EU AI Act et agents IA : ce qui change pour vous

L’AI Act, le règlement européen sur l’intelligence artificielle, est entré en vigueur le 1er août 2024 et s’applique par étapes. En juillet 2026, un règlement modificatif, l’Omnibus numérique sur l’IA, a décalé une partie du calendrier. Beaucoup d’entreprises qui déploient des agents se demandent donc ce qui s’applique déjà, ce qui arrive, et ce que cela change pour elles. Voici notre lecture, en tant qu’éditeur d’une plateforme d’agents.

Cet article n’est pas un avis juridique. Les dates et les articles cités ont été vérifiés le 30 septembre 2026 sur les textes officiels, listés en fin d’article ; vérifiez-les à la date de votre lecture, et faites valider votre situation par votre juriste ou votre DPO.

Le règlement en bref

L’AI Act classe les usages de l’IA selon leur niveau de risque, et fixe des obligations proportionnées. Certaines pratiques sont interdites, comme la notation sociale ou la reconnaissance des émotions sur le lieu de travail, sauf raisons médicales ou de sécurité. Les systèmes à haut risque, listés par le règlement, sont soumis à des exigences fortes. D’autres systèmes sont soumis à des obligations de transparence. Le reste, qui représente la plupart des usages en entreprise, n’a pas d’obligation spécifique au-delà des règles générales.

Le point essentiel pour les agents : c’est l’usage qui détermine le risque, pas la technologie. Le même agent qui résume des comptes rendus n’est pas concerné de la même façon que s’il trie des candidatures.

Le calendrier d’application, après l’Omnibus

Le règlement (UE) 2026/1744 du 8 juillet 2026, dit Omnibus numérique sur l’IA, entré en vigueur le 27 juillet 2026, a reporté les obligations applicables aux systèmes à haut risque. Le calendrier publié par la Commission européenne est désormais le suivant :

Le report laisse du temps, mais ne dispense de rien : les pratiques interdites et la maîtrise de l’IA s’appliquent déjà, et les usages à haut risque se préparent maintenant, parce qu’ils demandent de revoir des processus, pas seulement un outil.

Fournisseur ou déployeur ?

Le règlement distingue deux rôles principaux. Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché sous son nom. Le déployeur utilise un système d’IA sous sa propre autorité, dans un cadre professionnel. Une entreprise qui utilise une plateforme d’agents pour ses équipes est, en règle générale, déployeur.

Attention toutefois : l’article 25 prévoit qu’un déployeur devient fournisseur d’un système à haut risque s’il y appose son nom ou sa marque, s’il le modifie substantiellement, ou s’il en change la destination de sorte qu’il devient à haut risque. Configurer un agent pour trier des candidatures, alors que l’outil n’était pas prévu pour cela, peut suffire à changer de rôle.

Quand un agent devient-il « à haut risque » ?

L’annexe III liste les domaines où un système d’IA est présumé à haut risque. Pour une entreprise, les plus fréquents sont les suivants :

• Emploi et gestion des travailleurs : recrutement, tri des candidatures, évaluation des candidats, décisions de promotion ou de licenciement, attribution des tâches selon le comportement, suivi des performances.
• Accès aux services essentiels : évaluation de la solvabilité ou score de crédit des personnes, tarification et évaluation des risques en assurance vie et santé.
• Éducation et formation : admission, évaluation des apprenants, surveillance des examens.

Le règlement prévoit aussi des exceptions : un système listé à l’annexe III n’est pas considéré à haut risque s’il ne présente pas de risque important, par exemple parce qu’il accomplit une tâche procédurale étroite ou une tâche préparatoire à une évaluation humaine. Ces exceptions ne jouent pas quand le système établit un profil des personnes. Un agent qui prépare un dossier pour un recruteur n’est donc pas dans la même situation qu’un agent qui classe les candidats.

Les obligations du déployeur

Pour tous les usages, deux obligations s’appliquent déjà. Les pratiques interdites sont proscrites. Et, au titre de l’article 4, fournisseurs et déployeurs prennent des mesures pour développer la maîtrise de l’IA de leur personnel et des personnes qui utilisent les systèmes pour leur compte. Depuis le 2 août 2026, certaines obligations de transparence s’ajoutent, par exemple signaler comme tels les hypertrucages (deepfakes) que l’on diffuse.

Pour un usage à haut risque, l’article 26 ajoute des obligations précises :

• Utiliser le système conformément à sa notice d’utilisation.
• Confier la supervision humaine à des personnes qui ont la compétence, la formation et l’autorité nécessaires.
• Veiller à la pertinence des données d’entrée, dans la mesure où vous les maîtrisez.
• Surveiller le fonctionnement du système, suspendre son usage en cas de risque, et informer le fournisseur et l’autorité en cas d’incident grave.
• Conserver les journaux générés automatiquement, sous votre contrôle, pendant au moins six mois, sauf disposition contraire.
• Informer les représentants du personnel et les salariés concernés avant la mise en service sur le lieu de travail.
• Informer les personnes qui font l’objet d’une décision prise ou assistée par le système.

Les organismes publics, les entreprises privées qui fournissent des services publics, et les déployeurs qui évaluent la solvabilité ou tarifent l’assurance vie et santé doivent en plus réaliser une analyse d’impact sur les droits fondamentaux avant la mise en service (article 27).

Les sanctions sont fixées par l’article 99 : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres obligations, dont celles des déployeurs. Pour les PME, c’est le plus bas des deux montants qui s’applique.

La checklist

1. Faites l’inventaire de vos usages d’IA, agents compris, avec pour chacun ce qu’il fait et pour qui.
2. Vérifiez qu’aucun ne relève d’une pratique interdite.
3. Repérez ceux qui touchent un domaine de l’annexe III, et documentez pourquoi ils sont, ou non, à haut risque.
4. Vérifiez votre rôle : déployeur, ou fournisseur si vous avez modifié la destination d’un outil.
5. Mettez en place la formation à l’IA des équipes qui utilisent les agents.
6. Pour les usages à haut risque : nommez les personnes chargées de la supervision, organisez la conservation des journaux, prévoyez l’information des salariés et des personnes concernées.
7. Demandez à vos fournisseurs la notice d’utilisation et la documentation qui vous permettent de remplir vos obligations.

Ce que la plateforme doit vous permettre

Les obligations du déployeur restent les vôtres ; aucun outil ne les remplit à votre place. En revanche, une plateforme d’agents peut les rendre praticables, ou impossibles. Pour la supervision humaine, il faut pouvoir exiger une validation avant les actions qui comptent, et qu’elle soit réellement bloquante. Pour les journaux, il faut que chaque exécution soit tracée : la demande, les sources lues, les étapes, les validations. Pour les données d’entrée, il faut savoir ce que l’agent lit et pouvoir en exclure ce qui n’est pas pertinent.

Dans Scalt, vous définissez les étapes de validation, une action soumise à validation s’arrête et attend votre accord, chaque exécution est tracée dans Cases, et chaque agent ne lit que ce qu’il a le droit de lire. C’est une base de travail pour votre conformité, pas une conformité clé en main.

Questions fréquentes