AI Act : ce que le 2 août a vraiment changé pour les entreprises

Pourquoi tout le monde a cru que l'AI Act était reporté ?

À lire vite, le règlement (UE) 2026/1744 ressemble à un report général de l'AI Act. Il modifie en profondeur le règlement européen sur l'intelligence artificielle et repousse le calendrier du haut risque à 2027 et 2028. Le raccourci arrange tout le monde : il laisse croire à un répit qui ne concerne, en réalité, que le haut risque. Il est faux sur le point qui compte le plus : la date générale d'application n'a pas bougé. Le règlement (UE) 2024/1689 le dit sans détour à son article 113 : « il est applicable à partir du 2 août 2026 ».

Le report du haut risque répond à un problème réel, pas à un simple choix politique. Le considérant (2) du règlement 2026/1744 l'explique par « une charge de mise en conformité plus lourde que prévu », provoquée par le retard des normes techniques et des cadres nationaux d'évaluation.

Le même règlement a pourtant allégé une obligation de fond : l'article 4 ne demande plus de garantir un niveau suffisant de maîtrise de l'IA, mais de favoriser son développement. L'allègement ne porte pas sur le même étage que la transparence et c'est ce qui compte ici.

Ce décryptage tient les deux faits en même temps : le haut risque recule, la maîtrise de l'IA s'assouplit et l'obligation de transparence de l'article 50 s'applique depuis le 2 août 2026, avec des sanctions qui, elles, n'ont pas bougé.

Qu'est-ce qui s'applique déjà depuis le 2 août ?

Le 31 juillet 2026, la Commission européenne a confirmé le basculement en des termes sans détour : « à compter du 2 août 2026, le Bureau de l'IA de la Commission européenne, en coopération avec les autorités nationales, commencera à faire appliquer le règlement sur l'intelligence artificielle » et « à cette même date, de nouvelles règles en matière de transparence entreront en application ». Plus de 180 organisations ont signé le code de bonnes pratiques sur la transparence des contenus générés par IA, un outil volontaire que la Commission juge adéquat pour démontrer le respect de l'article 50.

L'article répartit ses obligations entre quatre paragraphes, dont le dernier en couvre deux. Le paragraphe 1 impose au fournisseur d'un système conçu pour interagir directement avec des personnes, un chatbot par exemple, de faire savoir à l'interlocuteur qu'il parle à une IA, sauf si c'est déjà évident. Le paragraphe 2 impose au fournisseur d'un système qui génère du contenu de synthèse (texte, image, audio ou vidéo) un marquage technique, par exemple une métadonnée ou un filigrane destiné à être détecté par un logiciel, pas par un lecteur humain. Le paragraphe 3 impose au déployeur d'un système de reconnaissance des émotions ou de catégorisation biométrique, celui qui l'utilise sous sa propre autorité sans nécessairement l'avoir développé, d'informer les personnes exposées. Le paragraphe 4 impose deux obligations distinctes au déployeur. La première vise l'hypertrucage, une image, un son ou une vidéo synthétique qui imite un contenu réel : elle doit être signalée, sauf pour une œuvre manifestement artistique, satirique ou fictive, où l'obligation se limite à signaler l'existence du contenu généré. La seconde vise un texte publié pour informer le public sur une question d'intérêt public : lui seul bénéficie d'une exemption, si le contenu a été réellement relu et validé par une personne qui en assume la responsabilité éditoriale.

Ce partage entre fournisseur et déployeur décide qui porte chaque obligation. Le règlement définit le fournisseur à son article 3 : celui qui « développe ou fait développer » un système et le met en service sous son propre nom. Une entreprise qui achète un chatbot à un éditeur et l'utilise sans le modifier reste déployeuse : le paragraphe 1 pèse sur l'éditeur, pas sur elle.

Le manquement à l'article 50 reste sanctionné comme avant le règlement Omnibus : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu, avec un plafond ramené au montant le plus faible pour une PME. Le règlement 2026/1744 ajoute une seconde catégorie allégée, les petites entreprises à moyenne capitalisation, mais seulement sur les amendes des paragraphes 4 et 5 de l'article 99, pas sur l'ensemble du barème comme pour les PME.

Un seul aménagement retarde une partie de l'article 50. Il vise les fournisseurs : ceux dont les systèmes génèrent des contenus de synthèse et ont été mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour se conformer au marquage machine du paragraphe 2. C'est le seul report qui touche la transparence : il ne concerne que les fournisseurs de systèmes antérieurs à l'échéance, pas les nouveaux ni les déployeurs.

En France, la loi qui doit répartir le contrôle de l'article 50 entre la DGCCRF, l'Arcom et la CNIL a été adoptée par le Sénat le 18 février 2026, mais elle n'avait pas franchi l'Assemblée nationale au 1er septembre 2026. Selon ce texte, chacune serait autorité de surveillance du marché sur son propre périmètre, l'organisme chargé de vérifier qu'une entreprise respecte le règlement et de la sanctionner. Le règlement s'applique quand même : la DGCCRF reste compétente sur les pratiques commerciales trompeuses et la CNIL sur les données personnelles, chacune sur son fondement propre.

Qu'est-ce que ça change concrètement pour ton entreprise ?

Trois situations reviennent souvent chez les PME qui utilisent déjà l'IA sans y voir un sujet de conformité.

Le chatbot de service client, d'abord. S'il vient d'un éditeur et que tu l'utilises tel quel, l'obligation d'information du paragraphe 1 pèse sur l'éditeur : à lui d'afficher que l'interlocuteur parle à une IA. Tu deviens fournisseur, avec l'obligation qui va avec, si tu l'as fait développer sur mesure pour ton usage et que tu le mets en service sous ton nom, ou si tu modifies un système existant, par exemple avec tes propres données d'entraînement, avant de le déployer sous ta marque. Le seul fait d'afficher ton logo sur un outil tiers non modifié ne suffit pas à basculer de camp.

Le contenu de marque généré par l'IA, ensuite. Selon les lignes directrices de la Commission, la publicité et les fiches produit sortent du champ de l'obligation de signaler un texte, sauf allégation de santé, de sécurité des consommateurs ou de durabilité. Le marquage technique du paragraphe 2 reste néanmoins dû par le fournisseur de l'outil qui a produit le contenu. Un texte qui informe réellement le public sur une question d'intérêt public, un article de blog sur une évolution réglementaire ou sanitaire par exemple, entre dans le champ de cette obligation : le règlement impose alors de le signaler, sauf s'il a été relu et validé par une personne qui en assume la responsabilité éditoriale. La Commission précise, dans ces mêmes lignes directrices, ce qu'elle entend par revue humaine : un examen de la substance et une vérification des faits, pas une simple correction orthographique. Ces lignes directrices restent non contraignantes : leur contenu a été approuvé le 20 juillet 2026, mais elles ne seront formellement adoptées, ni applicables, qu'une fois toutes les versions linguistiques disponibles. L'essentiel des contenus commerciaux d'une PME reste donc hors de cette obligation, ce qui rassure plus qu'il n'alarme. Nous avons déjà chiffré ce que la mise en conformité générale à l'IA pèse réellement sur une PME dans notre décryptage sur la facture réelle de l'IA en entreprise.

La vidéo retouchée, enfin : un visuel produit ou modifié pour ressembler à un enregistrement réel relève de l'hypertrucage, déjà détaillé dans notre décryptage sur ce que tout professionnel doit savoir du deepfake. Le déployeur doit le signaler, sans l'exemption de revue humaine réservée au texte : seule une œuvre manifestement artistique, satirique ou fictive bénéficie d'un régime allégé, limité à signaler l'existence du contenu généré.

Le bon réflexe n'est pas de vérifier si ton entreprise « utilise de l'IA », c'est de dresser l'inventaire de qui, chez toi, publie avec de l'IA sous ton contrôle : le community manager qui génère des visuels, le service client qui a mis en place un chatbot, le prestataire qui fait tourner un outil pour ton compte et sous tes instructions. Tu restes déployeuse dans ce dernier cas, même si c'est un tiers qui opère l'outil. Tu ne l'es pas si tu te contentes de commander un contenu à une agence sans décider si ni comment elle utilise l'IA : c'est alors son sujet de conformité, pas le tien. Ce décryptage laisse volontairement de côté le traitement des données personnelles que ces outils manipulent, déjà couvert par notre décryptage sur l'IA, les données comptables et le secret professionnel.

L'oeil de Shift IA : l'allègement a porté sur ce qui n'était pas sanctionné

Les chiffres montrent une chose précise : l'article 4 sur la maîtrise de l'IA est allégé depuis le 27 juillet 2026 et il ne figure toujours pas dans la liste des manquements sanctionnés par l'article 99. L'article 50 sur la transparence, lui, n'a pas bougé de cette liste : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour un manquement.

Nous en déduisons que le règlement Omnibus n'a pas désarmé le texte : il a retiré du poids là où il n'y en avait pas. Présenter le 2 août 2026 comme une date sans conséquence parce que le haut risque recule revient à confondre ce qui est reporté avec ce qui reste dû. Une entreprise qui suit cette lecture prend un risque réel sur l'article 50, pas sur l'article 4.

Notre avis est tranché sur la qualification fournisseur ou déployeur : c'est elle, plus que la taille de l'entreprise, qui détermine l'exposition. Une PME de 15 salariés qui fait développer un chatbot sur mesure porte plus d'obligations qu'un grand groupe qui se contente d'utiliser, sans le modifier, l'outil d'un éditeur. Le critère n'est pas qui tu es, c'est qui a développé le système et sous quel nom il est mis en service.

Nous recommandons de traiter l'inventaire des usages d'IA comme un exercice de conformité à part entière, avant tout audit externe : c'est le seul moyen de savoir, avant qu'un régulateur ne le fasse, si l'entreprise est fournisseuse sans le savoir.