Deux dates circulent dans les comités de direction, et elles racontent des histoires opposées. Le 2 août 2026, une partie de l'AI Act est devenue exigible. Le 2 décembre 2027, une autre partie le deviendra, après avoir été repoussée par le paquet Digital Omnibus. Beaucoup d'équipes ont retenu le report et rangé le dossier entier avec.

L'AI Act (règlement UE 2024/1689) est le premier cadre contraignant au monde sur l'intelligence artificielle. Il classe les systèmes par niveau de risque et attache à chaque niveau des obligations distinctes. Le volet IA du paquet Digital Omnibus, règlement (UE) 2026/1744 entré en vigueur le 27 juillet 2026, en réaménage le calendrier et modifie plusieurs dispositions de fond.

Distinguer ce que l'Omnibus a déplacé de ce qu'il a laissé en l'état prend dix minutes en séance, et évite deux erreurs symétriques : mobiliser des équipes sur une échéance qui a glissé, ou ignorer une obligation déjà applicable.

Qu'est-ce qui s'applique depuis le 2 août 2026 ?

Depuis le 2 août 2026, l'article 50 de l'AI Act impose quatre obligations de transparence : informer l'utilisateur qu'il parle à une IA, marquer les contenus synthétiques dans un format lisible par machine, signaler les contenus manipulés, et prévenir les personnes soumises à une reconnaissance des émotions.

Qui porte chaque obligation de transparence

Le détail compte, parce que la charge ne pèse pas toujours sur le même acteur de la chaîne :

  1. Interaction directe avec une IA. Le fournisseur du système doit garantir que la personne sait qu'elle s'adresse à une machine, sauf si la situation le rend évident pour un utilisateur normalement informé. En clair : tout agent conversationnel exposé à un client, à un candidat ou à un salarié.
  2. Contenus synthétiques. Le fournisseur doit marquer les sorties audio, image, vidéo et texte dans un format lisible par machine, avec une solution technique efficace et interopérable. Les systèmes mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour s'y conformer.
  3. Contenus manipulés et textes d'intérêt public. Ici, c'est l'entreprise qui déploie le système qui doit signaler qu'un contenu a été généré ou modifié artificiellement. Une exception tient à la relecture : un texte passé sous contrôle éditorial humain, dont une personne assume la responsabilité de publication, sort du périmètre. Les contenus produits avant le 2 août 2026 n'ont pas à être étiquetés rétroactivement.
  4. Reconnaissance des émotions et catégorisation biométrique. Le déployeur informe les personnes exposées et reste par ailleurs soumis au RGPD.

Le règlement précise que l'information doit être donnée de façon claire et distincte, au plus tard au moment du premier contact. Une ligne enfouie dans des conditions générales ne remplit pas cette condition, et une bannière affichée après trois échanges avec l'agent non plus.

Ce que l'Omnibus a modifié dans l'article 50

L'Omnibus a laissé intact le contenu de ces obligations et retouché l'article 50 à deux endroits. Le paragraphe 7 est réécrit : la Commission, après avis du Comité IA, évalue si l'adhésion aux codes de bonnes pratiques suffit pour le marquage (paragraphe 2) et l'étiquetage (paragraphe 4), et peut imposer des règles communes si un code est jugé insuffisant. Un paragraphe 4 ajouté à l'article 111 crée le délai au 2 décembre 2026, réservé aux fournisseurs de systèmes génératifs déjà sur le marché. Le reste de l'article 50 s'applique depuis le 2 août 2026, sans sursis.

Que doit afficher un chatbot client ?

La question se pose dès qu'une entreprise expose un agent à ses clients. Un agent conversationnel en relation client doit annoncer sa nature au premier écran, dans un libellé compréhensible par la personne qui le lit.

Le code de bonnes pratiques et les lignes directrices de la Commission

Le règlement lui-même ne fixe pas de libellé type. La Commission a publié le 10 juin 2026 la version finale d'un code de bonnes pratiques sur le marquage et l'étiquetage des contenus générés par IA, puis des lignes directrices sur la transparence le 20 juillet 2026. L'adhésion au code reste volontaire, et l'avis d'adéquation du 9 juillet en fait la voie reconnue pour les paragraphes 2, 4 et 5 de l'article 50 (marquage, étiquetage, modalités de l'information), avec une réserve de la Commission : l'adhésion ne vaut pas preuve concluante de conformité. Pour l'annonce faite par un chatbot, ce sont surtout les lignes directrices qui précisent qui est tenu à quoi.

Le code sépare deux volets. Côté fournisseur : un marquage en plusieurs couches, la préservation des marques déjà présentes dans les données d'entrée, la détectabilité des sorties. Côté déployeur : l'étiquetage des hypertrucages et de certains textes, avec des icônes européennes facultatives qui, si on les retient, doivent être visibles dès la première exposition et intégrées au contenu. Une entreprise peut choisir une autre route, à charge pour elle de démontrer que ses mesures atteignent le même résultat.

Ce qu'une mention conforme doit garantir

La visibilité compte d'abord : le message doit être lu avant le premier échange, limite fixée par l'article 50. D'après les lignes directrices du 20 juillet 2026 (point 40), une notification unique et visible suffit en général, mais des rappels seront probablement nécessaires dans les contextes plus risqués (notamment personnes vulnérables, interactions prolongées ou immersives, conseil financier ou de santé, réclamations). Un chatbot chargé des réclamations devrait donc rappeler sa nature au fil de l'échange.

En pratique, l'équipe produit fixe le libellé, son emplacement en tête de conversation, le cas échéant la fréquence des rappels et, sur le canal vocal, une annonce en début d'appel. L'information doit aussi respecter les exigences d'accessibilité.

Reste la preuve, qu'une autorité peut tester : démontrer, six mois après un incident, ce qui était affiché à telle date et pour quelle version du système. Cela suppose de versionner les libellés au même titre que le code.

Les assistants internes entrent aussi dans le périmètre

Le même raisonnement vaut pour les usages internes. Un assistant qui échange avec les candidats ou qui répond aux questions RH des salariés entre dans le périmètre, même sans exposition publique. Un outil qui pré-trie des CV pour les recruteurs relève, lui, du recrutement visé à l'annexe III, donc du haut risque dès décembre 2027.

Le haut risque a-t-il vraiment été reporté ?

Oui, et c'est la source de la confusion ambiante. Le paquet Digital Omnibus décale les obligations des systèmes à haut risque autonomes de l'annexe III, qui couvre le recrutement, le scoring de crédit, l'éducation, la biométrie et le contrôle aux frontières, du 2 août 2026 au 2 décembre 2027. Les systèmes d'IA intégrés à des produits déjà réglementés, listés à l'annexe I (dispositifs médicaux, jouets, ascenseurs, équipements radio), passent du 2 août 2027 au 2 août 2028. Le texte resserre aussi la qualification de haut risque pour certaines fonctions d'assistance sans lien avec la sécurité.

Ce que l'Omnibus ajoute ou renforce

L'architecture de surveillance ressort renforcée du paquet. Le Bureau de l'IA de l'UE peut désormais demander des informations, inspecter, constater une non-conformité et infliger des amendes, pour les systèmes bâtis sur un modèle d'IA à usage général par le même fournisseur et pour ceux intégrés aux très grandes plateformes en ligne. L'Omnibus ajoute aussi à l'article 5 deux pratiques interdites, la génération d'images intimes d'une personne identifiable sans son consentement et celle de contenus pédocriminels, applicables au 2 décembre 2026. Il repousse en revanche au 2 août 2027 l'obligation faite à chaque État membre de disposer d'un bac à sable réglementaire opérationnel.

Une partie du texte allège la charge. L'obligation de maîtrise de l'IA de l'article 4, en vigueur depuis février 2025, demande désormais aux fournisseurs et aux déployeurs de soutenir la montée en compétences de leurs équipes, sans exiger qu'ils garantissent un niveau donné. Le formulaire simplifié de documentation technique, déjà prévu pour les PME, est étendu aux petites entreprises de taille intermédiaire (SMC).

Les plafonds d'amende prévus par l'AI Act

Le régime de sanctions est progressif, et l'Omnibus en a conservé les montants. Les pratiques interdites de l'article 5 exposent à des amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel. Un manquement à l'article 50 relève du palier suivant : 15 millions d'euros ou 3 %. La fourniture d'informations erronées aux autorités plafonne à 7,5 millions d'euros ou 1 %. Pour les SMC, les deux derniers paliers retiennent désormais le plus bas des deux plafonds, règle que les PME appliquaient déjà.

Les autorités de contrôle en France

Reste à savoir qui prononce ces sanctions. En France, la désignation des autorités compétentes au titre de l'article 70 n'est pas achevée. Le véhicule prévu, le volet numérique du projet de loi DDADUE, adopté en première lecture au Sénat le 18 février 2026, était encore en commission à l'Assemblée nationale à la mi-septembre 2026. Dans le schéma présenté par la DGCCRF et la DGE, consacré en première lecture, la surveillance se répartirait entre une quinzaine d'autorités sectorielles, la DGCCRF tenant le point de contact unique prévu par l'article 70 et la CNIL un rôle de pivot sur les traitements de données et la biométrie.

La liste des points de contact tenue par la Commission, mise à jour le 7 septembre 2026, range d'ailleurs la France, comme l'Allemagne ou l'Espagne, parmi les États dont la désignation attend encore son adoption définitive. Tant que le texte n'est pas promulgué, une entreprise qui cherche son interlocuteur de référence n'en a pas un seul.

Que faire du sursis obtenu sur le haut risque ?

La tentation est connue : ranger le dossier et le rouvrir à l'automne 2027. Ce calcul revient cher, et les travaux publiés sur les projets d'IA en production disent pourquoi.

Ce que les études publiques disent de la tenue des systèmes d'IA

Selon Deloitte (State of AI in the Enterprise, édition 2026), 21 % des entreprises ont une gouvernance mature de leurs agents. Selon le MIT (2025), 95 % des pilotes d'IA générative restent sans effet mesurable sur le compte de résultat. Selon S&P Global (2025), 46 % des preuves de concept d'IA sont abandonnées avant la production. Gartner (2025) anticipe pour sa part l'annulation de plus de 40 % des projets d'IA agentique d'ici fin 2027. Ces chiffres désignent le même angle mort : les organisations savent lancer des systèmes, beaucoup moins les tenir dans la durée.

Les briques d'une conformité haut risque

Or la conformité au haut risque ne se fabrique pas en un trimestre. Elle suppose un inventaire des systèmes, une classification défendable devant un tiers, une documentation technique, un dispositif de supervision humaine, une journalisation exploitable et des revues périodiques. Chacune de ces briques se construit sur des systèmes qui tournent déjà, avec des équipes qui ont d'autres priorités inscrites à leur feuille de route. Le sursis déplace donc la charge vers un calendrier plus serré, au moment où ces mêmes équipes absorberont la vague suivante de déploiements.

Chaque brique renvoie à un article du règlement : gestion des risques (article 9), documentation technique (article 11), journalisation (article 12), contrôle humain (article 14) et, pour l'entreprise utilisatrice, obligations des déployeurs (article 26). Dans une direction des ressources humaines, par exemple, un outil de tri de CV classé à haut risque suppose de retrouver, pour chaque candidature écartée, la version du modèle, les critères appliqués et la personne qui a validé la recommandation. Une norme de management comme ISO 42001 donne à cette preuve une charpente durable, là où le règlement fixe des exigences sans imposer de format.

Il reste à traiter la transparence maintenant, puisqu'elle est exigible, et à employer les mois gagnés à cartographier l'existant.

Comment savoir si votre entreprise est concernée ?

Un premier tour de table peut partir des questions suivantes, qui ne demandent aucune expertise juridique :

Si ces réponses s'obtiennent en une séance, l'inventaire existe déjà. S'il faut une enquête interne, c'est par cet inventaire que le travail commence. Le diagnostic de maturité IA couvre ce périmètre en quelques minutes et situe le niveau de gouvernance atteint, dimension agentique comprise.

Qui doit porter la conformité AI Act en interne ?

La réponse par défaut désigne la direction juridique ou le DPO. Elle produit des dossiers propres sur le papier et des systèmes exposés en production, parce que les décisions qui créent le risque se prennent ailleurs : dans le choix d'un modèle, dans le périmètre d'action accordé à un agent, dans l'arbitrage entre automatisation complète et validation humaine.

Les fonctions à mobiliser en interne

Le sujet mobilise au minimum la direction juridique ou conformité, qui qualifie les systèmes, la DSI, qui documente, journalise et sait rejouer une décision, et la direction métier, qui assume ses cas d'usage et les arbitrages associés. La gouvernance consiste précisément à écrire qui tranche quoi, ce qu'un agent peut faire seul, ce qui repasse par un humain, et comment retrouver cette décision dans les logs six mois plus tard. C'est le principe de la méthodologie LOOP™, et c'est aussi, formulée autrement, la documentation que l'AI Act finit par exiger.

Dans LOOP™, cette répartition se règle action par action : en zone verte, l'agent agit seul et tout est tracé ; en zone orange, un humain désigné valide avant exécution ; en zone rouge, l'agent s'arrête et alerte le responsable, qui décide sous 4 heures ; en zone noire, l'action est bloquée et le RSSI alerté.

Pour une ETI sans ressource IA dédiée, ce pilotage peut être confié à un Chief AI Officer externalisé, gouvernance LOOP™ intégrée.

Le calendrier complet par niveau de risque et les obligations du haut risque sont détaillés sur notre page conformité AI Act en entreprise.

Ce que le report ne couvre pas

Le Digital Omnibus a déplacé le calendrier du haut risque, resserré la qualification de certaines fonctions d'assistance, ajouté deux interdictions à l'article 5 et élargi les pouvoirs du Bureau de l'IA. Sur la transparence, il s'en est tenu à quatre mois de délai pour le marquage des systèmes génératifs déjà sur le marché. Un agent conversationnel qui ne s'annonce pas comme une IA est en manquement depuis le 2 août 2026, sur une des rares parties du règlement qu'un client peut vérifier lui-même. Le reste du calendrier laisse de la marge, à condition de commencer par savoir ce qui tourne.

Les autres analyses réglementaires du blog sont regroupées dans la rubrique gouvernance et conformité IA.