L'AI Act pour les cabinets d'avocats, sans fioritures : vos obligations et ce qui ne l'est pas à partir d'août 2026.

À partir du 2 août 2026, un cabinet d'avocats est soumis, de manière générale, aux obligations de transparence de l'AI Act (article 50) et au devoir de littératie en IA (article 4, déjà applicable — et avec une nouvelle rédaction à partir du 27 juillet 2026 : soutenir la promotion, non garantir un niveau) ; les obligations de « haut risque » de l'Annexe III — y compris l'administration de la justice — ont été reportées au 2 décembre 2027 avec le paquet Omnibus — Règlement (UE) 2026/1744 —, et un copilote interne d'un cabinet privé n'est pas automatiquement un système à haut risque. Dans cet article : le calendrier complet vérifié date par date, le critère juridique qui démonte la vente de panique, et les trois devoirs qu'un petit cabinet peut effectivement remplir dès cette semaine.

« En août, l'AI Act entre en vigueur et nous serons tous pénalisés. » La phrase circule dans les cabinets, les bureaux de gestion et les présentations commerciales. Vérifions-la avec le texte de la norme — avec des dates et des sources, pas avec des opinions.

Les vraies dates (après l'Omnibus)

Tout d'abord, le contexte : en juin, l'Union européenne a finalisé le paquet dit Omnibus, qui rééchelonne des parties du Règlement sur l'IA (Règlement (UE) 2024/1689). Le Parlement l'a approuvé le 16 juin et le Conseil a donné son feu vert définitif le 29. De ce fait, le calendrier qui intéresse un cabinet est le suivant :

— Ce qui s'appliquera EFFECTIVEMENT le 2 août 2026 : les obligations de transparence (article 50) et l'essentiel du Règlement. En bref : si vous utilisez l'IA en contact avec des tiers —un chatbot qui répond aux requêtes, des contenus générés que vous publiez— il faut le signaler. Ni plus, ni moins.

— Ce qui est DÉJÀ applicable depuis toujours : l'alphabétisation à l'IA (article 4) — et attention, car la formulation a évolué. Depuis le 27 juillet 2026, l'Omnibus a remplacé sa rédaction : il impose désormais d'adopter des mesures pour soutenir la promotion de l'alphabétisation de ceux qui utilisent l'IA en votre nom, et il précise expressément qu'il n'exige pas de garantir un niveau spécifique pour une personne en particulier. Cela reste applicable, et cela reste le plus économique et le plus rentable de toute la réglementation ; ce qui n'est plus valable, c'est qu'il vous oblige à attester du niveau de quiconque.

— Ce qui a été fixé à décembre 2027 : les obligations à « haut risque » de l'Annexe III — la liste où figurent, entre autres domaines, l'administration de la justice. C'est là que résident les certifications, les audits et les systèmes de gestion des risques que certains tentent déjà de vous facturer « avant août ».

— Et un fait que presque personne ne mentionne : l'agence espagnole de supervision (AESIA) est déjà opérationnelle et les plafonds de sanctions du Règlement européen lui-même sont applicables depuis août 2025 — bien que la loi espagnole qui qualifie ces sanctions soit toujours en cours d'examen parlementaire. La supervision n'est pas future ; elle est présente. Une autre raison de bien faire les choses — et une autre raison de ne pas se laisser gagner par la panique, car la panique et la diligence ne se ressemblent en rien.

Votre copilote d'IA est-il un système à haut risque ?

Lisez ce que dit l'Annexe III sur la justice : elle couvre les systèmes d'IA utilisés par une autorité judiciaire ou en son nom. Un cabinet privé qui utilise un assistant interne pour préparer ses écrits n'est pas une autorité judiciaire et n'agit pas en son nom. Il n'est pas automatiquement à haut risque. Point.

Alors, quand quelqu'un vous dit « vous devez vous certifier avant août ou vous serez pénalisé », posez-lui deux questions : quel article ? quelle date ? Si l'argument survit à ces deux questions, écoutez-le. Il ne survit presque jamais.

Alors, que vous reste-t-il à faire ? (la liste honnête)

Trois choses. Aucune ne nécessite un consultant coûteux, et les trois peuvent être faites en juillet :

1 · Alphabétisation (déjà applicable, dans sa nouvelle rédaction). Une session interne : quels outils nous utilisons, ce qu'ils maîtrisent, leurs lacunes et ce qui leur est toujours difficile. Si vous êtes deux au bureau, c'est une longue conversation autour d'un café. Consignez-le par écrit avec la date.

2 · Transparence (à partir du 2 août). Inventaire de l'utilisation de l'IA par votre cabinet vis-à-vis des tiers. Si un chatbot est présent sur votre site web ou si vous publiez du contenu généré, cela doit être déclaré. Si rien de tout cela n'est le cas — ce qui est courant pour un petit cabinet — cette obligation, à l'heure actuelle, ne vous concerne pratiquement pas.

3 · Diligence avec traçabilité (en continu). Vérifier chaque citation auprès de la source officielle et en conserver une preuve. Cela ne découle pas de l'AI Act : cela provient de votre déontologie, de la circulaire que le Barreau a approuvée cette année sur l'utilisation de l'IA — et de ce qu' un tribunal espagnol a déjà exigé par écrit.

L'ironie qu'il ne faut pas perdre de vue

Le vrai risque de 2026 pour un petit cabinet n'est pas une amende européenne qui arrive en 2027. C'est une sanction espagnole qui est déjà en cours : l'amende pour le rendez-vous inventé, le signalement à l'Ordre, les moqueries dans les groupes WhatsApp. Cela ne dépend pas de Bruxelles ni d'aucune date future. Cela dépend de la façon dont vous travaillez cette semaine.

Et un point important en faveur d'une approche précoce, sans appréhension : les programmes d'adaptation sérieux prennent entre 12 et 18 mois. Ceux qui mettent en place leur gouvernance dès aujourd'hui (politiques écrites, vérification, enregistrement) arriveront à décembre 2027 sereinement, tandis que d'autres s'affaireront. Avantage, pas de panique. C'est toute la différence entre se préparer et se voir vendre la préparation.

Ce que je construis (et pourquoi je vous le raconte ici)

Je continue de travailler avec un groupe restreint de cabinets d'avocats et de sociétés de conseil sur un système de travail basé sur l'IA où chaque affirmation est ancrée à sa source officielle et où la diligence laisse une trace — exactement le devoir numéro 3 de la liste, intégré dans l'architecture. Ce n'est pas terminé ; je suis en train de le construire, et cette newsletter documente le processus en toute transparence.

Foire aux questions

Quelles obligations de l'AI Act s'appliquent à un cabinet d'avocats le 2 août 2026 ?

En règle générale, les obligations de transparence de l'article 50 : informer lorsqu'une IA est utilisée vis-à-vis de tiers (un chatbot de service client, des contenus générés qui sont publiés). Le devoir d'alphabétisation de l'article 4 était déjà applicable auparavant — avec la formulation que lui a donnée l'Omnibus le 27 juillet 2026 : soutenir la promotion, sans exiger un niveau spécifique de quiconque. Les obligations à haut risque n'entrent pas en vigueur à cette date.

Est-ce qu'un copilote IA dans un bureau privé est «à haut risque» ?

Pas automatiquement. L'Annexe III couvre, dans le domaine de la justice, les systèmes utilisés par une autorité judiciaire ou en son nom. Un cabinet privé qui utilise un assistant interne pour préparer ses écrits n'est pas une autorité judiciaire et n'agit pas en son nom. Tout argument commercial qui présuppose le contraire doit répondre à deux questions : quel article ? quelle date ?

Qu'est-ce qui a été exactement reporté à décembre 2027 ?

Les obligations des systèmes à haut risque de l'Annexe III (certifications, gestion des risques, audits), suite au paquet Omnibus —Règlement (UE) 2026/1744—, approuvé par le Parlement (16 juin) et le Conseil (29 juin 2026). L'Annexe I (IA intégrée dans des produits réglementés) a été reportée à août 2028.

Qu'est-ce que la littératie en IA de l'article 4 ?

À partir du 27 juillet 2026, l'article 4 impose aux fournisseurs et aux responsables du déploiement de «prendre des mesures pour soutenir la promotion de la littératie en matière d'IA» de leur personnel et de toute personne utilisant les systèmes en leur nom, en tenant compte de leurs connaissances, de leur formation et du contexte d'utilisation — et ajoute que «cette obligation n'exige pas qu'ils... garantissent un niveau spécifique de littératie... à une personne en particulier». La version précédente, qui mentionnait l'obligation de garantir un niveau suffisant, a été remplacée par le Règlement (UE) 2026/1744. Un petit cabinet peut y satisfaire par une session interne documentée : les outils utilisés, leurs limites et ce qui ne doit jamais leur être confié.

Est-ce que quelqu'un peut déjà me sanctionner en Espagne pour l'utilisation de l'IA ?

Oui, mais pas là où vous pensez : la loi espagnole qui spécifie les sanctions de l'AI Act est toujours en cours de procédure parlementaire (les plafonds européens sont applicables à partir d'août 2025), et pendant ce temps, les tribunaux espagnols ont déjà sanctionné en 2026 le manque de diligence — citations inventées sans vérification — par une amende et un renvoi au Barreau. Le risque actuel est la diligence, pas Bruxelles.

Sources de cet article

• Règlement (UE) 2024/1689 (EUR-Lex)
• Règlement (UE) 2026/1744 («Omnibus») : remplace l'article 4 et reprogramme l'article 113 du Règlement (UE) 2024/1689. Le texte de l'article 4 cité ici a été comparé caractère par caractère avec celui publié au JOUE.
• Note officielle du Pouvoir Judiciaire concernant l'ordonnance du TSJ des Canaries.
• Circulaire 3/2026 du Consejo General de la Abogacía Española.

Sources vérifiées le 6-juil-2026. Sur ce blog, la foi n'est pas demandée : la source est liée.

Mis à jour le 25 août 2026. Cet article a été publié en indiquant que l'article 4 obligeait à « garantir » un niveau suffisant d'alphabétisation en IA. Cette formulation a été remplacée le 27 juillet 2026 par le Règlement (UE) 2026/1744 : le devoir existe toujours, mais il consiste désormais à soutenir la promotion de l'alphabétisation, et l'article lui-même précise qu'il n'exige pas de garantir un niveau spécifique pour quiconque. Corrigé dans le texte. Le calendrier d'application que nous avons publié ne change pas.

Toutes les deux semaines, je publie une analyse comme celle-ci dans la newsletter PYME Digital PRO : digitalisation des cabinets, des agences et des PME professionnelles, sans fioritures. Abonnez-vous sur LinkedIn.