L’AI Act est devenu une ligne de la due diligence

L’AI Act est entré dans sa phase répressive : les régimes de sanctions nationaux devaient être en place depuis août 2025, et depuis le 2 août 2026 la Commission européenne dispose, via son AI Office, de ses propres pouvoirs de sanction sur les fournisseurs de modèles à usage général. Le règlement a quitté la veille juridique pour rejoindre la due diligence, au même titre que le RGPD. Pour un fonds, la question n’est plus de savoir si l’AI Act concerne ses cibles, mais lesquelles, à quelle échéance, et pour quel coût de mise en conformité.

Le calendrier a bougé cette année, dans les deux sens. Une partie des obligations est entrée en application cet été ; la plus lourde a été reportée. Une analyse qui applique le calendrier de 2024 se trompe donc deux fois : elle sous-estime ce qui est déjà exigible et surestime l’urgence du reste.

Où en est le calendrier en 2026

Trois couches s’appliquent déjà. Les pratiques interdites (notation sociale, manipulation, certaines formes de reconnaissance des émotions) sont prohibées depuis février 2025, avec des sanctions pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Les obligations des fournisseurs de modèles à usage général s’appliquent depuis août 2025. Et depuis le 2 août 2026, les obligations de transparence de l’article 50 sont en vigueur : signaler à l’utilisateur qu’il interagit avec une IA, marquer les contenus générés, étiqueter les deepfakes. C’est aussi la date à laquelle la Commission a acquis ses pouvoirs de sanction sur les fournisseurs de modèles à usage général, un an après l’entrée en application de leurs obligations.

La couche la plus lourde a été décalée. Le paquet dit Digital Omnibus, adopté par le Parlement européen le 16 juin 2026, reporte les obligations des systèmes à haut risque de l’annexe III du 2 août 2026 au 2 décembre 2027, et celles des systèmes intégrés à des produits réglementés (annexe I) au 2 août 2028, comme le résume l’analyse du cabinet Gibson Dunn. Seize mois de répit pour les cibles concernées. Pas une amnistie.

Les classes de risque, lues côté investisseur

La mécanique du règlement tient en une gradation. Les pratiques interdites d’abord : rares dans les portefeuilles, mais rédhibitoires, car une cible qui en dépend n’a pas de mise en conformité possible. Les systèmes à haut risque ensuite : recrutement, scoring de crédit, assurance, éducation, biométrie, infrastructures critiques. Pour eux, la conformité est un vrai chantier : gestion des risques documentée, gouvernance des données, journalisation, supervision humaine, documentation technique, et selon les cas une évaluation de conformité.

Vient la transparence de l’article 50, qui touche beaucoup plus de cibles qu’on ne le croit : tout produit qui met un agent conversationnel devant un utilisateur ou qui génère du contenu est concerné, dès maintenant. Le reste, la grande majorité des systèmes, relève du risque minimal et ne porte pas d’obligation nouvelle.

Côté investisseur, la première question n’est donc pas "la cible est-elle conforme" mais "la cible sait-elle où elle se situe". Une équipe qui a écrit noir sur blanc sa classification, avec le raisonnement qui la soutient, a en général traité le sujet sérieusement. Une équipe qui répond "nous ne sommes pas concernés" sans analyse écrite mérite une ligne au registre des risques.

Quelles cibles sont exposées

Les plus exposées ne sont pas les startups IA génériques, mais celles dont le cas d’usage touche l’annexe III : les HR tech qui trient des candidatures, les fintech qui scorent le crédit, les assurtech, les edtech qui évaluent des personnes, tout ce qui manipule de la biométrie. S’y ajoutent les dispositifs médicaux et autres produits réglementés de l’annexe I, avec leur échéance 2028.

Deux subtilités échappent aux analyses rapides. D’abord, le règlement vise aussi les déployeurs : une cible qui utilise un système à haut risque acheté à un tiers, un outil de tri de CV par exemple, porte ses propres obligations. Ensuite, la frontière est mouvante : un produit de risque minimal aujourd’hui peut devenir haut risque par simple extension de la roadmap, quand la fonctionnalité de recommandation devient une décision automatisée sur des personnes. Le plan de création de valeur peut donc créer l’exposition qu’il faudra ensuite financer.

Les questions à ajouter à la due diligence

Concrètement, voici ce que nous avons ajouté à nos audits :

1. Avez-vous une classification écrite de vos systèmes au regard de l’AI Act, et qui l’a validée ?
2. Si un système est à haut risque, quel est le plan pour décembre 2027, chiffré et daté ?
3. Vos interfaces respectent-elles déjà l’article 50 : mention de l’IA face à l’utilisateur, marquage des contenus générés ?
4. Que prévoient vos contrats avec vos fournisseurs de modèles sur la documentation et la répartition des responsabilités ?
5. Votre journalisation permettrait-elle de reconstituer pourquoi le système a produit telle décision ?
6. La roadmap fait-elle entrer le produit dans une catégorie à haut risque, et qui surveille ce point ?

Ces questions s’ajoutent à notre checklist IA, et elles se posent naturellement dans la même conversation avec les fondateurs.

Le report ne change pas la thèse

Le décalage à décembre 2027 est une bouffée d’air pour les cibles à haut risque, pas une raison de repousser l’analyse. La journalisation, la documentation technique et la gouvernance des données se construisent difficilement a posteriori ; les rattraper sur un produit vivant coûte beaucoup plus cher que de les intégrer au fil de l’eau. Et comme pour le RGPD, dont les écarts ressortent après le closing, la facture réelle arrive au moment de la revente : le prochain acquéreur auditera une cible qui n’aura plus l’excuse du calendrier.

Nous intégrons désormais cette lecture réglementaire à chaque due diligence technique et IA sur une cible européenne. Non pour produire un avis juridique, qui reste l’affaire des avocats, mais pour vérifier dans le code et l’infrastructure ce que les déclarations de conformité promettent.