Mis à jour le 12 juillet 2026 — sur ce dossier, deux semaines changent la donne : vérifiez la date avant de vous y fier et, pour les décisions, ne vous fiez qu'à EUR-Lex.
Vous avez lu partout que « l'AI Act a été reporté à 2027 ». Vous vous êtes détendu. À tort.
Ce qui a glissé, c'est une partie : les obligations sur les systèmes à haut risque. Tout le reste avance, et le 2 août 2026 — dans trois semaines — apporte ce qui vous touche vraiment si vous avez un chatbot sur votre site, générez des contenus avec l'IA ou avez intégré un modèle dans un produit : l'article 50, la transparence. Et il y a un détail encore plus gênant, que presque personne n'écrit.
Le report, techniquement, n'est pas encore loi
Reconstituons la séquence, car ici les détails de procédure comptent :
| Quand | Quoi |
|---|---|
| 19 nov. 2025 | La Commission propose le « Digital Omnibus » sur l'IA (COM/2025/836) |
| 7 mai 2026 | Accord provisoire en trilogue |
| 16 juin 2026 | Le Parlement européen approuve |
| 29 juin 2026 | Le Conseil de l'UE adopte formellement |
| aujourd'hui | Il manque la signature et la publication au Journal officiel de l'UE (GUUE) |
Le règlement modificatif entre en vigueur trois jours après sa publication au Journal officiel. Jusqu'à ce moment-là, c'est l'AI Act dans sa version 2024 qui s'applique, avec le calendrier d'origine. Traduction pour qui doit décider :
Qui planifie aujourd'hui sur les seules nouvelles dates raisonne sur un texte arrêté mais pas encore en vigueur. La publication est attendue d'ici fin juillet, précisément pour arriver avant le 2 août : c'est une attente fondée, pas une certitude juridique.
Le calendrier, par couches
L'erreur mentale la plus répandue consiste à traiter l'AI Act comme un bloc unique qui se déplace d'un seul tenant. Il n'en est rien : c'est une mosaïque, et chaque tesselle a sa date.
Déjà en vigueur (depuis 2025)
Les interdictions — notation sociale, manipulation subliminale, exploitation des vulnérabilités — sont opérationnelles depuis plus d'un an, zéro report. Et il y a l'obligation la plus ignorée d'Europe : l'AI literacy (maîtrise de l'IA) — quiconque utilise des systèmes d'IA doit en comprendre le fonctionnement et les limites, et savoir quand l'œil humain est nécessaire. C'est aussi la moins coûteuse à régler : un plan de formation documenté se met en place en quelques semaines, et le Digital Omnibus le confirme. Depuis 2025 sont également en vigueur les obligations pour ceux qui publient des modèles à usage général; en Italie, leur surveillance relève de l'ACN (Legge 132/2025, la loi italienne sur l'IA — la répartition des compétences nationales reste toutefois mouvante : à vérifier avec un juriste).
2 août 2026 — la date qui compte maintenant
Le report ne touche à rien de ce qui suit. L'article 50 impose trois obligations distinctes, souvent confondues en une seule :
- Les systèmes qui interagissent avec des personnes doivent se déclarer comme des IA. Le chatbot du service client doit dire qu'il est un chatbot. Pas « de toute façon ça se voit » : il doit le dire.
- Les contenus synthétiques doivent être marqués dans un format lisible par la machine — texte, images, audio, vidéo, avec des métadonnées de provenance sur des formats ouverts (en pratique : C2PA / Content Credentials). L'obligation pèse sur le fournisseur du système génératif.
- Les deepfakes et les textes d'intérêt public doivent être signalés de manière visible à l'utilisateur. Cela pèse sur le déployeur, c'est-à-dire sur celui qui publie.
Qui doit se réveiller maintenant, par ordre d'urgence : qui a un chatbot ou un assistant conversationnel en production; les e-commerces qui génèrent leurs descriptions produit avec un modèle; les agences, éditeurs et médias qui publient des contenus générés ou manipulés; qui revend un produit incorporant un modèle génératif. Ce n'est pas un sujet réservé aux big tech : c'est un sujet pour quiconque a mis un LLM dans un flux tourné vers le public.
Toujours à compter du 2 août : les autorités nationales de surveillance deviennent pleinement opérationnelles et la plus grande partie des dispositions de sanction devient applicable. Jusqu'ici, l'AI Act était, pour beaucoup, un exercice académique; à partir d'août, quelqu'un frappe à la porte. Et la règle générale vaut : ce qui n'est pas expressément reporté s'applique.
2 décembre 2026 — le détail que presque personne n'écrit
Les systèmes génératifs déjà sur le marché avant le 2 août 2026 disposent de quatre mois supplémentaires pour se conformer au marquage des contenus; ceux lancés après doivent naître conformes. La conséquence opérationnelle qui échappe à tout le monde :
Il faut connaître la date de mise en production de chaque système, car c'est elle qui détermine l'échéance applicable. Si l'inventaire IA ne trace pas le « quand est-il passé en production », vous n'êtes même pas en mesure de dire à quel régime vous appartenez.
Même date pour le seul point où l'Omnibus durcit le texte : deux nouvelles interdictions, sur les applications de « nudification » (images intimes non consenties de personnes identifiables) et sur le matériel d'abus visant des mineurs — avec responsabilité du fournisseur y compris lorsque la sortie est raisonnablement prévisible en l'absence de garde-fous techniques. Pour qui construit des outils de génération d'images, c'est une exigence de conception, pas une ligne de politique interne.
2027–2028 — la partie réellement reportée (avec une subtilité)
Les obligations sur le haut risque glissent, mais pas à date fixe : c'est un report conditionné. Elles s'enclenchent 6 ou 12 mois après que la Commission a confirmé par décision formelle la disponibilité des normes techniques; à défaut de cette décision, deux dates butoirs s'appliquent malgré tout — le 2 décembre 2027 pour le haut risque « autonome » (sélection du personnel, notation de crédit, services publics, éducation, infrastructures critiques) et le 2 août 2028 pour celui intégré dans des produits déjà réglementés (par exemple les dispositifs médicaux). La raison du report est le retard des normes européennes. Mais le chronomètre peut repartir plus tôt que prévu : ce n'est pas une amnistie, c'est une pause avec le réveil déjà réglé. Les bacs à sable réglementaires nationaux glissent eux aussi d'un an — le point le plus critiquable du paquet, car ils servaient précisément aux PME.
Le tableau d'ensemble
| Date | Quoi | Reporté? |
|---|---|---|
| 2 févr. 2025 | Interdictions · AI literacy | déjà en vigueur |
| 2 août 2025 | Modèles à usage général · gouvernance | déjà en vigueur |
| 2 août 2026 | Transparence (art. 50) · sanctions · autorités | NON — compte maintenant |
| 2 déc. 2026 | Marquage pour les systèmes préexistants · nouvelles interdictions | nouveau délai |
| 2 août 2027 | Bacs à sable réglementaires nationaux | oui (+12 mois) |
| 2 déc. 2027 | Haut risque « autonome » | oui, conditionné |
| 2 août 2028 | Haut risque intégré dans des produits réglementés | oui, conditionné |
Que faire avant août (pas « d'ici 2027 »)
- 1 · Inventaire des systèmes d'IA. Un tableur ou une base de données : pour chaque système en usage, en développement ou en cours d'achat — fournisseur, finalité, rôle (fournisseur ou utilisateur), date de mise en production, données traitées, classe de risque. Cela ne dépend ni des normes ni du Journal officiel : cela se fait aujourd'hui, et c'est le prérequis de tout le reste.
- 2 · Classification. Interdit / haut risque / transparence / minimal. Attention à l'angle mort : l'IA utilisée pour le tri des CV, l'évaluation des performances, l'attribution des tâches, la surveillance des travailleurs relève du haut risque. Beaucoup d'entreprises l'ont dans leurs outils RH sans le savoir.
- 3 · Transparence — la seule avec une échéance réelle à trois semaines. Le chatbot se déclare-t-il comme une IA? (C'est une ligne de texte dans le premier message, pas un projet.) Les contenus générés sont-ils marqués? Les deepfakes sont-ils signalés de manière visible?
- 4 · AI literacy. Plan de formation documenté : obligation déjà en vigueur, coût faible, preuve de diligence élevée.
- 5 · Ne pas attendre les normes pour démarrer sur le haut risque. Un parcours complet de mise en conformité demande en moyenne 8–14 mois, avec des organismes de certification déjà en file d'attente. Le report redistribue le travail dans le temps, il n'en réduit pas le périmètre.
Le premier et le deuxième point, notons-le, ne relèvent pas du droit : ils relèvent de la gouvernance de l'IT — recenser, classifier, attribuer des responsabilités, mesurer. Qui dispose déjà d'une CMDB et de processus ordonnés part avec la moitié du travail fait.
Cinq choses que vous entendez dire et qui sont fausses
- « L'AI Act a été reporté. » Non : c'est le haut risque qui a été reporté. Le reste avance.
- « Le report est déjà loi. » Pas encore, à la date où nous écrivons : la publication au Journal officiel manque.
- « Cela concerne ceux qui développent l'IA. » Non : la plus grande partie des obligations frappe ceux qui utilisent les modèles d'autrui.
- « C'est une affaire de big tech. » L'article 50 concerne quiconque a un chatbot ou publie des contenus générés.
- « J'attends les normes et ensuite je bouge. » Inventaire et classification ne dépendent pas des normes. Et le report est conditionné : dès que la Commission confirme, un compte à rebours de six mois s'enclenche.
Les questions qu'on nous pose
Nous utilisons ChatGPT ou Copilot en entreprise : sommes-nous des « fournisseurs »?
Non, vous êtes des utilisateurs (déployeurs). Les obligations sont plus légères, mais elles existent : AI literacy, transparence envers les personnes concernées, usage conforme aux instructions du fournisseur, interdiction des usages prohibés.
Notre chatbot de support est-il « à haut risque »?
En général non : c'est un risque limité, avec une obligation de transparence (il doit se déclarer). Il devient à haut risque s'il décide de l'accès à des services essentiels ou évalue des personnes.
Un article écrit avec l'aide de l'IA doit-il être déclaré?
La disclosure de l'article 50 vise l'usage professionnel, pour les deepfakes et les contenus d'intérêt public; l'usage personnel non professionnel est en général exclu. Mais quand le contenu est monétisé ou sert à informer le public, le seuil « personnel » tombe. C'est une zone grise : il faut ici un juriste, pas un blog.
Le marquage des contenus (watermarking) fonctionne-t-il vraiment?
Honnêtement : c'est un problème ouvert. Un watermark qui se brise au premier recadrage ou à la première recompression ne protège personne, et la robustesse des techniques actuelles n'est pas acquise. La norme impose le marquage; la technologie pour le rendre fiable est en chantier. Mieux vaut le savoir avant de vendre des garanties que l'on ne peut pas tenir.
Avertissement (et par où commencer)
Ce billet est un texte de vulgarisation, ceci n'est pas un avis juridique : le cadre est en mouvement et, à la date de rédaction, la publication au Journal officiel du règlement modificatif n'avait pas encore eu lieu. Pour les décisions de conformité, seuls font foi EUR-Lex et un professionnel habilité.
Ce que nous pouvons dire depuis notre métier, c'est que la partie urgente ne demande pas d'avocats : elle demande un inventaire bien fait et un chatbot qui se présente pour ce qu'il est. Ce sont les sujets sur lesquels nous travaillons chaque jour — dans la gouvernance de l'IT, dans la construction d'assistants IA avec des sources vérifiables dans le périmètre du client, et dans la vérification des garde-fous techniques, tests d'intrusion des agents conversationnels compris. Si vous voulez savoir par où commencer dans les trois semaines qui restent, parlons-en.
Sources.
- Règlement (UE) 2024/1689 (AI Act) — la seule source qui fait foi est EUR-Lex.
- « Digital Omnibus » sur l'IA — proposition COM/2025/836, procédure 2025/0359(COD); adoption formelle par le Conseil de l'UE, 29 juin 2026.
- Analyses consultées : Gibson Dunn, NicFab, Studio Legale Stefanelli & Stefanelli, Altalex, Agenda Digitale, Federprivacy (juin–juillet 2026).
- Sur le marquage des contenus : Coalition for Content Provenance and Authenticity (C2PA); norme CEN-CENELEC JTC21 en cours d'élaboration.
