Étude Devantia · Août 2026
AI Act : ce qui a changé depuis le 2 août 2026.
La loi européenne sur l'intelligence artificielle est appliquée depuis le 2 août 2026 : transparence opposable, autorités de contrôle en action, sanctions activées. Cette étude dit ce qu'une PME ou une ETI doit régulariser maintenant, ce qui a été reporté à décembre 2027, et ce qui vient au contraire de s'alléger.
L'essentiel
Le 2 août est passé. L'exposition des entreprises a commencé.
Fin juillet 2026, Bruxelles a reporté au 2 décembre 2027 les obligations des systèmes d'IA dits « à haut risque ». Beaucoup de dirigeants en ont conclu que l'échéance du 2 août était annulée. Elle ne l'a pas été.
Depuis le 2 août 2026, les obligations de transparence de l'article 50 sont opposables, les sanctions sont activées, et la Commission européenne a confirmé le 31 juillet que le contrôle démarrait à cette date. Ce qui a été reporté, c'est le chantier lourd. Pas le socle — ni le risque.
L'étude complète, en 7 pages
Chronologie consolidée, pyramide des risques, obligations en vigueur, échelle des sanctions, auto-évaluation en cinq questions et feuille de route en cinq étapes. Format A4, lecture en 10 minutes, sans formulaire à remplir.
Champ d'application
Êtes-vous concerné ? Oui — la question est : à quel titre
L'AI Act classe chaque usage d'IA par niveau de risque, et distingue celui qui fournit le système de celui qui le déploie. La plupart des entreprises françaises sont des déployeurs, et beaucoup relèvent du niveau « transparence » — précisément celui qui est applicable depuis le 2 août 2026.
- Pratiques interdites — depuis février 2025. Scoring social, manipulation, exploitation de vulnérabilités, reconnaissance des émotions au travail. L'omnibus en ajoute deux au 2 décembre 2026 : les applications de « déshabillage » sans consentement et les contenus pédopornographiques générés par IA.
- Haut risque — reporté au 2 décembre 2027. Tri de CV et décisions RH, octroi de crédit, éducation, infrastructures critiques, justice, biométrie autorisée. Les produits réglementés de l'annexe I basculent au 2 août 2028.
- Transparence (article 50) — applicable depuis le 2 août 2026. Chatbots et IA conversationnelles, contenus générés ou manipulés par IA, deepfakes, analyse d'émotions. Informer, étiqueter, marquer : c'est exigible aujourd'hui.
- Risque minimal. Filtres anti-spam, IA de productivité interne, maintenance prédictive. Aucune obligation spécifique, mais la littératie IA de l'article 4 reste due — désormais comme obligation de moyens.
Attention au changement de rôle. Personnaliser fortement un modèle, le diffuser sous sa marque ou modifier sa destination peut faire d'une entreprise un fournisseur, avec les obligations qui vont avec. Un point à vérifier avant tout lancement de produit « IA » en 2026-2027.
En vigueur
Ce qui est devenu obligatoire — et contrôlable
Transparence des IA et des contenus
L'utilisateur doit savoir qu'il parle à une IA. Les contenus générés — texte, image, audio, vidéo — doivent porter un marquage lisible par machine côté fournisseur. Les deepfakes doivent être étiquetés côté déployeur. Les personnes exposées à de la reconnaissance d'émotions ou de la catégorisation biométrique doivent en être informées.
Amendes exécutoires sur les grands modèles
Les fournisseurs de grands modèles génératifs sont soumis à des obligations depuis août 2025. Depuis le 2 août 2026, la Commission peut les sanctionner : jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial. Conséquence directe pour leurs clients : conditions d'usage et contrats se durcissent.
Un contrôle national actif
La loi DDADUE de février 2026 a organisé la gouvernance française : CNIL chef de file, DGCCRF point de contact unique avec Bruxelles, Arcom sur l'intégrité de l'information, appuyées par une quinzaine d'autorités sectorielles. Le déclencheur le plus probable d'un contrôle : la plainte d'un concurrent, d'un client ou d'un salarié.
Le risque réel pour une PME ou une ETI n'est pas d'abord l'amende : c'est la perte d'un marché. Les grands donneurs d'ordre intègrent déjà des clauses de conformité AI Act dans leurs appels d'offres. Une IA non conforme, c'est un dossier commercial disqualifié bien avant un contentieux.
L'omnibus du 27 juillet
Ce qui vient de se durcir, ce qui vient de s'alléger
En six semaines, Bruxelles a publié un mode d'emploi, réécrit une partie du règlement et lancé son application. Un dirigeant n'a pas à lire ces textes : il a besoin de savoir ce qui, dans son entreprise, coûte plus cher qu'avant — et ce qui vient de devenir plus simple.
| Date | Ce qui s'est passé | Ce que ça change |
|---|---|---|
| 10 juin 2026 | Code de bonnes pratiques sur la transparence des contenus générés par IA | Le « comment faire » officiel du marquage |
| 20 juillet 2026 | Lignes directrices de la Commission sur l'article 50 — 51 pages | La grille de lecture des contrôleurs |
| 24 juillet 2026 | Publication de l'omnibus au Journal officiel de l'Union européenne | Le report devient du droit, pas une annonce |
| 27 juillet 2026 | Entrée en vigueur du règlement (UE) 2026/1744, en procédure d'urgence | Cinq jours avant l'échéance |
| 31 juillet 2026 | La Commission confirme le démarrage du contrôle | Plus d'ambiguïté sur la date |
| 2 août 2026 | Transparence applicable, sanctions activées | Les entreprises sont dans le champ |
Ce qui se durcit
- Deux interdictions nouvelles au 2 décembre 2026 : applications de « déshabillage » sans consentement et contenus pédopornographiques générés par IA. Sanction maximale : 35 M€ ou 7 %.
- Un régulateur européen renforcé : le Bureau de l'IA obtient la compétence exclusive sur les grands modèles et les très grandes plateformes, avec pouvoirs d'enquête et d'inspection.
- Cinq ans de prescription : un manquement commis en 2026 reste sanctionnable jusqu'en 2031.
- Le marché prend les devants : les donneurs d'ordre inscrivent des clauses AI Act dans leurs appels d'offres sans attendre 2027.
Ce qui s'allège
- La formation des équipes (article 4) devient une obligation de moyens : agir et le documenter suffit, sans certifier le niveau de chaque salarié.
- Le régime PME s'élargit aux petites entreprises de taille intermédiaire, avec des exigences documentaires réduites.
- Moins de formalisme : enregistrement simplifié dans la base européenne, plans de surveillance ramenés à des orientations volontaires.
- Des bacs à sable réglementaires dans chaque État membre au plus tard le 2 août 2027, avec accès prioritaire aux PME.
Le référentiel officiel existe désormais, il est public et gratuit : lignes directrices du 20 juillet sur l'article 50, et code de bonnes pratiques du 10 juin sur le marquage des contenus, dont l'adhésion est volontaire mais que la Commission reconnaît comme un moyen adéquat de démontrer sa conformité. « Nous ne savions pas comment faire » n'est plus une défense recevable.
Feuille de route
16 mois : exactement la durée d'un chantier bien mené
Le report du haut risque laisse seize mois avant le 2 décembre 2027. Dans une ETI, un cycle complet de mise en conformité — cartographie, données, documentation, contrôle humain, audit — prend douze à dix-huit mois. Commencer cet automne, c'est être à l'heure. Attendre mi-2027, c'est être en retard.
Colmater l'exposition immédiate
Vérifier que chaque chatbot annonce qu'il est une IA et que tout contenu de synthèse publié est signalé. C'est exigible aujourd'hui, et c'est visible de l'extérieur.
Inventorier, puis classer
Recenser tous les systèmes d'IA, y compris ceux utilisés par les équipes sans validation de la direction et ceux embarqués dans les logiciels SaaS. Puis qualifier chaque usage et le rôle de l'entreprise.
Boucler le socle 2026
Marquage des contenus des systèmes antérieurs, étiquetage des deepfakes, formation des équipes, clauses fournisseurs.
Gouverner
Politique IA, comité, contrôle humain, gestion des incidents, et préparation des exigences « haut risque » de l'annexe III.
Piloter et monter en conformité
Registre vivant, veille réglementaire, audits internes, mise à niveau progressive des systèmes à haut risque.
Ce n'est pas qu'un coût
L'inventaire révèle les usages qui produisent du retour sur investissement et ceux qui n'en produisent pas. Les entreprises qui structurent leur IA maintenant se donnent un avantage opérationnel, pas seulement un bouclier juridique.
Sans propriétaire nommé, l'AI Act reste un sujet dont tout le monde parle et que personne ne traite. La direction générale arbitre le niveau de risque acceptable, la DSI tient l'inventaire technique, la DRH porte les usages RH et la formation, le juridique tient le registre et les clauses.
Questions fréquentes
AI Act : les questions des dirigeants
L'AI Act est-il vraiment applicable depuis le 2 août 2026 ?
Oui. Les obligations de transparence de l'article 50 sont applicables depuis le 2 août 2026 et les sanctions sont activées. Le report décidé fin juillet 2026 par le règlement (UE) 2026/1744 ne concerne que les systèmes d'IA à haut risque, décalés au 2 décembre 2027 pour l'annexe III et au 2 août 2028 pour l'annexe I. La Commission européenne a confirmé le 31 juillet 2026 que le Bureau européen de l'IA et les autorités nationales appliquaient le règlement à compter du 2 août.
Quelles obligations concernent une PME ou une ETI qui utilise l'IA sans la développer ?
Une entreprise qui utilise des systèmes d'IA sous sa responsabilité est un déployeur. Ses obligations immédiates : informer les personnes lorsqu'un chatbot ou un assistant conversationnel est une IA, étiqueter les contenus manipulés de type deepfake, informer les personnes exposées à de la reconnaissance d'émotions ou de la catégorisation biométrique, et soutenir la littératie IA de ses équipes au titre de l'article 4. Ces obligations sont exigibles aujourd'hui, indépendamment du report du haut risque.
Qu'est-ce qui change au 2 décembre 2026 ?
Trois choses. La tolérance accordée au marquage lisible par machine des contenus générés prend fin : elle ne couvrait que les systèmes mis sur le marché avant le 2 août 2026. Deux nouvelles pratiques interdites entrent en application : les applications de déshabillage sans consentement et les contenus pédopornographiques générés par IA. Cette échéance est la prochaine date opérationnelle pour la majorité des entreprises.
Quelles sont les sanctions prévues par l'AI Act ?
Trois niveaux, le montant le plus élevé des deux s'appliquant : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites ; jusqu'à 15 millions d'euros ou 3 % pour les autres obligations, dont la transparence de l'article 50 et les obligations des modèles à usage général ; jusqu'à 7,5 millions d'euros ou 1 % pour les informations inexactes fournies aux autorités. Pour les PME, c'est le montant le plus bas qui s'applique. Ces plafonds n'ont pas été modifiés par l'omnibus de juillet 2026.
Le Digital Omnibus a-t-il allégé les obligations des entreprises ?
Sur certains points, oui. L'obligation de littératie IA de l'article 4 devient une obligation de moyens : l'entreprise doit agir et le documenter, sans avoir à certifier le niveau de compétence de chaque salarié. Les mesures de soutien réservées aux PME sont étendues aux petites entreprises de taille intermédiaire. L'enregistrement dans la base de données européenne est simplifié et les plans de surveillance sont ramenés à des orientations volontaires. En revanche, le socle de transparence et le régime de sanctions restent entiers.
Qui contrôle l'application de l'AI Act en France ?
La loi DDADUE de février 2026 a organisé la gouvernance française : la CNIL est chef de file, la DGCCRF assure la coordination nationale et le point de contact unique avec Bruxelles, l'Arcom intervient sur l'intégrité de l'information. Une quinzaine d'autorités sectorielles complètent le dispositif, dont l'ACPR, l'AMF et l'ANSM. Au niveau européen, le Bureau de l'IA dispose de compétences propres sur les modèles à usage général.
Par où commencer quand rien n'a été fait ?
Par ce qui est visible de l'extérieur et exigible aujourd'hui : les mentions sur les chatbots et le signalement des contenus générés publiés. Puis par l'inventaire des systèmes d'IA réellement utilisés dans l'entreprise, y compris ceux adoptés par les équipes sans validation et ceux embarqués dans les logiciels du marché. Cet inventaire conditionne tout le reste, et il révèle en général autant d'opportunités que de risques. Le diagnostic de maturité IA couvre ce périmètre en trois semaines.
Sources
Ce sur quoi repose cette étude
Règlement (UE) 2024/1689, dit « AI Act ». Règlement (UE) 2026/1744, dit « Digital Omnibus IA », adopté par le Parlement européen le 16 juin et par le Conseil le 29 juin 2026, publié au Journal officiel de l'Union européenne le 24 juillet et en vigueur depuis le 27 juillet 2026. Lignes directrices de la Commission européenne sur les obligations de transparence de l'article 50, C(2026) 5054 du 20 juillet 2026. Code de bonnes pratiques sur la transparence des contenus générés par l'IA, Commission européenne, 10 juin 2026. Communication de la Commission du 31 juillet 2026 sur le démarrage de l'application. Désignation des autorités françaises par la loi DDADUE de février 2026. Analyses des cabinets Bird & Bird, Lewis Silkin, Gibson Dunn et Freshfields, 2026.
Dates vérifiées au 8 août 2026. Ce document présente l'état du droit à sa date de publication et ne constitue pas un avis juridique.
Prendre contact
Rattraper le 2 août, prendre de l'avance sur le 2 décembre.
Un entretien de cadrage de 30 minutes avec Jean-Christophe Leroy, fondateur de Devantia et Senior Advisor Transformation IA chez Executive Partners Group. Vous repartez avec une lecture argumentée de votre exposition réelle, les usages à qualifier en priorité et deux à trois actions immédiates. Sans engagement, échanges couverts par le secret des affaires.