AI Act pour les startups tech : quelles obligations s'appliquent et quand (guide 2026)

Si votre startup touche à l'intelligence artificielle — ne serait-ce qu'en intégrant un modèle tiers dans votre produit —, le règlement (UE) 2024/1689, connu sous le nom d'AI Act, vous concerne déjà. Et pas seulement si vous entraînez des modèles : il suffit de déployer un chatbot de service client, de générer du contenu avec l'IA ou de construire un système qui note des candidats dans un processus de recrutement.

La bonne nouvelle, c'est que la plupart des startups ne relèvent pas des catégories les plus exigeantes. La mauvaise, c'est que presque toutes assument une obligation, que le calendrier vient de bouger (mi-2026, avec le Digital Omnibus) et que les sanctions en cas de manquement se comptent en millions. Mettons de l'ordre dans tout ça.

Ce qu'est l'AI Act et pourquoi il est horizontal

L'AI Act est le premier cadre réglementaire complet au monde sur l'intelligence artificielle. Il est entré en vigueur le 1er août 2024 (art. 113) et ne réglemente pas des secteurs précis : il s'applique de façon horizontale à tout système d'IA mis sur le marché ou mis en service dans l'Union européenne, quel que soit le lieu d'établissement du fournisseur. Autrement dit : si votre produit atteint des utilisateurs dans l'UE, il vous est applicable même si votre société est immatriculée au Delaware ou à Londres.

Sa logique est simple à énoncer et plus difficile à appliquer : plus le risque qu'un système fait peser sur les droits et la sécurité des personnes est élevé, plus les obligations pesant sur celui qui le développe ou l'utilise sont importantes. C'est pourquoi la première question à se poser pour tout produit n'est pas « dois-je me conformer à l'AI Act ? » mais « dans quel niveau de risque se situe ce que je construis ? » En tant qu'avocats spécialisés en droit des technologies, cette classification est toujours la première étape de toute analyse.

Les quatre niveaux de risque (et où se situe généralement une startup)

Risque inacceptable (interdit, art. 5). Une poignée de pratiques sont purement et simplement interdites : manipulation subliminale causant un préjudice, exploitation de vulnérabilités, notation sociale de type étatique, catégorisation biométrique pour déduire des données sensibles, ou reconnaissance faciale de masse par scraping indiscriminé, entre autres. Le Digital Omnibus a ajouté à cette liste la génération d'images intimes non consenties (« nudifiers ») et les contenus pédopornographiques. Si votre modèle économique repose sur l'un de ces éléments, aucune conformité n'est possible : il faut le repenser.

Systèmes d'IA à haut risque (annexe III et annexe I). C'est ici que se concentre l'essentiel de la charge réglementaire. L'annexe III recense des usages concrets considérés à haut risque en raison de leur impact : systèmes de sélection et d'évaluation du personnel (un ATS qui filtre des CV en relève pleinement), notation de crédit, accès à l'éducation, gestion des infrastructures critiques, biométrie, ou certaines applications dans le domaine de la justice et des forces de l'ordre. L'annexe I couvre l'IA intégrée dans des produits déjà régis par une réglementation sectorielle de sécurité (dispositifs médicaux, machines, véhicules). Si votre produit relève de cette catégorie, vous assumez les obligations les plus lourdes : système de gestion des risques sur tout le cycle de vie, gouvernance des données d'entraînement, documentation technique, supervision humaine, enregistrement et marquage CE, entre autres.

Risque limité (obligations de transparence, art. 50). C'est là que se situe la majorité des startups qui utilisent l'IA sans construire de systèmes à haut risque. Si votre produit interagit avec des personnes (un chatbot), vous devez les informer qu'elles échangent avec une IA. Si vous générez ou manipulez du contenu (texte, image, audio, vidéo), vous devez le signaler comme généré artificiellement, y compris par un marquage lisible par machine pour le contenu synthétique. Ce sont des obligations gérables, mais bien réelles, et beaucoup d'entreprises les découvrent trop tard.

Risque minimal. Le reste (filtres anti-spam, systèmes de recommandation basiques, IA dans les jeux vidéo) n'entraîne pas d'obligations spécifiques au-delà de bonnes pratiques volontaires.

S'y ajoute une couche transversale : si vous utilisez un modèle d'IA à usage général (GPAI) d'un tiers (les grands LLM du marché), le fournisseur du modèle a ses propres obligations depuis août 2025, mais vous, en tant que déployeur qui l'intègre et le met en œuvre, restez responsable de l'usage que vous en faites au sein de votre produit.

Le calendrier réel après le Digital Omnibus

C'est le point à examiner de près, car le scénario de 2024 n'est plus celui en vigueur. Constatant que l'infrastructure réglementaire (normes harmonisées, outils de soutien) n'était pas prête à temps, la Commission a présenté le 19 novembre 2025 le Digital Omnibus, qui retarde l'application des obligations à haut risque. À la suite de l'accord politique conclu en mai 2026 et du soutien ultérieur du Parlement européen et du Conseil, le calendrier applicable se présente désormais ainsi :

Lecture pratique : les interdictions et les obligations GPAI sont déjà en vigueur, la transparence de l'art. 50 reste fixée à août 2026, et le grand bloc des obligations à haut risque a été déplacé à décembre 2027 et août 2028. C'est un report, pas une amnistie : l'architecture du règlement demeure intacte.

Que devrait faire un fondateur dès aujourd'hui

Commencez par un exercice de classification honnête : passez en revue chaque fonctionnalité d'IA de votre produit au regard des quatre niveaux. La plupart découvrent qu'ils relèvent du « risque limité », avec un véritable devoir de transparence plutôt qu'un système complet de gestion des risques à mettre en place. Mais mieux vaut le faire par écrit, car lors de la due diligence d'une levée de fonds, un investisseur avisé posera précisément cette question.

Si vous vous révélez être à haut risque (un ATS de recrutement ou un moteur de scoring le sont), le report à 2027 et 2028 vous donne de l'air, mais ce n'est pas une excuse pour ne pas commencer : construire la documentation technique, la gouvernance des données et la supervision humaine prend des mois, pas des semaines. Considérez les nouvelles échéances comme une piste d'envol, pas une raison de mettre le sujet de côté.

Et si vous relevez de la transparence, réglez-le dès maintenant : informer que l'on interagit avec une IA et étiqueter le contenu généré coûte peu à mettre en œuvre et cher à ignorer.

Les risques que nous signalons en rouge

L'erreur la plus courante est de penser que « c'est pour OpenAI, pas pour moi ». L'AI Act s'applique aussi au déployeur, pas seulement à celui qui entraîne le modèle. Intégrer un LLM tiers dans votre SaaS ne vous en exempte pas.

La deuxième erreur est de lire le report comme un blanc-seing. Les obligations de transparence d'août 2026 n'ont pas bougé sur le fond, et les interdictions sont en vigueur depuis février 2025.

Et il faut garder à l'esprit l'ampleur des sanctions (art. 99) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites ; jusqu'à 15 millions ou 3 % pour les autres manquements ; et jusqu'à 7,5 millions ou 1 % pour avoir fourni des informations inexactes aux autorités. Pour les PME et les startups, le règlement prévoit l'application du montant le plus faible des deux, ce qui atténue le coup sans le supprimer.

L'AI Act interagit aussi avec le RGPD dès lors que des données personnelles sont en jeu — ce qui est presque toujours le cas. Un système d'IA qui traite des données personnelles doit respecter les deux cadres à la fois, et l'analyse d'impact de l'un ne remplace pas celle de l'autre. Pour approfondir le croisement entre IA et protection des données, nous avons un guide dédié à la réglementation de l'IA et des données sensibles au regard du RGPD.

Questions fréquentes

Notre vision chez Satya Legal

Bien classer un produit, c'est la moitié du travail, et c'est là que l'on économise ou perd le plus d'argent. Nous avons vu des startups sur-se conformer par crainte (mettre en place des structures de haut risque pour un produit qui ne nécessitait que de la transparence) et d'autres sous-se conformer par méconnaissance. Le point d'équilibre reste le même : comprendre exactement où l'on se situe, se conformer à ce qui est requis, pas plus, et le documenter pour le jour où un investisseur posera la question.