AI Act : ce qui s’applique vraiment depuis le 2 août 2026 (et le piège du 2 décembre)

Cinq jours avant l’échéance la plus attendue du règlement européen sur l’intelligence artificielle, Bruxelles a déplacé les poteaux. Depuis, une phrase circule dans les conseils d’administration, les comités de direction et les fils LinkedIn français : « l’AI Act est reporté ».

Elle est fausse. Et elle est en train de coûter des mois de retard à des entreprises qui croient avoir gagné du temps.

Ce qui a été repoussé, c’est la partie du règlement que la grande majorité des organisations n’aurait de toute façon pas eu à appliquer. Ce qui est entré en application le 2 août 2026, sans le moindre aménagement, c’est précisément la partie qui les concerne — et elle est désormais assortie d’un régime de sanctions pleinement opérationnel.

Voici l’état réel de vos obligations, obligation par obligation, avec la seule date qui compte encore cette année : le 2 décembre 2026.

Ce qui s’est réellement passé fin juillet

Le règlement (UE) 2026/1744, dit « omnibus numérique IA », a été adopté le 8 juillet 2026, publié au Journal officiel de l’Union européenne le 24 juillet, et est entré en vigueur trois jours plus tard, le 27 juillet 2026. Cinq jours avant l’échéance qu’il modifie.

Ce calendrier serré explique une bonne partie de la confusion ambiante. Beaucoup d’entreprises ont découvert le texte après coup, à travers des résumés de résumés, et en ont retenu le titre plutôt que le contenu.

Deux précisions s’imposent, parce qu’elles conditionnent tout le reste.

D’abord, ce texte n’est pas « le paquet omnibus ». La proposition présentée par la Commission en novembre 2025 couvrait à la fois l’intelligence artificielle et le droit des données — RGPD, ePrivacy, Data Act. Elle a été scindée en cours de route. Seul le volet IA est adopté. Le volet données est toujours en négociation. Concrètement : aucune obligation RGPD n’a changé. Si quelqu’un vous a dit le contraire, il commente une proposition, pas un texte en vigueur.

Ensuite, l’omnibus IA n’abroge rien. L’architecture du règlement reste intacte : approche par les risques, quatre niveaux de classification, définition du système d’IA inchangée, champ d’application extraterritorial maintenu. L’annexe III elle-même n’a pas été touchée. Si vos équipes ont cartographié vos systèmes en juin dernier, ce travail reste entièrement valable. Ce qui a bougé, ce sont des dates — et quelques règles de fond que je détaille plus bas.

Ce qui s’applique depuis le 2 août 2026

C’est le point que la plupart des commentaires ratent. La date générale d’application de l’AI Act, fixée par l’article 113, n’a pas été déplacée d’un jour. Ce que l’omnibus a modifié, ce sont des exceptions à cette date générale. La règle, elle, s’applique.

Sont donc pleinement applicables depuis le 2 août 2026 les obligations de transparence de l’article 50. Vos chatbots et agents conversationnels doivent signaler clairement à leurs utilisateurs qu’ils ne sont pas humains, sauf lorsque cela ne fait aucun doute. Les contenus synthétiques doivent porter un marquage lisible par machine. Les personnes exposées à un système de reconnaissance des émotions doivent en être informées. Les deepfakes doivent être identifiables comme tels.

J’insiste sur ce point, parce que plusieurs analyses françaises ont annoncé un report de l’article 50 au 2 décembre 2026. C’est inexact. Seul l’article 50(2) — le marquage lisible par machine — bénéficie d’un aménagement transitoire, et uniquement pour les systèmes déjà mis sur le marché avant le 2 août. J’y reviens.

S’appliquent également depuis le 2 août le régime de sanctions du chapitre XII, les pouvoirs de surveillance du marché du chapitre IX, les procédures d’évaluation de la conformité et les dispositions relatives aux bacs à sable réglementaires.

Et il faut rappeler ce qui était déjà en vigueur bien avant, et que le report ne concerne à aucun moment : les pratiques d’IA interdites de l’article 5 et l’obligation de littératie IA de l’article 4, applicables depuis le 2 février 2025 ; le régime des modèles d’IA à usage général, applicable depuis le 2 août 2025.

Autrement dit : l’essentiel de ce qui concerne une entreprise qui utilise de l’IA sans en développer était déjà applicable, et l’est resté.

Ce qui a été repoussé — et pour qui exactement

Le cœur de l’omnibus tient dans la réécriture d’un seul alinéa. Les exigences substantielles pesant sur les systèmes d’IA à haut risque voient leur application décalée.

Pour les systèmes autonomes de l’annexe III — ressources humaines, éducation, biométrie, justice, infrastructures critiques — l’échéance passe du 2 août 2026 au 2 décembre 2027. Pour les systèmes intégrés dans des produits déjà réglementés, relevant de l’annexe I, elle passe au 2 août 2028. Les systèmes destinés aux autorités publiques restent, eux, calés sur 2030.

Ce qui glisse, concrètement : le système de gestion des risques, la gouvernance des données d’entraînement, la documentation technique, la journalisation, le contrôle humain, l’exactitude et la robustesse, ainsi que l’analyse d’impact sur les droits fondamentaux.

Regardez cette liste et posez-vous une question simple : combien de ces obligations vous concernaient réellement ? Si vous utilisez des outils d’IA sans en être le fournisseur, et si aucun de vos usages ne relève de l’annexe III, la réponse est probablement : aucune. Le report vous a offert un sursis sur des obligations que vous n’aviez pas.

Un point juridique mérite l’attention de ceux qui, eux, sont concernés. La proposition initiale de la Commission prévoyait un déclenchement conditionnel : l’application aurait été subordonnée à une décision constatant la disponibilité des normes harmonisées. Ce mécanisme a été supprimé au cours du trilogue. Les nouvelles dates sont civiles, fixes et inconditionnelles. Il n’y aura pas de second report automatique parce que les normes tardent.

Seize mois, c’est à peu près le temps nécessaire pour construire un système de gestion des risques et une documentation technique défendables. Les organisations qui interprètent le report comme une autorisation de suspendre leurs chantiers se retrouveront fin 2027 exactement là où elles étaient en juillet 2026 — mais face à des autorités enfin outillées.

Les sanctions ne sont plus théoriques

C’est le changement le plus sous-estimé du 2 août. Le régime de sanctions devient pleinement opérationnel, et les plafonds n’ont pas été touchés par l’omnibus.

Une bonne nouvelle pour les structures plus petites : l’omnibus introduit deux définitions à l’article 3, celle des PME et celle des petites ETI — moins de 750 salariés et un chiffre d’affaires inférieur ou égal à 150 millions d’euros. Pour ces deux catégories, l’amende est plafonnée au plus faible des deux termes, pourcentage ou montant fixe, et non au plus élevé. S’y ajoutent une documentation technique simplifiée que les organismes notifiés sont tenus d’accepter, un système de gestion de la qualité proportionné, et un accès prioritaire aux bacs à sable réglementaires.

Mais le vrai basculement est ailleurs. L’omnibus renforce considérablement le Bureau de l’IA de la Commission, en lui donnant une compétence exclusive sur les systèmes fondés sur un modèle à usage général issu du même fournisseur, et sur ceux intégrés dans les très grandes plateformes au sens du DSA. Surtout, il transplante dans l’AI Act le modèle procédural du droit de la concurrence : demandes d’information par décision, inspections sur place et à distance, apposition de scellés, engagements rendus obligatoires, astreintes plafonnées à 5 % du chiffre d’affaires mondial journalier.

On quitte la logique de la surveillance de produit pour entrer dans celle de l’enquête administrative centralisée. Ce n’est pas un détail de procédure — c’est un changement de nature du risque.

Le piège du 2 décembre 2026

Pendant que tout le monde regarde 2027, deux échéances tombent dans un peu plus de trois mois.

La première : l’omnibus ajoute deux pratiques à la liste noire de l’article 5, applicables au 2 décembre 2026 et sanctionnées au palier le plus élevé. Sont interdits les systèmes générant, sans consentement explicite de la personne, des contenus intimes réalistes la représentant — les applications dites de « dénudage » — ainsi que ceux générant des contenus relevant de la directive européenne sur les abus sexuels commis contre des enfants. Ces deux interdictions ont été ajoutées par le Conseil, à l’initiative de la France, et ne figuraient pas dans la proposition de la Commission.

L’asymétrie introduite mérite l’attention de toute entreprise qui déploie des outils génératifs d’images. Le fournisseur est en infraction si ce résultat est raisonnablement prévisible et reproductible sans modification technique significative, et que le système est dépourvu de garde-fous adéquats. Le déployeur, lui, n’est en infraction qu’en cas d’utilisation effective à cette fin : l’usage licite d’un outil mal protégé et la génération accidentelle sont expressément exclus.

La seconde échéance de décembre est plus banale, et c’est justement pour ça qu’elle sera oubliée. Les fournisseurs de systèmes générant du contenu synthétique mis sur le marché avant le 2 août 2026 doivent se conformer à l’obligation de marquage lisible par machine avant le 2 décembre. C’est le seul aménagement transitoire de tout l’article 50 — et il expire dans trois mois.

Dernier changement de fond, celui-là déjà applicable depuis le 27 juillet : l’obligation de littératie IA devient une obligation de moyens. Les organisations ne doivent plus « assurer » un niveau suffisant de compréhension chez leurs collaborateurs, mais « prendre des mesures pour en soutenir le développement ». Le texte précise qu’aucun niveau spécifique n’est garanti pour une personne donnée.

Ne lisez pas ça comme une dispense. Une politique de formation documentée reste la seule façon de démontrer que des mesures ont été prises — et c’est aussi, accessoirement, ce qui détermine si vos équipes utilisent l’IA correctement ou dans votre dos.

La zone grise française

C’est l’angle mort du 2 août. Les pouvoirs de sanction sont devenus applicables, mais la France n’a pas achevé la désignation de ses autorités compétentes au titre de l’article 70.

Le schéma retenu par le Gouvernement, publié en septembre 2025, repose sur une régulation sectorielle éclatée mobilisant une quinzaine d’autorités — CNIL, DGCCRF, Arcom, ANSSI, ANSM, HAS et d’autres. Son vecteur législatif est le volet numérique du projet de loi DDADUE, adopté par le Sénat en février 2026, dont l’adoption définitive n’était pas confirmée à l’été. Les sources divergent encore sur l’identité du point de contact unique.

La CNIL, auditionnée au Sénat en avril 2026, a formulé des réserves ciblées sur la répartition des compétences : le caractère exclusif de la compétence du Bureau de l’IA risque de réduire le nombre de contrôles, en empêchant une autorité nationale de se saisir d’un dossier dont Bruxelles ne se saisit pas. Les rapporteures plaidaient pour une logique de dessaisissement plutôt que d’exclusivité. Elles n’ont pas été suivies.

Que faire de cette information ? Certainement pas parier sur l’inaction. Une régulation qui démarre lentement rattrape toujours son retard sur les dossiers les plus visibles — et le premier contrôle français sur l’article 50 fera l’objet d’une couverture presse dont personne ne veut être le sujet.

Ce qu’il faut avoir fait avant décembre

Trois chantiers, par ordre d’urgence réelle.

Immédiatement. Passez en revue vos chatbots, vos générateurs de contenu et tout système de reconnaissance des émotions au regard de l’article 50. C’est applicable, c’est sanctionnable, et c’est le point le plus facile à vérifier depuis l’extérieur par un régulateur comme par un concurrent. Confirmez ensuite qu’aucun de vos usages ne tombe sous l’article 5 — ces interdictions sont en vigueur depuis février 2025.

Avant le 2 décembre 2026. Auditez vos systèmes génératifs d’images au regard des nouvelles interdictions et documentez vos garde-fous techniques : le critère de prévisibilité raisonnable place la charge de la preuve du côté du fournisseur. Mettez en conformité le marquage machine-lisible des systèmes antérieurs au 2 août. Et formalisez votre politique de littératie IA — même devenue obligation de moyens, elle doit être écrite quelque part.

Sans démobiliser. Maintenez et actualisez votre registre des systèmes d’IA. L’obligation d’enregistrement des systèmes auto-évalués comme non haut risque, que la Commission proposait de supprimer, a été maintenue. Et si vous relevez de l’annexe III, considérez que vos seize mois ont commencé le 2 août — pas le jour où vous vous en souviendrez.

Une remarque pour finir, qui vaut au-delà de ce texte. La conformité IA n’est pas un projet à échéance : c’est une capacité à savoir, à tout moment, quels systèmes tournent dans votre organisation, qui les a introduits, et sous quel régime ils tombent. Les entreprises qui ont construit cette capacité vivent chaque report comme une information. Les autres le vivent comme une permission.