AI Act européen après août 2026 : ce que les entreprises de mode doivent respecter dès maintenant

Depuis le 2 août 2026, l'AI Act européen s'applique en grande partie : une entreprise de mode qui utilise l'IA dans l'UE doit donc déjà respecter les interdictions de pratiques prohibées, favoriser la maîtrise de l'IA parmi son personnel et satisfaire aux règles de transparence de l'article 50 pour les chatbots et les contenus synthétiques. Les obligations les plus lourdes, celles qui visent les systèmes à haut risque comme l'IA utilisée dans le recrutement, ont été reportées par l'AI Omnibus au 2 décembre 2027. La lecture raisonnable pour la mode : moins d'urgence sur la documentation haut risque, aucun délai sur la transparence et la gouvernance.

Qu'est-ce qui a changé en août 2026 ?

L'AI Act (règlement (UE) 2024/1689) est entré en vigueur le 1er août 2024 et s'applique progressivement sur plusieurs années. Selon la Commission européenne, les pratiques interdites et les obligations de maîtrise de l'IA s'appliquent depuis le 2 février 2025, les règles de gouvernance et les obligations relatives aux modèles d'IA à usage général (GPAI) depuis le 2 août 2025, et le règlement est devenu largement applicable le 2 août 2026, y compris les règles de transparence et le contrôle de leur application par le Bureau de l'IA et les autorités nationales.

Parallèlement, l'UE a modifié le texte. L'AI Omnibus, publié au Journal officiel le 24 juillet 2026 sous la forme du règlement (UE) 2026/1744, est entré en vigueur le 27 juillet 2026, selon White & Case. Il a reporté les exigences du chapitre III relatives au haut risque, ajouté de nouvelles interdictions visant l'IA qui génère des contenus pédopornographiques ou des images intimes non consenties, et étendu la documentation simplifiée des PME aux petites entreprises de taille intermédiaire (small mid-caps).

Quels usages de l'IA dans la mode relèvent de quel niveau de risque ?

Le règlement classe l'IA selon le risque. La Commission relève que la plupart des systèmes d'IA utilisés relèvent de la catégorie à risque minimal, sans règles spécifiques. Pour une marque ou un distributeur type, cela couvre une grande partie de la prévision de la demande, de la planification de l'assortiment, de l'enrichissement des données produit et du classement des résultats de recherche. Les obligations se font sentir à trois endroits : les pratiques interdites, les usages classés à haut risque et les systèmes qui déclenchent des obligations de transparence.

• Interdit : les pratiques prohibées par l'article 5, comme la notation sociale, la collecte non ciblée d'images faciales et la reconnaissance des émotions sur le lieu de travail.
• Haut risque (annexe III) : les usages dans des domaines comme l'emploi (par exemple le recrutement et la gestion du personnel) et l'accès aux services essentiels, soumis à des obligations de gestion des risques, de qualité des données, de documentation et de contrôle humain.
• Transparence (article 50) : les chatbots en contact avec la clientèle, les images, vidéos, sons et textes générés par l'IA, les deepfakes, ainsi que la reconnaissance des émotions ou la catégorisation biométrique appliquées aux clients.
• Risque minimal : la plupart des outils de planification, de prévision et de productivité interne, soumis au RGPD et au droit commun.

Lire aussi

La gouvernance de l'IA dans les entreprises de mode : un point de départ pragmatique

Que doit contenir la check-list aujourd'hui ?

La liste suivante reflète des obligations qui s'appliquent déjà ou s'appliqueront dans les prochains mois. Elle part du principe que l'entreprise est surtout un déployeur (utilisateur de systèmes d'IA développés par d'autres), ce qui est la situation habituelle des marques et des distributeurs.

1. Établir un inventaire de l'IA. Recenser chaque système d'IA utilisé, y compris les fonctionnalités intégrées aux logiciels d'e-commerce, de PIM, de RH et de marketing, avec un responsable et une finalité prévue.
2. Détecter les pratiques interdites. Confronter les fonctionnalités de personnalisation, de tarification et de persuasion aux interdictions de l'article 5, et confirmer qu'aucun outil de travail ne déduit les émotions des salariés.
3. Documenter les mesures de maîtrise de l'IA. L'Omnibus a assoupli l'article 4 en une obligation de prendre des mesures favorisant la maîtrise de l'IA ; la Commission indique qu'un registre interne des formations suffit et qu'aucun certificat n'est requis.
4. Signaler les chatbots. Les clients doivent être informés qu'ils interagissent avec une IA, au plus tard lors de la première interaction, sauf si c'est évident.
5. Étiqueter les deepfakes. Les images ou vidéos qui ressemblent à des personnes, lieux ou événements réels et pourraient sembler authentiques doivent être signalées par le déployeur, avec un régime allégé pour les œuvres manifestement créatives.
6. Interroger les fournisseurs sur le marquage. Les fournisseurs d'outils génératifs doivent marquer les contenus produits de manière lisible par machine ; les systèmes déjà sur le marché ont jusqu'au 2 décembre 2026.
7. Cartographier les candidats au haut risque. Identifier dès maintenant les systèmes liés aux RH et au crédit, car les obligations haut risque, dont le contrôle humain, arrivent le 2 décembre 2027.
8. Attribuer les responsabilités. Désigner un responsable au niveau de la direction et décider qui valide les nouveaux cas d'usage de l'IA.

Quand une marque de mode devient-elle fournisseur d'IA ?

La plupart des marques achètent de l'IA. Mais en vertu de l'article 25, un déployeur devient fournisseur d'un système à haut risque s'il y appose son propre nom ou sa propre marque, y apporte une modification substantielle ou en change la finalité prévue de sorte qu'il devienne à haut risque. Un distributeur qui adapterait un modèle à usage général pour en faire son propre outil de présélection des candidats, par exemple, assumerait les obligations du fournisseur à partir de décembre 2027.

À combien s'élèvent les sanctions ?

L'article 99 fixe les amendes maximales. Les violations des interdictions peuvent être sanctionnées jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Les violations des autres obligations, y compris expressément les obligations des déployeurs au titre de l'article 26 et les obligations de transparence au titre de l'article 50, peuvent atteindre 15 millions d'euros ou 3 %. La fourniture d'informations inexactes ou trompeuses aux autorités peut coûter jusqu'à 7,5 millions d'euros ou 1 %. Pour les PME, c'est le moins élevé des deux montants qui s'applique. Les amendes sont fixées au niveau national et doivent être proportionnées : il s'agit de plafonds, non de barèmes.

Lire aussi

De quelles compétences et organisations d'équipe les entreprises de mode ont-elles besoin pour l'IA ?

Que doit décider la direction avant 2027 ?

Le report donne aux entreprises de mode le temps de consolider les fondations plutôt que de produire de la documentation. Trois décisions comptent le plus : qui porte la gouvernance de l'IA (souvent une mission conjointe du juridique, des RH, de l'informatique et de l'e-commerce), quels cas d'usage l'entreprise s'interdit (par exemple la notation automatisée du personnel), et comment les contrats fournisseurs répartiront les obligations de documentation et de journalisation. Les entreprises qui réalisent déjà des analyses d'impact relatives à la protection des données au titre du RGPD peuvent étendre ce processus au lieu d'en construire un parallèle.

La limite pratique, c'est l'information. Une grande partie de ce qu'un déployeur doit savoir, des données d'entraînement aux méthodes de marquage, est détenue par les éditeurs de logiciels. C'est pourquoi l'inventaire et le questionnaire fournisseurs sont les deux documents à lancer dès ce trimestre.