21 septembre 2026

ChatGPT, Copilot, Gemini face à l’AI Act : vos obligations réelles

Ce que l’AI Act impose vraiment aux entreprises qui utilisent ChatGPT, Copilot ou Gemini : article 4 déjà applicable, article 50 au 2 août 2026, sanctions.

Mis à jour le 08 octobre 2026 - Article vérifié et actualisé par l’équipe Skillevos

Réponse directe

Utiliser ChatGPT, Copilot ou Gemini en entreprise ne fait pas de vous un fournisseur d’IA : vous êtes déployeur, et vos obligations sont plus limitées que ne le laissent croire la plupart des articles. Une seule s’applique déjà, depuis le 2 février 2025 : l’article 4 du règlement européen 2024/1689, qui impose de prendre des mesures pour favoriser le développement de la maîtrise de l’IA de votre personnel. Les obligations de transparence de l’article 50 — annoncer un chatbot, signaler un hypertrucage, signaler certains textes générés — s’appliquent à partir du 2 août 2026. Les lourdes obligations techniques pèsent sur OpenAI, Microsoft et Google, pas sur vous.

🔑 Points clés à retenir

Vous êtes déployeur, pas fournisseur. Cette distinction détermine tout le reste.
L’article 4 s’applique depuis le 2 février 2025 : former vos équipes est déjà une obligation, pas une bonne pratique.
Les obligations GPAI (chapitre V) sont entrées en application le 2 août 2025 et visent les éditeurs de modèles, pas leurs clients.
L’article 50 s’applique le 2 août 2026 : information de l’utilisateur, marquage des hypertrucages, signalement de certains textes publiés.
Exemption notable : un texte généré par IA mais relu et assumé éditorialement par une personne identifiée échappe à l’obligation de signalement.
Sanctions : jusqu’à 15 M€ ou 3 % du chiffre d’affaires mondial pour un manquement à l’article 50 ; jusqu’à 35 M€ ou 7 % pour une pratique interdite.
Les plafonds sont adaptés pour les PME et les jeunes pousses.

Introduction

Depuis deux ans, l’AI Act produit une quantité impressionnante de contenu anxiogène à destination des entreprises. On y lit que toute société utilisant ChatGPT devra documenter ses systèmes, réaliser des analyses d’impact et désigner un référent conformité. C’est faux dans la très grande majorité des cas, et cette confusion a un coût : elle pousse des dirigeants à interdire des outils par précaution, ce qui ne fait que déplacer les usages hors de tout contrôle.

Le règlement est pourtant lisible sur ce point. Il distingue soigneusement celui qui met sur le marché un système d’IA et celui qui l’utilise dans le cadre de son activité. Si vous avez souscrit une licence Copilot pour vos équipes, vous êtes dans la seconde catégorie.

Cet article s’appuie exclusivement sur le texte du règlement (UE) 2024/1689, articles 4, 5, 50, 99 et 113. Il dit ce qui s’applique, à quelle date, à qui, et ce que cela implique concrètement.

1. Fournisseur ou déployeur : la distinction qui change tout

Le règlement répartit les obligations selon le rôle tenu dans la chaîne.

	Fournisseur	Déployeur
Qui	OpenAI, Microsoft, Google, Anthropic, Mistral…	Votre entreprise, qui utilise l’outil
Ce qu’il fait	Développe et met sur le marché le modèle ou le système	L’utilise sous sa propre autorité
Charge réglementaire	Lourde : documentation technique, évaluation, transparence sur l’entraînement	Limitée : maîtrise de l’IA, transparence envers les personnes

Souscrire un abonnement professionnel à ChatGPT, déployer Copilot dans Microsoft 365 ou activer Gemini dans Workspace vous place en position de déployeur. Vous ne devenez fournisseur que si vous commercialisez un système d’IA sous votre propre nom ou votre propre marque — par exemple en intégrant un modèle dans un produit que vous vendez.

Conséquence pratique : les obligations les plus coûteuses du règlement — documentation technique, politique de respect du droit d’auteur, résumé des contenus d’entraînement — pèsent sur l’éditeur du modèle. Vous n’avez pas à les reprendre à votre compte.

2. Le calendrier réel, d’après l’article 113

L’article 113 du règlement fixe les dates. Il est applicable à partir du 2 août 2026, avec trois exceptions qui modifient complètement la lecture du calendrier.

Date	Ce qui s’applique	Qui est concerné
2 février 2025	Chapitres I et II : dispositions générales, maîtrise de l’IA (article 4), pratiques interdites (article 5)	Fournisseurs et déployeurs
2 août 2025	Chapitre III section 4, chapitre V (modèles à usage général), chapitre VII (gouvernance), chapitre XII (sanctions), article 78	Principalement les fournisseurs de modèles
2 août 2026	Application générale du règlement, dont l’article 50 (transparence)	Fournisseurs et déployeurs
2 décembre 2027	Article 6 paragraphe 2 et exigences haut risque de l’annexe III	RH et recrutement, crédit, éducation, santé, biométrie, justice
2 août 2028	Article 6 paragraphe 1 et obligations correspondantes	IA intégrée dans des produits déjà réglementés

Attention à une erreur très répandue : on lit souvent que l’obligation de maîtrise de l’IA serait entrée en vigueur en août 2025. C’est inexact. L’article 4 appartient au chapitre I, applicable depuis le 2 février 2025. Il s’applique donc à votre entreprise depuis plus d’un an et demi.

3. L’article 4 : la seule obligation qui pèse déjà sur vous

Le texte a été réécrit le 8 juillet 2026, et sa nouvelle version mérite d’être lue :

Article 4, dans sa version en vigueur depuis le 27 juillet 2026 : les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour que leur personnel — et les personnes qui exploitent ces systèmes pour leur compte — acquièrent une bonne compréhension de l’IA, en tenant compte de leurs connaissances, du contexte d’utilisation et des publics concernés. Le règlement précise que cette obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». Source : règlement (UE) 2024/1689, article 4, tel que réécrit par le règlement (UE) 2026/1744 du 8 juillet 2026.

Trois éléments à relever.

« Les déployeurs » — vous êtes explicitement visé. Ce n’est pas une obligation réservée aux éditeurs.

« Leur personnel et les autres personnes » — le périmètre dépasse vos salariés : il couvre les prestataires et intérimaires qui utilisent ces outils pour votre compte.

« En prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation » — le niveau attendu est proportionné. Le règlement n’impose pas un volume d’heures ni un format. Il impose une démarche adaptée aux profils et au contexte d’usage.

Ce que cela signifie concrètement

Une entreprise qui a déployé Copilot à trois cents collaborateurs sans aucune action de sensibilisation n’est pas en conformité avec l’article 4. Une entreprise qui a organisé une sensibilisation adaptée aux usages réels, documenté qui a été formé et à quoi, et mis à disposition des règles d’usage claires, l’est.

La charge de la preuve étant pratique, trois éléments suffisent généralement à l’établir : une trace des actions de formation, une charte d’usage diffusée, et une mise à jour périodique quand les outils évoluent. C’est exactement l’objet de nos formations IA en entreprise, et le sujet est traité en détail dans notre guide sur la manière de former ses équipes à l’IA.

4. L’article 50 : ce qui arrive le 2 août 2026

L’article 50 porte les obligations de transparence « pour les fournisseurs et les déployeurs de certains systèmes d’IA ». Quatre paragraphes, dont deux vous concernent directement.

§1 - Annoncer qu’on parle à une machine (fournisseurs)

Les systèmes destinés à interagir directement avec des personnes physiques doivent être conçus de manière que celles-ci soient informées qu’elles interagissent avec une IA — sauf si cela ressort clairement du point de vue d’une personne normalement informée et raisonnablement attentive.

L’obligation pèse sur le fournisseur. Mais si vous déployez un agent conversationnel sur votre site, vous l’avez configuré, nommé, et parfois doté d’un prénom et d’un avatar. Dans ce cas, le bon réflexe est d’annoncer clairement sa nature dès le premier message. C’est l’attente du régulateur, et c’est aussi ce qui évite le sentiment de tromperie chez vos clients.

§2 - Marquer les contenus de synthèse (fournisseurs)

Les fournisseurs de systèmes générant du contenu audio, image, vidéo ou texte doivent faire en sorte que les sorties soient marquées dans un format lisible par machine et identifiables comme générées par une IA. Le texte prévoit une exception lorsque le système remplit une fonction d’assistance à la mise en forme standard ou ne modifie pas substantiellement les données d’entrée.

Là encore, l’obligation technique est chez l’éditeur. Vous n’avez pas à implanter de filigrane dans vos documents.

§4 - Signaler les hypertrucages et certains textes (déployeurs)

C’est le paragraphe qui vous concerne le plus directement, et il contient deux obligations distinctes.

Les hypertrucages. Les déployeurs d’un système générant ou manipulant des images, de l’audio ou de la vidéo constituant un hypertrucage doivent indiquer que le contenu a été généré ou manipulé par une IA. Lorsque le contenu relève d’une œuvre manifestement artistique, créative, satirique ou fictive, l’obligation se limite à une divulgation appropriée qui n’entrave pas la jouissance de l’œuvre.

Les textes publiés. Les déployeurs d’un système générant ou manipulant des textes publiés dans le but d’informer le public sur des questions d’intérêt public doivent indiquer que le texte a été généré ou manipulé par une IA.

L’exemption décisive : cette obligation ne s’applique pas « lorsque le contenu généré par l’IA a fait l’objet d’un processus d’examen humain ou de contrôle éditorial et lorsqu’une personne physique ou morale assume la responsabilité éditoriale de la publication du contenu ».

Autrement dit : un article de blog rédigé avec l’aide de l’IA, relu, corrigé et assumé par une personne ou une entreprise identifiée n’a pas à porter de mention « généré par IA ». Ce qui est visé, c’est la publication automatisée non relue de contenus d’information. La différence ne tient pas à l’outil utilisé, mais à l’existence d’une responsabilité éditoriale réelle.

§3 - Reconnaissance des émotions et catégorisation biométrique (déployeurs)

Si vous déployez un système de reconnaissance des émotions ou de catégorisation biométrique, vous devez informer les personnes exposées de son fonctionnement et traiter les données conformément au RGPD. Peu d’entreprises sont concernées, mais celles qui expérimentent l’analyse d’entretiens vidéo ou de sentiment client doivent y regarder de près.

§5 - Quand et comment informer

Les informations doivent être fournies de manière claire et reconnaissable, au plus tard au moment de la première interaction ou de la première exposition, et respecter les exigences d’accessibilité. Une mention enterrée dans des conditions générales ne satisfait pas à cette exigence.

5. Ce qui est purement interdit (article 5)

Applicable depuis le 2 février 2025, l’article 5 prohibe certaines pratiques, quelle que soit votre taille. Les plus susceptibles de concerner une entreprise :

Les systèmes exploitant les vulnérabilités de personnes en raison de leur âge, d’un handicap ou d’une situation sociale ou économique.
La notation sociale conduisant à un traitement préjudiciable injustifié.
La reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement, hors raisons médicales ou de sécurité.
La catégorisation biométrique visant à déduire des caractéristiques sensibles.

La troisième mérite une attention particulière : les outils d’analyse d’entretiens ou de « climat social » fondés sur la détection d’émotions sont concernés. Le sujet rejoint les obligations détaillées dans notre article sur l’AI Act et le recrutement.

6. Les sanctions, chiffres en main

L’article 99 fixe trois paliers. Les montants retenus sont toujours le plus élevé des deux : montant fixe ou pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent.

Manquement	Plafond
Pratiques interdites (article 5)	35 000 000 € ou 7 % du CA mondial
Obligations des déployeurs (article 26) et transparence (article 50)	15 000 000 € ou 3 % du CA mondial
Informations inexactes ou trompeuses fournies aux autorités	7 500 000 € ou 1 % du CA mondial

Deux nuances importantes. D’abord, le règlement précise que les sanctions doivent être effectives, proportionnées et dissuasives, et tenir compte des intérêts des PME et des jeunes pousses, y compris de leur viabilité économique. Ensuite, dans le cas des PME et des jeunes pousses, chaque amende est plafonnée au plus faible des deux termes, et non au plus élevé.

Ce ne sont donc pas des montants calibrés pour une entreprise de dix personnes qui aurait oublié d’annoncer son chatbot. Ils le sont pour des manquements systémiques.

7. Votre plan d’action, par ordre d’urgence

À faire maintenant - article 4, déjà applicable

Recensez les usages réels. Pas les outils déployés officiellement : les usages. L’écart entre les deux est le vrai sujet, et il porte un nom — la shadow IA.
Formez les personnes concernées, à un niveau adapté à leur poste. Une sensibilisation d’une demi-journée pour les utilisateurs occasionnels, un parcours plus solide pour ceux qui produisent du contenu client.
Documentez. Qui a été formé, sur quoi, quand. C’est ce qui démontrera la démarche.
Diffusez des règles d’usage écrites : ce qui peut être soumis à un outil et ce qui ne doit jamais l’être, outils autorisés, obligation de relecture humaine.

À préparer d’ici le 2 août 2026 - article 50

Vos agents conversationnels annoncent-ils clairement leur nature dès le premier message ?
Vos contenus visuels ou audio relèvent-ils de l’hypertrucage ? Si oui, prévoyez la mention.
Vos publications d’information font-elles l’objet d’une relecture humaine assumée ? Si oui, documentez cette responsabilité éditoriale : c’est elle qui vous dispense de la mention.
Utilisez-vous de la reconnaissance d’émotions quelque part ? Vérifiez d’abord qu’elle n’est pas purement interdite sur le lieu de travail.

À surveiller

Le calendrier court jusqu’en août 2028 et les lignes directrices de la Commission continuent de paraître. Une veille réglementaire légère — quelques points par an — suffit à une entreprise déployeuse. C’est d’ailleurs l’une des six compétences évaluées par la certification RS6776.

🗺️ En résumé

Question	Réponse courte
Utiliser ChatGPT fait-il de moi un fournisseur ?	Non, vous êtes déployeur
Qu’est-ce qui s’applique déjà ?	L’article 4 (maîtrise de l’IA), depuis le 2 février 2025
Dois-je documenter techniquement les modèles ?	Non, c’est la charge du fournisseur
Quand dois-je annoncer mes chatbots ?	Article 50, applicable le 2 août 2026
Dois-je marquer mes articles écrits avec l’IA ?	Non s’ils sont relus et assumés éditorialement
Combien je risque ?	Jusqu’à 15 M€ ou 3 % du CA pour l’article 50, plafonds adaptés aux PME
Par quoi commencer ?	Recenser les usages réels, puis former

💡 Conclusion

L’AI Act n’est pas, pour une entreprise utilisatrice, le monstre administratif qu’on décrit. Il demande deux choses : que les gens qui utilisent ces outils sachent ce qu’ils font, et que les personnes exposées à une IA le sachent aussi. Le reste pèse sur ceux qui construisent les modèles.

La première exigence s’applique depuis février 2025 et c’est la seule qui soit réellement en retard dans la plupart des organisations. Elle ne se règle pas par un document : elle se règle par de la formation, documentée, proportionnée aux usages. La seconde arrive en août 2026 et se prépare en quelques semaines.

Si vous voulez faire le point sur votre situation, notre formation IA Act - usages responsables traite précisément ce périmètre, et nous proposons un diagnostic gratuit pour identifier les usages réellement en place dans vos équipes.

Pour aller plus loin

AI Act : le guide complet pour les entreprises françaises - la vue d’ensemble du règlement
Calendrier AI Act 2026 - toutes les échéances, mois par mois
AI Act et recrutement - les obligations des DRH
Shadow IA en entreprise - l’écart entre usages officiels et usages réels
Comment former ses équipes à l’IA - la méthode pour répondre à l’article 4
Formation IA Act - usages responsables - le parcours dédié

Questions fréquentes

Mon entreprise utilise Copilot. Suis-je soumis à l’AI Act ?

Oui, mais en qualité de déployeur. Vous êtes concerné par l’article 4 depuis le 2 février 2025 et le serez par l’article 50 à partir du 2 août 2026. Les obligations techniques lourdes pèsent sur Microsoft en tant que fournisseur.

Dois-je mentionner « généré par IA » sur mes articles de blog ?

Pas si le contenu a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne ou une entreprise identifiée en assume la responsabilité éditoriale. Le règlement prévoit explicitement cette exemption. Ce qui est visé, c’est la publication automatisée non relue.

Faut-il désigner un référent IA ?

Le règlement ne l’impose pas aux déployeurs. En pratique, identifier une personne responsable des règles d’usage et de la veille facilite considérablement la démonstration de conformité à l’article 4.

Mon chatbot doit-il dire qu’il est une IA ?

À partir du 2 août 2026, les personnes doivent être informées qu’elles interagissent avec un système d’IA, sauf si cela ressort clairement du contexte. L’information doit être donnée de manière claire, au plus tard lors de la première interaction.

Les amendes s’appliquent-elles aux PME ?

Les sanctions doivent être proportionnées et tenir compte de la viabilité économique des PME et des jeunes pousses. Pour celles-ci, chaque amende est plafonnée au plus faible des deux termes prévus, et non au plus élevé.

Que risque une entreprise qui n’a formé personne ?

L’article 4 ne figure pas dans la liste des manquements expressément sanctionnés par l’article 99. Mais l’absence totale de démarche fragilise la position de l’entreprise sur l’ensemble du dispositif, et sur le terrain du RGPD en cas d’incident de données. Le vrai risque est opérationnel avant d’être pécuniaire.

Et si j’intègre un modèle dans mon propre produit ?

Vous basculez alors potentiellement du côté fournisseur, avec les obligations correspondantes. C’est le cas typique d’une entreprise qui commercialise une application sous sa marque en s’appuyant sur un modèle tiers. Cette situation mérite un examen juridique dédié.

Nos résultats - Formations Entreprise

Au 31/08/2026

94,5 %

de satisfaction

questionnaire à chaud en fin de session

92,7 %

de réussite aux évaluations des acquis

quiz de fin de formation

100 %

de taux de retour

aux questionnaires de satisfaction