AI Act au 2 août 2026 : ce qui s'applique vraiment et ce qui est reporté pour les PME

Le 2 août 2026 est la date d'application générale du règlement (UE) 2024/1689, dit AI Act. C'est aussi la date la plus commentée et la plus mal comprise du calendrier réglementaire européen de l'année, parce qu'une partie des obligations qui devaient s'appliquer ce jour-là a été reportée par le règlement (UE) 2026/1744 du 8 juillet 2026, dit Digital Omnibus sur l'IA. Cet article fait le point sur ce qui s'applique, ce qui est reporté et ce qu'une PME doit en retenir. Les reports décrits ici sont acquis : le règlement modificatif a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026.

Ce qui est déjà en vigueur depuis 2025

Deux vagues d'obligations s'appliquent déjà. Depuis le 2 février 2025, les pratiques interdites de l'article 5 (notation sociale, exploitation des vulnérabilités, certaines identifications biométriques) sont prohibées, et l'article 4 impose aux fournisseurs comme aux déployeurs de garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces systèmes pour leur compte. Depuis le 2 août 2025, les obligations des fournisseurs de modèles d'IA à usage général (chapitre V), la structure de gouvernance et le régime des sanctions sont applicables.

Le règlement (UE) 2026/1744 allonge cette liste de l'article 5. Deux pratiques s'y ajoutent : la production ou la manipulation de contenus intimes réalistes sans le consentement des personnes représentées, et la production de matériel d'abus sexuel sur mineur. L'interdiction vise la mise sur le marché de systèmes conçus à ces fins, la mise sur le marché de systèmes qui en permettent la production sans mesures de prévention raisonnables, et l'utilisation d'un tel système par un déployeur dans ce but. Ces deux interdictions s'appliquent à compter du 2 décembre 2026, et non dès l'entrée en vigueur du règlement modificatif.

Une PME qui utilise des outils d'IA générative est donc déjà concernée par l'article 4 : la sensibilisation des équipes n'attend pas le 2 août 2026.

Ce qui s'applique le 2 août 2026 : la transparence de l'article 50

Le report décidé par le règlement (UE) 2026/1744 ne touche pas l'article 50, qui s'applique comme prévu. Il couvre quatre situations. Les fournisseurs de systèmes qui interagissent directement avec des personnes (agents conversationnels) doivent faire en sorte que ces personnes sachent qu'elles parlent à une IA, sauf si c'est évident. Les fournisseurs de systèmes d'IA générative doivent marquer les contenus produits (texte, image, audio, vidéo) dans un format lisible par machine, permettant de les détecter comme générés ou manipulés artificiellement. Les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent informer les personnes exposées. Les déployeurs qui publient des hypertrucages, ou des textes générés par IA publiés pour informer le public sur des questions d'intérêt général, doivent le déclarer, avec une exception lorsque le contenu a fait l'objet d'une révision éditoriale humaine.

Le 20 juillet 2026, la Commission a publié ses lignes directrices sur les obligations de transparence, qui délimitent le champ de l'article 50 et répartissent les obligations entre fournisseurs et déployeurs. C'est le document de référence pour qualifier une situation concrète, complété par une FAQ de la Commission qui traite les cas limites, notamment ce qui compte comme hypertrucage et ce qui relève de la révision éditoriale.

Le règlement (UE) 2026/1744 introduit une seule souplesse sur ce volet : les systèmes d'IA générative mis sur le marché avant le 2 août 2026 disposent d'un délai jusqu'au 2 décembre 2026 pour satisfaire l'obligation de marquage de l'article 50, paragraphe 2. Les systèmes mis sur le marché à compter du 2 août 2026 doivent marquer leurs contenus dès le premier jour. Les autres obligations de transparence, dont l'information des personnes qui interagissent avec un système d'IA, ne bénéficient d'aucun délai. La Commission accompagne ce volet du Code of Practice on Transparency of AI-Generated Content, un instrument d'adhésion volontaire qui décrit des méthodes de marquage et d'étiquetage jugées conformes, sans créer d'obligation autonome.

Pour une PME qui déploie un agent conversationnel sur son site ou publie des contenus générés, les obligations de transparence sont donc actives dès août. Pour celle qui achète ces capacités à un éditeur, la question devient contractuelle : vérifier que le fournisseur marque ses sorties et informe les utilisateurs.

Ce que le règlement (UE) 2026/1744 reporte

Le texte, issu d'un accord entre le Conseil et le Parlement en mai 2026, voté par le Parlement le 16 juin et approuvé par le Conseil le 29 juin, décale trois échéances. Les obligations applicables aux systèmes à haut risque autonomes de l'annexe III (recrutement, notation de crédit, éducation, accès aux services essentiels, notamment) passent du 2 août 2026 au 2 décembre 2027. Les obligations applicables aux systèmes à haut risque intégrés dans des produits déjà réglementés (annexe I) passent du 2 août 2027 au 2 août 2028. L'obligation pour chaque État membre de disposer d'au moins un bac à sable réglementaire opérationnel est décalée d'un an, au 2 août 2027.

Ces dates sont désormais fixes : le règlement publié a remplacé le mécanisme conditionnel proposé initialement par la Commission (qui liait le report à la disponibilité des normes harmonisées) par des échéances fermes. Une PME dont un usage relève de l'annexe III, par exemple un outil de tri de candidatures, dispose donc d'un délai supplémentaire, mais l'obligation demeure, avec un périmètre inchangé.

Les sanctions

Le régime des sanctions de l'article 99 est applicable depuis le 2 août 2025, les États membres fixant les modalités. Les plafonds sont de 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, et de 15 millions d'euros ou 3 % pour la plupart des autres obligations, dont l'article 50. Le règlement prévoit une modulation pour les PME et les jeunes pousses : le plafond retenu est le montant le plus bas entre le pourcentage et la somme fixe, là où le droit commun retient le plus élevé.

Rattacher la gouvernance IA à l'existant

Le risque pour une PME est de traiter l'AI Act comme un chantier isolé, avec son propre inventaire, son propre registre et son propre responsable. Les obligations décrites plus haut se rattachent pourtant à des pratiques de gouvernance déjà couvertes par les référentiels généralistes. Dans le NIST CSF 2.0, comprendre quelles obligations réglementaires s'appliquent relève de la catégorie GV.OC (contexte organisationnel) et la stratégie de gestion des risques de GV.RM. Concrètement : inventorier les usages d'IA (internes et achetés), les classer selon les catégories du règlement (interdit, haut risque, transparence, minimal), consigner les risques associés dans le registre des risques existant et couvrir l'article 4 par le programme de sensibilisation déjà en place.

L'évaluation Komplyo mesure la maturité de la fonction GOVERN, dont ces catégories, et le registre des risques généré accueille les scénarios liés aux usages d'IA au même titre que les autres. Le diagnostic gratuit (23 questions, environ 5 minutes) donne un premier état de la fonction GOVERN.