Le 2 août 2026, la Commission européenne active ses pouvoirs de sanction sur les obligations liées aux modèles d'IA à usage général, et les obligations sur les systèmes à haut risque deviennent pleinement applicables. Pour la plupart des entrepreneurs qui utilisent Claude ou ChatGPT au quotidien, cela ne change rien de spectaculaire. Pour d'autres, ceux qui trient des CV automatiquement ou déploient un chatbot client sans mention claire, l'échéance peut coûter cher. Cet article fait le tri entre ce qui s'impose vraiment, ce qui est déjà en vigueur depuis 2025, et ce qui relève du mythe. Si tu veux d'abord poser des bases solides sur l'outil lui-même, commence par le guide complet pour apprendre Claude, puis reviens ici pour la conformité.
Le calendrier réel de l'AI Act (et pourquoi le 2 août 2026 compte)
Le règlement 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024. Depuis, les échéances se sont enchaînées par vagues, avec une logique de risque : plus un usage est dangereux, plus vite il est encadré.
| Date | Ce qui s'active | Qui est concerné |
|---|---|---|
| 02-02-2025 | Interdictions (art. 5) et obligation d'AI literacy (art. 4) | Toute entreprise utilisant de l'IA |
| 02-08-2025 | Obligations pour les fournisseurs de modèles GPAI | Anthropic, OpenAI, Google, Mistral... |
| 02-08-2026 | Pouvoirs de sanction Commission + haut risque applicable | Fournisseurs et déployeurs de systèmes haut risque |
| 02-08-2027 | Mise en conformité complète des modèles déjà sur le marché avant août 2025 | Modèles legacy (GPT-4, Claude 3 Opus, etc.) |
Ce que "application générale au 2 août 2026" veut dire pour une PME : la Commission peut désormais infliger des amendes sur le non-respect des obligations GPAI, et si tu déploies un système classé haut risque, tu es pleinement dans le périmètre du règlement. Ce qui ne veut pas dire que ton usage bascule automatiquement dans le haut risque. La qualification dépend de ce que tu fais concrètement avec l'outil.
Les 4 niveaux de risque, appliqués à des cas d'entrepreneurs
L'AI Act classe les systèmes d'IA en quatre paliers. La quasi-totalité des usages professionnels ordinaires de Claude tombent dans les deux paliers du bas.
| Niveau | Exemple entrepreneur | Obligation principale |
|---|---|---|
| Inacceptable | Scoring social des clients, manipulation subliminale, catégorisation biométrique par race/religion | Interdit, point. |
| Haut risque | Tri automatisé de CV, scoring de crédit, IA dans un dispositif médical, décisions RH sensibles | Documentation, supervision humaine, logs, conformité complète |
| Risque limité | Chatbot client, contenu marketing généré, deepfake visible | Transparence (art. 50) : informer, étiqueter |
| Risque minimal | Assistant qui rédige des brouillons d'emails, résume des réunions, écrit du code interne | Aucune obligation spécifique |
Concrètement, si tu utilises Claude pour rédiger des articles de blog, résumer un compte-rendu, ou générer un premier jet de fiche produit, tu es en risque minimal. Si tu déploies un chatbot sur ton site, tu bascules en risque limité et tu dois indiquer clairement que ton interlocuteur parle à une IA. Si tu automatises le tri de candidatures ou l'attribution de crédit, tu passes en haut risque et là, le régime est nettement plus lourd.
Ce que l'AI Act exige des entreprises qui déploient de l'IA
C'est la distinction que la majorité des articles ratent : l'AI Act sépare le fournisseur (celui qui met le modèle sur le marché) du déployeur (celui qui l'utilise dans son activité). Anthropic est fournisseur. Toi qui utilises Claude dans ton entreprise, tu es déployeur. Les obligations les plus techniques (documentation du modèle, transparence sur les données d'entraînement, évaluations de risque systémique) pèsent sur Anthropic, pas sur toi.
Le déployeur, lui, a un jeu d'obligations plus limité mais réel :
- Utiliser le système conformément à la notice fournie par le fournisseur.
- Assurer une supervision humaine sur les décisions qui affectent des personnes.
- Tenir des logs quand tu déploies un système haut risque.
- Informer les personnes concernées quand elles interagissent avec un chatbot ou consomment du contenu généré par IA (article 50).
L'article 50 est celui que la plupart des PME sous-estiment. Il dit deux choses concrètes : un utilisateur qui parle à un chatbot doit savoir qu'il parle à une IA, et un contenu généré ou modifié par IA (texte, image, audio, vidéo) doit être identifiable comme tel, avec un marquage technique lisible par machine quand c'est possible. Pour un blog, ça peut se traduire par une mention en pied d'article ou dans les métadonnées, ce que tu peux intégrer directement dans un pipeline éditorial SEO outillé.
AI literacy : l'obligation qui s'applique déjà (article 4)
Celle-là ne concerne pas 2026, elle s'impose depuis le 2 février 2025 et personne n'en parle. L'article 4 dit que "les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour garantir, dans la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel".
Pas de format imposé, pas de certification, pas de nombre d'heures. C'est une obligation de moyens, pas de résultat. Mais en cas de contrôle ou d'incident, tu dois pouvoir montrer que tu as fait quelque chose : formation interne, sessions de sensibilisation, politique d'usage écrite, traces d'onboarding sur les outils IA utilisés.
Le minimum documentable : une note interne qui liste les outils IA autorisés, les cas d'usage interdits, les données qu'on ne partage jamais avec un LLM, et un historique de formation ou de sensibilisation daté. C'est le genre de document qu'on peut centraliser dans un espace partagé, ou dans Claude Projects avec les prompts validés et la charte d'usage rangés au même endroit.
Sanctions et qui contrôle
Le barème d'amendes de l'article 99 se lit en trois niveaux, avec le maximum entre le montant fixe et le pourcentage du chiffre d'affaires mondial.
| Manquement | Amende max | Pourcentage du CA mondial |
|---|---|---|
| Pratiques interdites (art. 5) | 35 M€ | 7 % |
| Obligations haut risque et GPAI | 15 M€ | 3 % |
| Informations incorrectes aux autorités | 7,5 M€ | 1 % |
Le texte prévoit des plafonds proportionnés pour les PME et les start-ups : c'est le montant le plus bas entre le fixe et le pourcentage qui s'applique, l'inverse des grandes entreprises. Autrement dit, une TPE ne risque pas 35 M€, mais un montant proportionné à sa taille.
Côté contrôle, chaque État membre désigne ses autorités nationales. En France, la CNIL et la DGCCRF sont pressenties selon les périmètres. La Commission européenne, elle, garde la main directe sur les fournisseurs de modèles GPAI, comme Anthropic ou OpenAI.
Checklist de mise en conformité avant le 2 août 2026
Sept actions concrètes, dans l'ordre où je les recommanderais à un dirigeant qui n'a rien lancé :
- Cartographier les usages IA dans l'entreprise. Qui utilise quoi, pour quoi faire, sur quelles données. Un tableur suffit.
- Classer chaque usage par niveau de risque. La grille des 4 niveaux ci-dessus est ton point de départ. Note pour chacun la justification.
- Rédiger une politique d'usage interne : outils autorisés, données interdites (santé, données personnelles sensibles, secrets clients), obligations de relecture humaine avant publication.
- Former les équipes pour couvrir l'article 4. Documenter les sessions, garder les listes d'émargement ou les logs de complétion.
- Mettre en place la transparence article 50 : mention IA sur les contenus publiés, prévenir les utilisateurs de chatbots, marquer les images générées.
- Documenter la supervision humaine sur les décisions sensibles (RH, crédit, santé). Qui valide quoi, avec quelle marge d'appréciation.
- Conserver les logs pour les usages haut risque, si tu en as. Durée, format, accessibilité en cas de contrôle.
Un exemple de prompt système à ranger dans ta politique d'usage, pour un assistant qui rédige des brouillons publics :
Tu rédiges des brouillons destinés à publication.
Contraintes :
- Ne jamais inclure de données personnelles clients.
- Signaler en fin de sortie : "Brouillon généré par IA, à relire".
- Refuser toute tâche relevant du tri de candidatures,
du scoring crédit, ou d'une décision RH individuelle.Pour la partie configuration initiale et environnement, le pilier setup Claude couvre les bases : comptes, Projects, gestion des données.
Ce que l'AI Act ne dit pas (et qui rassure)
Quelques mythes à casser, parce qu'ils circulent dans les réunions du comex :
- Non, utiliser Claude pour rédiger un email n'est soumis à aucune autorisation, déclaration, ou évaluation préalable.
- Non, une PME n'a pas besoin de créer un poste de "DPO IA". Le règlement ne l'impose pas. Ton DPO existant (si tu en as un pour le RGPD) peut suivre le sujet.
- Non, l'AI Act ne remplace pas le RGPD, il s'y ajoute. Si tu traites des données personnelles avec Claude, tu restes soumis au RGPD en plus.
- Oui, les modèles GPAI comme Claude ont leurs propres obligations, mais elles pèsent sur Anthropic, pas sur toi en tant qu'utilisateur final.
- Non, le fait qu'un modèle soit américain (Claude, GPT) ne le sort pas du règlement. L'AI Act s'applique dès que le système est mis sur le marché ou utilisé dans l'UE.
Passer à la pratique
La conformité à l'AI Act, pour la grande majorité des entreprises qui utilisent Claude ou ChatGPT, se résume à trois choses : savoir dans quelle case tu es, documenter la formation de tes équipes, et être transparent sur les contenus et les chatbots. Le reste, c'est du bruit médiatique. Le vrai enjeu, c'est de tirer parti de ces outils sans en devenir dépendant ni prendre de risque juridique évitable. Si tu veux structurer ton usage professionnel de A à Z, avec les bons prompts, la bonne architecture de projets et une politique d'usage qui tient la route, jette un œil à notre programme pour maîtriser Claude au quotidien. Cinq semaines, cinq livrables concrets, et tu ressors avec un setup conforme et opérationnel.