AI Act : dans 4 mois, vous êtes concerné

Le 2 août 2026, l'AI Act entre en application pour la grande majorité des opérateurs IA en Europe¹. Quatre mois. C'est le temps qu'il reste à beaucoup de fondateurs SaaS pour réaliser qu'ils sont dans le périmètre de cette loi — sans forcément l'avoir anticipé.

Le cliché veut que l'AI Act ne concerne que les grands groupes ou les fournisseurs de modèles. C'est faux. Si votre produit intègre une API comme Claude, GPT ou Gemini pour alimenter une fonctionnalité commerciale, vous êtes légalement un deployer². Avec des obligations qui vont avec.

Ce que signifie être "deployer"

La distinction est simple dans la loi, mais elle surprend encore beaucoup de monde. Le provider, c'est l'entreprise qui développe et met sur le marché un système d'IA — Anthropic, OpenAI, Google. Le deployer, c'est l'entreprise qui intègre ce système dans son propre produit et le déploie auprès d'utilisateurs finaux.

Résultat : un SaaS RH qui utilise l'API OpenAI pour screener des CVs est deployer d'un système à haut risque (Annexe III de l'AI Act, section recrutement). Un SaaS qui intègre Claude pour un chatbot de support client est deployer d'un système à risque limité, avec des obligations de transparence².

Le périmètre est large. La majorité des SaaS B2B construits avec des APIs IA en 2025-2026 sont concernés à un niveau ou un autre.

Ce qui s'applique au 2 août — sans ambiguïté

L'AI Act est entré en vigueur le 1er août 2024 avec un déploiement progressif¹. Le 2 février 2025, les pratiques d'IA interdites ont été bannies. Le 2 août 2025, les obligations pour les modèles d'IA généralistes (GPAI) ont pris effet.

Le 2 août 2026 marque l'applicabilité générale du règlement. Ce qui entre concrètement en jeu pour les deployers :

• Article 50 (transparence) : un utilisateur qui interagit avec un chatbot ou un système génératif doit être informé qu'il parle à une IA. Le contenu généré doit être identifiable comme tel. Cette obligation s'applique au 2 août 2026 pour les nouveaux systèmes³.
• Gestion des logs : les deployers de systèmes à haut risque doivent conserver les logs générés automatiquement par le système, pour traçabilité en cas de litige ou d'audit².
• Surveillance humaine effective : pour les systèmes high-risk (recrutement, crédit, accès à des services essentiels), une décision produite par l'IA doit rester contrôlable et contestable par un humain compétent².

Le Digital Omnibus ne vous sauve pas

Depuis novembre 2025, la Commission européenne a proposé un paquet "Digital Omnibus" pour alléger la charge réglementaire⁴. Il est présenté comme un assouplissement majeur. En pratique, son impact pour les builders SaaS est plus limité qu'il n'y paraît.

Ce que l'Omnibus propose pour les systèmes à haut risque : repousser l'entrée en vigueur des règles Annexe III, conditionnée à la disponibilité des standards harmonisés CEN-CENELEC — qui ne seront pas prêts avant fin 2026 au mieux⁴. Les dates butoir dans tous les cas : 2 décembre 2027 ou 2 août 2028 selon les catégories.

Ce que l'Omnibus ne repousse pas : les obligations de transparence de l'Article 50 pour les systèmes mis sur le marché après le 2 août 2026. Et il prévoit seulement un délai de grâce de 6 mois pour les systèmes déjà en production avant cette date³.

Autre problème : l'Omnibus n'est pas encore adopté. Le Conseil a arrêté sa position en mars 2026, le Parlement aussi — mais les trilogues n'ont pas abouti⁵. Si le texte n'est pas voté avant août 2026, les règles originales s'appliquent telles quelles.

En clair : ne planifiez pas votre conformité sur la base d'un report qui n'est pas encore acté.

Ce que les fondateurs SaaS doivent faire maintenant

L'effort de mise en conformité n'est pas nécessairement lourd. Mais il suppose une démarche méthodique.

Étape 1 — Inventaire. Lister tous les composants IA de votre produit et identifier si chacun relève d'un usage high-risk (Annexe III), à risque limité (Article 50) ou minimal.

Étape 2 — Documentation. Formaliser vos décisions de classification, vos processus de supervision humaine, vos échanges avec les fournisseurs de modèles. Ces éléments constituent votre dossier de conformité de bonne foi en cas de contrôle².

Étape 3 — Transparence utilisateur. Si votre produit expose une interface conversationnelle ou génère du contenu, vérifier que les obligations d'information sont couvertes. C'est souvent une question de quelques lignes dans vos CGU et d'un message dans l'interface.

Les sanctions pour non-conformité atteignent 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour les obligations deployer². Pour un SaaS qui fait 1 M€ d'ARR, c'est 30 000 €. Pas ruineux — mais le vrai risque est ailleurs : les appels d'offres enterprise intègrent désormais des clauses de conformité AI Act dans leurs Vendor Risk Assessments. Ne pas être en ordre, c'est perdre des deals.

Chez NXL Forge, les produits qu'on livre intègrent des composants IA. C'est un point que l'on aborde systématiquement dans la phase de cadrage — au même titre que la RGPD ou la sécurité. Si vous construisez un SaaS avec de l'IA et que vous voulez structurer ça proprement dès le départ, notre méthode couvre ces questions.

---

Footnotes

1. AI Act — timeline officielle — European Commission, digital-strategy.ec.europa.eu, mis à jour mars 2026. Le règlement est entré en vigueur le 1er août 2024, avec applicabilité générale au 2 août 2026. Lien ↩ ↩²

2. EU AI Act 2026 Updates: Compliance Requirements and Business Risks — Legal Nodes, legalnodes.com, février 2026. Détail des obligations deployer, classification Annexe III, sanctions applicables. Lien ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

3. The Digital Omnibus changes to the AI Act — Taylor Wessing, taylorwessing.com, février 2026. Délai de grâce de 6 mois sur l'Article 50(2), obligations de watermarking pour le contenu généré. Lien ↩ ↩²

4. EU AI Act: Proposed 'Digital Omnibus on AI' Will Impact Businesses' AI Compliance Roadmaps — Cooley LLP, cooley.com, novembre 2025. Analyse des reports conditionnels et des dates butoir décembre 2027 / août 2028. Lien ↩ ↩²

5. Digital Omnibus on AI — Legislative Train Schedule — Parlement européen, europarl.europa.eu, mis à jour mars 2026. État d'avancement de la procédure législative, position du Conseil et du Parlement. Lien ↩