AI Act : l'échéance du 2 août est passée, ce qui s'applique maintenant

L'échéance était inscrite dans les agendas depuis deux ans. Elle est passée dimanche. Les obligations de l'AI Act applicables en 2026 ne sont toutefois pas celles qui étaient prévues au départ : un règlement adopté fin juillet a redistribué le calendrier, dix jours avant la date butoir.

Résultat, beaucoup d'entreprises ont retenu que « c'était reporté » et ont refermé le dossier. C'est une lecture inexacte, et potentiellement coûteuse. Une partie substantielle du texte est bien entrée en application le 2 août 2026, et c'est justement la partie qui concerne le plus grand nombre d'organisations.

Voici le point de situation : ce qui s'applique désormais, ce qui a été repoussé, qui contrôle en France, et par quoi commencer si vous n'êtes pas prêt.

Ce qui est bien entré en application le 2 août 2026

Le règlement européen sur l'intelligence artificielle est, depuis cette date, applicable dans sa plus grande partie. Trois blocs concernent directement les entreprises françaises.

Les obligations de transparence

Ce sont celles de l'article 50, et elles ne dépendent pas du niveau de risque du système. Elles couvrent quatre situations : l'interaction directe entre une personne et un système d'IA, la génération de contenus de synthèse, la reconnaissance des émotions et la catégorisation biométrique, et les hypertrucages.

En pratique : un visiteur qui échange avec votre agent conversationnel doit savoir qu'il ne parle pas à un humain, et les contenus générés doivent être marqués de façon lisible par machine. La Commission européenne a publié le 20 juillet des lignes directrices précisant ces notions et donnant des exemples d'exceptions, accompagnées d'un code de bonnes pratiques sur le marquage et l'étiquetage des contenus générés par IA.

Une nuance utile : les systèmes déjà mis sur le marché avant le 2 août 2026 disposent d'un délai jusqu'au 2 décembre 2026 pour satisfaire aux obligations de marquage. Cela laisse quatre mois, pas davantage.

Les dispositifs d'expérimentation encadrée

Le règlement prévoit que chaque État membre dispose d'au moins un bac à sable réglementaire opérationnel à cette date. L'objectif est de permettre le développement de systèmes sous supervision d'une autorité, avant mise sur le marché.

Le régime de sanctions, désormais complet

Les montants figurent à l'article 99 et sont volontairement dissuasifs : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, jusqu'à 15 millions d'euros ou 3 % pour le manquement aux autres obligations, dont celles de transparence, et jusqu'à 7,5 millions d'euros ou 1 % pour la communication d'informations incorrectes ou trompeuses à une autorité. Pour les PME et les jeunes entreprises, c'est le plus bas des deux plafonds qui s'applique, et non le plus élevé.

Ce que l'omnibus de juillet a repoussé

Le règlement (UE) 2026/1744, dit omnibus numérique sur l'IA, a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet. Il modifie le règlement sur l'IA et décale les échéances les plus lourdes.

• Systèmes à haut risque autonomes, ceux listés à l'annexe III, qui couvrent notamment le recrutement, l'accès à l'éducation, la notation de crédit ou l'accès aux services essentiels : application repoussée au 2 décembre 2027.
• Systèmes à haut risque intégrés à des produits déjà réglementés, listés à l'annexe I, comme les dispositifs médicaux ou certains équipements : application repoussée au 2 août 2028.
• Nouvelles pratiques interdites ajoutées par l'omnibus, visant notamment la production de contenus intimes non consentis : applicables au 2 décembre 2026.

Le raisonnement des institutions est assumé : les normes techniques harmonisées n'étaient pas prêtes, et exiger une conformité à un référentiel inexistant n'avait pas de sens. Le report n'est pas une remise en cause du texte, c'est un décalage d'application.

Pour une entreprise, cela change surtout la nature de l'effort de rentrée. Le chantier « haut risque » redevient un sujet de plan pluriannuel. Le chantier « transparence », lui, est un sujet du mois.

Qui contrôle, en France, et avec quels moyens

C'est le point le moins avancé. Le schéma de désignation des autorités nationales a été publié le 9 septembre 2025 par la direction générale des Entreprises et la DGCCRF. Il repose sur les régulateurs existants plutôt que sur la création d'une autorité unique : la DGCCRF joue le rôle de coordinateur et de point de contact unique, la CNIL intervient sur les données personnelles et la biométrie, l'Arcom sur les contenus, l'ACPR sur les systèmes financiers, avec l'ANSSI et le PEReN en appui technique. Une quinzaine d'autorités sectorielles sont concernées.

Ce schéma devait être validé par le Parlement dans un texte d'adaptation au droit de l'Union européenne. Au premier semestre 2026, plusieurs analyses juridiques relevaient que la désignation formelle n'était toujours pas actée, plaçant la France parmi les États en retard sur ce point.

Ce retard a une conséquence concrète pour les entreprises : en l'absence de désignation publiée, il n'existe pas encore de guichet clairement identifié auquel poser une question d'interprétation sur un cas particulier. Les régulateurs sectoriels répondent sur leur domaine, la Commission publie des lignes directrices générales, mais le point d'entrée national annoncé par le schéma de septembre 2025 n'est pas encore opérationnel au sens du règlement.

Il serait imprudent d'en tirer la conclusion qu'il ne se passera rien. Les régulateurs concernés sont déjà compétents sur leurs domaines respectifs, et un manquement à la transparence sur un service grand public relève aussi du droit de la consommation et du RGPD. Autrement dit, l'absence de désignation formelle retarde la mécanique propre au règlement, pas les contrôles ordinaires.

Vous n'êtes pas prêt : par quoi commencer cette semaine

Un plan réaliste tient en cinq étapes et en quelques jours de travail.

1. Listez les points de contact. Où, dans vos produits et vos canaux, une personne extérieure interagit-elle avec un système d'IA ? Formulaire, agent conversationnel, réponse automatique, assistant téléphonique.
2. Vérifiez les mentions. Chaque point de contact doit indiquer clairement l'interaction avec une machine, dans une formulation compréhensible, avant l'échange et non dans les conditions générales.
3. Recensez les contenus publiés générés par IA. Visuels, textes, voix. Documentez ce qui est marqué et ce qui ne l'est pas, et fixez une date pour le reste, au plus tard le 2 décembre 2026.
4. Interrogez vos fournisseurs. Si vous utilisez un outil du marché, la conformité du marquage relève en partie de l'éditeur. Demandez par écrit ce qu'il implémente et à quelle échéance.
5. Tracez les décisions. Un tableau des systèmes utilisés, de leur finalité, de leur fournisseur et du responsable interne suffit pour commencer. C'est ce document qu'on vous demandera en premier.

Ces étapes reprennent, en version resserrée, notre checklist de conformité publiée avant l'échéance.

Les prochaines dates à noter

• 2 décembre 2026 : fin du délai pour le marquage des systèmes déjà en service avant août, et entrée en application des nouvelles pratiques interdites.
• 2 août 2027 : échéance pour les modèles à usage général mis sur le marché avant août 2025.
• 2 décembre 2027 : application des obligations pour les systèmes à haut risque autonomes.
• 2 août 2028 : application pour les systèmes à haut risque intégrés à des produits réglementés.

Cette série d'articles consacrée au règlement européen se referme ici pour l'année. Ce qu'il faut retenir des obligations de l'AI Act en 2026 tient en une phrase : la partie difficile a été décalée de dix-huit mois, la partie visible par vos clients est entrée en vigueur. Pour la vue d'ensemble du calendrier, notre article sur le calendrier d'application de l'AI Act reste la référence, et notre analyse de l'échéance d'août 2026 décrit le contexte dans lequel ce report a été négocié.