« On n'est pas concernés par l'IA Act » : l'erreur qui coûtera cher aux entreprises en 2026

« Nous, l'IA, on n'est pas concernés. On ne développe rien, on ne vend rien qui en contienne. »

Cette phrase, nous l'entendons chaque semaine chez des dirigeants de PME, d'ETI et même d'organisations publiques. Elle part d'un raisonnement qui semble logique. Elle est pourtant juridiquement fausse — et elle expose votre organisation à des risques bien réels, dès maintenant.

Voici pourquoi, point par point.

Vous n'utilisez pas l'IA ? Vos équipes, si.

Le premier angle mort est là. L'IA Act ne s'applique pas seulement à ceux qui développent de l'intelligence artificielle. Il s'applique aussi à ceux qui la déploient et l'utilisent — c'est-à-dire, en pratique, à la quasi-totalité des organisations européennes.

Faites le test dans votre entreprise :

• Un module de scoring ou de recommandation s'est glissé dans votre CRM lors d'une mise à jour.

• Votre outil RH propose désormais un tri « intelligent » des candidatures.

• Votre équipe communication génère des visuels et des textes avec l'IA.

• Un copilote bureautique a été déployé avec votre suite Microsoft ou Google.

Et surtout : vos collaborateurs utilisent déjà l'IA, avec ou sans votre accord. ChatGPT est devenu l'un des abonnements personnels les plus souscrits par les salariés. Contrairement à il y a deux ans, son usage n'est plus l'apanage de quelques profils tech : il est massif, quotidien, généralisé. Et une partie de ces usages se fait « en douce », sur des comptes personnels, avec des données de l'entreprise — un phénomène désormais bien identifié sous le nom de shadow AI, qui soulève des problèmes majeurs de RGPD et de confidentialité.

Dès lors que ces usages existent, votre organisation entre dans le périmètre du règlement. La question n'est plus « sommes-nous concernés ? » mais « savons-nous où, comment et par qui l'IA est déjà utilisée chez nous ? ».

« De toute façon, tout est reporté à 2027 » : le faux répit

Deuxième idée reçue, plus récente et plus dangereuse encore.

Oui, l'Union européenne a adopté en juin 2026 le paquet « Digital Omnibus », qui reporte les obligations les plus lourdes — celles visant les systèmes d'IA dits « à haut risque » — à décembre 2027, voire 2028 pour certains produits réglementés.

Beaucoup de dirigeants n'ont retenu qu'une chose : « On a jusqu'en 2027. »

C'est précisément l'erreur qui va coûter cher. Car ce report ne concerne qu'une partie du texte. Trois blocs d'obligations restent pleinement d'actualité :

1. L'obligation de maîtrise de l'IA (article 4) — en vigueur depuis février 2025. Toute organisation qui utilise des systèmes d'IA doit s'assurer que son personnel dispose d'un niveau suffisant de compétences et de compréhension de ces outils. Autrement dit : l'obligation de former vos équipes est déjà applicable. Aujourd'hui.

2. Les pratiques interdites — également en vigueur depuis février 2025.

3. Les obligations de transparence (article 50) — applicables dès le 2 août 2026 : un chatbot doit s'annoncer comme une IA, les contenus générés doivent être signalés comme tels.

Et une date à retenir : le 2 août 2026 marque aussi l'activation des pouvoirs de sanction. Celles-ci peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial — des plafonds supérieurs à ceux du RGPD. En France, la CNIL, la DGCCRF et l'Arcom figurent parmi les autorités désignées pour veiller au grain.

Se reposer sur le report de 2027, c'est confondre la partie et le tout.

« Mes équipes savent déjà utiliser ChatGPT » : savoir prompter n'est pas être formé

Troisième objection, la plus subtile : « Mes collaborateurs utilisent l'IA tous les jours, ils n'ont pas besoin de formation. »

C'est confondre l'usage et la maîtrise.

Savoir rédiger un prompt ne dit rien de la capacité à :

• identifier quelles données peuvent — ou ne peuvent absolument pas — être confiées à un outil d'IA ;

• distinguer un usage conforme d'un usage qui expose l'entreprise (RGPD, secret des affaires, propriété intellectuelle) ;

• reconnaître les limites des modèles (hallucinations, biais, obsolescence des réponses) ;

• comprendre les obligations de transparence qui s'appliquent aux contenus produits.

Et il y a un facteur que l'auto-formation ne peut tout simplement pas suivre : la vitesse d'évolution du domaine. Nouveaux modèles tous les trimestres, nouvelles fonctionnalités toutes les semaines, cadre réglementaire lui-même en mouvement (le Digital Omnibus en est la preuve). Ce rythme impose deux choses aux organisations sérieuses :

• une formation structurée et régulière de l'ensemble des utilisateurs, pas un webinaire ponctuel vite oublié ;

• des référents dédiés à la veille IA en interne, capables de suivre les évolutions techniques et réglementaires et de les traduire en consignes opérationnelles — exactement comme le RGPD a fait émerger la fonction de DPO.

Ce que font déjà les grandes entreprises (et ce que ça vous dit)

Pendant que certaines organisations débattent encore de leur exposition au sujet, les grandes entreprises du CAC 40 ont tranché : elles déploient des vagues de formation massives de leurs collaborateurs à l'IA — usages, risques, conformité.

Ce n'est pas un hasard, et ce n'est pas du zèle. Ces groupes ont fait le même calcul trois fois :

• Un calcul juridique : l'obligation de maîtrise de l'IA est en vigueur, les sanctions arrivent, et la formation documentée est la première preuve de conformité qu'un régulateur demandera.

• Un calcul de risque : un seul salarié qui colle un fichier client dans un compte ChatGPT personnel peut déclencher une violation de données notifiable à la CNIL.

• Un calcul de compétitivité : les équipes formées utilisent l'IA mieux, plus vite et sans danger. L'écart de productivité entre organisations formées et non formées se creuse chaque mois.

Attendre, ce n'est donc pas économiser. C'est creuser simultanément un retard de conformité et un retard de compétitivité — et laisser vos concurrents prendre les deux longueurs d'avance.

Le précédent RGPD : ne refaites pas la même erreur

Souvenez-vous de 2018. Les entreprises qui avaient anticipé le RGPD ont vécu l'échéance sereinement. Les autres ont découvert dans l'urgence les registres de traitement, les analyses d'impact, les mises en demeure — et pour certaines, les amendes.

L'IA Act suit exactement la même trajectoire : un texte européen ambitieux, une application progressive, une période de flou dont beaucoup concluent à tort qu'« on a le temps »... jusqu'au réveil brutal. À une différence près : les plafonds de sanction de l'IA Act sont plus élevés, et la technologie concernée est déjà entre les mains de tous vos collaborateurs.

La bonne nouvelle : contrairement au RGPD à l'époque, vous savez déjà comment l'histoire se termine. Il vous suffit d'en tirer les conséquences quelques mois plus tôt que vos concurrents.

Par où commencer ? Trois actions concrètes

1. Cartographiez vos usages IA réels — y compris la shadow AI. Vous ne pouvez pas encadrer ce que vous ne voyez pas.

2. Formez vos équipes — c'est une obligation légale déjà en vigueur, et c'est le socle de tout le reste : charte IA interne, bonnes pratiques, conformité RGPD des usages.

3. Désignez un ou plusieurs référents IA chargés de la veille technique et réglementaire, pour que la conformité ne soit pas un projet ponctuel mais un processus vivant.

Afcos Consultants vous accompagne

Organisme de formation certifié Qualiopi — vos formations sont donc éligibles aux financements —, Afcos Consultants accompagne les entreprises et le secteur public dans la mise en conformité de leurs équipes avec l'IA Act : cadre juridique, usages autorisés et interdits, bonnes pratiques de sécurité des données, mise en place de chartes IA et de référents internes.

👉 [Découvrez notre formation « Mise en conformité IA Act » →]

Ou demandez un audit gratuit de vos usages IA : en 30 minutes, nous identifions ensemble vos zones d'exposition prioritaires.