AI Act : l’échéance d’août 2026 qui concerne aussi les entreprises US

Le 2 août 2026 marque une échéance décisive pour les entreprises américaines — et, plus largement, pour tout acteur non européen — qui déploient des systèmes d’intelligence artificielle sur le marché de l’Union. C’est la date limite de conformité pour les systèmes d’IA à haut risque (high-risk AI systems) prévue par le Règlement européen sur l’intelligence artificielle, communément appelé AI Act. Les entreprises qui n’auront pas accompli les démarches requises s’exposent à des sanctions pouvant atteindre 15 millions d’euros ou 3 % de leur chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Un calendrier sous tension

L’AI Act a été adopté en 2024 et s’applique par étapes. Les interdictions sur certains usages (notation sociale, manipulation subliminale) sont entrées en vigueur en février 2025. Les obligations pour les modèles d’usage général (GPAI) ont suivi en août 2025. Le 2 août 2026 concerne spécifiquement les systèmes classés à haut risque — ceux utilisés dans des domaines sensibles comme l’emploi, l’éducation, l’accès au crédit, la justice, la migration ou la gestion d’infrastructures critiques.

Cependant, le calendrier fait l’objet de débats intenses au sein des institutions européennes. Le Parlement européen a voté à plusieurs reprises des motions visant à reporter certaines échéances, arguant que l’industrie et les autorités de surveillance nationale manquent de temps pour mettre en place les infrastructures de conformité. Le Conseil de l’Union, de son côté, envoie des signaux contradictoires : certains États membres plaident pour le maintien du calendrier afin de préserver la crédibilité réglementaire de l’UE, d’autres demandent des dérogations sectorielles.

Pour les entreprises américaines, cette incertitude institutionnelle complique la planification. Doit-on investir immédiatement dans la conformité ou attendre un éventuel report ? La recommandation des conseillers juridiques spécialisés est unanime : préparer la conformité dès maintenant, car même en cas de report, les obligations ne seront pas supprimées — seulement décalées.

Portée extraterritoriale : le modèle GDPR

Comme le Règlement général sur la protection des données (RGPD), l’AI Act revendique une portée extraterritoriale. Un système d’IA est soumis au règlement dès lors qu’il est mis sur le marché de l’Union, que son output est utilisé par des personnes physiques situées dans l’UE, ou que son fournisseur est établi dans un pays tiers mais cible des utilisateurs européens.

Concrètement, une entreprise américaine qui propose un outil de recrutement assisté par IA, un système de scoring crédit ou une solution de diagnostic médical à des clients européens entre dans le champ d’application, indépendamment de l’endroit où les serveurs sont hébergés ou où le modèle a été entraîné. Cette logique extraterritoriale a déjà été éprouvée avec le RGPD, qui a contraint des milliers d’entreprises non européennes à désigner des représentants dans l’Union et à adapter leurs pratiques de traitement des données.

Fournisseur vs déployeur : deux statuts, deux responsabilités

L’AI Act distingue nettement le fournisseur (provider) — l’entité qui développe le système d’IA ou le met sur le marché — et le déployeur (deployer) — l’entité qui utilise le système dans le cadre de son activité professionnelle. Les obligations diffèrent selon le statut.

Le fournisseur d’un système à haut risque doit :

• Établir un système de gestion des risques documenté.
• Assurer la gouvernance des données d’entraînement, validation et test.
• Rédiger une documentation technique détaillée.
• Mettre en place un enregistrement automatique des événements (logging).
• Garantir un niveau de transparence envers les déployeurs.
• Permettre une supervision humaine effective.
• Atteindre des niveaux appropriés de précision, robustesse et cybersécurité.
• Obtenir une évaluation de conformité et apposer le marquage CE.

Le déployeur, quant à lui, doit :

• Utiliser le système conformément aux instructions du fournisseur.
• Surveiller le fonctionnement du système et signaler les incidents.
• Conserver les logs générés automatiquement.
• Effectuer une analyse d’impact sur les droits fondamentaux lorsque le système traite des données personnelles sensibles.
• Informer les personnes concernées lorsque le système interagit directement avec elles.

Les entreprises américaines opérant via des filiales européennes doivent clarifier en interne quel entité joue quel rôle. Un modèle courant — une maison mère US qui développe le modèle, une filiale irlandaise ou allemande qui le commercialise — peut créer une confusion sur la répartition des obligations si elle n’est pas documentée contractuellement.

Évaluation de conformité

Avant de mettre un système à haut risque sur le marché européen, le fournisseur doit faire réaliser une évaluation de conformité (conformity assessment). Selon la catégorie de risque et le domaine d’application, cette évaluation peut être auto-déclarée ou réalisée par un organisme notifié tiers. Les systèmes utilisés en biométrie, en gestion d’infrastructures critiques ou en éducation professionnelle nécessitent généralement l’intervention d’un organisme notifié.

Le processus comprend l’examen de la documentation technique, des tests de performance, de la robustesse face aux biais et des mesures de cybersécurité. Le résultat est un certificat de conformité qui autorise l’apposition du marquage CE et la mise sur le marché.

Enregistrement dans la base de données UE

Chaque système à haut risque doit être enregistré dans la base de données européenne des systèmes d’IA, gérée par la Commission. L’enregistrement comprend l’identité du fournisseur, la description du système, sa catégorie de risque, l’État membre de mise sur le marché et les références du certificat de conformité. Cette transparence permet aux autorités de surveillance et au public de vérifier qu’un système déployé dans l’UE respecte le cadre réglementaire.

Les entreprises américaines sans établissement dans l’Union doivent désigner un représentant autorisé (authorized representative) établi dans un État membre. Ce représentant est le point de contact des autorités de surveillance et assume une responsabilité partagée avec le fournisseur pour la conformité du système.

Représentant autorisé : une obligation familière

Le mécanisme du représentant autorisé reprend la logique de l’article 27 du RGPD. Il s’agit d’une entité juridique établie dans l’UE — souvent un cabinet juridique, un prestataire de services de conformité ou une filiale — mandatée par écrit pour agir au nom du fournisseur tiers. Le représentant doit être en mesure de produire la documentation technique, de coopérer avec les autorités de surveillance et de recevoir les notifications d’incidents.

De nombreuses entreprises technologiques américaines ont déjà désigné un représentant RGPD en Irlande, aux Pays-Bas ou en France. L’AI Act permet dans certains cas de cumuler les rôles, à condition que le mandat couvre explicitement les deux réglementations.

Sanctions et enforcement

Le régime de sanctions de l’AI Act est calibré sur le modèle du RGPD :

• Infractions majeures (systèmes interdits, non-respect des exigences pour les systèmes à haut risque) : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial.
• Infractions modérées (obligations administratives, documentation insuffisante) : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial.
• Infractions mineures (informations inexactes adressées aux autorités) : jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial.

Pour les PME, des plafonds réduits s’appliquent, mais les grandes entreprises technologiques américaines — dont le chiffre d’affaires se chiffre en dizaines ou centaines de milliards — sont exposées au plafond proportionnel. Un manquement à 3 % du CA peut représenter des montants considérables, créant un levier de conformité comparable à celui du RGPD.

Impact sectoriel pour les entreprises américaines

Technologie et cloud

Les hyperscalers qui proposent des API d’IA (OpenAI via Microsoft Azure, Google Gemini, Amazon Bedrock, Anthropic) doivent clarifier le statut réglementaire de leurs modèles lorsqu’ils sont intégrés dans des applications à haut risque par des clients européens. La chaîne de responsabilité — fournisseur du modèle de base vs fournisseur du système final — fait l’objet de lignes directrices en cours d’élaboration par le Bureau européen de l’IA.

Finance et assurance

Les algorithmes de scoring, d’underwriting et de détection de fraude entrent typiquement dans la catégorie haut risque. Les fintechs et banques américaines actives en Europe doivent cartographier leurs systèmes d’IA, évaluer leur classification et lancer les procédures de conformité si nécessaire.

Santé et pharma

Les dispositifs médicaux intégrant de l’IA relèvent de l’AI Act en complément du règlement MDR (Medical Device Regulation). La double conformité impose une coordination entre les équipes réglementaires produit et les équipes data science.

RH et recrutement

Les outils de tri de CV, d’évaluation de candidats et de monitoring des employés sont explicitement listés comme systèmes à haut risque. Les plateformes de recrutement américaines servant des clients européens — Greenhouse, Lever, HireVue, among others — font face à des exigences de transparence et d’auditabilité accrues.

Stratégies de mise en conformité

Les entreprises américaines qui abordent l’échéance du 2 août 2026 sans préparation adéquate devraient engager un processus structuré en cinq étapes :

1. Inventaire : recenser tous les systèmes d’IA déployés ou proposés sur le marché européen.
2. Classification : déterminer pour chaque système s’il est interdit, à haut risque, à risque limité ou à risque minimal selon les annexes de l’AI Act.
3. Gap analysis : comparer l’état actuel aux exigences applicables et identifier les lacunes documentaires, techniques et organisationnelles.
4. Remédiation : mettre en œuvre les mesures correctives — documentation, tests, gouvernance des données, logging, supervision humaine.
5. Certification et enregistrement : passer l’évaluation de conformité, obtenir le marquage CE, enregistrer le système dans la base de données UE et désigner un représentant autorisé si nécessaire.

Incertitude politique et veille réglementaire

Les votes de report au Parlement européen et les hésitations du Conseil ne doivent pas servir de prétexte à l’inaction. Historiquement, les reports de réglementations européennes sont limités dans le temps et n’allègent pas les obligations finales. Le RGPD a connu des périodes de transition prolongées, mais les amendes finales — plusieurs centaines de millions d’euros cumulées pour les GAFAM — démontrent que l’enforcement finit par se matérialiser.

Les entreprises américaines sont invitées à maintenir une veille active sur les actes d’exécution, les lignes directrices du Bureau européen de l’IA et les décisions des autorités de surveillance nationales — la CNIL en France, l’ICO au Royaume-Uni (hors AI Act stricto sensu mais avec un AI White Paper convergent), la Garante in Italia, le BfDI en Allemagne.

Conclusion

L’échéance du 2 août 2026 place les entreprises américaines face à un choix structurant : traiter l’AI Act comme une contrainte bureaucratic ou comme un avantage compétitif. Les organisations qui disposeront d’une conformité documentée, certifiée et vérifiable pourront commercialiser leurs systèmes d’IA en Europe avec un argument de confiance que leurs concurrents non conformes ne pourront pas opposer. Dans un marché où la confiance réglementaire devient un critère d’achat — en particulier pour les secteurs public et réglementé — la préparation à l’AI Act n’est pas une option, c’est une condition d’accès au marché européen.