AI Act : Obligations reportées, maintenues et applicables

Le règlement Digital Omnibus (UE 2026/1744), en vigueur depuis le 27 juillet 2026, reporte les obligations haut risque de l’AI Act du 2 août 2026 au 2 décembre 2027. La littératie IA (article 4), le cadre officiel des modèles d’IA à usage général (GPAI pour General-Purpose AI), les sanctions et les obligations de transparence, eux, sont restées à leur date d’origine du 2 août 2026.

Vous avez calé un audit sur le 2 août 2026. Il ne sert plus à rien tel quel. Ou presque.C’est le piège de ce report : il touche une partie du calendrier, pas tout. Et la partie qu’il ne touche pas est celle que la plupart des entreprises ont oubliée.

Genèse : pourquoi le calendrier a bougé

Le 19 novembre 2025, la Commission européenne propose un paquet de simplification pour l’AI Act, alors que la mise en application des obligations haut risque reste fixée au 2 août 2026, comme prévu depuis l’origine du texte. Huit mois de négociation plus tard, le texte est adopté : accord politique le 7 mai 2026, validation du Parlement le 16 juin, du Conseil le 29 juin, publication au Journal officiel le 24 juillet, entrée en vigueur le 27 juillet 2026.

Trois raisons documentées expliquent ce report.

Le rapport Draghi En septembre 2024, l’ancien président de la BCE remet à la Commission un diagnostic sur la compétitivité européenne, pointant la charge réglementaire comme un frein. C’est le déclencheur cité par plusieurs sources du dossier.

Un mouvement de simplification plus large Depuis février 2025, la Commission a lancé une dizaine de paquets « Omnibus » dans plusieurs domaines : durabilité, agriculture, PME, numérique, défense. L’IA n’est pas un cas isolé, c’est une déclinaison de cette politique.

Des normes techniques pas prêtes Les normes harmonisées CEN-CENELEC, censées donner un cadre pratique de mise en conformité, n’étaient pas finalisées à l’approche du 2 août 2026. Faire entrer en application les obligations haut risque sans ce référentiel aurait laissé les entreprises sans repère opérationnel clair.

Résultat : un report ciblé, pas une remise à plat.

Ce qui ne bouge pas (et que presque personne ne vérifie)

La transparence (article 50) Chatbot, contenu synthétique, système de reconnaissance d’émotion : les obligations de l’article 50 sont restées fixées au 2 août 2026, comme prévu à l’origine.

Ce qui devrait déjà être en place

La littératie IA L’article 4 impose une obligation de former les équipes qui utilisent des outils d’IA depuis dix-huit mois déjà (2 février 2025). Les sanctions et contrôles nationaux, eux, s’appliquent depuis le 2 août 2026.

Le GPAI Si votre produit intègre ChatGPT, Claude, Gemini ou tout autre modèle à usage général, les obligations correspondantes Article 53 : Obligations des fournisseurs de modèles d’IA à usage général ; s’appliquent depuis le 2 août 2025. Le Digital Omnibus n’y touche pas.

Roadmap règlementaire AI Act : avant/après Digital Omnibus

Obligation	Avant le Digital Omnibus	Après le Digital Omnibus
Haut risque, annexe III (RH, crédit, éducation, justice, biométrie)	2 août 2026	2 décembre 2027 (dans un 1 et demi)
IA intégrée dans des produits réglementés, annexe I	2 août 2027	2 août 2028 (dans 2 ans)
Marquage des contenus IA (systèmes déjà commercialisés)	2 août 2026	2 décembre 2026 (dans 4 mois)
Interdiction « nudification » et CSAM génératif	non fixée	2 décembre 2026
Littératie IA, article 4	2 février 2025	Échue
GPAI (modèles à usage général)	2 août 2025	Échue
Transparence, article 50	2 août 2026	Échue
Sanctions et contrôles nationaux	2 août 2026	Échue

Des cabinets et médias spécialisés évoquent la possibilité d’un nouveau report en 2027, lié à l’avancement des normes harmonisées CEN-CENELEC. C’est une hypothèse de commentateurs, pas une décision officielle. À surveiller, pas à anticiper comme acquis.

En revanche, un système lancé après le 2 août 2026 n’a droit à aucun sursis sur le marquage des contenus. Le délai jusqu’à décembre ne concerne que ce qui était déjà sur le marché avant cette date.

Sanctions

L’AI Office peut notamment procéder à des évaluations de modèles et demander des informations aux fournisseurs de modèles généralistes. Le montant maximal n’a pas changé : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé. Des plafonds réduits existent pour les PME selon la nature du manquement.

FAQ

C’est quoi l’IA Act ? L’AI Act (ou règlement sur l’intelligence artificielle) est le premier cadre juridique complet au monde adopté par l’Union européenne pour encadrer le développement, la mise sur le marché et l’utilisation des systèmes d’intelligence artificielle. Son but est de garantir une IA sûre, éthique et respectueuse des droits fondamentaux.

Une TPE ou une PME est-elle concernée, ou seulement les grandes entreprises ?  Oui, dès qu’un système d’IA entre dans le champ du règlement, la taille de l’entreprise ne change rien à l’application des obligations. Le Digital Omnibus a par ailleurs étendu certaines facilités déjà prévues pour les PME (bacs à sable réglementaires, accompagnement national, allègement documentaire) aux entreprises de moins de 750 salariés.

Qu’est-ce qui reste dû au 2 août 2026 ?  Les obligations de transparence de l’article 50, les pouvoirs de contrôle et de sanction des autorités nationales, et les sanctions liées à l’article 4.

Le « shadow IA » (outils IA utilisés par les salariés sans validation officielle) est-il concerné ?  Oui. Le règlement ne fait pas de distinction entre un outil officiellement déployé par l’entreprise et un usage informel par les équipes. Dès qu’un système d’IA est utilisé dans un cadre professionnel, les obligations s’appliquent, y compris celles de l’article 4 sur la littératie IA.

Un déployeur (qui utilise un outil IA tiers) peut-il devenir « fournisseur » et hériter d’obligations plus lourdes ? Oui, dans certains cas prévus par le règlement : modification substantielle du système reçu, changement de l’usage prévu initial, commercialisation du système sous sa propre marque, ou intégration d’un système à risque limité dans un usage à haut risque. Cette requalification fait basculer l’entreprise vers les obligations les plus lourdes du texte.

Qui peut réaliser un audit de conformité AI Act ? L’AI Act ne réserve pas légalement l’audit de conformité à une profession donnée. Seule exception : pour certains systèmes à haut risque, le règlement impose une évaluation de conformité par un « organisme notifié », un tiers accrédité au sens du texte. En dehors de ce cas précis, l’audit relève d’un marché de conseil libre où interviennent des cabinets d’avocats spécialisés en droit du numérique, sur les aspects juridiques (marquage CE, contrats fournisseurs, conformité réglementaire), et des ESN ou cabinets de conseil en gouvernance IA, sur le volet technique (cartographie des systèmes, gap analysis, documentation). L’analyse d’impact sur les droits fondamentaux (FRIA) ne concerne pas toutes les entreprises : elle s’impose aux organismes publics et à certains déployeurs privés dans des secteurs précis, comme la banque ou l’assurance.

Comment choisir un partenaire IA en toute sécurité ? Pour sélectionner un partenaire IA (fournisseur de modèles, API ou intégrateur) en toute sécurité, vous devez évaluer deux piliers essentiels :

La confidentialité et la propriété des données

• Usage des données : Assurez-vous contractuellement que le partenaire n’utilise pas vos données d’entrée ou de sortie pour réentraîner ses modèles publics.
• Hébergement : Vérifiez la localisation des serveurs. Pour respecter le RGPD et limiter les risques juridiques (ex. Cloud Act), privilégiez un hébergement en Europe ou sur un cloud en France, RGPD.
• Chiffrement : Les données doivent être chiffrées en transit (TLS 1.3) et au repos (AES-256).

La fiabilité technique (SLA)

Assurez-vous que le partenaire garantit une disponibilité minimale (ex. SLA de 99,9 %), une gestion stricte des clés d’accès (RBAC) et un journal de traçabilité des accès (logs).

Combien vous coûte aujourd’hui le fait de ne pas savoir précisément où vous en êtes sur l’AI Act ? Pas en amende, en heures perdues à refaire un audit dans l’urgence, en contrat bloqué parce qu’un client enterprise vous demande une preuve de conformité que vous n’avez pas. Cette dette AI Act, c’est le coût cumulé des obligations non traitées : littératie IA, transparence, marquage. Contactez-nous, on vous dit où se situe l’écart, et comment le combler avec un diagnostic de conformité et un plan de formation pour vos équipes.