AI Act 2026 : ce que votre entreprise doit faire avant le 2 août
« De toute façon, c’est reporté à 2027. » Cette phrase circule dans beaucoup de comités de direction depuis le vote du Digital Omnibus en juin 2026, et elle coûte déjà cher à ceux qui la croient sur parole. Elle est vraie pour une partie de l’AI Act, celle qui concerne les systèmes à haut risque. Elle est fausse pour tout le reste. Et « tout le reste », au 2 août 2026, comprend exactement ce que votre entreprise utilise déjà au quotidien : chatbot sur votre site, générateur de contenu, assistant conversationnel côté RH ou service client.
En une phrase : le 2 août 2026, ce ne sont pas les obligations sur l’IA à haut risque qui deviennent contrôlables (elles sont repoussées à décembre 2027), mais les obligations de transparence de l’article 50 et l’obligation de littératie IA de vos équipes, en vigueur depuis février 2025.
Pourquoi tout le monde se trompe sur ce que dit vraiment le report
Reprenons calmement, parce que la confusion vient d’un raccourci compréhensible mais dangereux. Au printemps 2026, la Commission européenne a proposé le paquet « Digital Omnibus » pour simplifier certains aspects du règlement. Le Parlement l’a adopté en juin, le Conseil a donné son feu vert final fin juin. Son effet réel : décaler à décembre 2027 les obligations les plus lourdes, celles qui concernent les systèmes d’IA à haut risque utilisés de façon autonome dans des décisions à fort impact (recrutement automatisé, scoring, évaluation de crédit). L’IA embarquée dans des produits déjà réglementés, elle, gagne encore plus de temps : août 2028.
Ce que l’Omnibus n’a pas touché, en revanche, mérite d’être répété une seconde fois tellement l’idée inverse s’est installée : les pratiques interdites depuis février 2025, les obligations sur les modèles d’IA à usage général comme GPT, Claude ou Mistral depuis août 2025, et les obligations de transparence prévues pour le 2 août 2026. Un report partiel n’est pas une pause générale. C’est précisément le piège dans lequel beaucoup de dirigeants sont en train de tomber, en confondant « le plus dur est repoussé » avec « je n’ai rien à faire cet été ».
Ce qui devient réellement contrôlable au 2 août 2026
Trois choses, très concrètes, méritent votre attention avant cette date.
La transparence envers vos utilisateurs. Si votre entreprise déploie un chatbot, un assistant conversationnel ou un outil qui génère du contenu diffusé publiquement, vous devez informer clairement la personne qu’elle échange avec une IA. Un visuel, un texte ou une vidéo produits ou modifiés par IA doivent être signalés comme tels. Ce n’est pas une case à cocher discrète en bas de page : l’esprit du texte est que la personne comprenne, au moment où elle interagit, qu’elle n’a pas affaire à un humain.
Des autorités de contrôle qui deviennent opérationnelles. Chaque État membre active son régulateur national, avec un vrai pouvoir de contrôle. Beaucoup d’entreprises attendent que la France désigne formellement son autorité pour commencer à s’y intéresser. C’est un mauvais calcul : l’obligation existe indépendamment du calendrier de nomination du régulateur qui la fera appliquer.
Une littératie IA qu’il faut pouvoir prouver. Depuis février 2025, toute organisation qui utilise l’IA doit prendre des mesures pour développer le niveau de maîtrise de ses équipes. L’Omnibus a assoupli le texte : on est passé d’une obligation de résultat à une obligation de moyens. Mais assoupli ne veut pas dire supprimé. Concrètement, à partir du 2 août, si un contrôle a lieu, on ne vous demandera plus seulement si vous avez l’intention de former vos équipes, mais ce que vous avez réellement fait.
Les quatre questions à vous poser avant l'été
Si vous dirigez une entreprise ou pilotez le sujet IA en interne, voici l’exercice à faire cette semaine plutôt qu’en septembre :
Savez-vous précisément quels outils d’IA générative ou conversationnelle sont utilisés chez vous, par quels services, et pour quels usages ? Un inventaire réel, pas la liste des licences achetées par la DSI.
Les personnes qui parlent à votre chatbot ou à votre assistant IA le savent-elles clairement ?
Vos contenus générés par IA et diffusés publiquement sont-ils identifiés comme tels ?
Pouvez-vous montrer, avec une trace écrite, ce que vous avez fait pour former vos équipes à l’usage de ces outils ?
C’est cette dernière question qui coince presque toujours. La plupart des PME ont commencé à utiliser l’IA bien avant de penser à la former, et se retrouvent aujourd’hui sans aucune preuve d’un effort de montée en compétence, alors que l’obligation existe depuis un an et demi.
Tableau Récapitulatif
| Obligation | Échéance | Qui est concerné | Ce qu'il faut faire avant le 2 août |
|---|---|---|---|
| Pratiques interdites (article 5) | Depuis février 2025 | Toute entreprise | Vérifier l'absence de pratiques interdites (scoring social, manipulation) |
| Littératie IA (article 4) | Depuis février 2025, vérifiable au 2 août 2026 | Toute entreprise utilisant l'IA | Documenter les actions de formation menées |
| Obligations GPAI | Depuis août 2025 | Fournisseurs de modèles généralistes | Peu concerné pour les entreprises utilisatrices |
| Transparence (article 50) | 2 août 2026 | Toute entreprise avec chatbot ou contenu généré public | Informer les utilisateurs, signaler les contenus synthétiques |
| Systèmes à haut risque (annexe III) | Reporté à décembre 2027 | Recrutement automatisé, scoring, décisions à fort impact | Anticiper, sans urgence immédiate |
