L'EU AI Act (Règlement (UE) 2024/1689) n'entre pas en application d'un seul coup. Le législateur européen a prévu une mise en oeuvre progressive, initialement calée sur 36 mois entre août 2024 et août 2027. Le règlement Digital Omnibus (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a depuis reporté les échéances des obligations relatives aux systèmes à haut risque au 2 décembre 2027 (Annexe III) et au 2 août 2028 (Annexe I). Cette montée en puissance laisse aux entreprises le temps de s'adapter — à condition de ne pas attendre le dernier moment.
Voici la timeline complète, avec ce qui change concrètement à chaque étape. Pour une vue d'ensemble du règlement, consultez d'abord notre guide complet de l'AI Act.
Timeline complète de l'EU AI Act
| Date | Étape | Ce qui change | Qui est concerné |
|---|---|---|---|
| 13 juin 2024 | Signature du règlement | Signature par les présidents du Parlement européen et du Conseil. Le texte est figé. | Tous les acteurs IA |
| 12 juillet 2024 | Publication au JOUE | Publication au Journal officiel de l'Union européenne (série L) | - |
| 1er août 2024 | Entrée en vigueur | Le règlement existe juridiquement. Le compte à rebours commence. | Tous |
| 2 février 2025 | Interdictions + Littératie IA | Les pratiques interdites (art. 5) deviennent effectives. Obligation de littératie IA (art. 4) pour tous les opérateurs. | Tous les fournisseurs et déployeurs |
| 2 août 2025 | GPAI + Autorités | Obligations pour les modèles d'IA à usage général (Chapitre V). Chaque État membre désigne son autorité nationale compétente. | Fournisseurs de modèles GPAI, États membres |
| 2 février 2026 | Lignes directrices haut risque | Date limite pour que la Commission publie ses lignes directrices sur la classification des systèmes à haut risque (art. 6, § 5), avec liste exhaustive d'exemples pratiques. Ce délai n'a pas été modifié par le règlement Digital Omnibus. | Fournisseurs de systèmes à haut risque |
| 2 décembre 2027 | Application complète (Annexe III) | Toutes les obligations pour les systèmes à haut risque listés à l'Annexe III. Régime de sanctions applicable. Base de données EU opérationnelle. Date initialement fixée au 2 août 2026, reportée par le règlement Digital Omnibus (UE) 2026/1744. | Fournisseurs et déployeurs de systèmes à haut risque |
| 2 août 2028 | Extension Annexe I | Obligations pour les systèmes à haut risque intégrés dans des produits couverts par la législation d'harmonisation (Annexe I : machines, jouets, dispositifs médicaux, etc.). Date initialement fixée au 2 août 2027, reportée par le règlement Digital Omnibus (UE) 2026/1744. | Fabricants de produits intégrant de l'IA |
Phase 1 : Les interdictions (2 février 2025)
C'est la première phase concrète. Depuis cette date, huit catégories de systèmes d'IA sont purement et simplement interdites dans l'UE. L'article 5 du règlement ne laisse aucune marge d'interprétation.
Les systèmes concernés :
- Scoring social : évaluation ou classification de personnes sur la base de leur comportement social ou de caractéristiques personnelles, menant à un traitement préjudiciable ou défavorable
- Manipulation subliminale : techniques exploitant des vulnérabilités cognitives au-dessous du seuil de conscience
- Exploitation des vulnérabilités : ciblage de groupes vulnérables (âge, handicap, situation sociale)
- Prédiction criminelle par profilage : évaluation du risque de commission d'infractions basée uniquement sur le profilage
- Moissonnage facial non ciblé : constitution de bases de données de reconnaissance faciale par collecte massive sur internet ou CCTV
- Reconnaissance des émotions au travail et à l'école (sauf raisons médicales/sécurité)
- Catégorisation biométrique sensible : déduction de la race, religion, orientation sexuelle, opinions politiques
- Surveillance biométrique en temps réel dans les espaces publics (sauf exceptions limitées : terrorisme, enlèvement, recherche de suspect)
Parallèlement, l'article 4 impose dès cette date à tout fournisseur et déployeur de systèmes d'IA de garantir un « niveau suffisant de littératie en matière d'IA » au sein de leur personnel. Concrètement, cela signifie former vos équipes.
Phase 2 : Modèles GPAI et gouvernance (2 août 2025)
Cette phase concerne principalement les fournisseurs de modèles d'IA à usage général (GPT, Claude, Gemini, Mistral, LLaMA, etc.) et les États membres.
Pour les fournisseurs de modèles GPAI (articles 51-56) :
- Publier la documentation technique du modèle (Annexe XI)
- Mettre en place une politique de respect du droit d'auteur
- Publier un résumé du contenu d'entraînement
- Pour les modèles à risque systémique (>10^25 FLOPS) : évaluations adversariales, gestion des risques systémiques, reporting des incidents graves
Pour les États membres :
- Désigner l'autorité nationale compétente (« autorité de surveillance du marché »)
- Mettre en place les bacs à sable réglementaires (art. 57-62)
- En France, la DGCCRF assure le rôle de point de contact unique, la CNIL intervenant sur ses compétences propres (biométrie, emploi, éducation)
Phase 3 : Application complète — haut risque Annexe III (2 décembre 2027)
C'est l'échéance majeure. Elle était initialement fixée au 2 août 2026, mais le règlement Digital Omnibus (UE) 2026/1744 l'a reportée au 2 décembre 2027. À cette date, toutes les obligations relatives aux systèmes à haut risque listés à l'Annexe III deviennent pleinement applicables et sanctionnables.
Ce que cela implique concrètement :
- Tout système d'IA à haut risque mis sur le marché ou mis en service après le 2 décembre 2027 doit être pleinement conforme
- Les fournisseurs doivent avoir réalisé l'évaluation de conformité (art. 43) — par auto-évaluation ou via un organisme notifié selon les cas
- Le marquage CE doit être apposé (art. 48)
- Le système doit être enregistré dans la base de données européenne (art. 49)
- Le système de gestion de la qualité doit être en place (art. 17)
- Les déployeurs doivent avoir mis en oeuvre les mesures de contrôle humain, conservation des logs, et le cas échéant l'évaluation d'impact (art. 27)
Pour les systèmes déjà sur le marché avant cette date : l'article 111 prévoit une période transitoire, dont les seuils sont fixés par référence aux dates initiales du règlement. Les systèmes de composants d'IA dans les grands systèmes d'information de l'UE (Eurodac, SIS, VIS) bénéficient d'un délai supplémentaire jusqu'au 31 décembre 2030.
Phase 4 : Produits réglementés — Annexe I (2 août 2028)
Dernière phase : les systèmes d'IA intégrés dans des produits couverts par la législation d'harmonisation de l'UE existante, initialement prévue au 2 août 2027 et reportée au 2 août 2028 par le règlement Digital Omnibus. L'Annexe I liste ces législations :
- Directive Machines (2006/42/CE, remplacée par le Règlement Machines 2023/1230)
- Directive Jouets (2009/48/CE)
- Directive Équipements de loisirs nautiques (2013/53/UE)
- Directive Ascenseurs (2014/33/UE)
- Règlement Dispositifs médicaux (2017/745)
- Règlement Dispositifs médicaux de diagnostic in vitro (2017/746)
- Directive Équipements radio (2014/53/UE)
- Règlement Aviation civile (2018/1139)
Pour ces produits, l'évaluation de conformité IA sera intégrée à la procédure de conformité du produit. Un seul organisme notifié, une seule procédure.
Comment caler votre feuille de route sur ce calendrier ?
La bonne nouvelle : le calendrier progressif permet de séquencer les efforts. Voici une feuille de route type :
| Période | Action | Responsable |
|---|---|---|
| Maintenant - Q2 2026 | Inventaire complet des systèmes IA, classification par risque, gap analysis | DPO / Compliance / CTO |
| Q2 2026 | Documentation technique, système qualité, formation des équipes | Équipe technique + juridique |
| Juillet 2026 | Évaluation de conformité, enregistrement base EU, marquage CE | Fournisseur / Organisme notifié |
| 2 décembre 2027 | Conformité effective — systèmes haut risque Annexe III | Direction générale |
| H2 2026 - H1 2027 | Mise en conformité des produits Annexe I, surveillance post-marché | Fabricants produits + IA |
Pour un plan d'action détaillé adapté aux PME, consultez notre guide de conformité en 10 étapes. Pour comprendre les enjeux financiers d'un retard de mise en conformité, voir notre analyse des sanctions et amendes.
Questions fréquentes
Pas immédiatement pour tous. L'article 111 du règlement prévoit un régime transitoire pour les systèmes à haut risque déjà mis sur le marché ou en service avant la date d'application de l'Annexe III (désormais le 2 décembre 2027, après le report par le règlement Digital Omnibus). Toutefois, les opérateurs doivent veiller à ce que ces systèmes ne présentent pas de risques significatifs et doivent se conformer aux nouvelles exigences en cas de modification importante. Les systèmes d'IA utilisés par les autorités publiques bénéficient d'un délai spécifique allant jusqu'au 2 août 2030 (art. 111, § 2).
À la date de rédaction (août 2026), la France a retenu un schéma à plusieurs autorités : la DGCCRF comme point de contact unique et coordinatrice de la surveillance du marché, la CNIL sur ses compétences propres (biométrie, emploi, éducation) et l'ACPR pour le secteur financier. L'article 70 du règlement exigeait cette désignation pour le 2 août 2025. Plusieurs États membres ont également pris du retard. Le Bureau européen de l'IA (AI Office), opérationnel depuis 2024, supervise l'application au niveau européen, notamment pour les modèles GPAI.
L'article 57 du règlement demande aux États membres de mettre en place au moins un bac à sable réglementaire (regulatory sandbox) national, opérationnel au plus tard le 2 août 2026. En pratique, l'Espagne (via l'AESIA), les Pays-Bas et l'Allemagne ont lancé des programmes pilotes. La France a annoncé un dispositif via la CNIL mais les détails opérationnels restent à préciser. Ces sandboxes permettent aux entreprises, en particulier aux PME, de tester leurs systèmes d'IA dans un environnement supervisé avec un allègement temporaire de certaines obligations.