AI Act : ce qui s'applique vraiment au 2 août 2026, et ce qui est reporté

Non, l'AI Act n'est pas reporté

Depuis l'adoption du paquet omnibus numérique en juin 2026, les titres se ressemblent : « Bruxelles repousse l'AI Act ». La formule est trompeuse et elle coûte cher à ceux qui s'y fient. Ce qui a été décalé, ce sont les obligations pesant sur les systèmes classés à haut risque. Le reste du règlement suit son calendrier initial, et une échéance tombe le 2 août 2026.

Autrement dit, une entreprise qui a lu « report » et rangé le dossier se retrouve à découvert sur les obligations de transparence, alors même que le régime de sanctions devient applicable à cette date.

Ce qui s'applique au 2 août 2026

Les obligations de transparence (article 50)

C'est la partie du texte qui concerne le plus grand nombre d'entreprises, parce qu'elle ne dépend pas d'une classification en haut risque. Trois exigences :

• Informer une personne qu'elle interagit avec un système d'IA, sauf si cela va de soi. Un agent conversationnel sur votre site entre dans ce cadre.
• Signaler les contenus générés ou manipulés par IA, hypertrucages compris.
• Apposer un marquage lisible par machine sur les contenus générés.

Les systèmes déjà sur le marché avant cette date disposent d'un délai jusqu'au 2 décembre 2026 pour se conformer au marquage. Les systèmes mis en service après le 2 août 2026 doivent l'être immédiatement.

Le régime de sanctions devient applicable

À partir de cette date, l'Office IA et les autorités nationales peuvent effectivement sanctionner. Les montants suivent trois paliers selon la nature du manquement.

Le montant retenu est le plus élevé des deux. Pour une PME, des plafonds relevés à ce niveau restent théoriques, mais l'existence d'un pouvoir de sanction change la nature du sujet : il ne relève plus de la bonne pratique.

Ce qui est réellement reporté

Le paquet omnibus, voté au Parlement européen le 16 juin 2026 puis approuvé par le Conseil le 29 juin, décale les obligations des systèmes à haut risque. Il ne les supprime pas, et ne modifie pas leur classification : seule la date d'exigibilité bouge.

Sont concernées par ce décalage la gestion des risques, la documentation technique, la journalisation, la supervision humaine, l'évaluation de conformité et l'enregistrement. Le motif avancé est le retard des normes harmonisées, qui devaient fournir aux entreprises le référentiel technique permettant de démontrer leur conformité.

Ce qui s'applique déjà depuis 2025

Deux obligations sont en vigueur depuis le 2 février 2025 et passent souvent inaperçues.

Les pratiques interdites de l'article 5 d'abord : notation sociale, exploitation des vulnérabilités d'une personne, reconnaissance des émotions sur le lieu de travail ou dans l'enseignement, moissonnage non ciblé d'images faciales. Ce sont ces manquements qui exposent au plafond le plus élevé.

La littératie en IA ensuite, prévue à l'article 4. Toute organisation qui fournit ou utilise des systèmes d'IA doit garantir un niveau de compétence suffisant chez les personnes qui les manipulent. L'exigence est peu spectaculaire, mais elle est en vigueur, elle s'applique à tout le monde, et elle se démontre par des traces de formation.

Enfin, depuis le 2 août 2025, les modèles d'usage général sont soumis à leurs propres obligations, qui pèsent principalement sur leurs fournisseurs.

Le calendrier complet

Êtes-vous concerné ?

Le règlement distingue deux rôles, et le second est celui qui surprend le plus.

Le fournisseur développe un système d'IA ou le met sur le marché sous son nom. Le déployeur se contente de l'utiliser dans un cadre professionnel. Une PME qui n'a jamais écrit une ligne de code d'IA est déployeur dès qu'elle utilise un assistant conversationnel pour son support client, un outil de présélection de CV ou un service d'analyse documentaire.

Le champ est également extraterritorial : un éditeur établi hors de l'Union est soumis au règlement dès lors que son système est utilisé dans l'Union.

Attention à un piège fréquent : intégrer un modèle du marché dans votre produit, puis le commercialiser sous votre marque, peut vous faire basculer du statut de déployeur à celui de fournisseur, avec les obligations correspondantes.

Par où commencer

Trois chantiers suffisent à couvrir l'échéance du 2 août 2026, et le premier conditionne les autres.

Recensez vos systèmes d'IA. La plupart des organisations en utilisent davantage qu'elles ne le croient, souvent introduits par les métiers sans passer par la DSI. Pour chacun, notez son usage, les données traitées, le fournisseur, et votre rôle de fournisseur ou de déployeur. Sans cet inventaire, aucune des étapes suivantes n'est réalisable.

Traitez la transparence. Chaque point de contact où une IA intervient face à une personne doit le signaler. Un agent conversationnel, un email généré, un contenu publié : le message peut être bref, il doit être présent.

Formez les utilisateurs. L'obligation de littératie est déjà exigible et se satisfait d'une sensibilisation proportionnée, dès lors qu'elle laisse une trace : émargements, support utilisé, date.

ISO 42001, le cadre pour structurer la réponse

L'ISO/IEC 42001:2023 est la première norme certifiable dédiée au management de l'intelligence artificielle. Elle définit un système de management de l'IA sur le même modèle que l'ISO 27001 pour la sécurité de l'information : politique, analyse de risques, rôles, contrôles, audits internes, revue de direction, amélioration continue.

Elle n'est pas obligatoire et ne vaut pas présomption de conformité à l'AI Act. Son intérêt est ailleurs : elle fournit une méthode éprouvée là où le règlement se contente d'énoncer des exigences, et elle produit les preuves qu'une autorité ou un client demandera.

Pour une organisation déjà certifiée ISO 27001, l'effort marginal est réduit : les deux normes partagent la structure commune des normes de management, ce qui permet de mutualiser gouvernance, appréciation des risques et audits. La même logique vaut d'ailleurs pour NIS2.

En résumé

Le report ne concerne que les systèmes à haut risque, décalés à décembre 2027 et août 2028. Le 2 août 2026 rend applicables les obligations de transparence et ouvre le pouvoir de sanction, pour toutes les entreprises qui fournissent ou utilisent de l'IA. Les pratiques interdites et l'obligation de formation, elles, sont exigibles depuis février 2025.

Le délai supplémentaire accordé au haut risque est une occasion de préparer sérieusement le dossier, pas de le refermer.

Vous voulez savoir où vous en êtes avant l'échéance, et si l'un de vos usages relève du haut risque ? Échangez 30 minutes avec Cyber-Estuaire, consultant en cybersécurité et gouvernance basé à Nantes.