Data / IA
AI Act : ce qui change vraiment pour les entreprises au 2 août 2026
Par Guillaume Perissat, publié le 05 août 2026
Le 2 août 2026 constitue une nouvelle étape dans le déploiement de l’AI Act. Mais contrairement à ce que pourrait laisser penser cette date, les obligations les plus lourdes concernant les systèmes d’IA à haut risque ne deviennent pas toutes applicables. Pour les entreprises et les DSI, le principal changement immédiat concerne la transparence des usages de l’IA.
Le calendrier européen de l’intelligence artificielle franchit une nouvelle étape. Depuis le 2 août 2026, le règlement européen sur l’IA (AI Act) est, en principe, pleinement applicable. Donc opposable.
Le texte lui-même prévoyait cette date comme échéance générale, avec toutefois plusieurs exceptions et calendriers différés, du fait du Digital Omnibus.
Dans les faits, les entreprises doivent surtout composer avec l’entrée en application de l’article 50, consacré aux obligations de transparence. La Commission européenne a publié ses lignes directrices sur le sujet le 20 juillet, quelques jours seulement avant l’échéance.
L’IA devra désormais davantage avancer à découvert
Premier changement concret, lorsqu’un utilisateur interagit directement avec une IA, quelle que soit sa nature, il doit en être informé. Sauf lorsque cela apparaît clairement au regard du contexte et des circonstances. Cette obligation concerne notamment les systèmes conversationnels et les assistants intégrés dans des services numériques. Ainsi, un chatbot déployé sur un site web ou un assistant destiné aux collaborateurs d’une entreprise ne peut plus laisser planer inutilement le doute sur la nature de l’interlocuteur.
L’article 50 impose également aux fournisseurs de certains systèmes génératifs de concevoir leurs technologies afin que les contenus produits ou manipulés par l’IA puissent être détectés sous une forme lisible par machine. Une subtilité mérite toutefois d’être soulignée : les systèmes génératifs déjà mis sur le marché avant le 2 août 2026 bénéficient d’une période transitoire pour se mettre en conformité avec les obligations de marquage des contenus. Cette période court jusqu’au 2 décembre 2026.
Deepfakes : la transparence devient obligatoire
Autre volet très visible : les contenus de type « deepfake » doivent être signalés comme ayant été artificiellement générés ou manipulés. Même logique pour les contenus textuels générés ou manipulés par une IA et publiés afin d’informer le public sur des sujets d’intérêt général, lorsqu’ils n’ont pas fait l’objet d’un contrôle humain ou éditorial.
La règle ne vise donc pas uniquement les géants de l’IA. Elle concerne aussi les entreprises qui utilisent des outils génératifs pour produire des contenus à destination de leurs clients, partenaires ou du grand public. La question devient dès lors très opérationnelle : quels outils produisent aujourd’hui du contenu susceptible d’être diffusé à l’extérieur de l’entreprise, quelles capacités de marquage proposent-ils et les pipelines de publication sont-ils entièrement automatisés ou révisés par des humains ?
Le « haut risque » peut attendre… mais pas disparaître
À noter que les obligations les plus contraignantes applicables aux systèmes d’IA à haut risque ne s’appliquent finalement pas toutes aujourd’hui. Le Digital Omnibus a décalé leur calendrier. Le Conseil de l’Union européenne a donné son feu vert définitif le 29 juin 2026. Les obligations concernant les systèmes d’IA à haut risque autonomes relevant notamment de l’annexe III sont désormais fixées au 2 décembre 2027.
Pour les systèmes à haut risque intégrés dans des produits soumis à la législation européenne de sécurité, l’échéance est portée au 2 août 2028. Le report concerne notamment des domaines comme l’emploi et le recrutement, l’éducation, certaines infrastructures critiques, la biométrie, l’accès à certains services essentiels ou encore la gestion des migrations et des frontières.
Ce décalage peut sembler être un répit, mais rappelons-nous le RGPD ou encore NIS 2. La mise en conformité d’un système à haut risque suppose notamment de travailler sur la gouvernance, la qualité des données, la traçabilité, la supervision humaine, la gestion des risques et la documentation.
Le temps de l’inventaire
Au-delà des obligations juridiques, le véritable enjeu du 2 août est peut-être ailleurs : les entreprises doivent désormais savoir précisément où et comment l’IA est utilisée. Ce qui n’est pas sans évoquer la mise en place des registres de traitement des données au temps du RGPD.
Quels modèles sont employés ? Pour quelles finalités ? Avec quelles données ? Quels contenus sont générés ? Qui les valide ? Quels fournisseurs sont impliqués ? Les utilisateurs savent-ils lorsqu’ils dialoguent avec une IA ? Les outils utilisés permettent-ils de respecter les nouvelles exigences de transparence ? Autant de questions auxquelles il devient impératif de pouvoir répondre dès maintenant.
Cette cartographie est d’autant plus importante que l’entreprise peut être à la fois déployeur et fournisseur au sens de l’AI Act, selon la manière dont elle développe, modifie ou met à disposition un système d’IA. Le sujet dépasse donc largement la seule direction juridique. Il implique la DSI, la sécurité, les achats, les métiers, les ressources humaines, la communication et, de plus en plus, la direction générale. Le rendre applicable en plein mois d’Août n’était probablement pas la décision la plus judicieuse. La rentrée promet d’être tendue…
À LIRE AUSSI :
À LIRE AUSSI :
