Mis à jour : août 2026 | Lecture : 11 minutes

En résumé : l'échéance européenne du 2 août 2026 est passée, mais elle n'a pas apporté ce qui était annoncé. Un règlement adopté en juillet 2026 a repoussé à 2027 et 2028 les obligations lourdes qui pesaient sur le recrutement, l'éducation ou la biométrie. Seule reste applicable aujourd'hui l'obligation de transparence : signaler qu'une intelligence artificielle est à l'œuvre. Pour une collectivité qui enregistre ses réunions, c'est l'information des participants qui devient opposable.

Introduction

Pendant deux ans, le 2 août 2026 a été la date entourée en rouge dans tous les calendriers de conformité. C'était le jour où les obligations les plus exigeantes du règlement européen sur l'intelligence artificielle (IA) devaient devenir opposables, sanctions à la clé.

La date est passée. Et le paysage n'est pas celui qui avait été anticipé.

Une semaine avant l'échéance, un texte européen est venu redécouper le calendrier. Les obligations les plus lourdes ont été déplacées de dix-huit mois à deux ans. En contrepartie, une obligation plus discrète est bel et bien entrée en application, et elle concerne directement les collectivités territoriales qui enregistrent leurs réunions, transcrivent leurs conseils municipaux ou déploient un agent conversationnel sur leur site.

Le problème est que la quasi-totalité des guides de conformité disponibles en français ont été écrits avant ce changement. Une direction des systèmes d'information (DSI) ou un délégué à la protection des données (DPO) qui s'y fie aujourd'hui prépare des obligations qui ne seront exigibles qu'en décembre 2027, tout en laissant de côté celles qui le sont déjà.

Cet article fait le point sur ce qui s'applique réellement, ce qui a été reporté, et ce qu'une collectivité doit traiter en priorité. Il remplace la version publiée en avril 2026, dont le calendrier est devenu caduc.

Le calendrier de l'AI Act après le Digital Omnibus : où en est-on en août 2026

Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur trois jours plus tard. Il modifie les dates d'application du règlement (UE) 2024/1689, le règlement européen sur l'IA communément appelé AI Act.

La date du 2 août 2026 n'a pas disparu, mais son contenu a changé. Elle ne marque plus l'entrée en application des obligations relatives aux systèmes à haut risque. Elle marque celle des obligations de transparence.

Deux précisions sur ce tableau. Ces nouvelles dates figurent dans le règlement Omnibus lui-même, qui est en vigueur : il ne s'agit pas d'un moratoire administratif révocable, mais d'une modification du texte.

Par ailleurs, les systèmes déjà commercialisés avant le 2 août 2026 disposent d'un délai de transition jusqu'au 2 décembre 2026 pour se conformer aux obligations de marquage des contenus générés par IA.

Les quatre niveaux de risque : où se situent les outils d'une collectivité

Le règlement classe les systèmes d'IA en quatre catégories, selon le risque qu'ils présentent pour les droits fondamentaux et la sécurité des personnes. Savoir dans quelle catégorie se situe chaque outil est le préalable à toute démarche de conformité.

Risque inacceptable : interdit depuis février 2025. Huit pratiques sont prohibées sur le territoire de l'Union. Parmi celles qui concernent directement le secteur public : la notation sociale, la manipulation et la tromperie préjudiciables, l'exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation sociale, la reconnaissance des émotions au travail et dans les établissements d'enseignement, la catégorisation biométrique de caractéristiques protégées, et l'identification biométrique à distance en temps réel dans l'espace public, sauf exceptions strictement encadrées. Concrètement, un projet de vidéosurveillance intelligente avec identification des personnes ou de notation comportementale des usagers entre dans cette catégorie. Ces usages sont interdits, sans délai ni report.

Haut risque : obligations reportées à décembre 2027. L'Annexe III du règlement liste huit domaines : biométrie, infrastructures critiques, éducation, emploi et gestion des ressources humaines, accès aux services publics essentiels, répression, justice, gestion des frontières. Pour une collectivité, les cas les plus fréquents sont la présélection de candidatures, l'évaluation des agents, l'instruction automatisée de demandes d'aides sociales. Les obligations correspondantes sont lourdes : documentation technique, système de gestion des risques, évaluation des biais des données d'entraînement, supervision humaine, enregistrement dans la base de données européenne. Elles ne seront exigibles qu'au 2 décembre 2027, ou au 2 août 2028 pour les systèmes intégrés à des produits déjà réglementés.

Risque limité : obligations de transparence, applicables maintenant. Les systèmes qui interagissent avec des personnes ou génèrent des contenus relèvent de cette catégorie : agents conversationnels des sites de mairie, assistants virtuels, outils de génération de texte. Les assistants de réunion IA en font partie. C'est la seule catégorie dont les obligations sont entrées en application le 2 août 2026.

Risque minimal : pas d'obligation spécifique. Filtres anti-spam, correcteurs orthographiques, moteurs de recommandation non personnalisés. Le règlement européen sur l'IA ne leur impose rien de particulier, mais le règlement général sur la protection des données (RGPD) reste applicable dès qu'ils traitent des données personnelles.

Cette classification n'est pas une étiquette figée sur un produit. Elle dépend de l'usage. Nous y revenons plus loin à propos des entretiens de recrutement.

L'article 50 en 2026 : la seule obligation nouvelle réellement opposable

L'article 50 du règlement européen sur l'IA impose deux choses distinctes.

D'une part, les systèmes qui interagissent directement avec des personnes physiques doivent signaler clairement qu'il s'agit d'une IA, sauf lorsque cela ne fait aucun doute. Cela vise les agents conversationnels des sites de mairie, les avatars virtuels, les assistants de premier niveau.

D'autre part, les contenus générés ou fortement modifiés par IA doivent être identifiables comme tels, par un marquage technique ou une mention visible. Cela couvre les images de synthèse, les hypertrucages, mais aussi les textes informatifs publiés sans contrôle éditorial humain.

Cette seconde obligation a une portée que beaucoup de collectivités sous-estiment. Un compte rendu de réunion produit par un système d'IA et diffusé sans relecture entre dans le champ de l'article 50. Un compte rendu relu, corrigé et validé par un agent avant diffusion relève du contrôle éditorial humain.

La distinction est opérationnelle, pas théorique. Elle détermine si vos documents doivent porter une mention.

Elle a aussi une conséquence directe sur le choix de l'outil. Un service qui livre un compte rendu dans un format verrouillé pousse mécaniquement vers la diffusion en l'état. Un service qui livre un document éditable place l'agent en position de valider avant diffusion. C'est le parti retenu par NeoMeet, dont les comptes rendus sont produits au format .docx éditable : la relecture n'est pas une étape ajoutée, elle est le mode d'usage normal.

Assistants de réunion IA : le protocole d'information des participants en 2026

C'est la question la plus concrète que se posent aujourd'hui les directeurs généraux des services (DGS) et les DPO.

Une précision utile avant le protocole : en droit français, l'obligation d'informer n'a pas attendu le règlement européen. L'article 226-1 du Code pénal réprime le fait de capter ou d'enregistrer, sans le consentement de leur auteur, des paroles prononcées à titre privé ou confidentiel. Toute réunion professionnelle ne relève pas automatiquement de cette qualification, mais des échanges internes à caractère délibératif ou des entretiens individuels peuvent y entrer. Le règlement sur l'IA ne crée donc pas l'obligation, il la renforce et l'harmonise à l'échelle européenne.

Voici le protocole applicable, avec sa base juridique à chaque étape.

1. Mentionner l'enregistrement dans la convocation. L'information préalable relève de l'article 13 du RGPD, qui impose d'informer les personnes au moment de la collecte. La convocation en est le support naturel. Elle précise la finalité, la durée de conservation et l'identité du responsable de traitement.

2. Annoncer l'enregistrement en ouverture de séance. L'annonce orale couvre les participants qui n'auraient pas lu la convocation. Elle indique que les échanges sont enregistrés et traités par un système d'IA, ce qui répond simultanément à l'article 13 du RGPD et à l'article 50 du règlement sur l'IA.

3. Prévoir une possibilité d'opposition. Selon la base légale retenue, les participants disposent d'un droit d'opposition (article 21 du RGPD) ou d'un droit de retrait du consentement. En pratique, cela suppose de prévoir une modalité de réunion sans enregistrement pour qui le demande.

4. Documenter la base légale. Pour une collectivité, la plus fréquente est la mission d'intérêt public (article 6.1.e du RGPD). Elle s'identifie avant le déploiement, pas après un contrôle. Le consentement est une base fragile en contexte hiérarchique, le déséquilibre entre l'employeur et l'agent fragilisant son caractère libre.

5. Inscrire le traitement au registre. L'article 30 du RGPD impose un registre des activités de traitement. Un dispositif d'enregistrement et de transcription automatisée constitue un traitement distinct, à y faire figurer avec sa finalité, ses catégories de données et sa durée de conservation.

6. Encadrer le prestataire par un accord de traitement. L'éditeur est un sous-traitant au sens de l'article 28 du RGPD. Un accord de traitement des données, ou Data Processing Agreement (DPA), doit être signé. Il précise la localisation des données, les mesures de sécurité, la durée de conservation et les conditions de suppression. Sur ce point, les réponses des éditeurs varient beaucoup : certains hébergent en Europe mais via des filiales de groupes américains, d'autres, comme Neova, sont des sociétés de droit français hébergeant exclusivement en France, en Suisse et en Allemagne.

7. Vérifier la suppression effective des enregistrements. C'est le point le moins contrôlé et le plus exposé. Un enregistrement audio de conseil municipal conservé indéfiniment chez un prestataire est disproportionné au regard de la finalité, et contraire au principe de minimisation de l'article 5.1.c du RGPD. La question à poser à l'éditeur est simple : quand l'audio est-il détruit, et comment le prouvez-vous ? NeoMeet supprime les enregistrements immédiatement après la génération du compte rendu, ce qui rend la réponse vérifiable plutôt que déclarative.

Ce protocole est applicable dès aujourd'hui. Il ne dépend d'aucune des échéances reportées.

Le cas particulier des entretiens de recrutement et d'évaluation

Il existe une exception que les éditeurs mentionnent rarement, y compris quand elle les concerne. Nous la signalons parce qu'elle concerne aussi NeoMeet.

Un assistant de réunion IA relève en principe du risque limité. Mais dès lors qu'il sert dans un entretien de recrutement, une évaluation de performance ou une procédure disciplinaire, l'usage bascule dans le champ de l'Annexe III, qui couvre l'emploi et la gestion des ressources humaines.

Ce n'est pas l'outil qui change de catégorie, c'est l'usage.

Les obligations correspondantes ont été reportées au 2 décembre 2027. Une collectivité qui utilise aujourd'hui un assistant de réunion pour ses entretiens annuels n'est donc pas en infraction. Mais elle doit savoir que ces usages appelleront, à cette échéance, une documentation technique, une évaluation des risques et une supervision humaine formalisée. Les organisations qui utilisent des modèles de compte rendu dédiés aux entretiens, ce que permet NeoMeet, ont intérêt à identifier dès maintenant ces usages dans leur cartographie.

Par ailleurs, l'interdiction de la reconnaissance des émotions au travail et dans les établissements d'enseignement est immédiate et sans report, depuis février 2025. Un outil proposant une analyse du ton, du sentiment ou de l'engagement des participants d'une réunion professionnelle serait concerné. NeoMeet ne produit aucune analyse de cette nature, ce qui n'est pas le cas de toutes les solutions du marché : notre comparatif des assistants de réunion IA conformes au RGPDdétaille les fonctionnalités de cinq outils sur ce critère.

C'est une question qui mérite de figurer dans les cahiers des charges.

Ce que le RGPD continue d'imposer, indépendamment de l'AI Act

Le report des obligations de haut risque ne change rien au RGPD. Les deux textes se cumulent dès qu'un système d'IA traite des données personnelles, ce qui est le cas de la quasi-totalité des outils déployés dans une organisation publique.

Une précision sur les recommandations de la Commission nationale de l'informatique et des libertés (CNIL) souvent citées à contresens. Les fiches pratiques IA finalisées en juillet 2025 portent sur le développement des systèmes d'IA : constitution des jeux de données, base légale de l'entraînement, moissonnage. Elles s'adressent aux concepteurs, pas aux collectivités qui déploient un outil du commerce. Une collectivité utilisatrice relève du régime général du RGPD, complété par la deuxième recommandation adoptée le 6 février 2025, dont deux fiches portent précisément sur l'information des personnes et l'exercice de leurs droits.

Quatre obligations restent pleinement applicables.

L'analyse d'impact relative à la protection des données (AIPD) demeure obligatoire dès qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. La CNIL met à disposition une méthode et un logiciel gratuits pour la conduire.

L'information des personnes concernées reste due, qu'il s'agisse de participants à une réunion, d'usagers d'un agent conversationnel ou d'agents dont l'activité est analysée.

Les droits d'accès, de rectification et d'effacement continuent de s'exercer sur les données traitées par un système d'IA, dans le délai d'un mois.

L'encadrement des transferts hors Union européenne reste un point de vigilance majeur. Le Conseil d'État, dans sa décision du 20 mars 2026 (n° 503159 et 504171), a rejeté les recours dirigés contre l'autorisation délivrée par la CNIL au Health Data Hub pour un projet de l'Agence européenne des médicaments. Il relève que cette autorisation ne porte que sur le traitement de données hébergées dans des centres situés en France et n'a ni pour objet ni pour effet d'autoriser un transfert vers les États-Unis. La décision valide donc un montage précis, sans trancher le débat de fond sur la souveraineté des données confiées à des filiales européennes de groupes américains.

Pour une collectivité aux ressources juridiques limitées, la lecture pratique est simple. Construire et documenter une chaîne de garanties contractuelles autour d'un hébergeur soumis au droit américain demande des moyens que peu de structures possèdent. Choisir un outil hébergé exclusivement en Europe et opéré par une société non soumise au Clarifying Lawful Overseas Use of Data Act (CLOUD Act) supprime le problème à la source. Neova étant une société de droit français, ce texte ne lui est pas applicable. Nous avons détaillé cet arbitrage dans notre analyse IA souveraine ou cloud américain.

Sanctions : ce que risque réellement une collectivité

Le régime général des sanctions du règlement sur l'IA est actif depuis le 2 août 2025. En France, trois autorités sont compétentes : la CNIL, la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) et l'Autorité de régulation de la communication audiovisuelle et numérique (Arcom).

L'article 99 du règlement fixe trois niveaux d'amendes administratives, le montant retenu étant le plus élevé entre le plafond forfaitaire et le pourcentage du chiffre d'affaires annuel mondial :

• jusqu'à 35 millions d'euros ou 7 % pour le non-respect des pratiques interdites de l'article 5 (paragraphe 3)

• jusqu'à 15 millions d'euros ou 3 % pour le non-respect des autres dispositions, y compris les obligations de transparence de l'article 50 (paragraphe 4)

• jusqu'à 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes ou trompeuses aux autorités (paragraphe 5)

Le manquement à l'obligation d'information des participants relève donc du deuxième niveau, pas du premier. Les commentaires qui rangent la transparence dans la tranche la plus basse se trompent de paragraphe.

Une disposition mérite l'attention des collectivités : le paragraphe 8 de l'article 99 prévoit que chaque État membre établit les règles déterminant dans quelle mesure des amendes administratives peuvent être imposées aux autorités et organismes publics établis sur son territoire. Le régime applicable aux collectivités françaises dépend donc du droit national, non directement du plafond européen.

Le RGPD, lui, s'applique sans cette réserve. Son article 83 permet des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves, notamment aux principes de licéité et aux droits des personnes. Pour une collectivité, l'exposition RGPD est plus tangible que l'exposition AI Act : la CNIL contrôle déjà, elle a annoncé la cybersécurité des collectivités territoriales parmi ses priorités de contrôle, et sa doctrine sur l'information des personnes est établie de longue date.

Le risque réel se situe cependant ailleurs que dans l'amende : mise en demeure, contentieux administratif engagé par un agent ou un administré, contestation de la régularité procédurale d'une délibération, exposition médiatique locale. Ce dernier point est souvent le plus dissuasif. Un article de presse locale sur des enregistrements de conseil municipal traités par un prestataire américain coûte davantage qu'une amende, en capital politique comme en confiance des agents.

Le cas du secteur médico-social et sanitaire

Les établissements de santé et médico-sociaux relèvent d'un régime plus exigeant, en raison de la sensibilité des données traitées.

La Haute Autorité de santé et la CNIL ont publié en février 2026 un guide conjoint sur le bon usage des systèmes d'IA en contexte de soins. Il identifie explicitement l'aide à la rédaction de comptes rendus parmi les usages en diffusion. Le guide cite une enquête de la Fédération hospitalière de France de juillet 2025, selon laquelle 65 % des établissements de santé publics interrogés utilisaient déjà des technologies d'IA en production, sur 110 établissements participants. Ce chiffre provient d'un échantillon déclaratif et doit être lu comme un ordre de grandeur, non comme une mesure exhaustive du parc.

Pour ces structures, l'hébergement de données de santé (HDS) fait l'objet d'une certification spécifique prévue par le code de la santé publique. La règle est souvent mal comprise : la certification porte sur l'hébergeur, pas sur le logiciel. Un éditeur ne peut pas être certifié HDS au titre de son application, il peut en revanche héberger son service chez un prestataire qui l'est.

C'est la configuration de NeoMeet. Le service est conforme au RGPD et à la norme de l'International Organization for Standardization 27001 (ISO 27001), et il est hébergé sur des serveurs certifiés ISO 27001, Service Organization Control 2 (SOC 2) et HDS. Le changement de vocabulaire est volontaire : Neova déclare la conformité de ses pratiques internes à l'ISO 27001, sans revendiquer une certification par un organisme accrédité, alors que les datacenters qui hébergent le service portent, eux, des certifications auditées. Aucune donnée client n'est utilisée pour entraîner des modèles d'IA, ni par Neova ni par un tiers.

Catherine F., directrice d'établissement médico-social, souligne un autre bénéfice : la possibilité de personnaliser les modèles de compte rendu et de produire des documents en plusieurs langues.

Plan d'action pour une collectivité en 2026

Voici la démarche hiérarchisée par ce qui est réellement opposable, avec des ordres de grandeur pour construire un rétroplanning. Les durées indiquées valent pour une collectivité de taille moyenne disposant d'un DPO, mutualisé ou non.

Cartographier les outils IA utilisés (2 à 3 semaines). Recenser l'ensemble des outils intégrant de l'IA effectivement utilisés dans les services, y compris ceux adoptés sans validation de la DSI. Cette IA de l'ombre, souvent désignée par l'anglicisme shadow IA, représente dans beaucoup de collectivités la majorité des usages réels. Pour chaque outil : éditeur, localisation des données, existence d'un accord de traitement, catégorie de risque. Nous avons documenté ce phénomène dans notre article sur les freins et leviers de l'adoption de l'IA dans le secteur public.

Vérifier la conformité à l'article 50 (1 à 2 semaines). Pour chaque outil identifié : information des utilisateurs, marquage des contenus générés, protocole d'information des participants pour les outils de réunion. C'est le chantier prioritaire, puisque c'est le seul qui soit opposable aujourd'hui.

Contrôler les contrats fournisseurs (2 à 3 semaines). Vérifier l'existence d'un accord de traitement conforme à l'article 28 du RGPD avec chaque éditeur, ainsi que la localisation effective des données. Pour les outils hébergés hors Union européenne, vérifier la validité des clauses contractuelles types. Notre guide d'intégration de l'IA dans le système d'information détaille les questions à poser aux éditeurs.

Réaliser les AIPD manquantes (3 à 4 semaines par traitement). Pour chaque système susceptible de présenter un risque élevé pour les personnes. La méthodologie et le logiciel de la CNIL sont disponibles gratuitement.

Avant décembre 2026. Anticiper les nouvelles interdictions de l'article 5 et la fin de la période de transition pour le marquage des contenus déjà en production.

Sur 2027. Identifier les usages relevant de l'Annexe III, en particulier dans les ressources humaines, et construire progressivement la documentation correspondante en vue de l'échéance de décembre 2027.

En continu. Maintenir la formation à la littératie IA, obligatoire depuis février 2025. Elle n'a pas à être technique. Elle doit être proportionnée aux usages réels des agents.

Ce que la conformité change concrètement dans une salle de réunion

La conformité n'est pas seulement un exercice documentaire. Elle modifie la façon dont les réunions se tiennent.

Sonnya G., directrice générale des services à la mairie de Vétraz-Monthoux, décrit l'effet observé : « Quand l'IA écrit, moi j'écoute mieux. NeoMeet m'a permis d'être plus présente et plus juste dans mes entretiens. Le vrai gain est mental et relationnel : je comprends mieux, je réponds mieux. »

Ce déplacement de l'attention est mesurable. Nous l'avons chiffré dans notre analyse du retour sur investissement d'un assistant de réunion IA, dans notre calcul du coût réel des réunions et dans notre article sur la déperdition d'information après une réunion.

Un protocole d'information clair produit d'ailleurs un effet secondaire souvent sous-estimé : il désamorce la méfiance. Les agents qui savent ce qui est enregistré, pendant combien de temps et par qui, s'expriment plus librement que ceux qui l'ignorent.

FAQ : AI Act et RGPD pour les organisations publiques

Le report du haut risque signifie-t-il qu'une collectivité n'a plus rien à faire en 2026 ? Non. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026, les interdictions de l'article 5 depuis février 2025, et l'obligation de littératie IA également. Le RGPD, lui, n'a jamais cessé de s'appliquer. Le report ne concerne que les obligations documentaires des systèmes de l'Annexe III.

Faut-il informer les participants d'une réunion enregistrée par une IA ? Oui, systématiquement. L'obligation découle de l'article 13 du RGPD pour l'information préalable et de l'article 50 du règlement sur l'IA pour la transparence. En droit français, l'article 226-1 du Code pénal encadrait déjà l'enregistrement de paroles prononcées à titre privé ou confidentiel. L'information doit figurer dans la convocation et être rappelée oralement en ouverture de séance.

Un assistant de réunion IA peut-il être utilisé lors d'un conseil municipal ? Oui, sous réserve d'informer préalablement les participants et de documenter la base légale, généralement la mission d'intérêt public de l'article 6.1.e du RGPD. Un outil hébergé en Europe et supprimant les enregistrements après traitement réduit sensiblement l'exposition juridique et les objections des élus.

Une collectivité est-elle concernée si elle achète ses outils plutôt que de les développer ? Oui. Le règlement distingue les fournisseurs, qui développent les systèmes, et les déployeurs, qui les utilisent. Une collectivité qui déploie un outil d'IA est un déployeur et engage sa responsabilité à ce titre, y compris sur les conditions concrètes d'usage.

Quelle est la différence entre le RGPD et le règlement sur l'IA ? Le RGPD encadre le traitement des données personnelles. Le règlement sur l'IA encadre les systèmes eux-mêmes : niveau de risque, transparence, supervision. Les deux se cumulent dès qu'un système d'IA traite des données personnelles.

Qu'est-ce qu'une AIPD et quand est-elle obligatoire ? L'analyse d'impact relative à la protection des données est une évaluation documentée des risques d'un traitement pour les droits et libertés des personnes. Elle est obligatoire dès qu'un traitement est susceptible d'engendrer un risque élevé, notamment pour les traitements automatisés à grande échelle ou portant sur des données sensibles. La CNIL met à disposition une méthode et un logiciel gratuits.

Un compte rendu rédigé par IA doit-il porter une mention obligatoire ? Cela dépend du contrôle éditorial exercé. Un document généré et diffusé sans relecture entre dans le champ du marquage de l'article 50. Un document relu, corrigé et validé par un agent avant diffusion relève du contrôle éditorial humain. Formaliser cette étape de validation dans la procédure interne est recommandé.

Un outil d'analyse du ton ou de l'engagement des participants est-il autorisé ? Non dans le cadre professionnel. La reconnaissance des émotions au travail et dans les établissements d'enseignement fait partie des pratiques interdites depuis février 2025, sans report.

Un logiciel peut-il être certifié HDS ? Non. La certification d'hébergeur de données de santé porte sur l'hébergeur, pas sur l'application. Un éditeur peut légitimement indiquer que son service est hébergé sur une infrastructure certifiée HDS. Une mention affirmant que le logiciel lui-même est certifié HDS doit alerter l'acheteur.

Quelle différence entre « conforme » et « certifié » à une norme comme l'ISO 27001 ? La conformité est une déclaration de l'éditeur : ses pratiques respectent les exigences de la norme, sans validation externe. La certification suppose l'audit d'un organisme accrédité et la délivrance d'un certificat officiel, payant et renouvelable. Les deux formulations sont légitimes, mais elles n'engagent pas de la même façon. Dans un cahier des charges, demander la copie du certificat permet de lever l'ambiguïté en une question.

Combien de temps faut-il pour mettre en conformité un usage d'assistant de réunion ? Pour un usage courant en risque limité, l'essentiel se traite en quelques semaines : mention en convocation, protocole d'annonce, inscription au registre, vérification de l'accord de traitement. La difficulté n'est pas technique mais organisationnelle, puisqu'elle suppose des pratiques homogènes entre services.

Ce qu'il faut retenir

L'échéance du 2 août 2026 est passée, et elle n'a pas produit ce que la plupart des guides annonçaient. Le Digital Omnibus a déplacé les obligations lourdes vers 2027 et 2028, tout en confirmant l'entrée en application des obligations de transparence.

Pour une collectivité, le chantier prioritaire n'est donc pas la documentation technique des systèmes à haut risque, mais la mise en ordre des pratiques d'information sur les outils déjà utilisés au quotidien. C'est un chantier plus léger, plus rapide et directement contrôlable.

Le report accordé sur le haut risque n'est pas un répit à consommer passivement. Il donne dix-huit mois pour cartographier sereinement les usages en ressources humaines, ce qui est exactement le temps nécessaire quand ces usages se sont installés sans validation centrale.

Pour les enjeux propres aux DSI et aux directions générales, notre article sur l'IA et les réunions dans le secteur publiccomplète cette lecture. Le détail des configurations NeoMeet est présenté sur la page offres, et l'équipe est joignable via la page contact pour un échange sur votre situation.

Sources

Textes européens

• Règlement (UE) 2026/1744 dit Digital Omnibus sur l'IA, Journal officiel de l'Union européenne, 24 juillet 2026

• Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle, articles 4, 5, 6, 50, 99 et 113, et Annexe III

• Règlement (UE) 2016/679 (RGPD), articles 5, 6, 13, 21, 28, 30, 35 et 83

Institutions européennes

• Commission européenne, AI Act Service Desk, article 99 : sanctions

Textes français

• Code pénal, article 226-1, atteinte à l'intimité de la vie privée par captation de paroles prononcées à titre privé ou confidentiel

• Code de la santé publique, dispositions relatives à la certification des hébergeurs de données de santé

Juridictions françaises

• Conseil d'État, 10e chambre, décision du 20 mars 2026, n° 503159 et 504171, Association Les Licornes célestes et autres

Autorités administratives indépendantes françaises

• CNIL, délibération n° 2025-010 du 6 février 2025 portant deuxième recommandation sur l'application du RGPD au développement des systèmes d'IA

• CNIL, recommandations sur le développement des systèmes d'IA, finalisées en juillet 2025

• CNIL, programme de contrôles 2025, priorité cybersécurité des collectivités territoriales

• Haute Autorité de santé et CNIL, guide sur le bon usage des systèmes d'IA en contexte de soins, février 2026

Organisations professionnelles

• Fédération hospitalière de France, enquête sur l'usage de l'IA dans les établissements publics de santé, juillet 2025, citée par le guide HAS et CNIL