthID de Google, et assurez-vous que votre propre chaîne de traitement ne le supprime pas quand vous redimensionnez, compressez ou réencodez des fichiers.

2. De nouvelles interdictions sur les deepfakes intimes et les contenus pédocriminels. L'Omnibus a ajouté deux pratiques à la liste des usages interdits : les systèmes d'IA qui génèrent des images intimes réalistes de personnes identifiables sans leur consentement, comme les applications de « déshabillage », et les systèmes qui génèrent des contenus pédocriminels. L'interdiction couvre aussi les systèmes pour lesquels ce type de résultat est raisonnablement prévisible faute de garde-fous efficaces. Si votre produit génère des images ou des vidéos de personnes, revoyez vos garde-fous dès maintenant : filtrage des prompts, modération des sorties et signalement des abus.

Haut risque : décembre 2027 arrive plus vite qu'il n'y paraît

Les règles sur les systèmes à haut risque sont repoussées, pas supprimées. À partir du 2 décembre 2027, elles s'appliquent à l'IA utilisée dans les domaines listés à l'Annexe III de l'AI Act, notamment :

• le recrutement et la gestion du travail, comme le tri de CV ou l'évaluation des performances ;
• l'éducation, comme les admissions, la notation ou la surveillance des examens ;
• l'accès aux services essentiels, comme le scoring de crédit ou la tarification des assurances vie et santé ;
• la biométrie, les infrastructures critiques, les forces de l'ordre, la migration et la justice.

L'IA intégrée à des produits déjà couverts par une législation européenne de sécurité, listés à l'Annexe I, suit le 2 août 2028.

Si votre cas d'usage figure dans la liste, les obligations sont lourdes : gestion des risques, gouvernance des données, journalisation automatique, supervision humaine, exactitude et robustesse, documentation technique et évaluation de conformité. La journalisation et la documentation sont les plus longues à mettre en place : c'est par là qu'il faut commencer.

L'AI Act, ce n'est pas le RGPD

Les deux textes sont souvent confondus. L'AI Act encadre la façon dont les systèmes d'IA sont conçus et utilisés, selon leur niveau de risque. Il n'impose pas d'héberger l'IA en Europe. Le RGPD encadre les données personnelles, y compris où elles vont et qui les traite.

La plupart des équipes en Europe doivent penser aux deux. Si vos prompts contiennent des données personnelles, l'endroit où tourne le modèle et ce que le fournisseur conserve comptent toujours. Nos guides sur l'endpoint IA européen et sur l'usage d'OpenAI, Claude et Gemini en Europe sans risque RGPD traitent cet aspect.

Ce qu'Eden AI facilite

Aucune API ne vous rend conforme à elle seule. Ce que fait Eden AI, c'est rendre les contrôles et les preuves plus faciles à mettre en place, pour tous les modèles que vous utilisez.

• Une trace de qui a traité chaque requête : chaque réponse indique quel modèle et quel fournisseur l'ont traitée, ce qui permet de la journaliser.
• Des règles pour toute l'organisation : dans Settings > Compliance, vous pouvez exiger la non-conservation des données et limiter les régions où tournent vos appels, pour chaque membre et chaque clé API. Une requête peut ajouter une restriction, jamais en retirer.
• Pas de redirection silencieuse : un modèle qui ne respecte pas vos règles est refusé avec une erreur claire, au lieu d'être remplacé par un autre à votre insu.
• Les politiques des fournisseurs au même endroit : notre page Provider data policies indique pour chaque fournisseur le pays de contractualisation, la politique d'entraînement et la durée de conservation.
• La liberté de changer : si les conditions d'un fournisseur changent, passer à un autre modèle se résume à changer une chaîne de caractères, pas à refaire une intégration. De nombreux signataires du Code de bonnes pratiques de l'UE pour l'IA à usage général, dont OpenAI, Anthropic, Google, Mistral AI, Amazon et Microsoft, sont disponibles via Eden AI.

Dans cet exemple, la requête passe par l'endpoint UE, exige la non-conservation des données et garde une trace du modèle et du fournisseur qui ont répondu :

import datetime, json
from openai import OpenAI

client = OpenAI(api_key="YOUR_EDENAI_API_KEY", base_url="https://api.eu.edenai.run/v3")

response = client.chat.completions.create(
    model="gemini-3.8-flash",
    messages=[
        {"role": "system", "content": "You are an AI assistant. Always make clear that you are an AI."},
        {"role": "user", "content": "Can you help me write a reply to a customer complaint?"},
    ],
    extra_body={"routing": {"zero_data_retention": True}},
)

# garder une trace du modèle et du fournisseur qui ont traité chaque requête
record = {
    "request_id": response.id,
    "time": datetime.datetime.now(datetime.timezone.utc).isoformat(),
    "model": response.model,
    "provider": response.provider,
}
print(json.dumps(record))

Nous l'avons lancé le 2 novembre 2026 : la requête a été traitée par Vertex AI dans l'UE, et l'assistant s'est présenté comme une IA. Avec un modèle dont la conservation des données n'est pas vérifiée, Mistral Medium, le même appel a été refusé avec une erreur explicite au lieu d'être envoyé ailleurs.

Points à garder en tête

• Ceci n'est pas un avis juridique : l'AI Act s'applique différemment selon votre produit, votre secteur et votre rôle. Faites valider votre situation par votre DPO ou votre service juridique.
• Les lignes directrices continuent d'arriver : la Commission et les autorités nationales publient encore des orientations, et les normes harmonisées pour les systèmes à haut risque sont toujours en préparation.
• Les amendes sont réelles : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 millions ou 3 % pour la plupart des autres obligations, dont la transparence, et jusqu'à 7,5 millions ou 1 % pour la fourniture d'informations inexactes. Pour les PME, c'est le plus bas des deux montants qui s'applique.

FAQ

L'AI Act a-t-il été repoussé ?

En partie seulement. Le Digital Omnibus sur l'IA, en vigueur depuis le 27 juillet 2026, a décalé les règles sur les systèmes à haut risque au 2 décembre 2027 et au 2 août 2028. Les pratiques interdites, l'AI literacy, les règles sur les modèles d'IA à usage général et les obligations de transparence n'ont pas été repoussées.

Qu'est-ce qui change le 2 décembre 2026 ?

Les systèmes d'IA qui génèrent du contenu synthétique et qui étaient déjà sur le marché avant le 2 août 2026 doivent marquer leurs sorties de façon lisible par une machine. À la même date, de nouvelles interdictions visent les systèmes d'IA qui génèrent des images intimes non consenties de personnes réelles ou des contenus pédocriminels.

L'AI Act s'applique-t-il si j'utilise seulement une API comme celle d'OpenAI ?

Oui. Le fournisseur du modèle a ses propres obligations, mais vous avez les vôtres en tant que fournisseur de votre produit ou en tant que deployer : transparence envers les utilisateurs, AI literacy, pratiques interdites, et obligations « haut risque » si votre cas d'usage figure à l'Annexe III.

Quelles sont les amendes prévues par l'AI Act ?

Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, jusqu'à 15 millions ou 3 % pour la plupart des autres obligations, et jusqu'à 7,5 millions ou 1 % pour la fourniture d'informations inexactes aux autorités. Pour les PME et les start-ups, c'est le plus bas des deux montants qui s'applique.

L'AI Act impose-t-il d'héberger l'IA en Europe ?

Non. L'AI Act n'impose pas de lieu d'hébergement. L'endroit où vos données sont traitées relève du RGPD. L'endpoint UE d'Eden AI limite les requêtes aux fournisseurs validés pour la résidence des données en UE quand vous en avez besoin.