Entré en vigueur en août 2024, le règlement européen sur l’intelligence artificielle s’applique par vagues successives jusqu’en 2028. En 2026, le règlement dit « Omnibus numérique » a décalé plusieurs échéances, ce qui a semé le doute dans de nombreuses entreprises : qu’est-ce qui s’applique déjà, et qu’est-ce qui attendra ?
- Quelles obligations de l’AI Act sont déjà en vigueur dans l’entreprise ?
- Qu’a changé exactement le report voté en 2026 ?
- Quand les outils d’IA de recrutement ou d’évaluation deviendront-ils des systèmes « à haut risque » encadrés ?
- Que peut faire le CSE à chaque étape, sans attendre ?
Découvrez dans cet article le calendrier complet de l’AI Act, date par date, avec pour chaque échéance ce qui change pour l’entreprise, ce que le CSE peut faire et une checklist pour s’organiser.
L’AI Act en bref : un règlement, quatre niveaux de risque
Le règlement (UE) 2024/1689, dit « AI Act », est le premier texte européen qui encadre l’intelligence artificielle. Comme le RGPD, c’est un règlement : il s’applique directement en France, sans loi de transposition. Il vise deux acteurs principaux :
- le fournisseur : l’éditeur qui conçoit l’outil et le met sur le marché ;
- le déployeur : l’organisation qui utilise l’outil dans son activité. Lorsque l’entreprise utilise un logiciel d’IA pour ses salariés, c’est elle, l’employeur, qui est déployeur.
Le règlement classe les systèmes selon leur niveau de risque :
| Niveau | Exemples dans le monde du travail | Régime |
|---|---|---|
| Risque inacceptable | Reconnaissance des émotions des salariés (sauf raisons médicales ou de sécurité), notation sociale, catégorisation biométrique fondée sur des données sensibles | Interdit |
| Haut risque | Tri de CV, sélection des candidats, évaluation, promotion, attribution des tâches, surveillance des performances (annexe III) | Obligations lourdes pour le fournisseur et l’employeur |
| Risque limité | Chatbot, assistant conversationnel, contenus générés (textes, images, vidéos) | Obligations de transparence |
| Risque minimal | Correcteur orthographique, filtre anti-spam | Pas d’obligation spécifique |
Pour le rôle du CSE face à l’IA (consultation, expertise, avis motivé), voir notre article de référence IA et CSE : consultation, droits des élus et méthode. Ici, une seule question : quand chaque obligation s’applique-t-elle ?
Ce que l’Omnibus numérique a changé en 2026
En novembre 2025, la Commission européenne a proposé de simplifier plusieurs textes numériques, dont l’AI Act. Le Parlement européen a voté le texte le 16 juin 2026 et le Conseil de l’Union européenne l’a définitivement adopté le 29 juin 2026. Il s’agit du règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l’Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026.
Ses principaux effets : le haut risque « emploi » (annexe III) passe du 2 août 2026 au 2 décembre 2027 ; le haut risque intégré aux produits (annexe I) passe du 2 août 2027 au 2 août 2028 ; la transparence reste fixée au 2 août 2026, avec un délai au 2 décembre 2026 pour le marquage des contenus ; deux nouvelles interdictions sont créées ; l’obligation de maîtrise de l’IA est assouplie.
À retenir : l’Omnibus a décalé des échéances, il n’a supprimé ni les interdictions déjà en vigueur, ni la classification des outils RH en haut risque, ni l’obligation d’informer les représentants du personnel avant la mise en service d’un tel outil.
La frise chronologique de l’AI Act, date par date
Le tableau ci-dessous résume les sept dates à connaître. Chacune est ensuite détaillée.
| Date | Ce qui s’applique | Statut au 27 octobre 2026 |
|---|---|---|
| 1er août 2024 | Entrée en vigueur du règlement | Passé |
| 2 février 2025 | Pratiques interdites et maîtrise de l’IA | En vigueur |
| 2 août 2025 | Modèles d’IA à usage général, gouvernance, sanctions | En vigueur |
| 2 août 2026 | Transparence (article 50) | En vigueur |
| 2 décembre 2026 | Marquage des contenus générés (systèmes existants), nouvelles interdictions | Dans quelques semaines |
| 2 décembre 2027 | IA à haut risque de l’annexe III (emploi, RH) | À venir |
| 2 août 2028 | IA à haut risque intégrées aux produits (annexe I) | À venir |
1er août 2024 : entrée en vigueur
Ce qui change pour l’entreprise : rien d’immédiat, c’est le point de départ du compte à rebours. Ce que le CSE peut faire : demander quels outils d’IA sont déjà utilisés dans l’entreprise.
2 février 2025 : interdictions et maîtrise de l’IA
Ce qui change pour l’entreprise : les pratiques à risque inacceptable sont interdites. Pour le monde du travail, la plus concrète est l’interdiction de déduire les émotions des salariés sur le lieu de travail (analyse des expressions du visage ou de la voix lors d’appels, par exemple), sauf raisons médicales ou de sécurité. Sont aussi interdites la notation sociale et la catégorisation biométrique visant à déduire des données sensibles. Depuis la même date, l’entreprise doit agir pour que les personnes qui utilisent l’IA en son nom en aient une maîtrise suffisante (article 4).
Depuis l’Omnibus, l’entreprise doit prendre des mesures pour favoriser la maîtrise de l’IA de son personnel, sans devoir garantir un niveau précis : l’obligation demeure, mais comme une obligation de moyens.
Ce que le CSE peut faire : vérifier qu’aucun outil en place ne relève d’une pratique interdite (logiciels d’analyse d’appels, de vidéo ou de « bien-être » des équipes), et demander quelles actions de sensibilisation ou de formation sont prévues. Le sujet trouve naturellement sa place dans la consultation sur la politique sociale, au titre du plan de développement des compétences.
2 août 2025 : modèles d’IA à usage général et gouvernance
Ce qui change pour l’entreprise : cette étape vise surtout les grands éditeurs. Les fournisseurs de modèles d’IA à usage général (ceux qui font fonctionner les assistants comme ChatGPT, Claude, Gemini, Mistral ou Copilot) doivent publier une documentation technique, un résumé des données d’entraînement et respecter le droit d’auteur. La gouvernance européenne se met en place et les règles sur les sanctions deviennent applicables. Pour l’entreprise utilisatrice, l’intérêt est indirect : mieux connaître les outils qu’elle achète.
Ce que le CSE peut faire : lors de la présentation d’un outil, demander quel modèle il utilise, quel éditeur le fournit et quelle documentation l’employeur a obtenue de lui.
2 août 2026 : les obligations de transparence
Ce qui change pour l’entreprise : l’article 50 impose de la transparence envers les personnes. Concrètement :
- un chatbot doit indiquer qu’il est une IA, sauf si c’est évident ;
- les contenus générés par IA doivent être marqués de façon détectable par une machine (obligation du fournisseur) ;
- une image, une vidéo ou un son truqué (« deepfake ») doit être signalé comme tel.
Ce que le CSE peut faire : demander si l’entreprise a mis en place des règles de signalement des contenus générés (communication interne, supports RH, vidéos de formation), et si les salariés savent lorsqu’ils échangent avec un assistant automatisé, par exemple sur un portail RH.
Formation des élus
Les échéances de l’AI Act approchent ?
Formez vos élus à l’IA : cadre légal, questions à poser à la direction, cas pratiques adaptés à vos outils. Décrivez votre besoin et recevez gratuitement jusqu’à 3 devis d’organismes spécialisés.
2 décembre 2026 : marquage des contenus et nouvelles interdictions
Ce qui change pour l’entreprise : les fournisseurs de systèmes générateurs de contenus déjà sur le marché avant le 2 août 2026 disposent jusqu’à cette date pour mettre en place le marquage technique de leurs contenus. Les deux nouvelles interdictions ajoutées par l’Omnibus s’appliquent aussi : génération d’images intimes sans consentement et de contenus pédocriminels.
Ce que le CSE peut faire : proposer que la charte informatique soit complétée par des règles d’usage de l’IA générative, notamment l’interdiction de créer des contenus portant atteinte à l’image d’un collègue.
2 décembre 2027 : les IA à haut risque dans l’emploi
C’est l’échéance la plus importante pour les élus. Les systèmes de l’annexe III, point 4, deviennent soumis aux règles du haut risque : recrutement (diffusion ciblée d’offres, tri de candidatures, évaluation des candidats), décisions de promotion ou de rupture du contrat, attribution des tâches, suivi et évaluation des performances et du comportement.
Ce qui change pour l’entreprise : en tant que déployeur, l’employeur devra notamment (article 26) :
- utiliser l’outil conformément à sa notice d’utilisation ;
- confier le contrôle humain à des personnes compétentes, formées et disposant de l’autorité nécessaire ;
- surveiller le fonctionnement et signaler les incidents au fournisseur ;
- conserver les journaux générés automatiquement pendant au moins six mois ;
- informer les représentants des travailleurs et les travailleurs concernés avant la mise en service de l’outil sur le lieu de travail.
Ce que le CSE peut faire : anticiper, car les outils RH achetés en 2026 seront encore en service fin 2027. Le CSE peut demander que chaque consultation sur un nouvel outil comporte un volet « AI Act » : niveau de risque, notice, contrôle humain, journaux, clauses de conformité du contrat. Pour un outil complexe, le recours à un expert du CSE reste possible dès aujourd’hui.
À noter : l’information prévue par l’AI Act ne remplace pas la consultation du CSE. Les deux s’additionneront : l’information au titre de l’article 26 du règlement, et la consultation préalable au titre du Code du travail.
2 août 2028 : les IA intégrées aux produits
Ce qui change pour l’entreprise : les règles du haut risque s’étendent aux systèmes d’IA qui sont des composants de sécurité de produits déjà réglementés par l’Union (annexe I) : machines industrielles, équipements sous pression, ascenseurs, dispositifs médicaux, jouets… C’est la dernière grande échéance du calendrier.
Ce que le CSE peut faire : dans les sites industriels, intégrer la question dans le suivi des équipements (robots collaboratifs, machines à détection automatique) et dans l’évaluation des risques inscrite au document unique. Le sujet peut aussi être abordé lors de la consultation sur les orientations stratégiques.
Qui contrôlera l’AI Act en France ?
Chaque État doit désigner ses autorités de surveillance. En septembre 2025, le Gouvernement a présenté un schéma de répartition, qui doit encore être consacré par la loi. Au 27 octobre 2026, ce texte d’adaptation est toujours en discussion au Parlement. Selon ce schéma :
- la DGCCRF coordonnerait les autorités de surveillance et serait le point de contact unique ;
- la CNIL serait compétente pour les IA à haut risque dans le domaine de l’emploi, ainsi que pour l’interdiction de la reconnaissance des émotions sur le lieu de travail et la catégorisation biométrique ;
- l’Arcom et la DGCCRF interviendraient notamment sur les obligations de transparence et les contenus générés.
Pour les élus, l’interlocuteur sur les outils RH serait donc la CNIL, déjà compétente en matière de RGPD et de surveillance des salariés.
Les sanctions prévues
Le règlement fixe des plafonds d’amendes administratives (article 99), applicables depuis le 2 août 2025 :
| Manquement | Plafond |
|---|---|
| Pratiques interdites | 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial |
| Autres obligations (haut risque, transparence…) | 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial |
| Informations inexactes ou trompeuses fournies aux autorités | 7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial |
Le plafond retenu est le plus élevé des deux montants, sauf pour les PME (le moins élevé). Ces sanctions sont prononcées par les autorités, pas par le CSE : l’objectif des élus n’est pas d’en brandir la menace, mais d’aider l’entreprise à se mettre en conformité à temps, ce qui sert aussi la sécurité juridique de l’employeur.
Ce qui ne dépend pas du calendrier de l’AI Act
Les reports de l’AI Act ne reportent aucun des droits que le CSE tient d’autres textes.
- La consultation du CSE : elle est due avant l’introduction de nouvelles technologies ou d’un aménagement important modifiant les conditions de travail (article L.2312-8 du Code du travail), et avant la mise en œuvre de moyens de contrôle de l’activité des salariés (article L.2312-38).
- L’information des salariés : aucune donnée les concernant ne peut être collectée par un dispositif qui ne leur a pas été préalablement porté à connaissance (article L.1222-4).
- Le RGPD : finalité, minimisation, durée de conservation, analyse d’impact (article 35), interdiction de principe des décisions fondées exclusivement sur un traitement automatisé (article 22). Voir notre dossier sur la protection des données.
- La non-discrimination : l’article L.1132-1 s’applique même lorsqu’un algorithme aide à décider.
- L’obligation de sécurité : l’employeur doit évaluer les risques, y compris psychosociaux, liés aux nouveaux outils (article L.4121-1).
À retenir : un outil de tri de CV installé aujourd’hui ne sera « haut risque » au sens de l’AI Act qu’à partir du 2 décembre 2027. Mais sa mise en place doit, dès aujourd’hui, être précédée de la consultation du CSE et respecter le RGPD.
La checklist du CSE, échéance par échéance
| Échéance | Questions à poser ou actions à mener |
|---|---|
| Dès maintenant (février et août 2025) | Demander la liste des outils d’IA utilisés. Vérifier qu’aucun n’analyse les émotions des salariés. Demander le plan de sensibilisation ou de formation à l’IA. Demander quel modèle et quel éditeur se trouvent derrière chaque outil. |
| 2 août 2026 (en vigueur) | Les salariés savent-ils quand ils échangent avec un chatbot ? Existe-t-il des règles pour signaler les contenus générés dans la communication interne ? |
| 2 décembre 2026 | Les outils génératifs utilisés sont-ils à jour du marquage ? La charte informatique encadre-t-elle l’IA générative et les contenus truqués ? |
| 2 décembre 2027 | Quels outils RH relèvent de l’annexe III ? Les contrats prévoient-ils la conformité ? Qui assure le contrôle humain, avec quelle formation ? Où sont conservés les journaux ? Quand le CSE sera-t-il informé et consulté ? |
| 2 août 2028 | Quels équipements intègrent de l’IA ? L’évaluation des risques au document unique en tient-elle compte ? Quels investissements sont prévus ? |
Pour inscrire ces questions dans le travail du CSE, le plus simple est de demander un point d’information régulier à l’ordre du jour, par exemple une fois par an, sur l’état de la conformité de l’entreprise à l’AI Act.
Se former au calendrier et aux obligations de l’AI Act
Suivre un règlement qui évolue par étapes demande une méthode. Une formation IA pour les élus du CSE, en intra et adaptée aux outils de l’entreprise, permet de maîtriser la réglementation et le calendrier de l’AI Act, le rôle du CSE et les bons réflexes, à partir de cas concrets. Pour comparer les offres, consultez notre guide des formations IA pour le CSE ou déposez votre demande pour recevoir gratuitement jusqu’à 3 devis.
Besoin d’une formation IA pour votre CSE ?
- Formation en intra, dans vos locaux (2 jours minimum)
- Programme adapté aux outils réellement utilisés dans votre entreprise
- Jusqu’à 3 devis gratuits et sans engagement
FAQ sur le calendrier de l’AI Act
L’AI Act est-il déjà applicable dans mon entreprise ?
Oui, en partie. Les pratiques interdites et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025, les règles sur les modèles d’IA à usage général depuis le 2 août 2025 et les obligations de transparence depuis le 2 août 2026.
Le report à décembre 2027 concerne-t-il tous les outils RH ?
Il concerne les outils de l’annexe III, point 4 : recrutement, sélection, évaluation, promotion, attribution des tâches et surveillance des performances. La reconnaissance des émotions au travail, elle, est interdite depuis février 2025 et n’est pas concernée par le report.
Le CSE doit-il attendre 2027 pour être consulté sur un outil d’IA RH ?
Non. La consultation découle du Code du travail (articles L.2312-8 et L.2312-38) et s’applique dès aujourd’hui. L’AI Act ajoutera en 2027 une obligation d’information spécifique, qui viendra s’ajouter à la consultation.
Le calendrier peut-il encore changer ?
Il a déjà été modifié par le règlement (UE) 2026/1744 ; une nouvelle modification supposerait un nouveau règlement européen. Les dates présentées ici sont celles en vigueur au 27 octobre 2026.
Le CSE peut-il saisir la CNIL au titre de l’AI Act ?
La désignation des autorités françaises est encore en cours. La CNIL peut en revanche déjà être saisie au titre du RGPD pour tout traitement de données des salariés. La voie privilégiée reste le dialogue avec la direction lors de la consultation.
Article mis à jour le 27 octobre 2026