Depuis le 2 août 2026, une nouvelle partie du règlement européen sur l’intelligence artificielle est applicable. Dans l’événementiel, la réaction la plus fréquente consiste à s’inquiéter du contrôle d’accès biométrique. C’est regarder au mauvais endroit.

Les obligations qui vous concernent aujourd’hui portent sur la transparence, pas sur la biométrie. Et le risque juridique le plus immédiat ne vient pas de l’AI Act : il vient du RGPD, qui encadre ces sujets depuis 2018 et a déjà donné lieu à des mesures dans des enceintes recevant du public.

Le calendrier réel

Le règlement s’applique par étapes, et ces étapes viennent d’être redistribuées. Le paquet de simplification européen, souvent appelé Digital Omnibus, porte un nom précis qu’il vaut mieux citer : règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet. Il a été approuvé par le Parlement le 16 juin 2026 et validé par le Conseil le 29 juin.

  • 2 février 2025 — les pratiques interdites de l’article 5 et les premières dispositions sur la maîtrise de l’IA.
  • 2 août 2025 — les obligations des fournisseurs de modèles à usage général.
  • 2 août 2026 — les obligations de transparence de l’article 50. C’est l’échéance en cours.
  • 2 décembre 2026 — le marquage technique lisible par machine pour les systèmes génératifs déjà sur le marché avant août, et deux nouvelles interdictions visant les contenus intimes non consentis et les contenus pédocriminels générés par IA.
  • 2 décembre 2027 — les systèmes à haut risque de l’annexe III, dont la biométrie. Cette échéance était fixée au 2 août 2026 : le report est de seize mois.
  • 2 août 2028 — les systèmes à haut risque de l’annexe I, intégrés à des produits déjà réglementés. Initialement prévue au 2 août 2027, soit douze mois de report.

Retenez la ligne de décembre 2027 : votre contrôle d’accès biométrique n’est pas encore soumis aux obligations haut risque de l’AI Act. Ce délai est un temps de préparation, pas une dispense. Et, comme nous allons le voir, il ne vous libère de rien côté RGPD.

Ce qui s’applique dès maintenant

Votre chatbot doit se présenter comme une IA

Un agent conversationnel qui répond aux questions de vos participants — horaires, plan du site, programme, billetterie — doit indiquer clairement qu’il n’est pas humain, sauf si cela est évident pour une personne normalement attentive.

L’obligation pèse d’abord sur le fournisseur de l’outil. Mais c’est vous qui répondez devant vos participants et devant votre client : vérifiez que la mention est effectivement visible dans votre intégration, et pas seulement dans la documentation de l’éditeur.

Vos visuels générés doivent être identifiables

Les contenus image, audio ou vidéo générés ou manipulés par IA et constituant un deepfake doivent être signalés par celui qui les déploie. Le critère légal n’est pas la qualité du rendu : sont visés les contenus représentant des personnes, des objets, des lieux, des entités ou des événements existants d’une manière qui paraîtrait à tort authentique ou véridique. Un visuel de campagne montrant une salle comble qui n’a jamais existé entre dans ce champ. Les œuvres manifestement artistiques, créatives, satiriques ou fictionnelles relèvent d’un régime allégé.

Pour les textes, le périmètre est plus étroit : l’obligation vise les publications destinées à informer le public sur des questions d’intérêt public, et elle ne s’applique pas lorsque le contenu a fait l’objet d’un contrôle éditorial humain et qu’une personne physique ou morale assume la responsabilité éditoriale de la publication. La communication commerciale ordinaire y échappe largement.

L’analyse des émotions de votre public doit être annoncée

Les dispositifs qui mesurent les réactions d’une audience — caméras d’analyse d’engagement, capteurs de satisfaction en salle — relèvent de la reconnaissance des émotions. L’obligation d’information vise également les systèmes de catégorisation biométrique. Vous devez informer les personnes exposées et traiter les données conformément au RGPD.

Un point mérite une attention particulière : la reconnaissance des émotions est purement et simplement interdite sur le lieu de travail et dans les établissements d’enseignement, sauf raisons médicales ou de sécurité. Mesurer les réactions du public d’une conférence est encadré ; faire la même chose sur vos équipes en régie ou sur votre personnel d’accueil ne l’est pas — c’est interdit depuis février 2025, et cela relève du palier de sanction le plus élevé.

Le vrai risque immédiat : le RGPD

C’est le point que le calendrier de l’AI Act fait oublier. Les données biométriques sont des données sensibles au sens du RGPD depuis 2018, et leur traitement est interdit par principe, sauf exception.

La CNIL l’a rappelé concrètement dans une enceinte recevant du public. Un club sportif souhaitait identifier automatiquement les spectateurs frappés d’une interdiction commerciale de stade, détecter les objets abandonnés et concourir à la lutte antiterroriste. Le 18 février 2021, la présidente de la CNIL a adressé un avertissement au club : aucune disposition légale ou réglementaire n’autorisait ce traitement de données biométriques. Un déploiement malgré cet avertissement l’aurait exposé à des mesures correctrices et à des sanctions financières.

Pour un contrôle d’accès biométrique volontaire, la CNIL pose quatre principes :

  • un consentement libre, spécifique et éclairé, portant explicitement sur la biométrie et non noyé dans des conditions générales ;
  • une alternative non biométrique — un simple badge, un mot de passe — accessible sans contrainte, sans surcoût et sans avantage réservé à ceux qui acceptent ;
  • un gabarit biométrique qui reste sous le contrôle exclusif de la personne, sur son propre support ou chiffré avec sa clé ;
  • une analyse d’impact menée avant le déploiement.

Ces exigences s’appliquent aujourd’hui. Elles ne dépendent d’aucune échéance de l’AI Act.

Les sanctions, et la règle qu’on lit de travers

Le règlement prévoit trois paliers. La mention décisive est celle qu’on oublie de citer : pour une entreprise, c’est le montant le plus élevé des deux qui s’applique. Le chiffre en euros n’est donc pas un plafond, c’est un plancher pour les grandes structures.

  • pratiques interdites : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial ;
  • manquements aux obligations des opérateurs — fournisseurs, importateurs, distributeurs, déployeurs, organismes notifiés — parmi lesquelles les obligations de transparence de l’article 50 : jusqu’à 15 millions d’euros ou 3 % ;
  • informations inexactes transmises aux autorités : jusqu’à 7,5 millions d’euros ou 1 %.

Pour les PME et les jeunes entreprises, la règle s’inverse : c’est le montant le plus faible qui est retenu.

Le détail que presque personne n’a relevé

L’obligation dite de maîtrise de l’IA a été réécrite par le règlement du 8 juillet, en vigueur depuis le 27 juillet 2026. Le texte imposait auparavant de garantir un niveau suffisant de maîtrise de l’IA parmi les personnes qui utilisent ces systèmes pour votre compte. Il demande désormais de soutenir le développement de cette maîtrise, la Commission et les États membres reprenant une part du rôle, en particulier auprès des PME.

L’exigence est donc allégée. Si vous avez bâti un plan de formation sur l’ancienne rédaction, il garde toute son utilité opérationnelle — mais le standard qui vous sera opposé n’est plus le même, et beaucoup d’analyses en circulation citent encore le texte abrogé.

Cinq gestes à poser cette semaine

  1. Recenser les outils d’IA réellement en service sur vos événements. La plupart des organisateurs en découvrent trois ou quatre auxquels ils ne pensaient pas.
  2. Vérifier que chaque agent conversationnel annonce sa nature dès le premier message.
  3. Signaler les visuels générés dans vos supports de communication.
  4. Reprendre le dossier biométrie sous l’angle RGPD, sans attendre décembre 2027.
  5. Relire votre plan de formation à l’IA à la lumière de la nouvelle rédaction de l’article 4.

Cet article a une vocation d’information générale et ne constitue pas un conseil juridique. Les échéances et les qualifications évoquées appellent une analyse au cas par cas. État du droit au 2 septembre 2026.

Sources