AI Act : les obligations de transparence entrées en vigueur le 2 août 2026

Le règlement (UE) 2024/1689, connu sous le nom d’AI Act, a franchi une étape déterminante le 2 août 2026. La majorité de ses dispositions sont entrées en application et les autorités nationales de surveillance du marché ont commencé à en contrôler le respect. Le calendrier a toutefois été remanié quelques jours plus tôt par le règlement dit Digital Omnibus sur l’IA, entré en vigueur le 27 juillet 2026, qui a repoussé plusieurs échéances majeures.

Que change concrètement l’échéance du 2 août 2026 ?

L’article 50 du règlement impose des obligations de transparence à deux catégories d’acteurs : les fournisseurs qui conçoivent les systèmes et les déployeurs qui les utilisent. La Commission européenne a publié le 20 juillet 2026 des lignes directrices dédiées, complétées par un Code de bonnes pratiques signé par plus de 180 organisations.

Côté fournisseurs, deux règles structurent tout le reste. Un système destiné à interagir directement avec des personnes doit être conçu pour que celles-ci sachent qu’elles s’adressent à une intelligence artificielle, sauf si cela ressort clairement du contexte. Un système générant du contenu synthétique, texte, image, audio ou vidéo, doit marquer ses sorties dans un format lisible par machine.

Côté déployeurs, les hypertrucages doivent être signalés comme générés ou manipulés par une IA. Il en va de même pour les textes publiés afin d’informer le public sur des questions d’intérêt général, sauf lorsqu’un contrôle éditorial humain a eu lieu et qu’une personne en assume la responsabilité. Cette exception protège les rédactions qui relisent et valident, mais elle ne couvre pas la publication automatisée en masse, sanctionnée par ailleurs comme contenu à faible valeur ajoutée du point de vue des moteurs.

Quel est le calendrier consolidé de l’AI Act ?

Le règlement déploie ses obligations par vagues successives depuis son entrée en vigueur, le 1er août 2024. Le Digital Omnibus a décalé les échéances liées aux systèmes à haut risque, dont les normes harmonisées n’étaient pas prêtes.

Le report des obligations haut risque s’explique par un blocage technique. Les organismes de normalisation CEN et CENELEC, mandatés dès mai 2023, n’ont pas pu finaliser les normes harmonisées à temps. Sans ces normes, pas de présomption de conformité, donc pas de sécurité juridique pour les fournisseurs.

Comment doivent être marqués les contenus générés par IA ?

Le Code de bonnes pratiques précise une approche de marquage à plusieurs couches, avec au minimum deux niveaux : des métadonnées signées numériquement et un filigrane imperceptible. Pour le texte libre au-delà de 200 jetons, le filigranage doit être appliqué même si sa fiabilité reste inférieure à celle obtenue sur les contenus très longs.

Les signataires s’engagent également à mettre gratuitement à disposition une solution de détection permettant de vérifier si un contenu provient de leur système. Du côté de l’affichage, le Code prévoit une icône européenne portant l’acronyme « AI » en majuscules, accompagnée si nécessaire d’une mention indiquant si le contenu a été généré ou modifié, placée au plus tard au moment de la première exposition.

Des exceptions limitées existent. Les usages de prévention et de détection des infractions pénales en bénéficient, sous garanties. Pour les hypertrucages, les œuvres manifestement artistiques, créatives, satiriques ou fictives conservent une obligation de divulgation, mais adaptée pour ne pas gêner la jouissance de l’œuvre. Ces règles concernent directement les outils de génération d’images dont les productions circulent sur les réseaux sociaux.

Quelles sanctions en cas de manquement ?

Le règlement prévoit deux niveaux de sanctions financières, calculés sur le montant le plus élevé entre une somme fixe et un pourcentage du chiffre d’affaires annuel mondial.

• Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour les manquements aux obligations de transparence
• Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites de l’article 5

Un principe de proportionnalité s’applique aux PME et aux petites entreprises à capitalisation moyenne. Le Bureau de l’IA a par ailleurs ouvert un outil de plaintes, un dispositif pour les lanceurs d’alerte et un canal dédié aux fournisseurs en aval utilisant des modèles à usage général.

Au-delà de l’amende, le risque réputationnel pèse lourd, en particulier sur les hypertrucages, dans un contexte de sensibilité croissante du public à la désinformation.

Qui contrôle l’application du règlement en France ?

La surveillance est partagée entre deux niveaux. Le Bureau de l’IA, au sein de la Commission européenne, supervise les modèles d’IA à usage général et les systèmes bâtis dessus lorsque le fournisseur est le même. Tout le reste, y compris les obligations de transparence, relève des autorités nationales de surveillance du marché.

En France, ce paysage restait en construction à la date du 2 août 2026 : aucun texte général ne désignait encore l’ensemble des autorités compétentes ni un régime autonome de sanctions. D’autres États membres ont avancé plus vite, l’Italie ayant adopté dès octobre 2025 une loi nationale sur l’IA assortie d’amendes pouvant atteindre 774 685 euros.

La CNIL s’est positionnée comme acteur central dès lors que les systèmes traitent des données personnelles, considérant que l’AI Act et le RGPD se complètent. Elle dispose d’une direction dédiée aux technologies, à l’innovation et à l’intelligence artificielle, et a publié en avril 2025 le bilan de son bac à sable consacré à l’IA dans les services publics.

Que doivent faire les entreprises concernées ?

Le premier travail consiste à recenser les systèmes d’IA utilisés, y compris ceux intégrés à des outils du quotidien. Un assistant conversationnel sur un site, un générateur de visuels pour les réseaux sociaux ou une brique de rédaction assistée entrent tous dans le champ de l’article 50.

Vient ensuite la vérification des mentions affichées aux utilisateurs, puis celle des contenus publiés. Une organisation qui s’appuie sur un assistant de rédaction doit savoir si ses textes relèvent de l’obligation de divulgation ou de l’exception liée au contrôle éditorial humain, question qui se pose pour tout usage professionnel d’un assistant de type Copilot ou ChatGPT.

Un point important atténue l’urgence pour l’existant : les systèmes mis sur le marché avant le 2 août 2026 ne sont soumis au règlement que s’ils subissent des modifications substantielles de conception après cette date. Les fournisseurs et déployeurs de systèmes à haut risque utilisés par des autorités publiques disposent quant à eux jusqu’au 2 août 2030.

Cet article présente le cadre général issu de sources publiques et ne constitue pas un conseil juridique. Toute analyse de conformité appliquée à une situation particulière relève d’un avocat spécialisé en droit du numérique ou du délégué à la protection des données de l’organisation.

Questions fréquentes sur l’AI Act et l’échéance d’août 2026

Le règlement s’applique-t-il aux entreprises hors Union européenne ?

Oui dès lors que le système d’IA est mis sur le marché de l’Union ou que ses résultats y sont utilisés. Le critère est le marché visé, pas le lieu d’établissement du fournisseur, sur un principe voisin de celui retenu par le RGPD.

Un chatbot de service client est-il concerné ?

Oui. Un système destiné à interagir directement avec des personnes physiques doit informer son interlocuteur qu’il s’adresse à une intelligence artificielle, sauf lorsque cela ressort clairement du contexte d’utilisation.

Faut-il signaler chaque texte rédigé avec une IA ?

L’obligation de divulgation vise les textes publiés dans le but d’informer le public sur des questions d’intérêt public. Elle ne s’applique pas lorsque le contenu a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale en assume la responsabilité éditoriale.

Pourquoi les obligations haut risque ont-elles été reportées ?

Parce que les normes harmonisées européennes n’étaient pas finalisées, les consultations publiques étant attendues fin 2026 ou début 2027. Sans ces normes, les fournisseurs ne bénéficient d’aucune présomption de conformité, ce qui a conduit à lier l’échéance à leur disponibilité.

Qu’est-ce que le Digital Omnibus sur l’IA ?

C’est un règlement modificatif entré en vigueur le 27 juillet 2026, proposé en novembre 2025 et adopté par le Conseil le 29 juin 2026. Il reporte les échéances haut risque, étend certaines simplifications aux petites entreprises à capitalisation moyenne et renforce les pouvoirs d’enquête du Bureau de l’IA.

Quelles nouvelles interdictions arrivent en décembre 2026 ?

Le Digital Omnibus introduit l’interdiction des systèmes générant des hypertrucages sexuels non consentis, désignés comme applications de dénudation, ainsi que des contenus pédocriminels. La même date marque la fin du délai transitoire de marquage pour les systèmes déjà commercialisés.

Une PME est-elle soumise aux mêmes amendes qu’un grand groupe ?

Les plafonds sont identiques dans le texte, mais un principe de proportionnalité s’applique aux PME et aux petites entreprises à capitalisation moyenne. Le montant retenu correspond au plus élevé entre la somme fixe et le pourcentage du chiffre d’affaires mondial.

Ce qu’il faut retenir de l’échéance du 2 août 2026

Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026 : information de l’utilisateur face à un système d’IA, marquage lisible par machine des contenus générés, signalement des hypertrucages. Les règles sur les systèmes à haut risque ont été reportées au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I. Les amendes atteignent 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour la transparence, 35 millions ou 7 % pour les pratiques interdites. En France, la désignation complète des autorités compétentes restait en cours à cette date.