Le Digital Omnibus validé fin juin a redistribué le calendrier. La transparence de l'article 50 s'applique bien au 2 août 2026, mais les obligations haut risque de l'annexe III glissent à décembre 2027.
Le 2 août 2026 ne sera pas le grand soir de l'AI Act
Pendant deux ans, cette date a circulé comme le moment où le règlement européen sur l'intelligence artificielle basculerait en application pleine et entière. Ce ne sera pas le cas.
Le texte qui a rebattu les cartes s'appelle le règlement (UE) 2026/1744 du 8 juillet 2026, dit Digital Omnibus sur l'IA. Le Parlement européen l'avait adopté le 16 juin par 423 voix pour, 57 contre et 174 abstentions, le Conseil de l'Union avait donné son feu vert final le 29 juin. Il a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet, trois jours plus tard. Le législateur a prévu cette entrée en vigueur en urgence précisément parce que l'échéance du 2 août approchait.
Conséquence : une partie des obligations que vous avez peut-être commencé à préparer vient de glisser de seize mois. Une autre partie s'applique bel et bien au 2 août. Et un point précis a été durci. Faire le tri, c'est tout l'objet de cet article.
J'ai publié en avril un article sur l'AI Act qui reflétait le calendrier de l'époque. Il est aujourd'hui dépassé sur son point central. Celui-ci le remplace.
Ce que le Digital Omnibus a réellement déplacé
Le paquet ne touche ni à l'architecture du règlement, ni à sa logique de classement par niveau de risque, ni aux pratiques interdites depuis février 2025. Il déplace des dates, sur un périmètre précis. Au passage, il modifie aussi deux textes sectoriels : le règlement sur l'aviation civile et celui sur les machines, signe que l'IA s'entrelace désormais avec la sécurité des produits.
Systèmes à haut risque de l'annexe III. Recrutement, éducation, scoring de crédit, biométrie, infrastructures critiques, accès aux services essentiels. Ces obligations devaient s'appliquer au 2 août 2026 : elles passent au 2 décembre 2027.
IA intégrée à des produits déjà réglementés (annexe I). Dispositifs médicaux, machines, jouets connectés, véhicules. L'échéance glisse au 2 août 2028.
Bacs à sable réglementaires. L'obligation faite à chaque État membre d'en ouvrir un est repoussée au 2 août 2027.
La justification est assez terre-à-terre : les normes harmonisées attendues du CEN-CENELEC ne sont pas finalisées. Il est difficile d'exiger une conformité dont le référentiel technique n'existe pas encore.
Deux lectures fausses circulent en ce moment, et elles se trompent dans des directions opposées. La première titre que tout est reporté et range le dossier jusqu'en 2027. La seconde agite les 35 millions d'euros d'amende sans préciser ce qui déclenche réellement une sanction. Ni l'une ni l'autre ne vous aide à décider quoi faire cette semaine.
Ce qui a été durci
Le Digital Omnibus n'est pas qu'un assouplissement, et c'est le point que la plupart des articles ont manqué.
Le marquage des contenus générés par IA arrive plus tôt. Le délai de grâce prévu pour se conformer à cette obligation passe de six à trois mois. L'échéance tombe donc au 2 décembre 2026. Si vous produisez des visuels ou des textes avec de l'IA et que vous les diffusez, c'est la date à noter.
De nouvelles interdictions. Un nouvel article 5 prohibe les systèmes conçus pour générer ou manipuler des images intimes non consenties, ainsi que le matériel d'abus sexuel sur mineurs. Cette disposition ne figurait pas dans la proposition initiale de la Commission.
Les allégements s'élargissent. Les simplifications prévues pour les petites structures sont étendues aux entreprises de taille intermédiaire.
Ce qui reste dû au 2 août 2026
L'article 50 : dire que c'est une IA
C'est le point qui concerne le plus grand nombre d'entreprises, et il n'a pas bougé d'un jour.
À partir du 2 août 2026, une personne qui interagit avec un système d'IA doit en être informée dès le début de l'échange, sauf lorsque c'est manifestement évident au regard du contexte. Cela vise les chatbots, les assistants conversationnels et les agents installés sur un site ou dans un service client.
Le règlement distingue deux rôles. Le fournisseur développe le système ou le met sur le marché sous son nom. Le déployeur l'utilise sous sa propre autorité dans un cadre professionnel. Si vous installez un chatbot édité par un tiers sur votre site, vous êtes déployeur, et une partie des obligations d'information vous revient malgré tout.
Les pouvoirs de contrôle et de sanction
À compter du 2 août 2026, les autorités nationales peuvent contrôler et sanctionner, et la Commission peut infliger des amendes sur les manquements liés aux modèles à usage général.
Un détail que beaucoup manquent : la désignation définitive de l'autorité de contrôle française traîne encore. Cela ne suspend rien. Les obligations ne dépendent pas de ce calendrier national.
L'obligation de maîtrise de l'IA
L'article 4 impose aux organisations d'assurer un niveau suffisant de compétence chez les personnes qui conçoivent ou utilisent des systèmes d'IA, pour qu'elles en comprennent les usages et les limites. Il est applicable depuis février 2025, mais devient contrôlable à partir du 2 août 2026.
En pratique, cela signifie garder une trace : qui a été formé, à quoi, quand. Une demi-journée documentée vaut mieux qu'une culture orale.
Trois situations concrètes
Vous avez un chatbot sur votre site. Vous êtes concerné au 2 août 2026. L'information doit apparaître dès le premier message, pas dans les conditions générales. Une phrase suffit, à condition qu'elle soit lue avant l'échange et non après.
Vous publiez des visuels ou des textes générés par IA. Le marquage des contenus synthétiques s'applique, avec une échéance ramenée au 2 décembre 2026. Pour un contenu commercial classique, l'obligation technique pèse d'abord sur le fournisseur de l'outil. Pour un deepfake ou un contenu traitant d'un sujet d'intérêt public, la mention visible vous revient.
Vous triez des candidatures avec un outil automatisé. Vous relevez de l'annexe III, donc du 2 décembre 2027. Vous gagnez seize mois sur l'AI Act, mais rien sur le reste : le RGPD s'applique déjà, l'information des candidats aussi, et la consultation du CSE reste due. Le report est un délai pour structurer, pas une dispense.
Les sanctions, sans dramatisation
Les manquements à l'article 50 peuvent être sanctionnés jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Les pratiques interdites, elles, montent jusqu'à 35 millions ou 7 %.
Ces montants sont des plafonds, pas des tarifs. Et l'article 99 prévoit une protection explicite pour les petites structures et les jeunes entreprises : le montant retenu est le plus faible entre le pourcentage du chiffre d'affaires et le plafond fixe, alors que c'est le plus élevé qui s'applique aux grandes entreprises.
Le risque réel pour une petite entreprise n'est pas l'amende maximale. C'est le contrôle qui trouve un chatbot non signalé, un usage RH non documenté, et aucune trace de formation.
Par où commencer
Quatre étapes, dans cet ordre.
1. Inventorier. Listez tous les endroits où de l'IA intervient dans votre activité : chatbot, génération de contenu, tri de dossiers, assistance à la décision, outils SaaS qui en embarquent sans le dire clairement. C'est l'usage qui déclenche l'obligation, pas la taille de l'entreprise.
2. Qualifier. Pour chaque usage, déterminez votre rôle (fournisseur ou déployeur) et le niveau de risque. La quasi-totalité des usages courants relèvent du risque limité ou minimal.
3. Traiter ce qui est exigible au 2 août. Mentions de transparence et documentation de la formation. C'est court et peu coûteux.
4. Caler les deux échéances suivantes. Le 2 décembre 2026 pour le marquage des contenus. Le 2 décembre 2027 si un de vos usages relève de l'annexe III. Les seize mois gagnés servent à construire une gouvernance, pas à repousser le sujet.
Ce qui peut encore bouger
Le calendrier haut risque n'est plus une hypothèse : il est publié et en vigueur. Reste que si les normes harmonisées ne sont toujours pas prêtes à l'approche de décembre 2027, un nouveau report ciblé n'est pas à exclure. La désignation de l'autorité française reste également en suspens.
Mais aucune de ces incertitudes ne porte sur l'article 50, ni sur l'échéance de décembre 2026. C'est précisément pour cela qu'il faut traiter la transparence maintenant, et prendre le temps sur le reste.
Sources : règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l'Union européenne le 24 juillet 2026 (ELI : reg/2026/1744) ; règlement (UE) 2024/1689 (AI Act) ; communiqué du Conseil de l'Union européenne du 29 juin 2026.
Questions fréquentes
Le report de l'annexe III me dispense-t-il de tout jusqu'en 2027 ?
Non. Les obligations de transparence de l'article 50 s'appliquent au 2 août 2026, quelle que soit votre taille, et les pouvoirs de contrôle sont ouverts à cette date. Seules les obligations liées aux systèmes à haut risque glissent à décembre 2027.
Comment savoir si mon usage relève du haut risque ?
L'annexe III vise des domaines précis : recrutement, éducation, scoring de crédit, biométrie, infrastructures critiques, accès aux services essentiels. Un chatbot commercial ou de la génération de contenu n'en relèvent pas. Dans le doute, c'est la finalité qui compte, pas la technologie.
Que se passe-t-il si je ne fais rien du tout ?
Les plafonds annoncés (15 millions ou 3 % du chiffre d'affaires sur l'article 50) sont des maximums destinés aux manquements graves. L'article 99 prévoit une protection spécifique pour les petites structures. Le risque réel pour une petite entreprise est un contrôle qui ne trouve aucune trace, pas une amende record.
Le calendrier peut-il encore changer ?
Le règlement 2026/1744 est publié et en vigueur, donc le report est acquis. Un nouveau décalage sur l'annexe III reste possible si les normes harmonisées tardent, mais rien n'indique un changement sur l'article 50.
Mes fournisseurs d'outils IA sont-ils responsables à ma place ?
En partie seulement. Le marquage technique des contenus générés relève du fournisseur. L'information de vos utilisateurs, l'inventaire de vos usages et la formation de vos équipes relèvent de vous, en tant que déployeur.
