Le règlement européen sur l'intelligence artificielle, et en particulier le calendrier AI Act 2025 2027, ne s'applique pas d'un seul bloc. Il déploie ses obligations par vagues successives, entre 2025 et 2027, selon le niveau de risque des systèmes concernés et le rôle de chaque acteur.
Résultat, beaucoup de dirigeants pensent être hors délai alors qu'ils ne le sont pas, ou se croient tranquilles alors que certaines règles s'imposent déjà. Ce guide reprend le calendrier AI Act 2025 2027 date par date, avec ce que chaque échéance change concrètement pour une entreprise française et les actions à planifier en amont.
Calendrier AI Act 2025 2027, toutes les dates clés
Temps de lecture : ~10 min
- Entrée en vigueur et application, deux notions à ne pas confondre
- Le calendrier AI Act 2025 2027 en un coup d'oeil
- 2 février 2025, les premières obligations concrètes
- 2 août 2025, modèles d'IA à usage général et gouvernance
- 2 août 2026, l'échéance qui concerne le plus grand nombre d'entreprises
- 2 décembre 2026, interdictions complémentaires et transition
- Les deux échéances de 2027, à ne surtout pas confondre
- Qui est concerné et quelles sanctions
- Construire son planning de conformité AI Act
- Anticiper plutôt que subir
- FAQ sur le calendrier de l'AI Act
Entrée en vigueur et application, deux notions à ne pas confondre
Comprendre la différence entre entrée en vigueur et application
Première source de confusion, le vocabulaire. L'AI Act, officiellement le règlement UE 2024/1689, est entré en vigueur le 1er août 2024. Cette date marque son existence juridique, pas le moment où les entreprises doivent s'y conformer.
Les obligations, elles, deviennent applicables progressivement, selon un calendrier d'application échelonné inscrit dans le texte lui même et relayé par la Commission européenne, son AI Act Service Desk et la CNIL.
Cette application progressive répond à une logique simple, l'approche fondée sur les risques. Les pratiques jugées à risque inacceptable sont interdites en premier. Viennent ensuite les règles de gouvernance et celles applicables aux modèles d'IA à usage général, puis les obligations de transparence pour les systèmes à risque limité, et enfin les exigences lourdes qui pèsent sur les systèmes à haut risque. Plus le risque est élevé, plus le délai laissé aux acteurs pour se préparer est long, car les exigences techniques et documentaires sont conséquentes.
Le calendrier AI Act 2025 2027 en un coup d'oeil
Voici la synthèse des dates d'application prévues par le règlement et publiées dans le calendrier officiel de mise en oeuvre.
| Date | Ce qui devient applicable | Acteurs concernés en priorité |
|---|---|---|
| 1er août 2024 | Entrée en vigueur du règlement | Tous les acteurs entrant dans le champ du texte |
| 2 février 2025 | Définitions, alphabétisation à l'IA, interdiction des pratiques à risque inacceptable | Fournisseurs et déployeurs de systèmes d'IA |
| 2 août 2025 | Règles de gouvernance, obligations applicables aux modèles d'IA à usage général (GPAI), régime de sanctions | Fournisseurs de modèles génératifs, autorités nationales |
| 2 août 2026 | Application générale de la majorité du règlement, obligations de transparence, contrôle et supervision | La plupart des fournisseurs et déployeurs |
| 2 décembre 2026 | Nouvelles interdictions et dispositions transitoires liées à certaines obligations de transparence | Acteurs dont les systèmes étaient déjà sur le marché |
| 2 août 2027 | Au moins un bac à sable réglementaire par État membre, règles applicables aux systèmes à haut risque intégrés à des produits réglementés | Autorités nationales, fabricants de produits réglementés |
| 2 décembre 2027 | Règles applicables aux systèmes d'IA à haut risque de l'annexe III | Emploi, éducation, biométrie, services essentiels, justice, immigration, maintien de l'ordre |
Bon à savoir
Le calendrier officiel peut être précisé par des actes d'exécution, des lignes directrices de la Commission européenne et des normes harmonisées. Nous recommandons de vérifier la portée pratique de chaque obligation avant d'arbitrer un projet produit.
2 février 2025, les premières obligations concrètes
Trois blocs d'obligations effectifs depuis février 2025
Depuis le 2 février 2025, trois blocs s'appliquent. Les définitions du règlement d'abord, qui déterminent ce qu'est un système d'IA, un fournisseur ou un déployeur. L'obligation d'alphabétisation à l'IA ensuite, qui impose aux fournisseurs comme aux déployeurs de garantir un niveau suffisant de compétence chez les personnes qui utilisent ou supervisent ces systèmes. Les interdictions enfin, qui visent les pratiques présentant un risque inacceptable.
Sont notamment visées :
- la manipulation subliminale du comportement
- l'exploitation de vulnérabilités liées à l'âge, au handicap ou à la situation sociale
- la notation sociale
- certaines formes de catégorisation biométrique sensible
- la déduction des émotions dans les environnements professionnels ou éducatifs
La CNIL précise que certaines catégories, comme les contenus pédocriminels générés par IA ou certains hypertrucages à caractère sexuel, relèvent de dispositions spécifiques.
Concrètement, une direction des ressources humaines qui teste un outil d'analyse émotionnelle en entretien, ou une plateforme qui segmente ses utilisateurs sur des critères biométriques sensibles, est déjà hors cadre. L'alphabétisation, elle, ne se résume pas à un e learning générique. Elle suppose une acculturation adaptée aux usages réels, par exemple pour des équipes qui manipulent quotidiennement un assistant génératif sur des données clients.
2 août 2025, modèles d'IA à usage général et gouvernance
Le 2 août 2025 a ouvert une deuxième phase. Les règles de gouvernance de l'AI Act sont devenues applicables, avec le rôle du Bureau européen de l'IA, du Comité européen de l'IA et des autorités compétentes des États membres. En parallèle, les obligations propres aux modèles d'IA à usage général, les GPAI, sont entrées en application.
Ces modèles sont ceux capables d'accomplir des tâches variées et d'être intégrés dans de nombreuses applications, du texte au code en passant par l'image, l'audio ou la vidéo. Leurs fournisseurs doivent notamment documenter le modèle, mettre en place une politique de respect du droit d'auteur et transmettre des informations aux acteurs qui intègrent le modèle dans leur propre système. Les modèles identifiés comme présentant un risque systémique supportent des obligations renforcées.
Si vous utilisez un assistant conversationnel grand public dans vos processus internes, vous n'êtes pas fournisseur de modèle, mais déployeur d'un système. Cette distinction change tout, car les obligations ne sont pas les mêmes. En revanche, un éditeur SaaS qui expose une fonctionnalité d'IA à ses clients peut basculer dans la catégorie des fournisseurs de système, avec les responsabilités qui en découlent. C'est précisément le point que nous clarifions en premier lors d'un audit, car une mauvaise qualification fausse tout le plan de conformité.
2 août 2026, l'échéance qui concerne le plus grand nombre d'entreprises
La date pivot pour la plupart des organisations
Le 2 août 2026 constitue le pivot du calendrier. La majorité des dispositions du règlement devient applicable, ainsi que les mécanismes de contrôle associés. Sont concernées les obligations de transparence, les obligations respectives des fournisseurs et des déployeurs, les exigences de documentation technique, de supervision humaine et d'évaluation de conformité, ainsi que le régime général de contrôle prévu par le texte.
La transparence algorithmique est l'aspect le plus visible pour les entreprises. Une personne doit pouvoir savoir qu'elle interagit avec un système d'IA, par exemple avec un chatbot de service client. Les contenus générés ou manipulés par une IA doivent pouvoir être identifiés ou marqués, et les hypertrucages doivent être divulgués comme tels. Pour la plupart des organisations, cela implique de revoir les interfaces, les mentions d'information, les procédures internes et la traçabilité des outils utilisés.
Si votre entreprise déploie un agent conversationnel, génère des visuels par IA pour ses campagnes ou automatise des réponses clients, c'est cette échéance qui structure votre feuille de route. Un audit de l'existant permet d'identifier rapidement les écarts et de les prioriser, sans bloquer votre roadmap produit.
2 décembre 2026, interdictions complémentaires et transition
Le 2 décembre 2026 apporte de nouvelles interdictions et organise une transition sur certaines obligations de transparence. Cette date intéresse surtout les fournisseurs dont les systèmes ou modèles étaient déjà commercialisés avant le 2 août 2026. Des dispositions transitoires peuvent leur laisser un délai pour adapter leurs produits, notamment sur le marquage et l'identification des contenus générés par IA.
Il faut donc distinguer quatre régimes : les obligations applicables aux systèmes nouvellement mis sur le marché, les règles transitoires pour les systèmes déjà déployés, le régime particulier des modèles d'IA à usage général et le cas des systèmes intégrés à des produits soumis à une réglementation sectorielle européenne. Un même éditeur peut relever de plusieurs régimes selon ses gammes.
Les deux échéances de 2027, à ne surtout pas confondre
Deux dates distinctes pour les systèmes à haut risque
Le 2 août 2027, chaque État membre doit disposer d'au moins un bac à sable réglementaire opérationnel. Il s'agit d'un environnement encadré permettant de tester un système d'IA innovant sous la supervision d'une autorité compétente, avec un appui sur l'analyse des obligations applicables, l'évaluation des risques et la préparation de la documentation de conformité. Cette date couvre aussi certaines règles relatives aux systèmes à haut risque intégrés dans des produits déjà réglementés, comme les dispositifs médicaux ou les machines.
Le 2 décembre 2027 concerne une autre catégorie, les systèmes à haut risque listés à l'annexe III. Les domaines visés sont la biométrie, les infrastructures critiques, l'éducation et la formation professionnelle, l'emploi et la gestion des travailleurs, l'accès aux services privés essentiels et à certains services publics, l'application de la loi, la gestion de l'immigration et de l'asile, l'administration de la justice et certains processus démocratiques. Les exigences y sont denses, gestion des risques, qualité et gouvernance des données, documentation technique, conservation des journaux d'activité, information des utilisateurs, supervision humaine, robustesse et cybersécurité, évaluation de conformité.
| Date | Sujet principal |
|---|---|
| 2 août 2027 | Mise en place des bacs à sable réglementaires et règles pour les systèmes à haut risque intégrés à des produits réglementés |
| 2 décembre 2027 | Application des règles aux systèmes à haut risque listés à l'annexe III |
À retenir
Une erreur fréquente consiste à écrire que toutes les obligations haut risque s'appliquent le même jour. Le calendrier officiel prévoit bien deux dates distinctes en 2027, selon le fondement juridique du système.
Qui est concerné et quelles sanctions
Le champ d'application est large. Sont visés les fournisseurs qui développent ou commercialisent un système d'IA dans l'Union, les entreprises qui déploient un tel système dans un cadre professionnel, les fournisseurs établis hors de l'Union lorsque les résultats du système y sont utilisés, les importateurs et distributeurs, les fabricants intégrant une fonctionnalité d'IA à un produit, les organismes publics et les fournisseurs de modèles d'IA à usage général. Le lieu d'établissement ne suffit donc pas à écarter le règlement.
L'AI Act prévoit un régime de sanctions, dont les modalités relèvent de la phase du 2 août 2025. Le montant dépend notamment de la nature de la violation, de la taille et du chiffre d'affaires de l'entreprise, du caractère intentionnel du manquement, des circonstances aggravantes ou atténuantes et de la coopération avec l'autorité. Les manquements aux interdictions constituent le niveau le plus sévère. Autrement dit, traiter l'AI Act comme une simple formalité documentaire est une erreur d'appréciation : l'identification des usages interdits et la gouvernance interne passent avant tout, tout comme le rappelle notre article sur le fait que l'absence d'obligation de DPO ne signifie pas l'absence d'obligation de conformité.
Construire son planning de conformité AI Act
Une méthode en sept étapes pour préparer la conformité
Pour une PME, une start up ou un établissement de santé, la préparation suit une logique assez stable, quelle que soit l'échéance visée. Voici les étapes que nous déroulons habituellement.
- Établir un inventaire des systèmes et modèles d'IA réellement utilisés, y compris les outils adoptés spontanément par les équipes.
- Identifier le rôle de l'organisation pour chaque usage, fournisseur, déployeur, importateur ou distributeur.
- Qualifier le niveau de risque, inacceptable, haut risque, risque limité ou minimal, au regard de la finalité et du contexte.
- Vérifier l'absence de pratiques interdites depuis le 2 février 2025.
- Former les personnes qui utilisent ou supervisent les systèmes, au titre de l'alphabétisation à l'IA.
- Documenter les systèmes, encadrer contractuellement les fournisseurs de solutions et préparer les mentions de transparence.
- Organiser la supervision humaine, conserver les journaux utiles et suivre les lignes directrices et normes harmonisées publiées.
Ce travail recoupe largement la conformité RGPD, car la plupart des systèmes d'IA traitent des données personnelles. Registre des traitements, analyse d'impact, durées de conservation et information des personnes servent de socle commun, d'autant que repousser cette mise en conformité comporte ses propres risques. Pour les très petites structures, nous avons détaillé une approche spécifique pour les TPE et petites entreprises.
Anticiper plutôt que subir
Le calendrier de l'AI Act entre 2025 et 2027 laisse une fenêtre d'action réelle, à condition de ne pas attendre la dernière échéance. Les entreprises qui documentent dès maintenant leur inventaire, leur qualification de risque et leurs mesures de transparence abordent sereinement les due diligences, les appels d'offres et les audits clients. Celles qui repoussent découvrent souvent, au pire moment, qu'un usage interne banalisé relève d'une catégorie réglementée.
Chez My DPO Partner, nous accompagnons cette mise en conformité AI Act en croisant gouvernance de l'IA et protection des données, avec des livrables exploitables par vos équipes techniques comme par vos interlocuteurs non techniques.
FAQ sur le calendrier de l'AI Act
L'AI Act s'applique t il aux entreprises qui utilisent seulement des outils IA du marché ?
Oui, en tant que déployeur. Les obligations sont moins lourdes que celles du fournisseur, mais elles existent, notamment l'alphabétisation à l'IA, le respect des interdictions et les mentions de transparence lorsque le système interagit avec des personnes.
Comment savoir si un système relève de l'annexe III ?
Il faut examiner la finalité du système et son contexte d'usage, pas sa technologie. Un même modèle peut être à risque limité dans un cas et à haut risque dans un autre, par exemple s'il sert à trier des candidatures ou à évaluer des salariés.
Comment demander à entrer dans un bac à sable réglementaire ?
Les modalités sont définies au niveau national par l'autorité compétente désignée. Chaque État membre doit disposer d'au moins un dispositif opérationnel au 2 août 2027, avec des critères d'accès et un processus de candidature propres.
Le RGPD continue t il de s'appliquer en parallèle de l'AI Act ?
Oui, les deux textes se cumulent. L'AI Act encadre le système et son cycle de vie, le RGPD encadre les données personnelles traitées. Une analyse d'impact RGPD reste exigée lorsque le traitement présente un risque élevé pour les personnes.
Où consulter les dates officielles en cas de doute ?
Le texte consolidé du règlement est publié sur EUR Lex, le calendrier de mise en oeuvre est accessible via l'AI Act Service Desk de la Commission européenne, et la CNIL publie des questions réponses en français sur les premières obligations. Vous pouvez aussi consulter notre FAQ et cas pratiques pour des situations concrètes.