L'AI Act (règlement UE 2024/1689) s'applique à toute entreprise utilisant ou distribuant des systèmes d'IA dans l'UE, tech ou non, et classe ces systèmes en quatre niveaux de risque. Les systèmes interdits le sont depuis le 2 février 2025 ; les systèmes à haut risque de l'annexe III devront être pleinement conformes au 2 décembre 2027 et ceux de l'annexe I au 2 août 2028, après le report introduit par le règlement (UE) 2026/1744 (omnibus numérique sur l'IA), en vigueur depuis le 27 juillet 2026.
Le Règlement (UE) 2024/1689 sur l'Intelligence Artificielle, connu sous le nom d'AI Act, est la première législation mondiale globale sur l'IA et s'applique directement dans tous les États membres de l'UE sans transposition nationale. Ce n'est pas une directive que chaque pays adapte ; c'est un règlement d'application directe et obligatoire. Si votre entreprise utilise, développe, importe ou distribue des systèmes d'IA sur le marché européen, elle a déjà des obligations actives. Ce qui reste à activer, selon les délais en vigueur au 30 juillet 2026, ce sont les règles les plus exigeantes pour les systèmes à haut risque. Mais cela ne signifie pas attendre : le temps de se préparer, c'est maintenant.
Ce guide explique, de façon concrète et sans jargon inutile, ce qu'impose l'AI Act à une entreprise en 2026, quels sont les délais réels après la dernière réforme (l'omnibus numérique sur l'IA, règlement (UE) 2026/1744), quelles sanctions vous risquez si vous n'agissez pas et comment structurer la conformité depuis un département de compliance ou depuis la direction générale.
Qu'est-ce que l'AI Act et pourquoi vous concerne-t-il même si vous n'êtes pas une entreprise technologique ?
L'AI Act ne réglemente pas uniquement les entreprises qui développent des logiciels d'intelligence artificielle. Il réglemente toute organisation qui met en service ou utilise un système d'IA dans l'Union européenne, qu'elle ait acheté ce système à un fournisseur externe ou qu'elle l'ait développé en interne. Un cabinet d'avocats qui utilise un système automatisé pour examiner des contrats, une entreprise industrielle qui applique la vision artificielle sur sa ligne de production, un département RH qui utilise un logiciel de sélection avec algorithmes de notation des candidats : tous entrent dans le champ d'application du règlement.
Le règlement classe les systèmes d'IA en quatre catégories selon le niveau de risque qu'ils présentent pour les droits fondamentaux et la sécurité des personnes. Cette classification détermine quelles obligations concrètes incombent à chaque opérateur.
Les quatre catégories de risque de l'AI Act
| Catégorie | Description | Exemples | Régime applicable |
|---|---|---|---|
| Risque inacceptable (interdit) | Systèmes qui portent atteinte aux droits fondamentaux ou manipulent les personnes à leur insu | Notation sociale par des autorités publiques ; manipulation subliminale ; biométrie à distance en temps réel dans les espaces publics (avec exceptions) ; systèmes exploitant les vulnérabilités de groupes protégés ; et, à titre de nouvelle interdiction, la génération ou la manipulation de matériel intime ou sexuellement explicite réaliste représentant une personne identifiable sans le consentement de celle-ci | Interdiction absolue depuis le 2 février 2025 ; les deux interdictions ajoutées par le règlement (UE) 2026/1744 s'appliquent à partir du 2 décembre 2026 |
| Haut risque (Annexe III) | Systèmes ayant un impact significatif sur les droits, la sécurité ou l'accès aux services essentiels | Logiciel de notation automatisée des candidats RH ; scoring de crédit ; systèmes de catégorisation biométrique ; outils d'évaluation éducative ; gestion des infrastructures critiques ; systèmes de décision en matière de migration et d'asile | Obligations complètes à partir du 2 décembre 2027 (délai reporté par le règlement (UE) 2026/1744) |
| Haut risque (Annexe I) | IA intégrée dans des produits réglementés par une législation sectorielle (machines, dispositifs médicaux, véhicules, jouets…) | Diagnostic médical assisté par IA ; systèmes de contrôle de machines industrielles ; IA dans les véhicules autonomes | Obligations complètes à partir du 2 août 2028 |
| Risque limité | Systèmes présentant des risques de transparence gérables par information de l'utilisateur | Chatbots ; générateurs d'images ou de texte ; systèmes de recommandation | Obligations de transparence au titre de l'article 50 (informer l'utilisateur qu'il interagit avec une IA). Ce n'est pas un niveau situé sous le haut risque : ces obligations se déclenchent selon le type de système et peuvent aussi s'appliquer à un système à haut risque |
| Risque minimal | Systèmes sans impact significatif sur les personnes | Filtres antispam ; assistants de recherche interne ; outils de productivité de base | Aucune obligation attachée à ce niveau de risque, mais l'obligation horizontale de maîtrise de l'IA de l'article 4 continue de s'appliquer, comme le reste du droit (RGPD, droit du travail, consommation). L'article 95 prévoit des codes de conduite volontaires |
Délais réels au 30 juillet 2026 : ce qui est déjà en vigueur et ce qui arrive
L'un des aspects les plus déroutants de l'AI Act est son calendrier échelonné. Nous détaillons ci-dessous les étapes déjà en vigueur et les prochaines, en intégrant les modifications introduites par le règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026, l'omnibus numérique sur l'IA, publié au JO L, 2026/1744, 24.7.2026 et en vigueur depuis le 27 juillet 2026 en vertu de son propre article 4. Ce n'est pas un accord politique en attente d'adoption : c'est du droit de l'Union en vigueur, qui reporte les délais applicables aux systèmes à haut risque et ajoute de nouvelles pratiques interdites.
Février 2025 — Interdictions absolues en vigueur
Depuis le 2 février 2025, les pratiques d'IA considérées comme présentant un risque inacceptable sont interdites (article 5 du Règlement) : manipulation subliminale, notation sociale par des organismes publics, biométrie à distance en temps réel dans les espaces publics (sauf exceptions de sécurité nationale strictement définies), systèmes exploitant les vulnérabilités de groupes spécialement protégés, et systèmes d'inférence des émotions sur le lieu de travail ou dans les établissements d'enseignement, sauf lorsque le système est destiné à être mis en place ou mis sur le marché pour des raisons médicales ou de sécurité. Si votre entreprise utilisait l'un de ces systèmes, elle aurait dû le retirer ou l'adapter avant cette date.
2025 — Maîtrise de l'IA, modèles GPAI et gouvernance
Deux blocs d'obligations pertinents pour pratiquement toute entreprise sont déjà en vigueur, à deux dates différentes :
- Article 4 — Maîtrise de l'IA, depuis le 2 février 2025 : l'obligation relève des chapitres I et II, applicables depuis le 2 février 2025 (article 113, troisième alinéa, point a). Sa rédaction a changé le 27 juillet 2026 : l'article 4 a été intégralement remplacé par l'article 1er, point 5, du règlement (UE) 2026/1744, et les fournisseurs comme les déployeurs prennent désormais des mesures « pour soutenir la promotion » de la maîtrise de l'IA de leur personnel et des autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte. L'article ajoute expressément que « cette obligation n'exige pas que les fournisseurs ou les déployeurs garantissent un niveau spécifique de maîtrise de l'IA d'une personne en particulier ». L'obligation est donc passée d'une obligation de résultat à une obligation de moyens — mais elle existe toujours et reste exigible. Le règlement ne prescrit aucun nombre d'heures de formation et la Commission doit publier des exemples pratiques de mise en conformité sur la plateforme d'information unique visée à l'article 62, paragraphe 3, point b).
- Articles 51-55 — Modèles d'IA à usage général (GPAI), depuis le 2 août 2025 : en même temps que le chapitre sur la gouvernance et le régime de sanctions, également applicables depuis cette date, les entreprises qui développent ou adaptent des modèles de langage à grande échelle (de type GPT, Claude, Llama) pour leur distribution dans l'UE ont des obligations de documentation, d'évaluation des risques systémiques et d'enregistrement. Cela concerne principalement les fournisseurs de technologie, mais aussi les entreprises qui affinent (fine-tuning) des modèles pour un usage interne à grande échelle.
Août 2026 — Date générale d'application
Le 2 août 2026 est la date à laquelle l'AI Act atteint sa pleine application pour l'essentiel des obligations générales, et le règlement (UE) 2026/1744 ne l'a pas déplacée : le considérant 40 de l'omnibus lui-même renvoie au 2 août 2026 comme date générale d'application. Bien que les délais applicables aux systèmes à haut risque aient été reportés, le reste du Règlement — y compris les obligations de gouvernance, de transparence et de maîtrise de l'IA — est exigible et sanctionnable. Une réserve sur l'exécution en Espagne : l'Espagne n'a pas encore adopté la loi désignant les autorités nationales de surveillance du marché ni fixant la procédure de sanction nationale ; un projet de loi organique (dossier parlementaire 121/000096) est encore au stade des amendements, le délai de dépôt ayant été prolongé jusqu'au 2 septembre 2026. L'AESIA devrait assumer les missions de surveillance du marché une fois la loi espagnole adoptée.
Décembre 2027 — Obligations complètes pour les systèmes à haut risque (Annexe III)
Suite au règlement (UE) 2026/1744, les systèmes classés à haut risque au titre de l'article 6, paragraphe 2, et de l'annexe III (biométrie, RH, crédit, infrastructures critiques, éducation, migration, justice) doivent respecter le régime complet de l'AI Act à partir du 2 décembre 2027. Deux précisions qui se perdent souvent : ce qui est reporté est la date d'application du chapitre III, sections 1, 2 et 3, à l'exception expresse de l'article 6, paragraphe 5 — et non l'AI Act dans son ensemble ; et le report comporte deux dates, dont la seconde figure à la section suivante. Ce décalage de seize mois par rapport à la date initiale (2 août 2026) donne du temps aux entreprises et aux administrations. Toutefois, la préparation doit commencer maintenant : les exigences sont substantielles (voir la section suivante).
Août 2028 — Systèmes à haut risque intégrés dans des produits (Annexe I)
Les systèmes d'IA intégrés dans des produits soumis à une législation sectorielle de sécurité (Directive Machines, Règlement sur les dispositifs médicaux, etc.) — c'est-à-dire les systèmes à haut risque au titre de l'article 6, paragraphe 1, et de l'annexe I — ont jusqu'au 2 août 2028 pour se conformer.
Décembre 2026 — Deux échéances distinctes qui tombent le même jour
Le règlement (UE) 2026/1744 ajoute deux obligations qui échoient le 2 décembre 2026 et qu'il ne faut pas confondre. D'une part, le nouvel article 111, paragraphe 4, de l'AI Act laisse aux fournisseurs de systèmes d'IA qui génèrent du contenu de synthèse audio, image, vidéo ou texte et qui ont été mis sur le marché avant le 2 août 2026 jusqu'à cette date pour se conformer à l'article 50, paragraphe 2 — le marquage des sorties dans un format lisible par machine. D'autre part, les deux nouvelles pratiques interdites insérées à l'article 5, paragraphe 1, premier alinéa, points b bis) et b ter), ainsi que les deux nouveaux paragraphes qui délimitent leur déclenchement, deviennent applicables à cette même date.
Quelles obligations concrètes votre entreprise a-t-elle si elle utilise des systèmes à haut risque ?
Si votre entreprise exploite des systèmes classés à haut risque (un module de notation des candidats en RH, un système de scoring pour l'approbation de crédit interne, une plateforme de vidéosurveillance avec reconnaissance faciale…), les obligations de l'AI Act sont les plus exigeantes du Règlement. Voici l'essentiel de ce que vous devrez avoir documenté et opérationnel avant le 2 décembre 2027 :
1. Système de gestion des risques spécifique à l'IA
Vous devez établir, documenter, appliquer et maintenir un système de gestion des risques tout au long du cycle de vie du système d'IA. Une clause dans le contrat avec le fournisseur ne suffit pas : il faut identifier les risques raisonnablement prévisibles du système, les estimer, les évaluer et adopter des mesures de gestion proportionnées. Ce processus doit être révisé périodiquement et à chaque modification substantielle du système.
2. Gouvernance et qualité des données d'entraînement
Si vous développez ou adaptez le modèle, vous devez documenter vos pratiques de gouvernance des données : origine des données, procédures d'épuration, biais identifiés et mesures correctives. Même en tant que déployeur (entreprise qui achète et utilise le système sans le développer), vous avez l'obligation de surveiller que le système fonctionne conformément à sa finalité et de documenter les incidents.
3. Documentation technique et journaux d'activité
L'AI Act exige une documentation technique détaillée pour chaque système à haut risque : description du système, finalité prévue, données utilisées, métriques de performance, limitations connues et mesures de surveillance humaine. De plus, les systèmes à haut risque doivent générer des journaux automatiques (logs) permettant de retracer leur fonctionnement pendant une période minimale de six mois à compter de l'utilisation.
4. Transparence et information des utilisateurs
Les personnes concernées par un système à haut risque (candidats évalués, demandeurs de crédit, personnes dans des zones de vidéosurveillance) doivent recevoir des informations claires sur l'existence du système, sa finalité et les droits dont elles disposent. Cela s'intègre aux droits du RGPD (articles 13 et 14) lorsque le système traite des données personnelles.
5. Supervision humaine
Les systèmes à haut risque doivent être conçus pour que des personnes physiques puissent surveiller, interrompre ou annuler leur fonctionnement. En pratique, cela signifie qu'aucune décision à fort impact — sélection d'un candidat, refus de crédit, restriction d'accès à un service essentiel — ne peut être adoptée de manière entièrement automatisée sans possibilité de révision humaine.
6. Évaluation de conformité et enregistrement
Avant de mettre en service un système à haut risque, une évaluation de conformité doit être réalisée. Pour la plupart des systèmes de l'Annexe III, cette évaluation peut être effectuée par le fournisseur lui-même par auto-évaluation, à condition de disposer de la documentation requise. Le système doit être enregistré dans la base de données européenne sur l'IA (gérée par la Commission européenne) avant sa mise en service.
Obligations applicables à toutes les entreprises (pas seulement à haut risque)
Même si votre entreprise n'utilise pas de systèmes à haut risque, l'AI Act impose des obligations horizontales déjà en vigueur ou entrant en vigueur en août 2026 :
- Maîtrise de l'IA (art. 4) : applicable depuis le 2 février 2025 et reformulée le 27 juillet 2026 par le règlement (UE) 2026/1744. Vous devez prendre des mesures pour soutenir la promotion de la maîtrise de l'IA chez les personnes qui font fonctionner ou utilisent l'IA pour votre compte ; vous n'êtes pas tenu de garantir un niveau spécifique pour une personne en particulier. La formation aux capacités, aux limites et aux risques reste la façon pratique de démontrer que ces mesures ont été prises.
- Transparence des systèmes conversationnels et génératifs (art. 50) : si vous utilisez un chatbot de service client, vous devez informer les utilisateurs qu'ils interagissent avec un système d'IA, sauf si cela est évident d'après le contexte.
- Marquage du contenu généré par l'IA : le contenu vidéo, image ou audio généré ou significativement manipulé par l'IA (y compris les deepfakes) doit être marqué de manière lisible par machine. Cela concerne les campagnes marketing utilisant des images ou vidéos synthétiques.
- Révision de l'inventaire des outils d'IA : bien que ce ne soit pas une exigence formelle expresse du Règlement, c'est une pratique de conformité standard que toute entreprise réalise un inventaire des systèmes d'IA qu'elle utilise ou commercialise, avec une classification de risque initiale. L'AESIA a publié 16 guides d'appui à la conformité à l'AI Act pour les systèmes à haut risque, annoncés le 16 décembre 2025, qui constituent une référence utile pour cet exercice.
Sanctions : combien pouvez-vous perdre en ne respectant pas l'AI Act ?
Le régime de sanctions de l'AI Act est le plus élevé de toute la réglementation numérique européenne, dépassant même le RGPD dans les cas les plus graves :
| Type d'infraction | Sanction maximale |
|---|---|
| Utilisation de pratiques d'IA interdites (art. 5) | 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel total (le montant le plus élevé) |
| Non-respect des obligations pour les fournisseurs ou déployeurs d'IA à haut risque | 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel total |
| Fourniture d'informations incorrectes ou trompeuses aux autorités de surveillance | 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial annuel total |
Pour les PME, y compris les jeunes pousses, l'article 99, paragraphe 6, prévoit que chaque amende s'élève au maximum aux pourcentages ou montants indiqués ci-dessus, le chiffre le plus faible étant retenu, et l'article 99, paragraphe 1, tel que remplacé par le règlement (UE) 2026/1744, impose aux États membres de tenir compte, lorsqu'ils imposent des sanctions, des intérêts des PME, des jeunes pousses et des petites entreprises à moyenne capitalisation, ainsi que de leur viabilité économique. Cela atténue les montants ; cela n'exonère personne de sa responsabilité.
Un point que beaucoup de pages traitent mal : le régime de sanctions du chapitre XII s'applique depuis le 2 août 2025, mais il revient à chaque État membre de fixer le régime de sanctions et de désigner les autorités, et l'Espagne n'a pas encore adopté la loi désignant les autorités nationales de surveillance du marché ni fixant la procédure de sanction nationale. Un projet de loi organique pour le bon usage et la gouvernance de l'intelligence artificielle (dossier parlementaire 121/000096, XVe législature) est encore au stade des amendements et n'est pas publié au BOE : son texte peut donc changer. En l'état, il ne désigne pas l'AESIA comme autorité unique : il répartit la surveillance du marché entre l'AESIA et d'autres superviseurs selon le type de système.
Comment structurer la conformité à l'AI Act dans votre entreprise : une feuille de route en cinq étapes
Dans notre service de conseil AI Act, nous travaillons avec une approche structurée qui permet à l'entreprise de passer de zéro à un dossier de conformité auditable dans un délai raisonnable. Voici les cinq étapes essentielles :
Étape 1 — Inventaire et classification des systèmes d'IA
Le point de départ est de savoir quels systèmes d'IA votre entreprise utilise : outils SaaS avec composants d'IA, développements internes, automatisations avec modèles de langage, systèmes de vision artificielle, assistants conversationnels… Pour chaque système, sa catégorie de risque est déterminée selon les critères du Règlement. Cet inventaire est le fondement de tout programme de conformité et permet de prioriser les efforts.
Étape 2 — Analyse des écarts (gap analysis)
L'inventaire en main, on analyse l'écart entre la situation actuelle et les exigences de l'AI Act pour chaque système. Pour les systèmes à risque faible ou minimal, l'écart est généralement réduit (mise à jour des textes légaux, ajout d'informations à l'utilisateur). Pour les systèmes à haut risque, l'écart peut être significatif : manque de documentation technique, absence de journaux, nécessité de repenser les processus de supervision humaine.
Étape 3 — Plan d'action et feuille de route
Sur la base de l'analyse des écarts, un plan d'action est défini avec des responsables, des délais et des ressources. Le plan doit distinguer les actions immédiates (respecter les obligations déjà actives comme la maîtrise de l'IA) des actions à moyen terme (préparer la documentation technique pour les systèmes à haut risque avant le délai de décembre 2027).
Étape 4 — Mise en œuvre : documentation, processus et formation
Cette phase comprend la rédaction de la documentation technique requise, la mise en place de systèmes de journalisation et de surveillance, la mise à jour des avis de transparence envers les utilisateurs concernés (intégration avec les politiques de confidentialité du RGPD), et les programmes de formation à la maîtrise de l'IA pour le personnel concerné.
Étape 5 — Révision et maintenance continues
L'AI Act est un règlement de cycle de vie : les obligations ne se remplissent pas une fois pour toutes. L'inventaire doit être révisé à chaque adoption d'un nouveau système d'IA, la documentation doit être mise à jour en cas de modifications substantielles des systèmes existants, et les journaux d'activité doivent rester actifs. De plus, le Règlement lui-même et les normes techniques harmonisées qui seront publiées périodiquement peuvent imposer des ajustements réguliers.
L'AI Act et ses relations avec le RGPD, NIS2 et ISO 42001
L'AI Act ne fonctionne pas en vase clos : il interagit avec d'autres réglementations que votre entreprise est peut-être déjà en train de respecter ou qui vous concernent également. Comprendre ces intersections évite le travail en double et assure une gouvernance numérique cohérente.
- RGPD : les systèmes d'IA qui traitent des données personnelles — c'est-à-dire pratiquement tous ceux qui ont un impact sur des personnes — doivent simultanément respecter l'AI Act et le RGPD. Les analyses d'impact sur la protection des données (AIPD/DPIA) du RGPD et les évaluations des risques de l'AI Act peuvent et doivent être coordonnées pour éviter de dupliquer les efforts. La base légale pour le traitement automatisé des données reste le RGPD ; l'AI Act y ajoute le cadre de gouvernance du système.
- NIS2 : si votre entreprise exploite des infrastructures critiques ou des services essentiels et utilise des systèmes d'IA dans ces environnements, les obligations de cybersécurité de la Directive NIS2 (en attente de transposition en Espagne à juin 2026) se chevauchent avec les exigences de sécurité et de robustesse de l'AI Act pour les systèmes à haut risque.
- ISO 42001 : cette norme internationale de gestion des systèmes d'intelligence artificielle peut servir de cadre de mise en œuvre pour les obligations de l'AI Act. Disposer d'un système certifié ISO 42001 facilite la démonstration de la conformité au Règlement, bien que la certification ISO ne soit pas en elle-même équivalente à la conformité légale à l'AI Act.
Si votre entreprise travaille déjà sur la conformité NIS2, nous recommandons de coordonner les deux initiatives. Vous pouvez en savoir plus sur notre conseil NIS2 et DORA pour les entreprises exposées à la réglementation en cybersécurité.
Questions fréquentes
L'AI Act me concerne-t-il si j'utilise uniquement des outils SaaS tiers avec IA, comme ChatGPT ou Copilot ?
Oui, mais avec moins d'obligations que si vous étiez le développeur du système. En tant que déployeur (entreprise qui utilise un système d'IA développé par un tiers), vous avez des obligations spécifiques : vous assurer que le système est utilisé aux fins prévues, surveiller son fonctionnement, informer les utilisateurs le cas échéant et, si le système est à haut risque, documenter son utilisation et maintenir les journaux requis. Le fournisseur (Microsoft, OpenAI, etc.) assume les obligations propres au fournisseur, mais cela ne vous exonère pas de vos propres obligations en tant que déployeur.
Qu'est-ce exactement que la « maîtrise de l'IA » exigée par l'article 4 et comment la justifier ?
L'article 4 de l'AI Act a été intégralement remplacé par l'article 1er, point 5, du règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026. Les fournisseurs et les déployeurs de systèmes d'IA prennent désormais des mesures « pour soutenir la promotion » de la maîtrise de l'IA de leur personnel et des autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation ainsi que le contexte dans lequel les systèmes sont destinés à être utilisés. L'article précise désormais expressément que « cette obligation n'exige pas que les fournisseurs ou les déployeurs garantissent un niveau spécifique de maîtrise de l'IA d'une personne en particulier ». Autrement dit, l'obligation est passée d'une obligation de résultat à une obligation de moyens — elle existe toujours, elle reste exigible et elle s'applique depuis le 2 février 2025. Le règlement ne fixe ni nombre d'heures de formation ni contenu précis, et la Commission doit publier des exemples pratiques de mise en conformité sur la plateforme d'information unique visée à l'article 62, paragraphe 3, point b). Un plan de formation proportionné à votre utilisation de l'IA, avec la trace de qui a été formé à quoi, reste la façon pratique de documenter les mesures prises.
Qu'a changé l'omnibus numérique sur l'IA et est-il déjà contraignant ?
Il est contraignant, et ce n'est pas un accord mais un règlement. L'omnibus numérique sur l'IA est le règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026, publié au JO L, 2026/1744, 24.7.2026 et en vigueur depuis le 27 juillet 2026. Ses modifications les plus pertinentes pour les entreprises sont : (1) la date d'application du chapitre III, sections 1, 2 et 3, est reportée, à l'exception expresse de l'article 6, paragraphe 5, au 2 décembre 2027 pour les systèmes à haut risque relevant de l'article 6, paragraphe 2, et de l'annexe III, et au 2 août 2028 pour ceux relevant de l'article 6, paragraphe 1, et de l'annexe I ; (2) l'article 4 sur la maîtrise de l'IA est intégralement remplacé ; (3) un nouvel article 4 bis autorise, sous conditions strictes, le traitement de catégories particulières de données à caractère personnel aux fins de la détection et de la correction des biais ; (4) deux nouvelles pratiques interdites sont ajoutées à l'article 5, paragraphe 1, premier alinéa, applicables à partir du 2 décembre 2026. La date générale d'application de l'AI Act reste le 2 août 2026 et les obligations déjà applicables conservent leurs dates.
Qui surveille l'AI Act en Espagne et avec quels pouvoirs ?
Le régime de sanctions du chapitre XII de l'AI Act s'applique depuis le 2 août 2025, mais le règlement laisse à chaque État membre le soin de fixer le régime de sanctions et de désigner les autorités nationales — et l'Espagne n'a pas encore adopté la loi désignant les autorités nationales de surveillance du marché ni fixant la procédure de sanction nationale. Ce qui existe est un projet de loi organique pour le bon usage et la gouvernance de l'intelligence artificielle (dossier parlementaire 121/000096, XVe législature, publié au BOCG du Congrès, série A, no 97-1, du 12 juin 2026), encore au stade des amendements devant la commission de l'Économie, du Commerce et de la Transformation numérique, le délai de dépôt des amendements ayant été prolongé jusqu'au 2 septembre 2026. Il n'est pas publié au BOE, il n'a pas force de loi et son texte peut changer ; en l'état, il ne désigne pas l'AESIA comme autorité unique mais répartit la surveillance du marché entre l'AESIA et d'autres superviseurs selon le type de système. Ce qui est établi au sujet de l'Agence espagnole de supervision de l'intelligence artificielle (AESIA), c'est que sa création est autorisée par la loi 22/2021 et la loi 28/2022, que le décret royal 729/2023 du 22 août approuve son statut, que son siège est à La Corogne (article 2 du statut) et qu'elle a publié 16 guides d'appui à la conformité à l'AI Act pour les systèmes à haut risque, annoncés le 16 décembre 2025. L'AESIA devrait assumer les missions de surveillance du marché une fois la loi espagnole adoptée.