Êtes-vous prêt pour l'AI Act ?

1. Quelles dates comptent vraiment ?

Deux surtout, le 2 août 2026 et le 2 décembre 2027, dans un calendrier qui en compte quatre. Le règlement (UE) 2024/1689, dit AI Act, est en vigueur depuis le 1er août 2024¹. Le règlement (UE) 2026/1744, dit « Digital Omnibus » IA, publié au Journal officiel le 24 juillet 2026, a déplacé une partie de son calendrier².

Deux autres dates circulent, et elles sont fausses pour l'admission. Le 2 décembre 2026 vise le marquage lisible par machine, une obligation du fournisseur. En août 2027, rien ne s'applique à l'annexe III (c'était, dans le calendrier initial, la date de l'annexe I, repoussée au 2 août 2028 par l'omnibus).

Vérifiez quelle date figure dans le dernier compte rendu de votre comité de direction.

2. Vos usages sont-ils à haut risque ?

Cela dépend de ce qu'ils font. Le règlement classe des usages, jamais un secteur entier. L'annexe III, point 3, « éducation et formation professionnelle », en nomme quatre³ :

a) systèmes d'IA destinés à être utilisés pour déterminer l'accès, l'admission ou l'affectation de personnes physiques à des établissements d'enseignement et de formation professionnelle, à tous les niveaux ;

b) systèmes d'IA destinés à être utilisés pour évaluer les acquis d'apprentissage, y compris lorsque ceux-ci sont utilisés pour orienter le processus d'apprentissage de personnes physiques dans les établissements d'enseignement et de formation professionnelle, à tous les niveaux ;

c) systèmes d'IA destinés à être utilisés pour évaluer le niveau d'enseignement approprié qu'une personne recevra ou sera en mesure d'atteindre, dans le contexte ou au sein d'établissements d'enseignement et de formation professionnelle à tous les niveaux ;

d) systèmes d'IA destinés à être utilisés pour surveiller et détecter des comportements interdits chez les étudiants lors d'examens dans le contexte d'établissements d'enseignement et de formation ou en leur sein à tous les niveaux.

Le critère tient en une question : que fait le système de la personne ? S'il détermine un accès, évalue des acquis, oriente un parcours ou surveille un examen, il est dans l'annexe. S'il informe, vérifie qu'un dossier est complet ou aide à rédiger un texte sans évaluer personne, il n'y est pas.

Trois cas que vous avez probablement chez vous :

1. 1)L'assistant de votre scolarité renseigne (horaires, pièces à fournir, lieu de dépôt d'un dossier). Il est hors de l'annexe III. Le même assistant qui oriente un étudiant vers un parcours ou traite une demande de dérogation y entre. Ce changement peut venir d'une simple consigne modifiée : sans feuille des usages datée, personne ne le voit.
2. 2)L'aide à la rédaction d'un syllabus propose un texte à l'enseignant, qui le reprend ou non. Elle reste hors de l'annexe III tant qu'elle n'évalue personne.
3. 3)Une admission où des agents lisent les dossiers, les classent et en écartent est dans l'annexe III. Une admission où des agents vérifient la complétude, réclament les pièces manquantes et préparent une fiche de synthèse pour un jury qui décide se rapproche d'une aide à l'instruction. Ne la sortez de l'annexe III que sur une qualification écrite et validée par votre conseil ; d'ici là, traitez l'admission comme un usage à haut risque : l'agent prépare et trace, le jury décide.

Quelle que soit la catégorie, faites valider chaque décision par un humain. Pour un usage à haut risque, un contrôle vous demandera de le prouver : à quelle étape un humain valide, qui, avec le droit de refuser.

3. Que vous demande la loi comme déployeur ?

Le fournisseur conçoit le système ; vous, déployeur, l'utilisez. Pour un système à haut risque, l'article 26 fixe vos obligations ; en voici cinq⁴ :

1. 1)Utiliser le système conformément à la notice que le fournisseur doit vous remettre (article 13 : ce qu'il fait, ses limites, comment le surveiller). Exigez-la avant de signer.
2. 2)Confier le contrôle humain (article 14) à des personnes qui ont la compétence, la formation et l'autorité nécessaires, y compris pour passer outre et arrêter le système. Un gestionnaire qui ne peut pas refuser un brouillon n'exerce pas ce contrôle.
3. 3)Conserver les journaux que le système génère automatiquement, six mois au moins (§6). C'est un plancher ; vos règles d'archivage et votre DPO fixent la durée réelle.
4. 4)Informer les représentants du personnel et les personnels concernés avant la mise en service (§7). Le texte n'exige pas d'écrit ; une note datée prouve que l'information a précédé la mise en service.
5. 5)Informer les candidats et les étudiants qu'ils sont soumis à un tel système, quand il prend ou aide à prendre une décision qui les concerne (§11).

Un établissement public doit en outre mentionner, sur toute décision individuelle prise sur le fondement d'un traitement algorithmique, que c'est le cas⁵. Examinez sous cet angle un refus d'admission instruit avec des agents.

L'article 50 vaut pour tout système qui échange directement avec des personnes, à haut risque ou non, et il s'applique déjà. Le fournisseur doit concevoir le système pour que la personne sache qu'elle échange avec une IA, au plus tard au premier échange. Vérifiez que la mention apparaît sur vos propres canaux (site, messagerie, réponses aux candidats). Indiquer comment joindre un humain va au-delà du texte et tient en une ligne.

4. Que demandera un contrôle en premier ?

La liste de vos agents. Quand chaque service ajoute les siens sans liste commune, personne ne peut dire lesquels sont conformes. Un contrôle commencera donc par la feuille des usages : chaque agent en service ou en essai, ce qu'il fait, sa catégorie (annexe III ou non) justifiée en une phrase, datée et signée. Fixez la règle : aucun agent n'entre en service sans y figurer.

Il demandera ensuite sept pièces écrites :

1. 1)Les trois noms par agent : qui conçoit (consignes et accès, chaque version gardée), qui surveille (lit le journal, peut arrêter l'agent), qui signe ce qui sort. L'article « Comment gouverner vos agents IA ? » en donne la méthode.
2. 2)L'étape de validation humaine sur la carte du processus : laquelle, par qui, dans quel délai, avec le droit de refuser.
3. 3)Le relevé de formation de ceux qui valident (article 26 §2).
4. 4)Le journal : ce qu'il contient (ce que l'agent a lu, ce qu'il a produit, qui a validé ou refusé), combien de temps il est gardé, qui peut l'exporter.
5. 5)La mention de transparence, visible au moment de l'échange (une ligne dans les conditions générales n'informe personne au premier échange).
6. 6)Le dossier d'information : la note aux personnels datée d'avant la mise en service, les mentions aux candidats et aux étudiants, l'analyse d'impact de l'article 27 si vous y êtes tenu.
7. 7)La notice du fournisseur et le contrat qui fixe l'usage prévu (par exemple, que le système ne sert pas de critère déterminant d'admission).

La plupart tiennent sur une page. Le référent de l'action 2 ci-dessous les rédige et les tient à jour avec le DPO.

N'attendez pas un texte propre aux agents. La note exploratoire publiée le 20 juillet 2026 par la CNIL et le CIANum (Conseil de l'IA et du Numérique) rappelle que le RGPD et le règlement IA s'appliquent déjà à l'IA agentique, avec des modalités à adapter⁶. Parmi les risques qu'elle nomme : perte de maîtrise sur les données personnelles, profils hyperpersonnalisés, autonomie décisionnelle accrue, partage des responsabilités entre acteurs, cybersécurité étendue à l'ensemble des services connectés. Un agent qui croise assiduité, notes et retards de paiement pour repérer un étudiant en difficulté construit un profil, même s'il se contente d'alerter un référent. Votre DPO doit l'avoir examiné avant la première donnée traitée.