L'échéance AI Act août 2026 est la plus importante du calendrier européen depuis l'entrée en vigueur du règlement sur l'intelligence artificielle. Au 2 août 2026, le règlement (UE) 2024/1689 devient applicable dans sa quasi-totalité : c'est la date à laquelle le texte cesse d'être un objet de veille juridique pour devenir une contrainte opérationnelle, y compris pour les entreprises qui se contentent d'utiliser des systèmes d'IA développés par d'autres.
Cette échéance arrive dans un contexte particulier. Une proposition de simplification du règlement, portée par la Commission européenne, prévoit de reporter une partie des obligations relatives aux systèmes à haut risque. Le Parlement européen a approuvé le texte issu de la négociation le 16 juin 2026, par 423 voix pour, 57 contre et 174 abstentions. À la date de publication de cet article, ce texte modificatif doit encore être adopté formellement par le Conseil, puis publié au Journal officiel de l'Union européenne pour produire ses effets.
Autrement dit : le droit applicable reste, à ce jour, le règlement de 2024 dans sa version en vigueur, et le 2 août 2026 demeure l'échéance de référence. Cet article fait le point sur ce qui est dû à cette date, sur ce que le report en cours d'adoption viendrait modifier, et sur les vérifications qu'une entreprise utilisatrice doit conduire dans les cinq semaines qui viennent.
Le calendrier du règlement 2024/1689, étape par étape
Le règlement est entré en vigueur le 1er août 2024, avec une application échelonnée. Rappel des étapes déjà franchies et de celles à venir.
| Date | Ce qui devient applicable |
| 2 février 2025 | Dispositions générales et pratiques interdites, ainsi que l'obligation de maîtrise de l'IA par le personnel qui utilise ou exploite ces systèmes |
| 2 août 2025 | Obligations des fournisseurs de modèles d'IA à usage général, gouvernance européenne et nationale, désignation des autorités compétentes, régime de sanctions |
| 2 août 2026 | Application du reste du règlement, à l'exception de l'article 6, paragraphe 1 : obligations de transparence de l'article 50, systèmes à haut risque listés à l'annexe III, et disponibilité d'au moins un bac à sable réglementaire par État membre |
| 2 août 2027 | Article 6, paragraphe 1 : systèmes à haut risque intégrés comme composants de sécurité dans des produits déjà couverts par une législation sectorielle. Mise en conformité des modèles à usage général mis sur le marché avant le 2 août 2025 |
Nous avions détaillé la logique d'ensemble de ce séquencement dans notre article sur le calendrier d'application de l'AI Act. Ce qui suit se concentre sur la marche du 2 août 2026.
Les obligations pour les systèmes à haut risque de l'annexe III
L'annexe III du règlement liste les usages considérés comme à haut risque hors produits réglementés : biométrie, infrastructures critiques, éducation et formation professionnelle, emploi et gestion des travailleurs, accès aux services essentiels publics et privés, répression, migration et contrôle aux frontières, administration de la justice et processus démocratiques.
Deux points sont mal compris et méritent d'être posés clairement.
- C'est l'usage qui qualifie, pas la technologie. Un modèle de langage généraliste n'est pas à haut risque en soi. Le même modèle utilisé pour trier des candidatures relève du domaine de l'emploi listé à l'annexe III.
- Le règlement distingue le fournisseur et le déployeur. L'essentiel des obligations de conception, de documentation technique, de gestion des risques et d'évaluation de conformité pèse sur le fournisseur. Le déployeur, c'est-à-dire l'entreprise qui utilise le système sous sa propre autorité, porte des obligations propres, plus légères mais réelles.
Côté déployeur, ces obligations tournent autour de quelques axes : utiliser le système conformément à la notice du fournisseur, assurer un contrôle humain effectif par des personnes compétentes, veiller à la pertinence des données d'entrée quand on les maîtrise, conserver les journaux générés par le système lorsqu'ils sont sous son contrôle, et informer les personnes concernées lorsque le système est utilisé pour prendre ou aider à prendre des décisions les concernant.
Cette exigence de contrôle humain et de traçabilité rejoint directement ce que nous décrivons dans notre article sur la traçabilité des décisions prises avec l'IA : sans journal exploitable, il est impossible de démontrer qu'un contrôle humain a réellement eu lieu.
Ce que le report en cours d'adoption viendrait changer
Le texte de simplification approuvé par le Parlement européen le 16 juin 2026 modifie le calendrier des obligations relatives aux systèmes à haut risque. Dans la version votée :
- les exigences applicables aux systèmes à haut risque listés à l'annexe III seraient reportées au 2 décembre 2027 ;
- celles applicables aux systèmes intégrés comme composants de sécurité dans des produits couverts par la législation sectorielle seraient reportées au 2 août 2028 ;
- certaines obligations de marquage des contenus générés seraient décalées au 2 décembre 2026 pour les systèmes déjà mis sur le marché avant le 2 août 2026 ;
- le texte ajoute par ailleurs une interdiction visant la génération de contenus intimes non consentis et de contenus pédocriminels.
La justification avancée est l'indisponibilité des normes harmonisées et des lignes directrices attendues pour accompagner la mise en conformité. Le raisonnement se défend, mais il ne change rien à la position d'une entreprise aujourd'hui : tant que le texte n'est pas publié au Journal officiel de l'Union européenne, l'échéance du 2 août 2026 est celle qui figure dans le droit en vigueur. Suspendre un programme de conformité sur la foi d'un report non encore adopté est un pari, pas une décision de gestion.
AI Act août 2026 : ce qui reste dû quoi qu'il arrive
Une partie du 2 août 2026 n'est concernée par aucun report. L'article 50 impose des obligations de transparence qui touchent un très grand nombre d'organisations, y compris celles qui n'ont aucun système à haut risque.
- Informer les personnes qu'elles interagissent avec un système d'IA, lorsque ce n'est pas manifeste. Cela vise directement les agents conversationnels de support et de vente.
- Marquer les contenus de synthèse produits par un système d'IA, dans un format lisible par machine et détectable comme artificiel.
- Signaler les contenus manipulés représentant des personnes, des objets ou des événements réels, lorsqu'ils peuvent être pris pour authentiques.
- Indiquer l'usage d'un système de reconnaissance des émotions ou de catégorisation biométrique aux personnes qui y sont exposées.
À cela s'ajoute une obligation déjà applicable depuis février 2025 et souvent oubliée : l'article 4 demande aux fournisseurs et aux déployeurs de veiller à un niveau suffisant de maîtrise de l'IA chez les personnes qui manipulent ces systèmes. C'est une obligation de moyens, qui se démontre par de la formation et par un cadre d'usage écrit, ce qui est précisément l'objet d'une charte d'usage de l'IA en entreprise.
Cinq vérifications pour une entreprise utilisatrice
Voici ce qu'il est raisonnable de conduire avant l'échéance, indépendamment du sort du texte de simplification.
- Recenser les systèmes d'IA en service, y compris ceux intégrés dans des logiciels métiers achetés sur étagère. C'est l'étape la plus longue et la plus révélatrice : la plupart des inventaires oublient les fonctionnalités d'IA activées par défaut dans des outils existants.
- Qualifier chaque usage au regard de l'annexe III. Le tri utile porte sur trois familles : recrutement et gestion des salariés, accès à des services essentiels, et tout ce qui touche à la biométrie.
- Vérifier les interfaces exposées au public et poser les mentions de transparence attendues par l'article 50. C'est l'action au meilleur rapport effort sur risque.
- Demander leur documentation aux fournisseurs. Notice d'utilisation, périmètre d'usage prévu, mesures de contrôle humain recommandées, journalisation disponible. Un fournisseur incapable de répondre est en soi une information.
- Documenter le contrôle humain pour les usages sensibles : qui vérifie, sur quels critères, avec quelle possibilité réelle de s'écarter de la recommandation du système.
Ces cinq points recoupent largement le travail déjà fait pour le règlement général sur la protection des données. Les organisations qui ont mené sérieusement leur mise en conformité, comme nous le décrivions dans notre article sur le RGPD et l'IA en entreprise, partent avec plusieurs longueurs d'avance : le registre existe, la logique d'analyse d'impact est connue, les interlocuteurs sont identifiés.
Ce qu'il faut retenir à cinq semaines de l'échéance
L'échéance AI Act août 2026 conserve toute sa portée pour les obligations de transparence, la gouvernance et la maîtrise de l'IA par les équipes. Sur le volet haut risque, un report est en cours d'adoption au niveau européen, approuvé par le Parlement le 16 juin 2026, mais il n'est pas encore entré dans le droit positif à la date où nous écrivons.
La conduite raisonnable n'est donc pas de tout arrêter ni de tout précipiter : c'est de faire l'inventaire, de qualifier les usages, de poser les mentions de transparence, et de suivre la publication au Journal officiel de l'Union européenne pour ajuster le calendrier interne. Le travail d'inventaire et de qualification, lui, sera nécessaire dans tous les scénarios, et il constitue de loin la partie la plus longue.
Laisser un commentaire