AI Act : ce qui change concrètement pour vous depuis le 2 août 2026

Une loi qui avance par étapes, pas par grand soir

Le 2 août 2026 est passé. Depuis des mois, de nombreux articles promettaient une bascule radicale : le règlement européen sur l'intelligence artificielle, l'AI Act, allait imposer d'un coup son régime le plus strict aux systèmes à haut risque, recrutement automatisé, notation de crédit, biométrie, éducation. Rien de tel ne s'est produit.

Ce qui est entré en vigueur cette semaine-là est plus modeste, mais bien réel, et touche directement le quotidien numérique de chacun : de nouvelles obligations de transparence sur les chatbots et les contenus générés par IA, un régime de sanctions désormais actif pour les fournisseurs de grands modèles, et une architecture de contrôle qui se met en place en France. Le reste, la partie la plus stricte du texte, vient d'être repoussé de plus d'un an par un accord européen signé fin juin. Voici ce qui change vraiment dès maintenant, et ce qui attend encore son tour.

Ce qui s'applique depuis le 2 août : parler à une IA sans le savoir devient interdit

L'article 50 de l'AI Act est la pièce la plus concrète de cette échéance. Il impose quatre obligations distinctes, détaillées dans des lignes directrices publiées par la Commission européenne le 8 mai 2026.

D'abord, tout système conçu pour interagir directement avec une personne, un chatbot de service client, un assistant vocal, doit signaler qu'il s'agit d'une IA, sauf si cela est déjà évident pour un utilisateur normalement informé. Ensuite, tout contenu généré ou manipulé par une IA, image, audio, vidéo ou texte, doit être marqué de façon détectable comme artificiel. Troisièmement, les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique doivent en être informées. Enfin, les deepfakes et les textes générés par IA portant sur des sujets d'intérêt public doivent être explicitement signalés comme tels.

Un détail compte particulièrement : selon les lignes directrices de la Commission, l'obligation de signaler un deepfake s'applique même sans intention de tromper qui que ce soit.

L'obligation de signaler un deepfake s'applique même sans intention de tromper qui que ce soit.

Les gros modèles sont surveillés, et la Commission peut enfin sanctionner

Les obligations imposées aux fournisseurs de modèles d'IA à usage général, les GPAI en langage réglementaire, Claude, GPT, Gemini et leurs équivalents, sont en vigueur depuis plus longtemps : le 2 août 2025. Elles couvrent la documentation technique du modèle, une politique de respect du droit d'auteur sur les données d'entraînement, et des obligations renforcées pour les modèles jugés à risque systémique, une catégorie qui se déclenche, par présomption, dès qu'un modèle a été entraîné avec une puissance de calcul dépassant 10^25 opérations en virgule flottante. Pour se mettre en conformité, la plupart des grands laboratoires, dont OpenAI, Anthropic, Google, Microsoft et Mistral AI, ont signé le code de bonne pratique volontaire proposé par la Commission, qui leur impose notamment de publier un cadre de sécurité avant la sortie de chaque modèle.

Ce qui change avec le 2 août 2026, c'est que la Commission européenne dispose désormais du pouvoir de sanctionner directement les manquements à ces règles, un an après leur entrée en vigueur, le temps que les entreprises se mettent en ordre de marche. Une violation des obligations GPAI ou des futures règles sur le haut risque peut coûter jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel de l'entreprise, le montant le plus élevé étant retenu. Fournir de fausses informations aux autorités expose à une amende allant jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires. Les pratiques purement interdites par le règlement, la notation sociale généralisée ou la manipulation subliminale par exemple, restent le poste de sanction le plus lourd : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

• 01Manquement aux obligations GPAI ou haut risque : jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial
• 02Informations fausses ou trompeuses fournies aux autorités : jusqu'à 7,5 M€ ou 1 %
• 03Pratiques interdites (notation sociale, manipulation subliminale) : jusqu'à 35 M€ ou 7 %

Ce qui devait arriver le 2 août n'arrivera pas avant fin 2027

La partie la plus stricte du texte, celle qui encadre les systèmes dits à haut risque, recrutement automatisé, notation de solvabilité, admission scolaire, identification biométrique, ne suit plus le calendrier initial. Un accord provisoire trouvé le 7 mai 2026 entre le Parlement européen, le Conseil et la Commission, formalisé par le feu vert final du Conseil le 29 juin, repousse ces obligations à des dates bien plus lointaines : le 2 décembre 2027 pour les systèmes autonomes classés à haut risque, et le 2 août 2028 pour ceux intégrés à des produits déjà réglementés par ailleurs, comme les dispositifs médicaux ou certains jouets connectés.

La raison technique invoquée par Bruxelles est réelle : le règlement s'appuie sur des normes harmonisées, censées traduire des exigences juridiques abstraites en critères vérifiables par un auditeur, que les organismes européens de normalisation CEN et CENELEC devaient livrer avant août 2025. Ce travail a pris du retard, en partie parce que l'IA couvre un champ trop divers pour se prêter à des seuils numériques simples, contrairement à des secteurs plus anciens comme la sécurité alimentaire. Fin 2025, plusieurs signaux concordants, venus de la Commission elle-même, des organismes de normalisation et des industriels, indiquaient que ces normes ne seraient pas prêtes à temps.

Mais ce texte, baptisé Digital Omnibus on AI et présenté par la Commission comme une simplification du règlement le 19 novembre 2025, ne se contente pas de reporter des dates en attendant des normes manquantes. Plusieurs organisations de la société civile, dont l'ONG Liberties et l'ECNL, dénoncent un affaiblissement des garanties prévues par le texte d'origine, en particulier autour des obligations d'enregistrement de ces systèmes dans une base publique. Une analyse publiée par Corporate Europe Observatory et LobbyControl relève par ailleurs que 69 % des rencontres tenues par la Commission sur ce dossier en 2025 se sont faites avec des groupes d'intérêts économiques, contre 16 % seulement avec des organisations non gouvernementales.

En France, une surveillance éclatée entre plusieurs autorités

Le règlement européen laisse à chaque Etat membre le soin de désigner ses autorités de contrôle. En France, le projet de loi d'adaptation au droit de l'Union (DDADUE), validé par le Sénat le 17 février 2026, dessine une architecture à plusieurs niveaux plutôt qu'un guichet unique. La CNIL agit comme autorité de référence, en particulier pour tout ce qui touche à la biométrie et aux données personnelles. La DGCCRF est désignée coordinatrice et point de contact unique au sens de l'article 70 du règlement, chargée notamment de la surveillance du marché pour les pratiques trompeuses. Une quinzaine d'autorités sectorielles se partagent le reste : l'Arcom pour les deepfakes, l'ACPR pour la finance, l'ANSM et la Haute autorité de santé pour le secteur médical.

Pour une entreprise ou un service qui utilise de l'IA face à ses clients, cela veut dire qu'il n'existe pas un seul organisme à contacter en cas de doute, mais un dont l'identité dépend du secteur d'activité et du type de système concerné.

Ce que ça change vraiment, concrètement, pour vous

Trois choses sont donc vraies en même temps depuis cette semaine. Un chatbot qui répond sur un site de service client, ou une IA qui rédige un texte sur un sujet politique sans le signaler, est désormais en infraction, et chacun peut légitimement exiger cette information. Les entreprises qui développent les plus gros modèles d'IA s'exposent, pour la première fois, à des sanctions financières réelles si elles ne documentent pas correctement leurs systèmes. Mais pour qui postule à un emploi filtré par une IA, dont le dossier de crédit est noté par un algorithme, ou dont l'établissement scolaire utilise un système biométrique, la loi qui devait protéger spécifiquement ces usages a d'ores et déjà plus d'un an de retard sur son calendrier initial, et ne s'appliquera pleinement qu'en 2027, voire 2028.

Cet écart n'est pas anodin. Il correspond à la frontière entre ce qui est facile à faire respecter, l'étiquetage d'un contenu, et ce qui demande une infrastructure de contrôle lourde, l'audit de systèmes de décision automatisés dans le recrutement ou le crédit. La transparence coûte peu cher à imposer et se contrôle facilement en surface. La conformité des systèmes à haut risque demande des audits techniques, des autorités formées, et une coordination entre une quinzaine d'organismes rien qu'en France. Le report de deux ans n'efface pas cette partie du texte, il en repousse le test de vérité. La vraie question n'est donc pas de savoir si l'AI Act change quelque chose maintenant, il le fait déjà, mais de savoir si l'Union européenne tiendra les nouvelles échéances de 2027 et 2028 mieux qu'elle n'a tenu celle d'août 2026.