Perspectives

Article 26 de l'AI Act : ce que doit faire l'entreprise qui utilise un système à haut risque

L'article 26 ne vise pas ceux qui développent l'IA. Il vise ceux qui l'utilisent. Douze paragraphes, un tri clair sur ceux qui vous concernent, et une date qui a changé cet été.

10 septembre 2026 · Lecture 7 min · AI Act & Conformité

En bref

L'article 26 de l'AI Act vise le déployeur, c'est-à-dire l'entreprise qui utilise un système d'IA à haut risque, pas celle qui le développe. Il compte 12 paragraphes : 8 des 12 paragraphes s'appliquent à toute PME privée concernée, un 9e selon le cas, et 3 ne la concernent pas. Ces obligations s'appliquent au 2 décembre 2027 pour l'annexe III, après le report décidé le 8 juillet 2026.

Qui est visé

Qui est déployeur au sens de l'AI Act ?

« Une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d'IA sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel. »Règlement (UE) 2024/1689, article 3, point 4

Le règlement distingue deux rôles. Le fournisseur développe le système d'IA ou le met sur le marché sous son nom. Le déployeur l'utilise sous sa propre autorité, dans un cadre professionnel. Une PME qui achète un outil de tri de candidatures est déployeur, même si elle n'a écrit aucune ligne de code.

La bascule existe et elle surprend : une entreprise devient fournisseur si elle appose sa marque sur un système à haut risque, ou si elle le modifie substantiellement. Dans ce cas, ce ne sont plus les douze paragraphes de l'article 26 qui s'appliquent, mais le régime bien plus lourd du fournisseur.

L'article 26 ne se déclenche que si le système est classé à haut risque. Rédiger un courrier avec un assistant conversationnel ne l'est pas. Trier des candidatures, évaluer un salarié, décider d'un accès au crédit ou à une assurance, oui. C'est l'usage qui classe, pas l'outil.

Le texte

Les douze paragraphes, et ce qu'ils exigent

La plupart des pages qui traitent l'article 26 recopient le texte. Le tableau ci-dessous ajoute deux colonnes qui manquent partout : la pièce à produire pour chaque obligation, parce qu'une obligation sans preuve ne se contrôle pas, et ce qui concerne réellement une PME privée.

Paragraphe Ce qu'il impose au déployeur La pièce à produire PME privée
§ 1 Utiliser le système conformément à sa notice, par des mesures techniques et organisationnelles. La notice du fournisseur, et la procédure interne qui s'y conforme. Oui
§ 2 Confier la surveillance humaine à des personnes ayant la compétence, la formation, l'autorité et le soutien nécessaires. Le nom du superviseur, sa fiche de poste, sa formation datée. Oui
§ 3 Ces obligations ne remplacent aucune autre obligation légale et ne dictent pas votre organisation interne. Rien à produire. C'est une clause de coordination. Non
§ 4 Quand vous maîtrisez les données d'entrée, veiller à ce qu'elles soient pertinentes et suffisamment représentatives au regard de la destination du système. La description des données injectées et leur origine. Oui
§ 5 Surveiller le fonctionnement, informer le fournisseur et l'autorité en cas de risque, suspendre l'usage si nécessaire, signaler les incidents graves. Le registre de surveillance et la procédure d'alerte. Oui
§ 6 Conserver les journaux générés automatiquement, au moins six mois, sur une durée adaptée à la destination du système. Les journaux eux-mêmes, et la politique de conservation. Oui
§ 7 Informer les représentants du personnel et les travailleurs concernés avant la mise en service sur le lieu de travail. La note d'information au CSE, datée et antérieure à la mise en service. Oui
§ 8 Obligations d'enregistrement pesant sur les autorités publiques et les organismes publics. Sans objet pour une entreprise privée. Non
§ 9 Utiliser les informations reçues du fournisseur pour l'analyse d'impact relative à la protection des données. L'AIPD, mise à jour avec les éléments du système. Selon le cas
§ 10 Identification biométrique à distance a posteriori : autorisation judiciaire ou administrative préalable, documentation de chaque usage, rapports annuels. Sans objet hors usage répressif. Non
§ 11 Informer les personnes physiques qu'elles sont soumises à l'utilisation d'un système d'IA à haut risque. La mention d'information remise au candidat, au client ou au salarié. Oui
§ 12 Coopérer avec les autorités compétentes pour la mise en oeuvre du règlement. Un point de contact désigné dans l'entreprise. Oui

8 des 12 paragraphes s'appliquent à toute PME privée concernée, un 9e selon le cas, et 3 ne la concernent pas. Le paragraphe 3 est une clause de coordination sans obligation propre, le 8 vise les autorités publiques, le 10 l'identification biométrique a posteriori en contexte répressif. Le paragraphe 9 ne joue que si une analyse d'impact protection des données est requise.

En pratique

Par où commencer quand on est concerné

Trois obligations produisent la quasi-totalité du travail, et ce sont celles qui demandent du délai.

La surveillance humaine (§ 2). Il ne suffit pas de désigner quelqu'un. Le texte exige la compétence, la formation, l'autorité et le soutien. Une personne désignée sans pouvoir d'arrêter le système ne remplit pas la condition.

Les journaux (§ 6). Six mois au minimum. La question n'est pas de savoir si vous voulez les conserver, c'est de vérifier que votre fournisseur vous les donne. Beaucoup d'outils vendus en abonnement ne les exposent pas. Cela se négocie au contrat, pas au moment du contrôle.

L'information des travailleurs (§ 7). Elle doit intervenir avant la mise en service. Une information donnée après coup ne rattrape rien, et c'est la seule obligation de l'article 26 dont la date se prouve toute seule.

Le calendrier

À partir de quand l'article 26 s'applique-t-il ?

Le règlement (UE) 2026/1744 du 8 juillet 2026, dit Digital Omnibus sur l'IA, a reporté les obligations relatives aux systèmes à haut risque. Pour l'annexe III, qui couvre le recrutement, l'éducation, le crédit, l'assurance et l'accès aux services essentiels, elles s'appliquent au 2 décembre 2027 et non plus au 2 août 2026. Pour l'annexe I, les systèmes intégrés à des produits réglementés, au 2 août 2028.

Ce report ne suspend rien de ce qui court déjà. L'interdiction des pratiques à risque inacceptable et l'obligation de littératie IA s'appliquent depuis le 2 février 2025, quelle que soit la taille de l'entreprise. Les obligations de transparence et les sanctions sont en vigueur depuis le 2 août 2026.

Quinze mois ne sont pas de trop pour un sujet où la preuve se construit avant le contrôle. La note au CSE, la formation du superviseur et l'accès aux journaux ne se fabriquent pas rétroactivement.

Le voisin immédiat

L'article 27, qui s'ajoute à l'article 26 pour certains déployeurs

L'article 26 ne vient jamais seul pour tout le monde. Certains déployeurs de systèmes de l'annexe III doivent en plus conduire une analyse d'impact sur les droits fondamentaux, prévue à l'article 27, avant la première mise en service.

Sont visés les organismes de droit public et les entités privées qui fournissent des services publics, ainsi que les déployeurs de systèmes d'évaluation de solvabilité et de tarification en assurance vie et santé. Une PME industrielle ou de services qui trie des candidatures relève de l'article 26 sans relever de l'article 27.

C'est une distinction à faire tôt : l'analyse de l'article 27 se construit avant la mise en service et se notifie à l'autorité de surveillance. Elle ne se rattrape pas.

Texte : règlement (UE) 2024/1689, article 27.

Questions fréquentes

Ce que les dirigeants demandent

Quelles sont les obligations d'un déployeur d'IA selon l'article 26 de l'AI Act ?

L'article 26 compte 12 paragraphes. Les principaux imposent au déployeur d'utiliser le système conformément à sa notice, de confier la surveillance humaine à des personnes compétentes et formées, de veiller à la pertinence des données d'entrée qu'il maîtrise, de surveiller le fonctionnement et de signaler les incidents graves, de conserver les journaux au moins six mois, d'informer les représentants du personnel avant la mise en service, d'informer les personnes soumises au système, et de coopérer avec les autorités. 8 des 12 paragraphes s'appliquent à toute PME privée concernée, un 9e selon le cas, et 3 ne la concernent pas.

Mon entreprise est-elle déployeur ou fournisseur au sens de l'AI Act ?

Déployeur, dans l'immense majorité des cas. Le fournisseur développe le système d'IA ou le met sur le marché sous son nom. Le déployeur l'utilise sous sa propre autorité, dans un cadre professionnel. Une PME qui achète un outil de tri de candidatures est déployeur. Elle devient fournisseur si elle appose sa marque sur un système d'IA à haut risque, ou si elle le modifie substantiellement.

Utiliser ChatGPT déclenche-t-il les obligations de l'article 26 ?

Non, sauf usage classé à haut risque. L'article 26 ne s'applique qu'aux systèmes d'IA à haut risque au sens de l'annexe III. Rédiger un courrier ou résumer un document n'en fait pas partie. Trier des candidatures, évaluer un salarié, décider d'un accès au crédit ou à une assurance, oui. C'est l'usage qui classe, pas l'outil.

Combien de temps faut-il conserver les journaux d'un système d'IA à haut risque ?

Au moins six mois, selon le paragraphe 6 de l'article 26, sur une durée adaptée à la destination du système et aux obligations sectorielles applicables. C'est un plancher, pas une cible : un système utilisé dans un processus contentieux gagne à être journalisé plus longtemps.

À explorer aussi

Savoir si vous êtes concerné, avant de savoir quoi faire

La plupart des PME qui s'inquiètent de l'article 26 n'utilisent aucun système à haut risque. Certaines qui ne s'en inquiètent pas en utilisent un. Trente minutes pour trancher votre cas.

Prendre 30 min →