AI Act : ce qui a changé pour les cabinets de conseil

Le règlement européen sur l'IA (AI Act) compte trois échéances déjà applicables et une qui vient d'être déplacée. Si votre cabinet attendait une « date butoir de l'AI Act » unique pour s'organiser, l'idée n'a jamais été tout à fait juste, et l'omnibus numérique de juillet 2026 l'a rendue plus fausse encore. Certaines obligations s'appliquent depuis plus d'un an, alors que celle à laquelle la plupart des acteurs se préparaient a été repoussée de quinze mois. Cet article explique ce que cela implique pour un cabinet de conseil ou d'études qui utilise l'IA dans ses missions.

Ce qui est entré en application le 2 août 2026

Deux choses ont eu lieu à cette date, et aucune n'était l'échéance phare. Les obligations de transparence de l'article 50 sont devenues opposables : fournisseurs et déployeurs doivent signaler les contenus générés par IA, étiqueter les sons et vidéos de synthèse, et indiquer aux personnes qu'elles échangent avec un chatbot et non avec un humain. Le Bureau de l'IA a par ailleurs obtenu ses pouvoirs de contrôle sur les fournisseurs de modèles d'IA à usage général, c'est-à-dire les entreprises qui développent les modèles que les cabinets utilisent au quotidien.

Les obligations visant les systèmes d'IA autonomes à haut risque de l'annexe III devaient à l'origine s'appliquer à la même date, mais elles n'ont pas démarré. L'omnibus numérique, entré en vigueur le 27 juillet 2026, a repoussé cette échéance au 2 décembre 2027. Si votre calendrier de conformité indique encore août 2026 pour les exigences haut risque, cette ligne n'est plus à jour.

Le calendrier complet, dans l'ordre

Le service d'assistance AI Act de la Commission européenne tient à jour la version de référence de ce calendrier. L'omnibus n'a pas touché aux obligations antérieures : pratiques interdites, maîtrise de l'IA, obligations des fournisseurs de modèles à usage général et règles de transparence. Seules les dates haut risque des annexes III et I ont bougé.

Pourquoi l'échéance reportée ne vous concernait sans doute pas

Le statut haut risque de l'annexe III ne couvre pas l'IA utilisée pour un travail important en général. Il vise des types de systèmes précis : emploi et gestion des travailleurs, notation de crédit et évaluation de la solvabilité, éducation et notation des examens, répression, migration et contrôle aux frontières, ainsi que quelques autres catégories listées, auxquels s'ajoute l'IA intégrée à des produits comme les dispositifs médicaux ou les machines au titre de l'annexe I.

Un assistant de recherche, un outil de rédaction ou une plateforme de travail client qui sert à produire des analyses, des rapports ou des premiers jets ne relève pas en soi de l'annexe III. Il ne devient concerné que si ses résultats alimentent directement l'un des cas d'usage listés. Un cabinet qui conçoit un outil de décision automatisée en matière de recrutement, ou un modèle de notation de crédit pour un client, n'est pas dans la même situation qu'un cabinet qui utilise l'IA pour rechercher et rédiger le rapport qu'une personne relit puis livre. La plupart des cabinets de conseil, agences et sociétés de services professionnels appartiennent à la seconde catégorie : l'échéance de décembre 2027 ne concerne donc pas du tout leur utilisation quotidienne de l'IA.

Pour la plupart des cabinets, les obligations qui comptent sont celles qui s'appliquent déjà.

Ce qui s'applique dès maintenant à presque tous les cabinets

Deux obligations appellent une vraie réponse de votre cabinet, et une troisième relève surtout de votre fournisseur.

La maîtrise de l'IA par le personnel est exigée depuis février 2025, et on la traite facilement comme une case à cocher plutôt que comme une pratique réelle. L'exigence est que les personnes qui utilisent des systèmes d'IA en comprennent les capacités, les limites et la bonne façon de s'en servir. Pour un cabinet qui produit du travail client avec l'IA, cela veut dire qu'un relecteur sait qu'un premier jet d'IA peut contenir des affirmations assurées et fausses, et qu'il vérifie les sources avant que le travail n'arrive chez le client. Une note de politique interne que personne n'a lue ne suffit pas.

Les obligations de transparence s'appliquent lorsqu'un contenu est généré par IA ou qu'un système interagit comme le ferait une personne, mais c'est la nature du livrable qui détermine s'il est concerné. Posez la question à votre conseil juridique plutôt que de vous autocertifier. Un point à signaler dès maintenant en interne : tout chatbot destiné aux clients, ou tout contenu généré par IA destiné à informer le public, est soumis à une obligation d'information qui n'existait pas avant août 2026.

Les obligations des fournisseurs de modèles d'IA à usage général incombent à l'éditeur du modèle, pas au cabinet qui l'utilise. Si votre cabinet est déployeur, les obligations de documentation et de gestion des risques systémiques reviennent à celui qui a conçu le modèle. La question utile à poser à votre propre fournisseur est de savoir si les modèles proposés sur sa plateforme viennent de fournisseurs qui respectent ces obligations, car ce risque se situe chez le fournisseur du modèle, en amont de chaque déployeur.

Les questions à poser à un fournisseur d'IA qui se dit « conforme à l'AI Act »

Si un fournisseur affirme « nous sommes conformes » sans entrer dans le détail, il répond à une question que vous n'avez pas posée. Posez plutôt celles-ci.

1. Quelles obligations de transparence de l'article 50 la plateforme prend-elle en charge par défaut, et lesquelles le cabinet doit-il configurer lui-même pour chaque cas d'usage ?
2. La formation du personnel à la maîtrise de l'IA est-elle soutenue par le fournisseur avec de vrais supports, ou entièrement laissée au cabinet ?
3. Les contenus destinés aux clients que produit la plateforme nécessitent-ils une mention que le cabinet doit ajouter à la main ?
4. Si un cas d'usage touche plus tard une catégorie de l'annexe III, le fournisseur a-t-il prévu quelque chose, ou est-ce entièrement hors de son périmètre ?

Un fournisseur capable de répondre clairement aux quatre a une vraie position de conformité. « Nous suivons la réglementation de près » ne répond à aucune d'entre elles.

Le lien avec l'hébergement et les accès

Le calendrier réglementaire n'est qu'une partie des risques liés à l'IA pour un cabinet. Les autres tiennent au lieu d'hébergement des données, aux personnes qui peuvent les voir et à la journalisation de l'activité. Ces sujets ne suivent pas le calendrier de l'AI Act, et ils comptent quelle que soit l'échéance de l'annexe III qui vous concerne. Sécurité de l'IA dans les missions clients détaille ce qu'il faut exiger de tout outil d'IA en matière d'hébergement, d'entraînement et de journaux d'audit. IA et droits d'accès en cabinet traite du volet des droits : l'outil d'IA respecte-t-il les règles d'accès que votre cabinet applique déjà ? C'est une question de confiance client, indépendante du statut réglementaire.

La position de Hebno

Hebno héberge les données de ses clients dans l'UE ou aux États-Unis, selon leur choix, et les contenus qu'ils soumettent ne servent à entraîner aucun modèle. L'activité est consignée dans des journaux d'audit, ce qui permet à un cabinet de répondre à un client qui demande comment l'IA a été utilisée sur son dossier. Rien de cela ne constitue un avis juridique sur la façon dont l'AI Act s'applique aux livrables de votre cabinet. C'est un point de départ pour en parler avec votre conseil juridique, et avec tout fournisseur dont la plateforme touche au travail client. Consultez la page sécurité pour le détail complet, ou demandez une démo pour passer en revue la configuration de votre cabinet.