AI Act : ce qui s’applique depuis le 2 août 2026 et ce que l’Omnibus reporte

Depuis le 2 août 2026, l’AI Act est applicable dans sa quasi-totalité, avec une obligation qui touche presque toutes les entreprises qui intègrent de l’IA : la transparence de l’article 50. Dans le même temps, le Digital Omnibus a repoussé les règles du haut risque. Voici ce qui est exigible aujourd’hui, ce qui a bougé, et une checklist concrète pour vos chatbots, contenus générés et assistants RAG.

Le calendrier de l’AI Act après l’Omnibus

Le règlement (UE) 2024/1689 sur l’intelligence artificielle est entré en vigueur le 1er août 2024 avec une application échelonnée [1]. Le règlement (UE) 2026/1744, dit « omnibus numérique sur l’IA », en a modifié plusieurs dates [2]. Voici le calendrier consolidé.

Les jalons déjà passés

Trois obligations sont en place depuis 2025 et restent souvent sous-estimées :

• Pratiques interdites (2 février 2025) : notation sociale, manipulation exploitant des vulnérabilités, reconnaissance des émotions au travail et à l’école sauf exceptions, etc. L’Omnibus y ajoute, à partir du 2 décembre 2026, les systèmes générant sans consentement des images intimes réalistes d’une personne identifiable, ainsi que les contenus pédocriminels [2].
• Maîtrise de l’IA (article 4, 2 février 2025) : fournisseurs et déployeurs doivent former leurs équipes. L’Omnibus a réécrit l’article : il s’agit désormais de « prendre des mesures pour favoriser » cette maîtrise, sans obligation de garantir « un niveau spécifique » par individu [2]. L’obligation demeure ; un parcours de stratégie et acculturation IA documenté reste la meilleure preuve.
• Modèles d’IA à usage général (2 août 2025) : obligations des fournisseurs de modèles. Depuis le 2 août 2026, la Commission peut leur infliger des amendes jusqu’à 3 % du chiffre d’affaires mondial ou 15 M€ (art. 101) [1][6].

AI Act août 2026 : les obligations de transparence de l’article 50

L’article 50 crée quatre obligations, réparties entre le fournisseur (qui développe ou fait développer le système et le met en service sous son nom) et le déployeur (qui l’utilise sous sa propre autorité) [1].

Chatbots et assistants : annoncer l’IA

Les fournisseurs doivent concevoir les systèmes destinés à interagir directement avec des personnes de façon qu’elles sachent qu’elles échangent avec une IA, « sauf si cela ressort clairement » du contexte pour une personne raisonnablement attentive (art. 50 §1). L’information est donnée « au plus tard au moment de la première interaction » et doit respecter les exigences d’accessibilité (art. 50 §5).

Contenus générés : un marquage lisible par machine

Les fournisseurs de systèmes qui génèrent du texte, de l’image, de l’audio ou de la vidéo doivent marquer les sorties « dans un format lisible par machine » et les rendre détectables comme générées ou manipulées par une IA (art. 50 §2). Exception : les fonctions d’assistance à la mise en forme standard, ou qui ne modifient pas substantiellement les données fournies. Pour les systèmes déjà sur le marché avant le 2 août 2026, l’Omnibus accorde un délai jusqu’au 2 décembre 2026 [2][3].

Si vous intégrez un modèle tiers, vérifiez que votre chaîne ne détruit pas le marquage posé en amont. Exemple de contrôle en fin de pipeline image, avec l’outil open source de la coalition C2PA :

# Le manifeste de provenance est-il encore présent après recadrage et compression ?
c2patool visuel-final.jpg
# Aucun manifeste trouvé = le marquage a été perdu : corriger l'étape de traitement

Deepfakes et textes d’intérêt public : l’étiquetage

Côté déployeurs (art. 50 §4) :

• tout hypertrucage (image, audio ou vidéo ressemblant à des personnes, lieux ou événements réels et pouvant passer pour authentique) doit être signalé comme généré ou manipulé ; pour une œuvre manifestement artistique, satirique ou fictive, la mention se limite à une forme qui n’entrave pas l’œuvre ;
• un texte publié pour informer le public sur des questions d’intérêt public doit être signalé, sauf s’il a fait l’objet d’une relecture humaine ou d’un contrôle éditorial et qu’une personne assume la responsabilité éditoriale.

Le paragraphe 3 vise enfin les systèmes de reconnaissance des émotions et de catégorisation biométrique : les personnes exposées doivent en être informées.

Code de bonnes pratiques et lignes directrices

La Commission a publié le code de bonnes pratiques sur la transparence des contenus générés le 10 juin 2026, jugé adéquat avec le Comité IA ; environ 190 organisations l’avaient signé fin juillet 2026 [5]. Ses lignes directrices sur l’article 50 datent du 20 juillet 2026 [4]. Deux nuances : ces textes ne sont pas contraignants, et l’Omnibus rappelle que les codes n’emportent pas de présomption de conformité [2]. Ils restent la meilleure indication de ce que les autorités attendront.

Fournisseur ou déployeur : qui porte quoi ?

Le rôle dépend de ce que vous faites du système, pas de qui a entraîné le modèle. Un « fournisseur en aval » est défini comme le fournisseur d’un système d’IA qui intègre un modèle, fourni par lui-même ou par un tiers (art. 3) [1]. Grille indicative :

Les situations mixtes méritent une analyse dédiée : notre offre d’audit et conseil inclut une cartographie des usages d’IA et des rôles associés.

Ce que le Digital Omnibus (UE) 2026/1744 modifie

Adopté le 8 juillet 2026, publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet 2026 [2] :

Ce que l’Omnibus ne change pas

L’Omnibus ne reporte ni l’article 50 (hormis le délai de marquage pour les systèmes existants), ni les pratiques interdites de 2025, ni les obligations des modèles à usage général. Si votre projet est un chatbot ou un générateur de contenus, le report du haut risque ne vous concerne probablement pas. Il concerne en revanche un outil de tri de CV ou de scoring de crédit : vous gagnez seize mois, pas une exemption.

Qui contrôle en France ?

Le schéma présenté par le Gouvernement le 9 septembre 2025 confie la coordination et le rôle de point de contact unique à la DGCCRF [7]. Pour l’article 50, il prévoit que la DGCCRF et l’Arcom contrôlent les systèmes qui interagissent avec des personnes et ceux qui génèrent des contenus ou des hypertrucages, l’Arcom seule les textes d’intérêt public, et la CNIL la reconnaissance des émotions et la catégorisation biométrique [7].

Ce schéma passe par le projet de loi d’adaptation au droit de l’Union adopté par le Sénat le 18 février 2026 ; au 4 septembre 2026, il était toujours en première lecture à l’Assemblée nationale [8]. Les obligations du règlement s’appliquent néanmoins directement, et le Bureau de l’IA de la Commission a commencé à faire appliquer le texte le 2 août 2026 en coopération avec les autorités nationales [6].

Sanctions : jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial pour une pratique interdite ; jusqu’à 15 M€ ou 3 % pour les obligations de transparence de l’article 50 ; 7,5 M€ ou 1 % pour des informations inexactes. Pour les PME, et désormais les petites entreprises à moyenne capitalisation, le montant le plus faible est retenu (art. 99) [1][2].

Checklist : chatbot, génération de contenu, RAG

Chatbot ou assistant client

• [ ] Mention « vous échangez avec une IA » visible avant ou au premier message, lisible par un lecteur d’écran
• [ ] Pas de persona trompeuse ; accès à un humain indiqué
• [ ] Journalisation des conversations avec durée de conservation définie (RGPD)
• [ ] Si l’assistant agit (réservation, ticket, remboursement) : périmètre d’actions borné, comme pour des agents autonomes

Exemple minimal de bandeau :

<p class="chat-notice" role="note">
  Vous échangez avec un assistant automatisé (IA). Ses réponses peuvent contenir des erreurs.
  <a href="/contact">Parler à un conseiller</a>
</p>

Génération de contenus

• [ ] Inventaire des outils générant texte, image, audio ou vidéo, et de leurs fournisseurs
• [ ] Marquage lisible par machine vérifié en sortie de chaîne (métadonnées conservées)
• [ ] Règle d’étiquetage des hypertrucages, y compris en publicité
• [ ] Circuit de relecture humaine documenté pour les textes d’intérêt public

RAG et assistants internes

• [ ] Réponses sourcées, avec citation des documents utilisés
• [ ] Refus de répondre quand la source n’existe pas, plutôt qu’une réponse inventée
• [ ] Droits d’accès aux documents respectés dans l’index
• [ ] Information des utilisateurs internes et formation (article 4)

Ces points relèvent autant de la qualité que de la conformité : c’est notre approche en intégration de LLM et de RAG.

Gouvernance

• [ ] Registre des systèmes d’IA : usage, fournisseur, rôle (fournisseur ou déployeur), niveau de risque
• [ ] Vérification qu’aucun usage ne relève d’une pratique interdite ou de l’annexe III
• [ ] Traces des formations et supports d’acculturation
• [ ] Clauses IA dans les contrats avec vos prestataires et vos clients

Questions fréquentes

Mettre vos projets IA en conformité sans les geler

L’AI Act n’impose pas d’arrêter vos projets d’IA : il impose de les rendre explicites, traçables et maîtrisés. Pour la plupart des entreprises, l’échéance du 2 août 2026 se traduit par trois chantiers courts : annoncer l’IA dans les interfaces, préserver le marquage des contenus générés, et documenter qui fait quoi. Le report du haut risque laisse du temps aux cas sensibles, à condition de l’utiliser.

Si vous livrez aussi du logiciel, lisez notre article sur le Cyber Resilience Act et le signalement des vulnérabilités : les deux calendriers se croisent en 2027. Pour cartographier vos usages ou mettre à niveau un chatbot ou un assistant RAG, contactez-nous : réponse sous 48 à 72 h, échange sans engagement, sous NDA.