En juillet, un titre confortable a circulé : « Bruxelles reporte l'AI Act ». On l'a lu en diagonale, relayé sur Slack avec un emoji de soulagement, et classé avec les dossiers qu'on regardera en septembre. Trois semaines plus tard, presque personne dans l'entreprise française moyenne ne sait qu'une partie du règlement est en vigueur depuis le 2 août et que ça la concerne directement.
La thèse en une phrase : ce qui a été reporté, c'est la partie que presque aucune PME n'avait sur les bras, et ce qui n'a PAS été reporté, c'est la partie que presque tout le monde a —un chatbot sur le site, un générateur d'images en marketing, un assistant interne—. Le titre sur le report t'a rassuré exactement sur ce qui ne te concernait pas.
Ce qui a vraiment changé dans l'AI Act en août 2026
Le texte s'appelle l'omnibus numérique sur l'IA —Règlement (UE) 2026/1744— et il est entré en vigueur le 27 juillet 2026, neuf jours avant la date encerclée en rouge depuis deux ans. Son effet n'a pas été de geler le règlement : il a déplacé certaines échéances et laissé les autres exactement où elles étaient. Le motif annoncé n'a rien de mystérieux non plus : les normes harmonisées et les guides de mise en œuvre nécessaires pour faire tourner la loi ne sont pas arrivés à temps.
| Bloc | Date avant | Date maintenant |
|---|---|---|
| Systèmes à haut risque de l'Annexe III (emploi, éducation, crédit, infrastructures critiques…) | 2 août 2026 | 2 décembre 2027 |
| Haut risque intégré dans des produits réglementés (Annexe I) | 2 août 2027 | 2 août 2028 |
| Transparence (article 50) : chatbots, contenu synthétique, deepfakes | 2 août 2026 | 2 août 2026 — inchangé |
| Pratiques interdites (article 5) et culture de l'IA (article 4) | 2 février 2025 | 2 février 2025 — déjà en vigueur |
Relis-la et retiens la troisième ligne. C'est la seule qui n'a pas bougé, et c'est justement celle qui touche le plus d'entreprises sans qu'elles le sachent.
L'article 50 est la partie que presque personne n'a lue, et c'est celle qui te concerne
L'article 50 ne parle pas d'algorithmes qui décident des licenciements ni de scoring de crédit. Il parle de quelque chose de bien plus banal : que les gens sachent quand ils ont affaire à une machine, et quand ce qu'ils voient a été généré par une machine. Quatre obligations, aucune exotique :
- Ton chatbot doit dire qu'il est un chatbot. Si une personne interagit avec un système d'IA, il faut l'en informer, sauf si c'est évident pour quelqu'un d'un tant soit peu attentif. « Bonjour, je suis Marta du service client » sans autre précision, ce n'est plus une décision de copywriting : c'est une décision réglementaire.
- Le contenu synthétique doit porter un marquage lisible par une machine. Texte, image, audio ou vidéo générés ou manipulés par IA doivent porter une marque qu'un système puisse détecter. Il ne suffit pas que toi, tu saches que c'est un modèle qui l'a fait.
- Les deepfakes s'étiquettent. Si tu publies un contenu qui ressemble à une personne, un lieu ou un fait réels et que ça n'en est pas un, il faut le dire.
- La reconnaissance des émotions et la catégorisation biométrique se signalent. Si ton système classe quelqu'un d'après son visage, sa voix ou son état émotionnel, cette personne doit le savoir.
Aucune des quatre n'exige un projet de six mois. Toutes exigent que quelqu'un s'en occupe. Et c'est là le vrai problème, qui n'est pas juridique.
Pourquoi c'est un problème d'exploitation, pas de service juridique
Le réflexe de presque toutes les entreprises face à un sigle réglementaire, c'est de l'envoyer au juridique, de recevoir un rapport de vingt pages et de le ranger. Avec l'article 50, ce réflexe échoue, parce que l'obligation ne vit pas dans un contrat : elle vit dans le produit. Elle vit dans la première ligne du widget de ton site, dans la légende d'une image de campagne, dans le flux de l'assistant interne que quelqu'un a monté en mars et que personne n'a rouvert depuis.
Et elle vit, surtout, dans un inventaire que presque personne n'a. La question qui plombe la plupart des réunions n'est pas « est-ce qu'on est conformes ? », c'est « combien de systèmes d'IA visibles par l'utilisateur avons-nous en ce moment ? ». Si la réponse prend plus d'une minute, le problème n'est pas la conformité : c'est la gouvernance et le contrôle de l'automatisation IA, et la conformité n'est que le premier endroit où ça se voit.
Que faire cette semaine si tu as un bot, un générateur de contenu ou un assistant interne
- Fais la liste. Tous les systèmes d'IA avec lesquels une personne interagit —client ou salarié— et tous ceux qui génèrent du contenu publiable. Inclus ce qu'une agence a monté, ce qui était déjà dans un outil que tu payais, et ce que quelqu'un a branché sans prévenir.
- Vérifie la mention. Chaque point de contact conversationnel doit dire, avant la première réponse, qu'il y a une IA derrière. Dans la langue de l'utilisateur et sans petits caractères.
- Contrôle le marquage. Prends une image ou un audio générés la semaine dernière, regarde-les comme les verrait une machine, et confirme que la marque est toujours là après être passée par ton gestionnaire de contenu.
- Écris qui est responsable. Chaque système de la liste, avec un nom à côté. Pas un service : une personne. C'est la moitié du travail de n'importe quel futur audit, et la seule façon d'empêcher la liste de vieillir.
- Laisse une trace. Quelle version du système était active, ce qu'elle a généré et quand. Quand quelqu'un demandera pour un cas précis dans huit mois, la réponse ne peut pas être une reconstitution : c'est ça, la traçabilité des décisions d'IA, et ça se monte avant d'en avoir besoin, pas après.
Quatre des cinq points relèvent de l'inventaire et de la discipline. Seul le troisième peut t'obliger à changer d'outil. C'est de loin l'obligation réglementaire la moins chère qui va t'arriver depuis des années —et c'est justement pour ça qu'il n'y a aucune excuse à être en retard.
L'erreur de lire « reporté » comme « on verra plus tard »
Il y a un second piège dans le titre. L'omnibus n'a pas été qu'un report : il a aussi élargi la liste des pratiques interdites, avec de nouvelles interdictions qui entrent en vigueur le 2 décembre 2026. Celui qui a lu « la réglementation se relâche » a mal lu. Le calendrier d'une partie a bougé, une autre s'est durcie, et celle de la transparence n'a pas bougé.
En Espagne s'ajoute une nuance qui perd beaucoup de monde : le projet de loi qui désigne l'autorité nationale et fixe le régime de sanctions est toujours en instance devant le Parlement. De là, on saute trop facilement à la conclusion que « donc il ne se passe rien ». Ça ne marche pas comme ça. Un règlement européen s'applique directement ; que l'appareil de sanctions national ne soit pas bouclé affecte le quand et le comment de la sanction, pas l'existence de l'obligation. Et il y a un superviseur qui n'attend aucun projet de loi : ton gros client, qui t'envoie déjà des questionnaires fournisseur avec ces questions dedans.
Ce que tu peux vraiment mettre de côté, et jusqu'à quand
Si ton système relève de l'Annexe III —tri de CV, évaluation d'étudiants, scoring de crédit, gestion d'infrastructures critiques— tu as jusqu'au 2 décembre 2027. C'est un an et demi de plus, et c'est réel : utilise-le. Mais utilise-le pour construire, pas pour attendre, parce que les obligations de haut risque ne sont pas un formulaire. Ce sont de la documentation technique, de la gestion des risques, de la qualité de la donnée, un registre des événements et une supervision humaine effective. Ce dernier point, en plus, n'est pas de la paperasse : c'est une décision de conception à prendre pendant la construction, pas à la fin —tu la trouves développée dans l'humain dans la boucle de l'automatisation IA.
Et il y a une partie qui n'a jamais été reportée et que presque tout le monde continue d'ignorer : la culture de l'IA. Elle est en vigueur depuis février 2025. Ça veut dire que quiconque utilise ces systèmes dans ton entreprise doit comprendre ce qu'ils font et ce qu'ils ne font pas. En pratique, la plupart des incidents qu'on a vus ne viennent pas d'un mauvais modèle : ils viennent de quelqu'un qui a confié à un modèle un travail pour lequel il n'était pas fait.
Ce qu'il faut retenir
- L'AI Act en août 2026 n'a pas été reporté en bloc. Le haut risque de l'Annexe III a été reporté à décembre 2027, et celui de l'Annexe I à août 2028.
- L'article 50 —chatbot qui s'identifie, contenu synthétique marqué, deepfake étiqueté, reconnaissance des émotions signalée— est exigible depuis le 2 août 2026.
- C'est l'obligation qui touche le plus d'entreprises et la moins chère à respecter, si tu sais quels systèmes tu as en vie.
- Le goulot d'étranglement n'est pas juridique : c'est que personne n'a l'inventaire ni le responsable de chaque système.
- « Reporté » ne veut pas dire « désactivé » : le même omnibus a élargi les pratiques interdites à partir de décembre 2026.
Si en lisant ça tu n'as pas pu énumérer de mémoire tes systèmes d'IA visibles par l'utilisateur, le travail ne commence pas par la mention du chatbot : il commence par l'inventaire, et par mettre un nom en face de chaque ligne. C'est ce qu'on monte dans se mettre en conformité avec l'AI Act en exploitant l'IA, et l'échafaudage de fond —qui peut toucher quelle donnée, avec quelle permission et quelle trace— c'est la gouvernance de la donnée. Le règlement t'a offert seize mois sur la partie chère. Ce serait du gâchis de les passer à attendre.