Article publié par DeepDive — dernière mise à jour : 3 août 2026

Le règlement européen sur l’intelligence artificielle, plus connu sous le nom d’AI Act (ou RIA en français), est désormais applicable pour l’essentiel depuis hier, le 2 août 2026. Sauf que « pour l’essentiel » cache un revirement de calendrier survenu il y a exactement six jours, avec un texte au nom rassurant : le Digital Omnibus. Chez DeepDive, on aime bien les textes qui portent des noms de trains — on trouve que ça inspire confiance. Faisons le point sur ce qui s’applique vraiment, ce qui a été repoussé, et surtout ce que votre entreprise devrait avoir mis en route hier soir.

L’AI Act, c’est quoi au juste (et pourquoi ce n’est pas une loi contre ChatGPT)

L’AI Act, c’est le règlement (UE) 2024/1689, publié au Journal officiel de l’Union européenne en juillet 2024 et entré en vigueur le 1er août 2024. Comme tout règlement européen, il s’applique directement dans les États membres — pas de transposition, pas de délai national, pas de porte de sortie discrète pour la France.

Son ambition affichée : réduire les risques que certains systèmes d’IA font peser sur la santé, la sécurité et les droits fondamentaux, tout en évitant que chaque État membre bricole sa propre régulation dans son coin. Un objectif à peu près aussi simple à formuler que difficile à opérationnaliser.

Contrairement à ce qu’on entend parfois en salle de café, ce n’est pas une « loi sur ChatGPT ». Le texte organise les obligations de toute la chaîne de valeur : fournisseurs qui développent ou commercialisent des systèmes et modèles, déployeurs qui les utilisent en interne, importateurs, distributeurs, et parfois mandataires établis dans l’Union. Autrement dit : si vous cliquez sur « Générer une image » dans Canva pour votre plaquette commerciale, l’AI Act vous parle aussi.

Vous êtes probablement concerné (même si vous n’y croyez pas)

L’AI Act vise les acteurs publics et privés établis dans l’Union européenne, mais aussi les entreprises situées hors UE dès lors qu’elles mettent un système ou un modèle d’IA sur le marché européen, le mettent en service dans l’UE ou l’utilisent dans l’Union. Le principe est le même que pour le RGPD : le règlement suit la donnée et l’usage, pas la nationalité de l’entreprise.

Restent hors champ : la recherche, le développement et le prototypage avant mise sur le marché, ainsi que les systèmes exclusivement destinés à des usages militaires, de défense ou de sécurité nationale. Autrement dit, votre PoC interne dort tranquille jusqu’à ce que vous décidiez de le mettre en production.

La logique du risque : quatre étages, quatre traitements

Le règlement suit une logique de proportionnalité : plus l’usage de l’IA présente un risque pour les personnes, plus les contraintes s’alourdissent. La Commission européenne distingue quatre niveaux. Point crucial : la catégorisation ne dépend pas du nom commercial de l’outil, mais de sa finalité prévue, de son contexte d’utilisation et des conséquences possibles pour les personnes concernées. Le même modèle peut donc être « risque limité » chez vous et « haut risque » chez le voisin.

Les pratiques interdites : ce que vous ne devriez déjà plus faire

Depuis le 2 février 2025, les règles générales du règlement, les interdictions de pratiques d’IA inacceptables et l’exigence de littératie en IA (article 4) sont applicables. Depuis hier, la supervision de cette obligation de formation par les autorités nationales a commencé. Il est donc un peu tard pour découvrir le sujet en même temps que votre premier contrôle.

Le catalogue des pratiques désormais interdites mérite d’être lu par les équipes qui « testent des trucs » sans en parler à la DSI :

• La notation sociale de personnes physiques, à des fins publiques ou privées.
• Les techniques subliminales, manipulatrices ou exploitant les vulnérabilités d’une personne lorsqu’elles peuvent causer un préjudice significatif.
• Le profilage servant uniquement à prédire qu’une personne commettra une infraction.
• La constitution ou l’enrichissement de bases de visages par aspiration non ciblée d’Internet ou de vidéosurveillance (au revoir, Clearview européen).
• La reconnaissance des émotions au travail ou dans l’enseignement, sauf exceptions liées à la santé ou à la sécurité.
• La catégorisation biométrique visant à déduire l’origine raciale, les opinions politiques, les croyances ou l’orientation sexuelle.
• La génération de contenus intimes ou sexuellement explicites non consentis, y compris les applications de « nudification ».

Premier réflexe recommandé : cartographier ce qui est vraiment utilisé dans l’entreprise, y compris les outils testés par les équipes marketing ou RH en dehors du circuit officiel. Le Shadow AI est exactement ce qu’un contrôle fera remonter en premier.

Article 50 : dire que c’est de l’IA, c’est vraiment demandé ?

Oui. Et c’est ce qui change concrètement depuis hier pour la plupart des PME françaises. Les obligations de transparence prévues par l’article 50 s’appliquent depuis le 2 août 2026. Elles concernent trois grandes situations : les interactions avec des personnes, les contenus générés par IA, et les deepfakes.

Concrètement, qu’est-ce qui doit être en place ?

Les fournisseurs d’un système qui interagit directement avec une personne doivent le concevoir de sorte que l’utilisateur soit informé qu’il échange avec une IA. Cela vise typiquement les chatbots de relation client, les assistants conversationnels et certains avatars vocaux. La formule « Bonjour, je suis l’assistant virtuel de… » n’est pas un ornement marketing, c’est une exigence réglementaire.

Les fournisseurs de systèmes génératifs doivent aussi rendre les contenus produits détectables comme artificiellement générés ou manipulés, dans un format lisible par machine lorsque c’est techniquement possible — filigranes numériques, métadonnées, empreintes. Ce marquage est côté fournisseur, pas côté PME qui utilise l’outil.

Les déployeurs qui diffusent une image, un son ou une vidéo constituant un deepfake doivent indiquer de manière visible que le contenu a été généré ou manipulé par IA. Une obligation similaire s’applique aux textes générés ou manipulés par IA publiés pour informer le public sur des sujets d’intérêt général — avec une nuance : si le contenu a fait l’objet d’un contrôle éditorial humain avec responsabilité assumée, l’obligation ne s’applique pas.

Rappel utile : la transparence AI Act ne dispense d’aucune autre règle. Droit de la consommation, RGPD, droit à l’image, propriété intellectuelle, règles sectorielles — chacun continue de vivre sa vie et peut se cumuler avec l’AI Act. Une belle empilement, comme on aime en Europe.

Les grands modèles au tableau noir (GPAI)

Les règles applicables aux fournisseurs de modèles d’IA à usage général — les GPAI, les grands modèles de langage type GPT, Claude, Gemini, Mistral et consorts — sont entrées en application le 2 août 2025. Depuis hier, la Commission dispose officiellement des pouvoirs de contrôle correspondants.

Ces fournisseurs doivent notamment préparer une documentation technique, communiquer certaines informations aux entreprises qui intègrent le modèle en aval, mettre en place une politique de respect du droit d’auteur européen, et publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement. Ce dernier point a fait grincer des dents à peu près tous les laboratoires concernés — pour des raisons faciles à deviner.

Les modèles présentant un risque systémique (typiquement les modèles au-delà d’un seuil de puissance de calcul défini par le règlement) sont soumis à des exigences supplémentaires : évaluation et réduction des risques, signalement des incidents graves, mesures de cybersécurité adaptées. Les modèles mis sur le marché avant le 2 août 2025 disposent d’un délai de mise en conformité jusqu’au 2 août 2027.

Haut risque : le grand report (et pourquoi ce n’est pas une pause)

Voilà le morceau qui a agité les DPO tout l’été. Le règlement 2026/1744 — dit Digital Omnibus sur l’IA — a été publié au JO le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Sa disposition phare : reporter l’application des obligations « haut risque ».

Les systèmes à haut risque regroupent les usages susceptibles d’affecter fortement la sécurité ou les droits fondamentaux. L’annexe III couvre notamment certains systèmes liés aux infrastructures critiques, à l’éducation, à la gestion des travailleurs, au recrutement, à l’accès au crédit, à l’assurance santé ou vie, au maintien de l’ordre, à la migration, à la justice et à certains usages biométriques.

Un outil qui trie des CV, évalue des candidats, calcule la solvabilité d’une personne ou influence l’accès à une prestation essentielle peut relever de cette catégorie selon sa finalité précise. Pour ces systèmes, les fournisseurs devront assurer une gestion des risques, une gouvernance des données, une documentation et une traçabilité suffisantes, une information appropriée, une supervision humaine effective, ainsi que des niveaux adéquats d’exactitude, de robustesse et de cybersécurité. Une évaluation de conformité et un enregistrement dans une base européenne peuvent aussi être requis.

« Un report n’est pas une pause. C’est un délai pour finaliser les normes techniques et laisser aux entreprises le temps de faire ce qu’elles auraient dû commencer il y a deux ans. Si vous attendez décembre 2027 pour lancer votre inventaire, vous aurez décembre 2027 pour découvrir que vous êtes en retard. »

Le calendrier réel post-Digital Omnibus

Comme le calendrier a été retouché à quelques jours de l’échéance, voici une synthèse claire de ce qui s’applique et de ce qui glisse.

Ce décalage n’efface pas les obligations, il les redistribue. Comme le rappelle sobrement la Commission, les interdictions, la gouvernance des GPAI et les obligations de transparence sont déjà applicables. Le grand récit d’une « suspension générale de l’AI Act » qui circule sur LinkedIn depuis fin juillet est donc, disons, une lecture créative du règlement.

Sanctions : parce que sinon personne ne bouge

Les États membres doivent prévoir des sanctions effectives, proportionnées et dissuasives. Le règlement fixe trois plafonds, à mémoriser dans cet ordre.

Pour les PME et start-up, c’est le montant le plus bas qui s’applique, pas le pourcentage. Petite consolation qui n’exonère de rien. La gouvernance repose sur deux niveaux : les autorités nationales compétentes supervisent principalement les systèmes d’IA, tandis que l’AI Office européen joue un rôle central pour les modèles à usage général et certains systèmes spécifiques.

Plan d’action : par où commencer sans se noyer

Pour une PME, une agence digitale ou une organisation qui utilise l’IA sans en développer les modèles, la conformité commence par une démarche pragmatique. Rien d’exotique, mais rien qu’on puisse remettre à décembre non plus.

1. Cartographier les outils d’IA utilisés par les équipes, les prestataires et les logiciels métiers. Y compris le Shadow AI que « personne n’utilise vraiment ».
2. Qualifier votre rôle pour chaque cas d’usage : simple utilisateur, déployeur, intégrateur, fournisseur ou distributeur. Le régime d’obligations dépend du chapeau que vous portez.
3. Évaluer le niveau de risque de chaque système, en séparant les outils de productivité (Copilot, Notion AI…) des usages qui affectent des personnes (tri de candidats, scoring client…).
4. Écarter immédiatement les pratiques interdites et formaliser une procédure d’escalade en cas de doute.
5. Déployer les mentions de transparence : chatbots, contenus synthétiques, deepfakes. C’est le chantier prioritaire de cet été.
6. Former les équipes : la littératie en IA est une obligation applicable depuis février 2025. La supervision par les autorités a commencé hier.
7. Articuler avec le RGPD : registre des traitements, base légale, information des personnes, analyse d’impact quand nécessaire, encadrement des fournisseurs.
8. Constituer les preuves : politique d’usage, inventaire, analyses de risques, consignes internes, contrats fournisseurs et journal des incidents.

L’AI Act ne demande pas à toutes les entreprises de certifier chaque usage. Il impose de passer d’une adoption opportuniste des outils à une adoption documentée, transparente et proportionnée au risque. La différence entre les deux tient souvent à un tableur, une réunion trimestrielle et un peu de discipline collective.

Questions fréquentes

Le Digital Omnibus a-t-il vraiment reporté tout l’AI Act ?

Non. Il reporte les obligations des systèmes à haut risque (annexe III) au 2 décembre 2027 et celles des IA intégrées à des produits réglementés au 2 août 2028. Les interdictions, la littératie IA, les obligations GPAI, l’article 50 (transparence) et les sanctions restent applicables selon leur calendrier initial.

Mon chatbot Zendesk / Intercom / maison est-il concerné par l’article 50 ?

Oui, dès qu’il interagit avec une personne en langage naturel. Il doit clairement indiquer à l’utilisateur qu’il échange avec une IA, sauf si cela ressort évidemment du contexte. Une mention en début de conversation type « Je suis l’assistant virtuel de [entreprise] » satisfait généralement l’exigence.

Dois-je marquer chaque image générée par IA que je publie ?

Le marquage machine (métadonnées, filigrane numérique) est une obligation du fournisseur du système génératif, pas de l’utilisateur final. En revanche, si vous publiez un deepfake (image, audio ou vidéo réaliste manipulée), vous devez le divulguer visiblement en tant que déployeur. Les œuvres manifestement artistiques ou satiriques bénéficient d’une modalité allégée.

Une TPE ou un freelance est-il vraiment concerné ?

Oui. L’article 50 ne prévoit pas de seuil de taille. Un freelance qui installe un chatbot sur le site d’un client ou une TPE qui publie une vidéo IA sur ses réseaux entre dans le champ. Les sanctions sont plafonnées au montant le plus bas pour les PME, mais l’obligation existe.

Qui contrôle en France ?

La désignation formelle des autorités nationales compétentes en France fait toujours l’objet de discussions au moment où nous publions cet article. La CNIL joue un rôle central sur les usages qui recoupent le RGPD, et l’AI Office européen supervise les GPAI et certains systèmes transfrontaliers.

Le point de vue DeepDive

Résumons. L’AI Act n’est pas « entré en vigueur d’un bloc » hier — il l’était déjà en partie depuis février 2025 (interdictions, littératie) et août 2025 (GPAI). Ce qui tombe depuis le 2 août 2026, c’est la transparence, les sanctions et la supervision effective. Ce qui a été discrètement décalé, c’est la partie la plus lourde : les systèmes à haut risque, désormais attendus pour décembre 2027 et août 2028. Le Digital Omnibus n’est pas un cadeau, c’est un rattrapage : Bruxelles s’est aperçue que les normes techniques d’appui n’étaient pas prêtes, et que demander à des entreprises de certifier des systèmes selon des normes inexistantes tenait plus de la performance artistique que de la régulation.

Chez DeepDive, on lit cette séquence comme un rappel utile : la conformité IA n’est pas un événement, c’est un régime permanent. Cartographier ses outils, former ses équipes, documenter ses usages — voilà le socle. Il n’a rien de sexy, il ne fera pas de vous une AI-first company sur LinkedIn, mais il vous évitera de découvrir vos obligations lors d’une plainte client. Nos formations et interventions sur le sujet, comme nos audits d’usages IA en PME, partent systématiquement de ce socle : ce que vous utilisez déjà, ce que vous croyez utiliser, et l’écart entre les deux. C’est souvent là que se joue le vrai risque.

Ouverture. La prochaine bataille se jouera moins sur le calendrier que sur les normes techniques harmonisées attendues d’ici 2027 pour opérationnaliser le haut risque. C’est là que se décidera si l’AI Act reste un exercice de gouvernance raisonnable ou glisse vers l’usine à gaz. Autre dossier à surveiller : la désignation formelle des autorités nationales compétentes en France, toujours en discussion à la date de cet article. Et bien sûr, la manière dont les premiers contrôles article 50 vont s’exercer cet automne — la ligne éditoriale de Bruxelles étant claire, la ligne opérationnelle des autorités nationales, elle, reste à écrire.

Sources principales : Règlement (UE) 2024/1689, Règlement (UE) 2026/1744 (Digital Omnibus sur l’IA), publications de l’AI Office européen, CNIL, Cabinet Persée, Redstone Consulting, La taverne du testeur (point à date du 8 juillet 2026).