AI Act août 2026 : ce qui s'applique vraiment

Réponse rapide : l'échéance du 2 août 2026 ne s'est pas produite comme prévu à l'origine. L'omnibus numérique sur l'IA — le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026 — a reporté les obligations relatives aux systèmes à haut risque autonomes de l'annexe III au 2 décembre 2027, et celles relatives à l'IA intégrée dans des produits réglementés au 2 août 2028. Ce qui est bel et bien entré en application le 2 août 2026, c'est le régime de transparence de l'article 50 (informer les personnes qu'elles s'adressent à une IA, marquer les contenus générés par IA) ainsi que le pouvoir de sanction de la Commission à l'égard des fournisseurs de modèles d'IA à usage général. Deux autres dates fermes attendent les entreprises luxembourgeoises : le 2 décembre 2026 pour le marquage lisible par machine des sorties génératives déjà sur le marché, et le 2 décembre 2027 pour le dossier haut risque complet.

Vérifié le 7 août 2026 au regard du règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026.

En savoir plus sur l'implémentation de l'IA au Luxembourg dans notre guide complet.

L'échéance dont on vous a parlé a été déplacée. Voici la situation exacte

Si votre programme de conformité a été construit autour de l'équation « 2 août 2026 = jour du haut risque », il est désormais obsolète — et une grande partie des contenus qui circulent encore en ligne est fausse.

La Commission européenne a présenté le paquet omnibus numérique le 19 novembre 2025. Le Parlement et le Conseil sont parvenus à un accord politique le 7 mai 2026, le Parlement a voté le texte le 16 juin 2026 (423 voix pour, 57 contre, 174 abstentions), le Conseil a donné son feu vert final le 29 juin 2026, et le règlement (UE) 2026/1744 qui en résulte a été publié au Journal officiel le 24 juillet 2026, pour entrer en vigueur le 27 juillet 2026.

Il réécrit l'article 113 du règlement IA. Les dates d'application désormais applicables :

Obligation	Date initiale	Date en vigueur
Pratiques interdites (art. 5), maîtrise de l'IA (art. 4)	2 févr. 2025	2 févr. 2025 (inchangé)
Modèles d'IA à usage général (chap. V), gouvernance, régime de sanctions (art. 99)	2 août 2025	2 août 2025 (inchangé)
Obligations de transparence (art. 50)	2 août 2026	2 août 2026 (inchangé — c'est celle-ci qui est tombée)
Pouvoir de sanction de la Commission sur les fournisseurs de modèles à usage général	2 août 2026	2 août 2026 (inchangé)
Marquage lisible par machine (art. 50(2)) pour les systèmes génératifs déjà sur le marché	2 août 2026	2 déc. 2026
Nouvelles interdictions : images intimes non consenties, matériel pédocriminel	—	2 déc. 2026 (nouveau)
Modèles à usage général mis sur le marché avant le 2 août 2025	2 août 2027	2 août 2027 (inchangé)
Haut risque : systèmes autonomes de l'annexe III (art. 6(2))	2 août 2026	2 déc. 2027
Haut risque : IA intégrée aux produits de l'annexe I, section A (art. 6(1))	2 août 2027	2 août 2028

Deux conclusions à retenir avant d'en informer votre conseil d'administration :

Quelque chose de réel est bien entré en application ce mois-ci. L'article 50 est désormais opposable, il concerne pratiquement toute entreprise disposant d'un agent conversationnel ou d'une chaîne de production de contenus, et il relève de la tranche de sanction à 15 millions d'euros / 3 %.
Le travail « haut risque » n'a pas disparu — il a reçu un calendrier réaliste. Le 2 décembre 2027, c'est environ seize mois. Constituer un dossier haut risque complet pour un seul système prend douze à dix-huit mois dans une entreprise qui a par ailleurs un métier à exercer. Ce report n'est pas du mou : c'est le temps que le travail exige réellement.

Nous préférons vous le dire plutôt que de vous vendre une urgence artificielle. Si un prestataire vous affirme encore que l'évaluation de la conformité des systèmes à haut risque est due ce mois-ci, c'est qu'il n'a pas lu le règlement (UE) 2026/1744.

Ce qui est réellement entré en application le 2 août 2026 : la transparence (article 50)

L'article 50 est la disposition la plus sous-estimée du règlement IA. Il est court, il s'applique horizontalement quelle que soit la classe de risque, et il touche plus d'organisations luxembourgeoises que tout autre article — parce qu'il se déclenche sur l'interaction et sur le contenu, pas sur le secteur.

Quatre obligations, réparties entre fournisseurs et déployeurs :

50(1) — obligation du fournisseur : signaler l'IA. Un système d'IA destiné à interagir directement avec des personnes physiques — agent conversationnel sur votre site, agent vocal, assistant intégré à une application — doit être conçu de manière à ce que la personne soit informée qu'elle s'adresse à une IA. L'exception est étroite : elle ne joue que lorsque cela est évident pour une personne normalement informée et raisonnablement attentive.

50(2) — obligation du fournisseur : marquer les sorties génératives. Les fournisseurs de systèmes générant du contenu de synthèse (audio, image, vidéo, texte) doivent veiller à ce que les sorties soient marquées dans un format lisible par machine et détectables comme générées ou manipulées par une IA. C'est la couche filigrane / métadonnées de provenance. Pour les systèmes déjà mis sur le marché avant le 2 août 2026, l'omnibus accorde un délai jusqu'au 2 décembre 2026 : les normes techniques n'étaient pas prêtes.

50(3) — obligation du déployeur : reconnaissance des émotions et catégorisation biométrique. Si vous en exploitez un, vous devez informer les personnes qui y sont exposées. À noter : la reconnaissance des émotions sur le lieu de travail et dans l'enseignement est par ailleurs purement interdite par l'article 5.

50(4) — obligation du déployeur : hypertrucages et textes d'intérêt public. Le déployeur d'un système générant ou manipulant des images, sons ou vidéos constituant un hypertrucage (deepfake) doit indiquer que le contenu a été généré ou manipulé artificiellement. Même règle pour les textes générés par IA publiés dans le but d'informer le public sur des questions d'intérêt général, sauf si le contenu a fait l'objet d'un contrôle humain et qu'une personne ou une organisation en assume la responsabilité éditoriale.

50(5) impose que l'information soit fournie de manière claire et distincte, au plus tard lors de la première interaction ou exposition.

Concrètement, pour une PME luxembourgeoise, ce mois-ci

Votre agent conversationnel doit afficher une mention non ambiguë dès l'ouverture de la conversation. « Bonjour, je suis Ana ! » n'est pas une mention. « Bonjour, je suis Ana, un assistant IA — je vous passe un collègue dès que vous le souhaitez » en est une.
Votre agent vocal doit dire la même chose, à l'oral, dans les premières secondes, dans la langue de l'appel. Au Luxembourg, cela signifie que la mention doit exister en FR, DE et EN — pas seulement en anglais.
Les contenus marketing générés par IA et publiés comme contenu éditorial d'intérêt public exigent soit une mention, soit une relecture humaine documentée avec responsabilité éditoriale assumée. Choisissez, et écrivez ce que vous avez choisi.
Si vous commercialisez une fonctionnalité générative, le chantier du marquage lisible par machine a une échéance ferme au 2 décembre 2026. C'est du travail d'ingénierie, pas de politique interne : lancez-le maintenant.
Chacune de ces décisions doit figurer dans un écrit daté. C'est cet écrit qui transforme une question d'autorité de surveillance en conversation courte.

Tranche de sanction applicable à l'article 50 : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu — sous réserve de l'inversion applicable aux PME décrite plus bas. La compétence revient aux autorités nationales de surveillance du marché depuis le 2 août 2026.

Fournisseur ou déployeur : la qualification qui commande tout le reste

Le règlement IA attribue ses obligations en fonction du rôle, pas du secteur. La plupart des PME luxembourgeoises sont des déployeurs : elles utilisent, sous leur propre autorité et dans le cadre d'une activité professionnelle, des systèmes fournis par des tiers. Les obligations du déployeur sont nettement plus légères que celles du fournisseur, mais elles sont réelles et aucun contrat ne permet de les transférer au fournisseur.

Vous devenez fournisseur dès lors que vous mettez un système d'IA sur le marché ou en service sous votre propre nom ou votre propre marque, que vous le modifiez substantiellement, ou que vous en changez la destination. Une fintech qui intègre une fonctionnalité d'IA orientée client dans son propre produit est fournisseur de ce système, même si le moteur sous-jacent n'est qu'une surcouche fine sur un modèle de fondation.

Même entreprise, systèmes différents, rôles différents. La qualification se fait système par système, par écrit et datée. Notre test fournisseur / déployeur en cinq minutes en donne la version courte.

Arrêtez de deviner votre position. Mettez-la par écrit.

Aujourd'hui, la plupart des entreprises luxembourgeoises se trouvent dans l'une de deux positions erronées : soit elles croient qu'une échéance est passée alors qu'elle a été reportée, soit elles pensent que plus rien ne s'applique parce qu'une échéance a bougé. Les deux coûtent cher.

L'Évaluation de conformité AI Act de 20 More met fin aux suppositions. Périmètre fixe, dix jours ouvrés, quatre livrables :

Le registre des systèmes d'IA — tous les systèmes et toutes les fonctionnalités d'IA de l'entreprise, y compris ceux que les achats n'ont jamais vus, avec la qualification fournisseur / déployeur tranchée et justifiée système par système.
Le rapport d'écarts « article 50 » — les mentions que vous devez légalement afficher aujourd'hui, rapportées aux agents conversationnels, agents vocaux, écrans, modèles de documents et contenus publiés qui en sont dépourvus, avec les éléments de marquage lisible par machine planifiés séparément comme chantier d'ingénierie à échéance du 2 décembre 2026.
La cartographie d'exposition annexe III — quels systèmes seront à haut risque au 2 décembre 2027, lesquels relèvent du filtre de l'article 6(3) et sur quel raisonnement documenté, si l'analyse d'impact sur les droits fondamentaux de l'article 27 vous incombe, et le programme de travail chiffré face à cette date.
Une note d'une page pour le conseil — signée, datée, rédigée pour être remise telle quelle à la CNPD, à la CSSF ou au service achats d'un client.

→ Découvrir le service AI Act readiness, ou réserver l'appel de cadrage de 30 minutes : nous vous dirons pendant l'appel laquelle des trois dates vous concerne réellement.

Ce qui tombe le 2 décembre 2026

Deux choses, faciles à manquer parce qu'elles se situent entre les deux grandes dates :

Le marquage lisible par machine (art. 50(2)) pour les systèmes génératifs déjà sur le marché au 2 août 2026. Filigrane, métadonnées de provenance, détectabilité. Prévoyez le délai technique.
Deux nouvelles pratiques interdites ajoutées par l'omnibus : les systèmes d'IA servant à générer des images intimes non consenties (applications dites de « dénudation ») et du matériel pédocriminel. Elles rejoignent la liste de l'article 5 et relèvent de la tranche de sanction la plus élevée. Très peu d'entreprises luxembourgeoises sont concernées — mais si vous mettez une capacité de génération d'images à disposition de tiers, vos contrôles anti-abus deviennent une question juridique et non plus seulement une question de confiance et sécurité.

Ce qui tombe le 2 décembre 2027 : le régime haut risque

C'est le gros du travail, et seize mois en constituent la juste durée — pas une marge confortable.

Quels systèmes sont à haut risque

Annexe I (section A) : l'IA comme composant de sécurité d'un produit réglementé. Machines, dispositifs médicaux, diagnostics in vitro, ascenseurs, jouets, équipements radioélectriques, équipements sous pression. Ces systèmes sont absorbés par le régime sectoriel de marquage CE existant ; leur échéance AI Act est le 2 août 2028.

Annexe III : les cas d'usage listés. Systèmes autonomes, échéance au 2 décembre 2027 :

Biométrie — identification biométrique à distance ; catégorisation biométrique par attributs sensibles ; reconnaissance des émotions hors contextes où elle est purement interdite.
Infrastructures critiques — composants de sécurité dans la gestion et l'exploitation des infrastructures numériques, du trafic routier, et de la fourniture d'eau, de gaz, de chauffage et d'électricité.
Éducation et formation professionnelle — admission ou affectation, évaluation des acquis, détermination du niveau d'enseignement approprié, surveillance des comportements interdits lors des examens.
Emploi et gestion des travailleurs — recrutement, filtrage de CV, évaluation des candidats ; décisions de promotion, de licenciement, d'attribution de tâches ; surveillance et évaluation des performances et du comportement.
Accès aux services essentiels — éligibilité aux prestations publiques ; évaluation de la solvabilité et établissement du score de crédit des personnes physiques ; évaluation des risques et tarification en assurance vie et santé ; tri et régulation des appels d'urgence.
Répression, migration, asile, contrôle aux frontières et administration de la justice — essentiellement le secteur public.

Deux points de précision que le secteur financier luxembourgeois se trompe systématiquement à interpréter :

La détection de la fraude est expressément exclue du point 5(b) de l'annexe III. L'IA utilisée pour détecter la fraude financière n'est pas à haut risque à ce titre. Un modèle interne de LBC/FT ou d'adéquation des fonds propres non plus : ils relèvent du droit sectoriel. Le piège, c'est le pipeline hybride qui fusionne détection d'anomalies et logique de scoring de crédit dans un même modèle. Si la composante de scoring n'est pas séparable architecturalement, considérez l'ensemble comme dans le champ.
Le point 5(c) ne couvre que l'assurance vie et santé. L'évaluation des risques et la tarification en automobile, en dommages aux biens ou en responsabilité civile ne sont pas à haut risque à ce titre. Ne surdimensionnez pas votre programme en traitant tout le portefeuille assurance comme relevant de l'annexe III ; ne le sous-dimensionnez pas en oubliant que la vie et la santé y sont pleinement.

Il existe aussi un filtre. L'article 6(3) permet de considérer qu'un système listé à l'annexe III n'est pas à haut risque lorsqu'il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux — parce qu'il exécute une tâche procédurale étroite, améliore le résultat d'une activité humaine déjà accomplie, détecte des schémas décisionnels sans se substituer à l'appréciation humaine, ou accomplit une tâche préparatoire. Le filtre ne joue jamais lorsque le système effectue un profilage de personnes physiques. Si vous vous en prévalez, vous devez documenter l'analyse et l'enregistrer. L'omnibus a simplifié cet enregistrement : la Commission avait proposé de le supprimer, les deux colégislateurs l'ont refusé.

Ce que contient un dossier haut risque

Pour chaque système concerné : un système de gestion des risques couvrant tout le cycle de vie ; une documentation des données et de leur gouvernance (jeux d'entraînement, de validation et de test, examen des biais) ; une documentation technique conforme à l'annexe IV ; une journalisation automatique avec conservation ; la transparence et la notice d'utilisation ; la conception de la supervision humaine ; et les éléments de preuve sur l'exactitude, la robustesse et la cybersécurité. Les fournisseurs y ajoutent un système de gestion de la qualité, l'évaluation de la conformité, la déclaration UE de conformité, le marquage CE et l'enregistrement dans la base de données de l'UE.

Les déployeurs de systèmes de l'annexe III portent une liste plus courte mais non triviale, à l'article 26 : utiliser le système conformément à la notice ; confier la supervision humaine à des personnes disposant de la compétence, de la formation et de l'autorité nécessaires ; veiller à ce que les données d'entrée soient pertinentes et suffisamment représentatives ; surveiller le fonctionnement et signaler risques et incidents graves ; conserver les journaux générés automatiquement pendant au moins six mois ; et informer les travailleurs et leurs représentants avant la mise en service sur le lieu de travail.

Et l'article 27 : une analyse d'impact sur les droits fondamentaux est requise des organismes publics, des opérateurs privés fournissant des services publics, et — point décisif pour ce marché — de tout déployeur d'un système relevant des points 5(b) ou 5(c) de l'annexe III. Si vous évaluez la solvabilité ou tarifez de l'assurance vie et santé, cette analyse vous incombe, que vous soyez public ou privé. Elle est exigible avec le reste du régime, au 2 décembre 2027.

Spécificités luxembourgeoises : qui supervise, et où s'enregistrer

Deux corrections à des affirmations largement répandues sur ce marché — y compris dans les versions antérieures de cet article.

Il n'existe pas de registre national luxembourgeois des systèmes d'IA à haut risque, ni d'« Autorité digitale du Luxembourg ». L'enregistrement des systèmes autonomes à haut risque de l'annexe III se fait dans la base de données de l'UE établie par l'article 71, l'obligation figurant à l'article 49. Seuls les systèmes à haut risque relevant des infrastructures critiques s'enregistrent au niveau national. Si on vous demande de vous enregistrer auprès d'une autorité luxembourgeoise de l'IA à une date donnée, demandez la base légale.

Le Luxembourg n'a pas encore achevé sa désignation nationale. Le projet de loi n°8476, déposé à la Chambre des députés le 23 décembre 2024, est l'instrument qui désignera les autorités nationales compétentes et fixera les règles nationales de sanction. Il était encore en procédure parlementaire à la date de rédaction. Son architecture :

Rôle	Autorité
Autorité nationale compétente, point de contact unique, autorité de surveillance du marché par défaut	CNPD
Exploitation du bac à sable réglementaire (art. 57)	CNPD
Systèmes d'IA du secteur financier	CSSF
Systèmes d'IA du secteur des assurances	CAA (Commissariat aux Assurances)
IA à haut risque déployée par les entités essentielles / importantes NIS2	ILR
Autorité notifiante pour les organismes d'évaluation de la conformité	ILNAS

La CNPD prépare visiblement ce rôle : elle a réuni la conférence « The AI Act in Action » à Luxembourg en janvier 2026 pour traiter précisément cette question de gouvernance avec les acteurs concernés.

Conséquence pratique : tant que le 8476 n'est pas voté, la voie d'exécution est moins certaine que les obligations de fond. Ce n'est pas une raison d'attendre. Les obligations s'imposent directement — le règlement IA est un règlement, pas une directive — et le dossier de preuves que vous constituez aujourd'hui sera le même quelle que soit l'autorité qui finira par le demander.

Bac à sable réglementaire (art. 57). Chaque État membre doit disposer d'au moins un bac à sable opérationnel au 2 août 2026, seul ou conjointement avec d'autres États. L'omnibus accorde aux PME et aux petites entreprises de taille intermédiaire un accès prioritaire — un avantage réel et sous-exploité pour une entreprise d'un petit marché portant un système innovant.

Vous dirigez une PME luxembourgeoise ?

Réservez un audit IA gratuit de 30 minutes — nous vous dirons honnêtement où l’IA est rentable pour vous, et où elle ne l’est pas.

Réserver un audit IA gratuit

Secteur financier : CSSF, DORA et circulaire 22/806

C'est le secteur où les obligations du règlement IA se superposent à la pile réglementaire la plus dense — et où la consolidation rapporte le plus.

DORA s'applique depuis le 17 janvier 2025. L'article 9(10) du règlement IA autorise explicitement à intégrer le système de gestion des risques liés à l'IA dans les procédures de gestion du risque informatique déjà tenues au titre de DORA. C'est une autorisation de construire une fois et de prouver deux fois : servez-vous-en.
La circulaire CSSF 22/806 sur les arrangements d'externalisation, telle que modifiée par la circulaire CSSF 25/883, gouverne votre dossier d'externalisation informatique. Votre fournisseur de modèle, votre plateforme d'orchestration et votre hébergement y figurent. La CSSF a réaligné son corpus autour de DORA en 2025 (circulaires 25/880 et 25/882) afin de séparer obligations DORA et non-DORA : vérifiez de quel côté tombe votre arrangement avant de constituer le dossier.
Les attentes de la CSSF en matière d'IA passent par la pratique de surveillance, pas par une circulaire dédiée. La CSSF et la BCL ont publié deux revues thématiques conjointes sur l'usage de l'IA dans le secteur financier luxembourgeois — la première en mai 2023 (établissements de crédit, établissements de monnaie électronique et de paiement), la seconde, nettement élargie, en mai 2025, ajoutant les entreprises d'investissement et les gestionnaires de FIA agréés. Message constant : gouvernance, supervision humaine et explicabilité doivent être démontrables pour toute solution d'IA sur laquelle s'appuie une entité surveillée. Lisez-les : c'est ce qui se rapproche le plus d'un référentiel IA de la CSSF.
La discipline de qualification est décisive ici. Scoring de crédit de personnes physiques : annexe III 5(b), haut risque, analyse d'impact requise. Tarification vie et santé : annexe III 5(c), haut risque, analyse d'impact requise. Détection de fraude : exclue. LBC/FT : droit sectoriel. Agents conversationnels clients : pas de haut risque, mais pleinement dans l'article 50 — donc exigibles maintenant.

Le détail du régime combiné figure dans notre playbook DORA + règlement IA.

Le cadre des sanctions, avec précision

Le régime de l'article 99 s'applique depuis le 2 août 2025. Il n'attendait pas août 2026, et l'omnibus ne l'a pas reporté.

Palier	Fait générateur	Maximum
1	Pratiques interdites (art. 5)	35 M€ ou 7 % du chiffre d'affaires annuel mondial, le plus élevé
2	La plupart des autres obligations — haut risque, transparence (art. 50), modèles à usage général, et certaines obligations de l'article 25 ajoutées par l'omnibus	15 M€ ou 3 %, le plus élevé
3	Informations inexactes, incomplètes ou trompeuses à un organisme notifié ou à une autorité compétente	7,5 M€ ou 1 %, le plus élevé

L'inversion applicable aux PME compte davantage que les montants d'affiche. L'article 99(6) renverse la règle pour les PME et les jeunes pousses : c'est le plus faible des deux montants qui s'applique. Une PME luxembourgeoise réalisant 30 M€ de chiffre d'affaires s'expose à 2,1 M€ au palier 1, pas à 35 M€. L'omnibus a étendu un plafond comparable aux petites entreprises de taille intermédiaire pour les paliers 2 et 3, a inscrit les définitions de PME et de petite ETI dans le règlement IA lui-même, et y a attaché un formulaire simplifié de documentation technique pour les systèmes à haut risque ainsi que des exigences de gestion de la qualité proportionnées.

L'article 99(7) impose en outre aux autorités de tenir compte de la taille et des intérêts d'une PME dans la fixation du montant. « Jusqu'à » signifie jusqu'à.

Le calcul détaillé sur des chiffres d'affaires luxembourgeois figure dans notre analyse des amendes du règlement IA.

Ce qui s'appliquait déjà, et que l'on oublie encore

Article 5 — pratiques interdites, depuis le 2 février 2025. Huit pratiques bannies, deux de plus à compter du 2 décembre 2026. Celles qui piègent les entreprises ordinaires : la reconnaissance des émotions sur le lieu de travail et dans l'enseignement (score d'engagement, tableaux de bord de sentiment sur les appels commerciaux, surveillance automatisée d'examens dans les plateformes de formation), les techniques manipulatrices altérant substantiellement le comportement, et l'exploitation d'une vulnérabilité liée à l'âge, au handicap ou à la situation socio-économique. Palier de sanction le plus élevé. Balayage complet dans notre guide de l'article 5.

Article 4 — maîtrise de l'IA, depuis le 2 février 2025, et modifié. Fournisseurs et déployeurs doivent prendre des mesures relatives à la maîtrise de l'IA de leur personnel et des personnes qui exploitent des systèmes d'IA pour leur compte. L'omnibus en a assoupli la formulation : l'obligation consiste désormais à prendre des mesures pour soutenir le développement de la maîtrise de l'IA, et non plus à garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise. C'est un véritable abaissement du standard — qui ne supprime pas l'obligation, mais retire l'argument selon lequel vous deviez garantir un résultat hors de votre contrôle. Un programme documenté, proportionné aux rôles, avec feuilles de présence, reste la bonne réponse, et il est peu coûteux. Voir notre guide de mise en œuvre de l'article 4.

Financements luxembourgeois

Une partie du travail connexe à la conformité est finançable ici. Les dispositifs Fit 4 Digital et Fit 4 AI de Luxinnovation peuvent soutenir les travaux d'évaluation, les régimes de type SME Packages couvrent le conseil réglementaire, et l'aide à l'implémentation de l'IA peut atteindre un cofinancement substantiel pour les PME luxembourgeoises éligibles. Les règles et les taux évoluent : confirmez les conditions en vigueur auprès de Luxinnovation avant de budgéter sur un chiffre lu dans un article de blog, y compris celui-ci. Notre guide du programme Fit 4 AI en donne l'état actuel.

Prochaines étapes

Inventorier. Tous les systèmes et toutes les fonctionnalités d'IA présents dans des outils déjà achetés. Y compris l'informatique fantôme.
Qualifier le rôle. Fournisseur ou déployeur, système par système, avec raisonnement écrit et daté.
Combler les écarts de l'article 50. C'est en vigueur. C'est aussi la partie la moins coûteuse du programme.
Planifier le chantier de marquage du 2 décembre 2026 si vous commercialisez des fonctionnalités génératives.
Cartographier l'exposition annexe III et bâtir un plan face au 2 décembre 2027, en commençant par les systèmes soumis à l'analyse d'impact de l'article 27.
Consolider. Un registre, une taxinomie d'incidents, un dossier fournisseurs, au service du règlement IA, du RGPD, de DORA et de NIS2.

Pour aller plus loin : l'automatisation de la conformité juridique et réglementaire de l'IA au Luxembourg et l'IA conforme au RGPD pour les PME luxembourgeoises.

Prêt à passer de la lecture au registre ? Le service AI Act readiness livre les quatre artefacts ci-dessus en dix jours ouvrés, ou réservez un appel de cadrage de 30 minutes.