L’échéance AI Act du 2 août 2026 marque l’application générale du règlement (UE) 2024/1689 sur l’intelligence artificielle. À cette date, les obligations de transparence entrent en application. La Commission européenne peut aussi sanctionner les fournisseurs de modèles d’IA à usage général.
Une partie du texte vient pourtant d’être repoussée. Dans beaucoup d’organismes, la confusion règne : une partie des équipes croit tout reporté, une autre prépare des obligations encore inapplicables. C’est pourquoi le calendrier ci-dessous repart du texte publié au Journal officiel de l’Union européenne.
Ce qui s’applique le 2 août 2026
Le 2 août 2026 rend applicables les obligations de transparence de l’article 50. La Commission peut aussi infliger des amendes aux fournisseurs de modèles d’IA à usage général, au titre de l’article 101. Ces fournisseurs respectent déjà leurs propres obligations depuis le 2 août 2025.
Le reste du socle s’applique d’ailleurs depuis 2025. Ainsi, les pratiques d’IA interdites sont bannies depuis février 2025. Les règles de gouvernance et le régime de sanctions confié aux autorités nationales s’appliquent, eux, depuis le 2 août 2025. L’échéance de 2026 renforce donc un cadre déjà en marche.
L’Omnibus allonge aussi la liste des pratiques interdites de l’article 5. À partir du 2 décembre 2026, un système d’IA ne peut plus générer ou manipuler, sans le consentement explicite de la personne, des images, vidéos ou sons réalistes montrant les parties intimes d’une personne identifiable ou la mettant en scène dans des activités sexuellement explicites. La même date vise les systèmes qui produisent du matériel d’abus sexuels sur enfants. Vérifiez donc les conditions d’usage des générateurs d’images utilisés dans votre structure.
| Échéance | Ce qui s’applique |
|---|---|
| Février 2025 | Interdiction des pratiques d’IA interdites |
| 2 août 2025 | Obligations des modèles à usage général, gouvernance et sanctions des autorités nationales |
| 2 août 2026 | Transparence (article 50) et amendes de la Commission envers les fournisseurs de modèles à usage général |
| 2 décembre 2026 | Marquage des contenus générés (article 50, paragraphe 2) pour les systèmes mis sur le marché avant le 2 août 2026, et nouvelles interdictions de l’article 5 sur les contenus intimes non consentis |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III |
| 2 août 2028 | Systèmes à haut risque de l’annexe I |
Pourquoi le haut risque est reporté après le 2 août 2026
Le règlement (UE) 2026/1744 du 8 juillet 2026, dit Omnibus numérique sur l’IA, repousse au 2 décembre 2027 l’application aux systèmes à haut risque de l’annexe III. Pour ceux de l’annexe I, la date passe au 2 août 2028. En effet, ce report laisse le temps de publier les normes techniques attendues.
L’annexe III vise des usages : biométrie, infrastructures critiques, éducation, emploi et recrutement, accès aux services essentiels, répression, migration et justice. Un logiciel qui filtre des candidatures en relève, par exemple. L’annexe I vise, elle, l’IA intégrée à un produit déjà soumis à une législation sectorielle, comme un dispositif médical ou une machine. Par rapport au calendrier initial de 2024, l’annexe III gagne ainsi seize mois et l’annexe I un an. Le Parlement européen a voté le texte le 16 juin 2026, puis le Conseil l’a adopté le 29 juin 2026.
Le report ne modifie pas la classification des systèmes. Il décale seulement la date à laquelle les obligations deviennent exigibles. Gardez donc votre classification à jour dès maintenant.
L’Omnibus a été publié au Journal officiel de l’Union le 24 juillet 2026 et entre en vigueur le 27 juillet 2026. Il accorde également un délai aux fournisseurs de systèmes d’IA générative mis sur le marché avant le 2 août 2026. Ces fournisseurs ont donc jusqu’au 2 décembre 2026 pour appliquer l’obligation de marquage des contenus générés.
Pour le marquage lui-même, notre article Contenus générés par IA : comment les marquer ? détaille les techniques.
Fournisseur ou déployeur : qui doit quoi au titre de la transparence
L’article 50 répartit les obligations selon le rôle. D’abord, le fournisseur d’un système qui dialogue avec des personnes doit les informer qu’elles interagissent avec une IA. En pratique, l’éditeur du chatbot porte donc cette obligation, sauf si le caractère artificiel de l’échange ressort clairement du contexte. De plus, le fournisseur d’un outil qui génère des images, des sons, des vidéos ou des textes marque ses sorties dans un format lisible par machine, par exemple un filigrane ou des métadonnées. Ce marquage technique ne dispense pas le déployeur de la mention visible.
Le déployeur, c’est-à-dire l’organisme qui utilise l’outil, a ses propres devoirs. Par exemple, il prend des mesures pour favoriser la maîtrise de l’IA par ses équipes. Ensuite, il signale les hypertrucages et les textes générés publiés pour informer le public. Notre article sur ce que le déployeur d’IA doit annoncer en août 2026 reprend ces cas un par un.
Deux aménagements changent la pratique des services communication. D’abord, un hypertrucage inclus dans une œuvre manifestement artistique, satirique ou fictive se signale d’une manière qui ne gâche pas l’œuvre. Ensuite, un texte publié pour informer le public échappe à la mention lorsqu’il a fait l’objet d’une relecture humaine ou d’un contrôle éditorial, et qu’une personne physique ou morale assume la responsabilité éditoriale de la publication. Désignez donc par écrit la personne qui relit et signe les textes rédigés avec une IA.
Les sanctions prévues par l’AI Act
Les plafonds dépendent du type de manquement. Ils se comptent en millions d’euros ou en pourcentage du chiffre d’affaires annuel mondial.
| Manquement | Plafond |
|---|---|
| Pratiques interdites | 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial |
| Autres | 15 millions d’euros ou 3 %, dont les obligations des systèmes à haut risque et la transparence |
| Informations | 7,5 millions d’euros ou 1 % pour des informations inexactes, incomplètes ou trompeuses fournies aux autorités |
Pour une entreprise, le montant le plus élevé des deux est retenu. Pour une PME, l’article 99 retient au contraire le plus faible. Le plafond le plus élevé dépasse ainsi celui du RGPD, fixé à 20 millions d’euros ou 4 % du chiffre d’affaires.
Ce que le DPO vérifie avant l’échéance
Beaucoup d’organismes confient le suivi de l’AI Act au DPO, qui maîtrise déjà la gouvernance des données. Dans ce rôle, sa première tâche consiste à savoir quels systèmes d’IA tournent dans la structure. Ces étapes se cochent dans l’ordre.
- Inventoriez chaque système d’IA, interne ou fourni par un tiers.
- Vérifiez l’absence de pratique interdite.
- Classez les systèmes selon leur niveau de risque, à l’aide de l’article 6 et de l’annexe III.
- Documentez les modèles à usage général utilisés et leurs fournisseurs.
- Reliez chaque traitement de données personnelles à une analyse d’impact quand elle s’impose.
L’inventaire réserve souvent des surprises. L’IA arrive en effet par les outils métiers : tri des candidatures dans le logiciel RH, score de prospects dans le CRM, assistant du support client, générateur d’images adopté par le service communication sans validation. Interrogez aussi chaque fournisseur sur la manière dont il marque les contenus générés.
Pour la classification, la Commission a publié en mai 2026 un projet de lignes directrices avec des exemples de cas d’usage. De plus, notre article sur le registre des systèmes d’IA montre comment construire l’inventaire. Enfin, DPO Suite, notre application de conformité, propose un audit AI Act pour structurer ce travail.
Sources
Les échéances, les obligations de l’article 50, l’annexe III et les sanctions figurent dans le règlement (UE) 2024/1689 sur l’intelligence artificielle (EUR-Lex).
Le report du haut risque, les nouvelles interdictions, les dates de vote et le délai de marquage viennent du règlement (UE) 2026/1744 du 8 juillet 2026, train de mesures omnibus numérique sur l’IA (EUR-Lex).
La Commission présente son projet dans Draft Commission guidelines on the classification of high-risk AI systems.
