Un instant à bord
Votre page se prépare.
Le chargement est en cours. Vous pourrez poursuivre dans un instant.
Aller au contenu
EU AI Act · en vigueur depuis le 2 août 2026
EU AI Act : où en est votre fournisseur IA ?
Depuis le 2 août 2026, une IA qui parle à vos clients doit se présenter comme telle (article 50), y compris quand elle vient d'un abonnement SaaS. Cette page vous montre comment être en règle sans dépendre de la bonne volonté d'un fournisseur américain.
Dernière revue le 12 juin 2026, sources officielles vérifiées (EUR-Lex, Consilium).
Article 50(1), obligation en vigueur
77
jours que l'obligation s'applique, depuis le 2 août 2026
Le règlement Digital Omnibus, entré en vigueur le 27 juillet 2026, a bien décalé les obligations haut-risque de l'Annexe III à décembre 2027. Mais il ne reporte pas l'Article 50(1) : un chatbot, un copilot ou un agent IA doit se déclarer comme tel, et cette obligation s'applique depuis le 2 août 2026. Si votre entreprise fait déjà répondre une IA à ses clients, vous êtes concerné aujourd'hui. Sources : Consilium et publication au JOUE du 24 juillet 2026.
Article 4 · en vigueur depuis le 2 février 2025
Avant même l'échéance du 2 août 2026 ci-dessus, l'Article 4 impose à toute entreprise qui déploie de l'IA, sans seuil d'effectif, de veiller à un niveau suffisant de maîtrise de l'IA (« AI literacy ») de son personnel et des personnes qui l'utilisent en son nom. Le règlement ne prévoit pas de sanction dédiée pour ce seul article, mais l'obligation est bien en vigueur, y compris pour une TPE. Notre réponse reste pratique plutôt que déclarative : nos agents montrent ce qu'ils font à chaque étape, et c'est vous qui validez.
L'échéance, 2 août 2026
Le Règlement (UE) 2024/1689 dit « EU AI Act » est le premier cadre juridique européen entièrement dédié à l'intelligence artificielle. Adopté en 2024, il s'applique progressivement, mais le 2 août 2026 marque l'entrée en vigueur des obligations principales : transparence (Art. 50), gouvernance interne, registre des systèmes IA, supervision humaine.
Les sanctions vont jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les infractions les plus graves (risque inacceptable), 15 M€ ou 3 % pour les manquements aux obligations à haut risque, et 7,5 M€ ou 1 % pour fourniture d'informations inexactes aux autorités. Pour une PME, c'est le montant le plus faible entre la somme fixe et le pourcentage qui s'applique.
Source officielle : EUR-Lex, Règlement (UE) 2024/1689
Ce que ça change pour une entreprise
Pour les outils IA marketing, prospection, support ou contenu classés « risque limité » dans le règlement, trois obligations concrètes s'appliquent depuis le 2 août 2026.
1
Étiquetage des contenus générés par IA (Art. 50)
Tout contenu de synthèse, texte, image, audio, vidéo, produit par un système IA doit être identifiable comme tel, soit par marquage technique (watermark, métadonnées), soit par information explicite à l'utilisateur final.
Couverture PilotCrew
Chaque contenu généré par un agent PilotCrew est tagué dans la base avec model_id, prompt_hash et generation_timestamp. Les emails et SMS sortants peuvent inclure une mention « rédigé avec assistance IA » paramétrable. L'agent vocal annonce systématiquement son statut d'IA en début d'appel.
2
Transparence sur les systèmes IA utilisés
Vous devez pouvoir documenter, pour chaque traitement IA déployé : la finalité, les modèles sous-jacents, les données d'entrée, les mesures de supervision humaine, et l'analyse d'impact (DPIA si données personnelles).
Couverture PilotCrew
Dossier technique AI Act fourni sous 48h sur demande : finalités par agent, modèles orchestrés (Claude, GPT, Gemini), bases de données utilisées, mesures de sécurité, droits utilisateurs. Audit log immuable de 90 jours exporté en JSON ou CSV.
3
Registre des systèmes IA déployés
Comme pour le RGPD, vous devez tenir un registre interne listant chaque système IA utilisé dans l'entreprise, fournisseur, finalité, niveau de risque, mesures de mitigation. Document opposable aux autorités de contrôle.
Couverture PilotCrew
PilotCrew publie son propre registre Article 30 RGPD opposable (sous-traitants LLM nommés, durées de conservation, mesures de sécurité) et fournit un modèle prérempli pour le registre de chaque client.
Lire le registre filé →Fournisseurs IA, classement par préparation EU AI Act
Évaluation publique au 15 mai 2026 sur les 4 critères structurants : localisation de l'hébergement (UE ou hors UE), Zero Data Retention contractuel, fourniture d'un registre IA, DPA Article 28. Sources vérifiées (politique de confidentialité éditeur, DPA public).
| Fournisseur | Région d'hébergement | ZDR contractuel | Registre IA fourni | DPA Art. 28 |
|---|---|---|---|---|
PilotCrew Source : pilotcrew.io/trust | Base principale Francfort, sous-traitants hors UE listés | Pas de garantie globale, conditions par fournisseur | Template fourni, mise à jour auto | Art. 28, opposable dès souscription |
ChatGPT Team / Enterprise (OpenAI) Source : openai.com/enterprise-privacy | Région UE pour Enterprise uniquement | ZDR sur Enterprise, à activer manuellement sur Team | Non fourni par OpenAI | DPA OpenAI standard |
HubSpot AI (Breeze) Source : hubspot.com/data-privacy | Datacenter EU disponible, mais flux IA via US-East | Pas d'entraînement sur prompts, rétention 30j | Non fourni | DPA HubSpot standard |
Brevo Aura Source : brevo.com/legal/privacypolicy | Infrastructure OVH + AWS Paris | IA via providers US, conditions à vérifier | Non fourni | DPA Brevo standard |
Méthodologie : analyse comparative basée sur les politiques de confidentialité et DPA publics des éditeurs au 15 mai 2026. Pour signaler une mise à jour ou une erreur factuelle, écrivez à dpo@pilotcrew.io - correctif sous 7 jours.
Notre engagement
Hébergement principal en UE
Base de données Postgres tenant sur Supabase Frankfurt (eu-central-1), frontend sur Vercel fra1 (Paris/Francfort), stockage fichiers Cloudflare R2 région UE. Certains sous-traitants (fournisseurs de modèles IA, envoi d'emails) sont hors UE : liste publique sur /legal/subprocessors.
Conservation selon le fournisseur
Pas de garantie globale de Zero Data Retention : l'absence d'entraînement, la conservation des journaux techniques et le Zero Data Retention dépendent du fournisseur, du service et des options contractuelles effectivement activées. Détail sur /trust.
DPA RGPD Article 28
Avenant de traitement de données opposable, accepté à la souscription. Aucune contre-signature manuelle requise pour les abonnements Standard et Pro. DPO joignable directement à dpo@pilotcrew.io.
Registre IA fourni
Modèle de registre IA prérempli avec les entrées correspondant à vos agents activés. Format compatible CNIL, exportable PDF et JSON, mis à jour automatiquement à chaque modification de configuration.
Questions fréquentes
Quand exactement l'EU AI Act s'applique-t-il à mon entreprise ?
Le règlement (UE) 2024/1689 est en vigueur par étapes. Les interdictions (risque inacceptable) s'appliquent depuis février 2025. Les obligations pour les modèles à usage général (GPAI) sont entrées en vigueur en août 2025. Depuis le 2 août 2026, l'article 50(1) impose aux fournisseurs de systèmes destinés à interagir directement avec des personnes de prévoir leur information sur cette interaction avec une IA, sauf lorsque cela est évident dans les circonstances. Les obligations de votre entreprise dépendent de son rôle et de l'usage du système.
Quelles sanctions encourt mon entreprise en cas de non-conformité ?
Les amendes sont graduées : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial annuel pour les infractions liées aux systèmes à risque inacceptable ; jusqu'à 15 M€ ou 3 % du CA pour les obligations sur les systèmes à haut risque ; jusqu'à 7,5 M€ ou 1 % du CA pour la fourniture d'informations inexactes aux autorités. Pour une PME, c'est le montant le plus bas qui s'applique entre la somme fixe et le pourcentage.
Suis-je responsable même si j'utilise simplement un SaaS IA fourni par un tiers ?
Oui, mais à un niveau différent. Le fournisseur du système IA (PilotCrew, OpenAI, etc.) porte la responsabilité principale de la conformité technique du système. En tant qu'utilisateur (« déployeur » dans le règlement), vous restez responsable de l'usage conforme : informer vos clients de l'usage d'IA, tenir votre registre interne, ne pas détourner l'outil de sa finalité documentée. Le choix d'un fournisseur conforme limite drastiquement votre exposition.
Qu'est-ce qu'un fournisseur IA « souverain » concrètement ?
Il n'existe pas de label officiel « IA souveraine » à ce jour. Dans la pratique commerciale, le terme désigne un fournisseur qui : (1) héberge les données en UE, (2) est édité par une entreprise européenne (vous pouvez actionner le RGPD facilement), (3) garantit contractuellement la non-utilisation des données pour entraîner les modèles, (4) fournit une transparence sur les modèles sous-jacents. PilotCrew remplit ces 4 critères ; voir le tableau comparatif ci-dessus.
Que devient ma conformité si PilotCrew change de modèle IA sous-jacent ?
Toute modification matérielle (changement de fournisseur LLM, modification de zone de traitement, ajout d'une catégorie de données) déclenche une notification email avec 30 jours de préavis et un droit d'opt-out. Le registre IA est mis à jour automatiquement, le DPA reste opposable, et le rapport AI Act peut être réémis sur demande.
Comment obtenir le dossier technique EU AI Act pour mon DPO ou un audit client ?
Écrivez à dpo@pilotcrew.io en précisant votre cas d'usage. Le dossier est transmis sous 48h ouvrées en PDF, et inclut : finalités par agent activé, modèles utilisés, bases légales RGPD, mesures de sécurité, analyse d'impact synthétique, plan de réponse à incident. Pour les clients Scale (4990 €/an), le dossier est mis à disposition en téléchargement direct depuis le dashboard.
Documenté dès aujourd'hui.
Base principale à Francfort, sous-traitants hors UE listés publiquement, registre IA fourni, DPA opposable dès la souscription. La documentation ne devrait pas être un projet, elle devrait être incluse dans votre abonnement.
Une question secteur réglementé (santé, finance, juridique) ? Écrivez à dpo@pilotcrew.io. Dossier technique AI Act transmis sous 48h.