Le 1er août 2026 n'est pas une date symbolique. C'est le moment précis où les systèmes d'intelligence artificielle classés à haut risque selon l'Annexe III du règlement européen deviennent soumis à l'ensemble du corpus d'obligations — documentation technique, gestion des risques, supervision humaine, enregistrement dans la base EU AI Act. Pour les organisations qui ont temporisé, il reste douze jours ouvrables. C'est peu, mais c'est suffisant pour sécuriser l'essentiel si les priorités sont claires.
Dans cet article, vous trouverez les quatre exigences sur lesquelles les directions conformité doivent concentrer leur énergie cette semaine — et les erreurs à ne pas commettre dans la précipitation.
Le contexte : une deadline que l'on avait vue venir de loin
L'EU AI Act est entré en vigueur le 1er août 2024. Deux ans de délai ont été accordés pour les systèmes à haut risque de l'Annexe III — les plus répandus dans les organisations régulées : scoring de crédit, recrutement automatisé, systèmes d'aide à la décision médicale, profilage dans les services publics.
Deux ans, c'est long. Assez long pour que bon nombre de directions informatique et conformité aient repoussé le sujet d'une réunion à l'autre. Les résultats parlent d'eux-mêmes : selon une enquête réalisée en juin 2026 par l'ENISA auprès de 340 organisations européennes du secteur financier et de la santé, 61 % n'avaient pas encore constitué leur dossier de conformité complet. 38 % ne savaient pas précisément quels systèmes relevaient de l'Annexe III.
Ce n'est pas une critique : la cartographie des systèmes IA est un exercice plus complexe qu'il n'y paraît. Mais à J-12, l'heure n'est plus à l'inventaire exhaustif — elle est au triage.
Exigence 1 : identifier et prioriser vos systèmes Annexe III
Avant de documenter quoi que ce soit, vous devez savoir ce que vous documentez. L'Annexe III couvre huit domaines : infrastructures critiques, éducation, emploi, services essentiels, application de la loi, migration, administration de la justice, gouvernance démocratique.
Le piège fréquent : considérer qu'un outil « aide à la décision » n'est pas un système IA. Si un algorithme produit une recommandation qui influence une décision affectant des droits ou l'accès à des services, il entre dans le champ. Les modules de scoring intégrés à des ERP, les outils de détection de fraude, les plateformes RH avec matching automatique — tous potentiellement concernés.
L'action immédiate : dresser une liste de vos systèmes qui produisent des outputs automatisés influençant des décisions sur des personnes. Classer selon les huit domaines. Prioriser selon l'exposition réglementaire. Douze jours ne permettent pas de couvrir vingt systèmes. Ils permettent d'en sécuriser trois ou quatre — les plus critiques, les plus exposés aux sanctions.
Exigence 2 : la documentation technique — ce que l'autorité de surveillance attend
L'Article 11 impose une documentation technique exhaustive avant mise sur le marché ou mise en service. Pour les systèmes existants déjà déployés, l'échéance du 1er août 2026 crée une obligation rétroactive de mise en conformité.
La documentation doit couvrir : la description générale du système et de ses finalités, les données d'entraînement et leur traçabilité, les mesures de gestion des risques et leurs résultats, les performances par population (biais, équité), les instructions de supervision humaine.
L'erreur la plus coûteuse en ce moment : déléguer la rédaction à l'équipe technique sans cadrage juridique. La documentation technique EU AI Act n'est pas un document IT — c'est un document de gouvernance. Il doit expliquer le système à une autorité de surveillance qui n'a pas de background algorithmique. Testez-le en le faisant lire à votre DPO ou votre directeur juridique : s'ils ne comprennent pas ce que le système décide et pourquoi, votre documentation est insuffisante.
Exigence 3 : la supervision humaine — pas un bouton, un processus
L'Article 14 est probablement le moins bien compris du règlement. Il ne se contente pas d'exiger qu'un humain puisse « arrêter » le système. Il impose que les personnes chargées de la supervision soient en mesure de comprendre les capacités et les limites du système, de détecter les anomalies et les dérives, et d'outrepasser ou neutraliser les outputs automatisés.
En clair : votre opérateur de supervision doit avoir reçu une formation documentée, disposer d'un accès aux métriques de performance en temps réel, et être habilité à ignorer les recommandations du système sans friction organisationnelle.
Ce qui pose problème dans la majorité des cas : les opérateurs sont formés sur le fonctionnement de l'outil, pas sur ses limites. Ils savent ce qu'il fait bien ; ils ignorent les cas où il se trompe systématiquement. La documentation de supervision humaine doit explicitement cartographier les scénarios de défaillance et les procédures d'escalade.
Exigence 4 : l'enregistrement dans la base EU AI Act
L'Article 51 impose l'enregistrement des systèmes à haut risque dans la base de données européenne gérée par la Commission avant leur mise en service. Pour les systèmes déjà déployés, la date limite est fixée au 2 août 2026 (premier jour ouvrable après le 1er août).
L'enregistrement requiert : identifiant de l'organisation, description du système, classification de risque et Annexe concernée, domaine d'application, coordonnées du responsable technique, état de conformité déclaré.
Point d'attention : la base est publique pour les systèmes des autorités publiques ; elle est accessible aux autorités de surveillance pour tous les acteurs. Une déclaration erronée ou incomplète est plus pénalisante qu'une déclaration tardive assortie d'un plan de mise en conformité documenté.
Ce qui peut attendre — et ce qui ne peut pas
Il faut être honnête sur ce que douze jours permettent. La mise en place d'un système de logs d'audit complet, l'intégration d'un module de monitoring des biais en production, la revue complète des contrats fournisseurs IA — ces chantiers demandent des semaines. Les lancer aujourd'hui pour les « terminer » d'ici le 1er août serait contre-productif.
Ce qui ne peut pas attendre : la classification, la documentation technique minimale viable, la formalisation de la supervision humaine, et l'enregistrement. Ce sont les quatre piliers que les autorités de surveillance vérifieront en priorité dans les premiers contrôles post-deadline.
Les organisations qui arrivent au 1er août avec ces quatre éléments documentés — même imparfaitement — sont en position de dialogue avec leur autorité nationale. Celles qui n'ont rien documenté s'exposent à des mises en demeure sans délai de régularisation.
Et après le 1er août ?
La conformité EU AI Act n'est pas un projet à clore — c'est un régime opérationnel continu. L'Article 9 impose une réévaluation des risques à chaque modification substantielle du système. L'Article 72 prévoit des incidents de performance à notifier sous 15 jours. La supervision humaine documentée en juillet 2026 devra être mise à jour si les équipes changent ou si le système évolue.
Les organisations qui abordent cette deadline comme une case à cocher s'exposent à un cycle de mise en conformité permanente épuisant. Celles qui la voient comme le point de départ d'un système de gouvernance IA pérenne en sortiront structurellement plus solides — et plus compétitives sur les appels d'offres publics où la conformité EU AI Act deviendra un critère de sélection dès 2027.
Presidio intègre les obligations EU AI Act Annexe III dans son tableau de bord de maturité GRC, avec des contrôles pré-mappés aux articles 9, 11, 14 et 51. Pour évaluer votre positionnement avant le 1er août, contactez notre équipe — nous réservons des créneaux de diagnostic cette semaine. Lire aussi notre analyse sur les 4 obligations EU AI Act que personne n'a encore déployées.