L'IA est entrée dans les cabinets avant le cadre qui la régit. Le règlement européen franchit une étape le 2 août 2026 — mais un texte du 8 juillet 2026 vient de repousser les obligations les plus lourdes, celles des systèmes à haut risque, à décembre 2027. Voici ce qui reste dû, et à quelle date.
Publié le 28 juillet 2026 · Mis à jour le 1 août 2026 · VALORIALE FORMATION — organisme certifié Qualiopi
Le règlement distingue celui qui met sur le marché un système d'IA (le fournisseur) et celui qui l'utilise sous sa propre autorité dans un cadre professionnel (le déployeur). Un cabinet de courtage ou une agence immobilière qui souscrit un abonnement à un assistant conversationnel, à un outil de scoring ou à un générateur d'annonces est déployeur. Il ne supporte pas les obligations de conception, mais il répond de l'usage.
Attention à une nuance qui piège : si vous rebaptisez un système sous votre marque, ou si vous le modifiez substantiellement ou le détournez de sa destination, vous pouvez être requalifié en fournisseur — et hériter d'obligations autrement lourdes.
Certaines utilisations sont proscrites sans condition : manipulation exploitant les vulnérabilités d'une personne, notation sociale, inférence des émotions sur le lieu de travail, catégorisation biométrique révélant notamment des convictions ou l'origine. Dans un cabinet, deux points de vigilance concrets : l'analyse émotionnelle des appels de vos collaborateurs, et tout outil qui trierait des prospects sur des critères sensibles.
Le règlement du 8 juillet 2026 ajoute deux interdictions, applicables le 2 décembre 2026 : les systèmes d'IA conçus pour produire des contenus intimes non consentis représentant une personne identifiable, et ceux qui génèrent des contenus pédocriminels. Elles ne visent pas l'activité d'un cabinet, mais elles rappellent que l'usage détourné d'un outil génératif engage celui qui l'emploie.
Le règlement impose aux fournisseurs comme aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l'IA parmi les personnes chargées de l'utiliser pour leur compte, compte tenu de leurs connaissances, de leur formation, du contexte d'utilisation et des personnes concernées. L'article 4 a été réécrit par le règlement du 8 juillet 2026, qui précise un point utile : cette obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu ».
Autrement dit, on vous demande d'avoir fait le nécessaire, pas de certifier chaque collaborateur. Cela reste une obligation de moyens — qui s'apprécie, et dont la façon la plus simple de rendre compte est une formation tracée et une charte d'usage écrite. L'obligation, elle, est applicable depuis le 2 février 2025 : le report du « haut risque » ne la concerne pas.
C'est le volet qui touche le plus directement la relation client. À compter de cette date :
Traduction pour un cabinet : si vous publiez des visuels de biens retouchés par IA, des articles de blog générés, ou si vous faites répondre un robot à vos prospects, cela se dit. Ce volet n'est pas reporté : le règlement du 8 juillet 2026 laisse la date du 2 août 2026 intacte pour la transparence.
Une nuance à connaître, en revanche. Le marquage technique des contenus de synthèse pèse sur les éditeurs des outils, et ceux dont les systèmes étaient déjà sur le marché avant le 2 août 2026 disposent d'un délai supplémentaire, jusqu'au 2 décembre 2026, pour s'y conformer. Ne comptez donc pas sur le filigrane de votre outil pour vous acquitter de votre propre obligation : l'information du client, c'est vous qui la donnez.
L'annexe III du règlement classe en haut risque deux usages qui parlent directement à nos métiers : les systèmes destinés à évaluer la solvabilité des personnes physiques ou à établir leur note de crédit, et ceux utilisés pour l'évaluation des risques et la tarification en assurance vie et santé.
Un cabinet qui utilise un tel outil — fourni par un partenaire bancaire ou assureur — devient déployeur d'un système à haut risque. Les obligations correspondantes portent notamment sur l'usage conforme à la notice, la surveillance humaine par des personnes compétentes, la qualité des données d'entrée qu'il maîtrise, la conservation des journaux et l'information des personnes soumises à la décision.
C'est ici que le règlement (UE) 2026/1744 change la donne. Ces obligations — le chapitre III, sections 1, 2 et 3 du règlement IA, qui contient aussi bien les exigences applicables aux systèmes que les obligations des fournisseurs et des déployeurs — devaient s'appliquer le 2 août 2026. Le législateur européen a constaté que les normes techniques, les spécifications communes et les autorités nationales compétentes n'étaient pas prêtes. Il a donc fixé deux nouvelles dates :
Le règlement IA ne remplace rien : il s'ajoute. Le RGPD continue de s'appliquer intégralement dès que des données personnelles entrent dans l'outil, avec ses questions habituelles — base légale, minimisation, sous-traitance, transferts hors UE, durée de conservation, information des personnes. Et vos obligations sectorielles ne se délèguent pas : le devoir de conseil reste le vôtre, même si une machine a préparé la comparaison. Une recommandation produite par un outil et reprise telle quelle sans contrôle humain reste, juridiquement, votre recommandation.
Quels systèmes d'IA sont utilisés, par qui, pour quoi, avec quelles données — y compris les outils installés par un collaborateur de sa propre initiative.
Ce qui est permis, ce qui ne l'est jamais (données clients identifiantes, éléments de santé, pièces d'identité), et qui valide quoi.
C'est la preuve de la maîtrise de l'IA. Attestation nominative, programme, durée, date.
Sur le site, dans le chat, sur les contenus générés. Une phrase suffit, encore faut-il qu'elle existe.
Qui relit, qui valide, et où c'est consigné — surtout sur les analyses de solvabilité ou de risque.
Registre des traitements mis à jour, contrat de sous-traitance avec l'éditeur, information des clients.
Notre parcours « L'IA dans les cabinets de courtage et les agences immobilières » (7 h, imputable DDA, DCI ou loi ALUR) couvre exactement ce périmètre et se termine par la rédaction de la charte d'usage du cabinet. C'est aussi le moyen le plus simple de documenter l'obligation de maîtrise de l'IA.
Cet article est une note de veille à vocation pédagogique. Il ne constitue pas une consultation juridique et ne dispense pas de se reporter aux textes en vigueur.