Le 2 août 2026 est passé. Dans beaucoup de comités de direction français, cette date avait été entourée en rouge pendant deux ans, avant d'être rayée au printemps quand le paquet Digital Omnibus a repoussé les obligations les plus lourdes du règlement. Les deux réflexes se trompent de cible. Une partie de l'AI Act s'applique depuis samedi, et elle touche précisément les systèmes que les entreprises ont mis en service le plus vite : les interfaces conversationnelles et les contenus générés.

L'AI Act (règlement UE 2024/1689) est le premier cadre contraignant au monde sur l'intelligence artificielle. Il classe les systèmes par niveau de risque et attache à chaque niveau des obligations distinctes. Depuis le 2 août 2026, ses règles de transparence s'appliquent : toute entreprise qui expose ses clients ou ses salariés à une IA doit le leur dire.

Le tri entre les deux mérite dix minutes en comité de direction, avant la rentrée.

Qu'est-ce qui s'applique depuis le 2 août 2026 ?

Depuis le 2 août 2026, l'article 50 de l'AI Act impose quatre obligations de transparence : informer l'utilisateur qu'il parle à une IA, marquer les contenus synthétiques dans un format lisible par machine, signaler les contenus manipulés, et prévenir les personnes soumises à une reconnaissance des émotions.

Le détail compte, parce que la charge ne pèse pas toujours sur le même acteur de la chaîne :

  1. Interaction directe avec une IA. Le fournisseur du système doit garantir que la personne sait qu'elle s'adresse à une machine, sauf si la situation le rend évident pour un utilisateur normalement informé. En clair : tout agent conversationnel exposé à un client, à un candidat ou à un salarié.
  2. Contenus synthétiques. Le fournisseur doit marquer les sorties audio, image, vidéo et texte dans un format lisible par machine, avec une solution robuste et interopérable. Un délai supplémentaire court jusqu'au 2 décembre 2026 pour les systèmes déjà en service.
  3. Contenus manipulés et textes d'intérêt public. Ici, c'est l'entreprise qui déploie le système qui doit signaler qu'un contenu a été généré ou modifié artificiellement. Une exception tient à la relecture : un texte passé sous contrôle éditorial humain sort du périmètre.
  4. Reconnaissance des émotions et catégorisation biométrique. Le déployeur informe les personnes exposées et reste par ailleurs soumis au RGPD.

Le règlement précise que l'information doit être donnée de façon claire et distincte, au plus tard au moment du premier contact. Une ligne enfouie dans des conditions générales ne remplit pas cette condition, et une bannière affichée après trois échanges avec l'agent non plus.

Que doit afficher un chatbot client depuis le 2 août ?

C'est la question la plus fréquente, parce que c'est le cas le plus répandu. Un agent conversationnel en relation client doit annoncer sa nature au premier écran, dans un libellé compréhensible par la personne qui le lit. Le règlement n'impose pas de formulation type, ce qui laisse une marge réelle sur le ton et sur le placement.

Ce qui sépare une mention qui tient d'une mention cosmétique se joue surtout sur la visibilité : le message doit être lu avant le premier échange, pas au survol d'une icône. Un utilisateur qui revient une semaine plus tard doit aussi le retrouver.

Puis vient la partie que les équipes traitent rarement, et c'est celle qu'un régulateur peut réellement tester : la preuve. Être capable de démontrer, six mois après un incident, ce qui était affiché à telle date et pour quelle version du système déployé. Cela suppose de versionner les libellés au même titre que le code, ce que peu d'équipes produit font aujourd'hui.

Le même raisonnement vaut pour les usages internes. Un assistant qui pré-trie des candidatures ou qui répond aux questions RH des salariés entre dans le périmètre, même sans exposition publique.

Le haut risque a-t-il vraiment été reporté ?

Oui, et c'est la source de la confusion ambiante. Le paquet Digital Omnibus décale les obligations des systèmes à haut risque autonomes de l'annexe III, qui couvre le recrutement, le scoring de crédit, l'éducation, la biométrie et le contrôle aux frontières, du 2 août 2026 au 2 décembre 2027. Les systèmes d'IA intégrés à des produits déjà réglementés, listés à l'annexe I (dispositifs médicaux, machines, véhicules), passent du 2 août 2027 au 2 août 2028. Le texte resserre aussi la qualification de haut risque pour certaines fonctions d'assistance sans lien avec la sécurité.

En revanche, ni les obligations de transparence, ni le régime de sanctions, ni l'architecture de surveillance n'ont été touchés. Le règlement prévoit des amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les manquements les plus graves. En France, la CNIL est l'autorité de référence sur le sujet.

Que faire des seize mois de sursis sur le haut risque ?

La tentation est connue : ranger le dossier et le rouvrir à l'automne 2027. Trois mesures publiques expliquent pourquoi ce calcul revient cher.

Selon Deloitte (2025), 21 % des entreprises qui déploient des agents IA disposent d'une gouvernance mature. Selon le MIT (2025), 95 % des pilotes d'IA générative n'atteignent jamais de retour mesurable sur le compte de résultat. Selon S&P Global (2025), 46 % des preuves de concept sont abandonnées avant d'arriver en production. Ces trois chiffres décrivent le même angle mort : les organisations savent lancer des systèmes, beaucoup moins les tenir dans la durée.

Or la conformité au haut risque ne se fabrique pas en un trimestre. Elle suppose un inventaire des systèmes, une classification défendable devant un tiers, une documentation technique, un dispositif de supervision humaine, une journalisation exploitable et des revues périodiques. Chacune de ces briques se construit sur des systèmes qui tournent déjà, avec des équipes qui ont d'autres priorités inscrites à leur feuille de route. Le sursis déplace donc la charge vers un calendrier plus serré, au moment où ces mêmes équipes absorberont la vague suivante de déploiements.

Le calcul raisonnable tient en une phrase : traiter la transparence maintenant, puisqu'elle est exigible, et employer les mois gagnés à cartographier l'existant.

Comment savoir si votre entreprise est concernée ?

Cinq questions suffisent à cadrer un premier tour de table.

Une entreprise qui répond à ces cinq questions en séance connaît sa position. Une entreprise qui doit lancer une enquête interne pour y répondre la connaît aussi. Le diagnostic de maturité IA couvre ce périmètre en quelques minutes et situe le niveau de gouvernance atteint, dimension agentique comprise.

Qui doit porter la conformité AI Act en interne ?

La réponse par défaut désigne la direction juridique ou le DPO. Elle produit des dossiers propres sur le papier et des systèmes exposés en production, parce que les décisions qui créent le risque se prennent ailleurs : dans le choix d'un modèle, dans le périmètre d'action accordé à un agent, dans l'arbitrage entre automatisation complète et validation humaine.

Le sujet mobilise donc trois fonctions au minimum. Une direction juridique ou conformité qui qualifie les systèmes. Une DSI qui documente, journalise et sait rejouer une décision. Une direction métier qui assume ses cas d'usage et les arbitrages associés. La gouvernance consiste précisément à écrire qui tranche quoi, ce qu'un agent peut faire seul, ce qui repasse par un humain, et comment retrouver cette décision dans les logs six mois plus tard. C'est le principe de la méthodologie LOOP™, et c'est aussi, formulée autrement, la documentation que l'AI Act finit par exiger.

Pour le calendrier complet par niveau de risque et le détail des obligations attachées aux systèmes à haut risque, notre page conformité AI Act en entreprise reprend l'ensemble des échéances.

Ce que le 2 août 2026 change vraiment

Aucune vague de contrôles n'a suivi la date, et il ne fallait pas s'y attendre. Ce que le 2 août a changé, c'est le statut de la partie du règlement que les clients voient directement, au moment précis où les entreprises multiplient les agents conversationnels. Un chatbot de service client qui ne s'annonce pas comme une IA relève désormais du manquement réglementaire, quand il relevait hier de l'arbitrage d'expérience utilisateur. Le reste du calendrier laisse de la marge, à condition de commencer par savoir ce qui tourne.