Article rédigé par CIA Conseil en IA à Bourges — dernière mise à jour : 3 août 2026
TL;DR — Ce qu’il faut retenir
L’AI Act est partiellement applicable depuis le 2 août 2026, mais Bruxelles a discrètement repoussé la partie la plus lourde. Ce qui tombe maintenant : la transparence des chatbots, le marquage des contenus IA, la divulgation des deepfakes, les sanctions et la supervision de la formation des équipes. Ce qui glisse à décembre 2027 (annexe III) et août 2028 (produits réglementés) : les obligations lourdes des systèmes à haut risque. Traduction pour votre entreprise : votre chatbot doit se présenter, vos images générées doivent être marquées, vos deepfakes déclarés — et le fait que le haut risque soit reporté n’est pas une invitation à ne rien faire.
Le règlement européen sur l’intelligence artificielle, plus connu sous le nom d’AI Act (ou RIA en français), est désormais applicable pour l’essentiel depuis hier, le 2 août 2026. Sauf que « pour l’essentiel » cache un revirement de calendrier survenu il y a exactement six jours, avec un texte au nom rassurant : le Digital Omnibus. Chez DeepDive, on aime bien les textes qui portent des noms de trains — on trouve que ça inspire confiance. Faisons le point sur ce qui s’applique vraiment, ce qui a été repoussé, et surtout ce que votre entreprise devrait avoir mis en route hier soir.
L’AI Act, c’est quoi au juste (et pourquoi ce n’est pas une loi contre ChatGPT)
L’AI Act, c’est le règlement (UE) 2024/1689, publié au Journal officiel de l’Union européenne en juillet 2024 et entré en vigueur le 1er août 2024. Comme tout règlement européen, il s’applique directement dans les États membres — pas de transposition, pas de délai national, pas de porte de sortie discrète pour la France.
Son ambition affichée : réduire les risques que certains systèmes d’IA font peser sur la santé, la sécurité et les droits fondamentaux, tout en évitant que chaque État membre bricole sa propre régulation dans son coin. Un objectif à peu près aussi simple à formuler que difficile à opérationnaliser, et c’est là que CIA Conseil en IA à Bourges vous aide à transformer l’algorithme en pratique déployable.
Contrairement à ce qu’on entend parfois en salle de réunion, ce n’est pas une « loi sur ChatGPT ». Le texte organise les obligations de toute la chaîne de valeur : fournisseurs qui développent ou commercialisent des systèmes et modèles, déployeurs qui les utilisent en interne, importateurs, distributeurs, et parfois mandataires établis dans l’Union. Autrement dit : si vous cliquez sur « Générer une image » dans Canva pour votre plaquette commerciale, l’AI Act vous parle aussi. Chez CIA Bourges, nous aidons les dirigeants à lire ce cadre en fonction de leurs activités réelles.
Vous êtes probablement concerné (même si vous n’y croyez pas)
L’AI Act cible les acteurs publics et privés établis dans l’Union européenne, mais aussi les entreprises situées hors UE dès lors qu’elles mettent un système ou un modèle d’IA sur le marché européen, le mettent en service dans l’UE ou l’utilisent dans l’Union. Le principe est le même que pour le RGPD : le règlement suit la donnée et l’usage, pas la nationalité de l’entreprise.
Cas n°1
Une agence intègre un assistant conversationnel sur un site client
→ Déployeur soumis à l’article 50 (transparence)
Cas n°2
Un cabinet RH utilise une IA de présélection de CV
→ Système haut risque potentiel (annexe III)
Cas n°3
Un éditeur SaaS ajoute une fonction de scoring
→ Fournisseur, potentiellement haut risque selon la finalité
Restent hors champ : la recherche, le développement et le prototypage avant mise sur le marché, ainsi que les systèmes exclusivement destinés à des usages militaires, de défense ou de sécurité nationale. Autrement dit, votre PoC interne dort tranquille jusqu’à ce que vous décidiez de le mettre en production.
La logique du risque : quatre étages, quatre traitements
Le règlement suit une logique de proportionnalité : plus l’usage de l’IA présente un risque pour les personnes, plus les contraintes s’alourdissent. La Commission européenne distingue quatre niveaux. Point crucial : la catégorisation ne dépend pas du nom commercial de l’outil, mais de sa finalité prévue, de son contexte d’utilisation et des conséquences possibles pour les personnes concernées. Le même modèle peut donc être « risque limité » chez vous et « haut risque » chez le voisin.
| Niveau | Exemples typiques | Statut |
|---|---|---|
| Inacceptable | Notation sociale, manipulation subliminale, reconnaissance émotionnelle au travail | Interdit depuis février 2025 |
| Haut risque | Tri de CV, scoring crédit, biométrie, dispositifs médicaux IA | Reporté à déc. 2027 / août 2028 |
| Risque limité | Chatbots, générateurs d’images, deepfakes | Applicable depuis le 2 août 2026 |
| Minimal | Filtres antispam, IA de jeu vidéo, correcteurs orthographiques | Aucune obligation spécifique |
Les pratiques interdites : ce que vous ne devriez déjà plus faire
Depuis le 2 février 2025, les règles générales du règlement, les interdictions de pratiques d’IA inacceptables et l’exigence de littératie en IA (article 4) sont applicables. Depuis hier, la supervision de cette obligation de formation par les autorités nationales a commencé. Il est donc un peu tard pour découvrir le sujet en même temps que votre premier contrôle.
Le catalogue des pratiques désormais interdites mérite d’être lu par les équipes qui « testent des trucs » sans en parler à la DSI :
- La notation sociale de personnes physiques, à des fins publiques ou privées.
- Les techniques subliminales, manipulatrices ou exploitant les vulnérabilités d’une personne lorsqu’elles peuvent causer un préjudice significatif.
- Le profilage servant uniquement à prédire qu’une personne commettra une infraction.
- La constitution ou l’enrichissement de bases de visages par aspiration non ciblée d’Internet ou de vidéosurveillance.
- La reconnaissance des émotions au travail ou dans l’enseignement, sauf exceptions liées à la santé ou à la sécurité.
- La catégorisation biométrique visant à déduire l’origine raciale, les opinions politiques, les croyances ou l’orientation sexuelle.
- La génération de contenus intimes ou sexuellement explicites non consentis, y compris les applications de « nudification ».
Premier réflexe recommandé : cartographier ce qui est vraiment utilisé dans l’entreprise, y compris les outils testés par les équipes marketing ou RH en dehors du circuit officiel. Le Shadow AI est exactement ce qu’un contrôle fera remonter en premier.
Article 50 : dire que c’est de l’IA, c’est vraiment demandé ?
Oui. Et c’est ce qui change concrètement depuis hier pour la plupart des dirigeants. Les obligations de transparence prévues par l’article 50 s’appliquent depuis le 2 août 2026. Elles concernent trois grandes situations : les interactions avec des personnes, les contenus générés par IA, et les deepfakes.
Le point qui piège tout le monde
Le Digital Omnibus a bien reporté la partie « haut risque », mais pas l’article 50. La transparence des chatbots, le marquage des contenus IA et la divulgation des deepfakes sont exigibles depuis le 2 août 2026. Seul le marquage machine des systèmes déjà en service bénéficie d’une période de grâce de quatre mois, soit jusqu’au 2 décembre 2026.
Concrètement, qu’est-ce qui doit être en place ?
Les fournisseurs d’un système qui interagit directement avec une personne doivent le concevoir de sorte que l’utilisateur soit informé qu’il échange avec une IA. Cela vise typiquement les chatbots de relation client, les assistants conversationnels et certains avatars vocaux. La formule « Bonjour, je suis l’assistant virtuel de… » n’est pas un ornement marketing, c’est une exigence réglementaire.
Les fournisseurs de systèmes génératifs doivent aussi rendre les contenus produits détectables comme artificiellement générés ou manipulés, dans un format lisible par machine lorsque c’est techniquement possible — filigranes numériques, métadonnées, empreintes. Ce marquage est côté fournisseur, pas côté PME qui utilise l’outil.
Les déployeurs qui diffusent une image, un son ou une vidéo constituant un deepfake doivent indiquer de manière visible que le contenu a été généré ou manipulé par IA. Une obligation similaire s’applique aux textes générés ou manipulés par IA publiés pour informer le public sur des sujets d’intérêt général — avec une nuance : si le contenu a fait l’objet d’un contrôle éditorial humain avec responsabilité assumée, l’obligation ne s’applique pas.
Exemple concret
Un hôtel qui place un chatbot sur son site doit signaler clairement au visiteur qu’il dialogue avec une IA. Si son équipe communication publie une vidéo réaliste créée par IA montrant un établissement ou une personne qui n’existe pas, cette nature artificielle doit être divulguée de façon visible. Et non, une mention perdue en pied de page dans les CGU ne suffit pas.
Rappel utile : la transparence AI Act ne dispense d’aucune autre règle. Droit de la consommation, RGPD, droit à l’image, propriété intellectuelle, règles sectorielles — chacun continue de vivre sa vie et peut se cumuler avec l’AI Act. Une belle empilement, comme on aime en Europe.
Les grands modèles au tableau noir (GPAI)
Les règles applicables aux fournisseurs de modèles d’IA à usage général — les GPAI, les grands modèles de langage type GPT, Claude, Gemini, Mistral et consorts — sont entrées en application le 2 août 2025. Depuis hier, la Commission dispose officiellement des pouvoirs de contrôle correspondants.
Ces fournisseurs doivent notamment préparer une documentation technique, communiquer certaines informations aux entreprises qui intègrent le modèle en aval, mettre en place une politique de respect du droit d’auteur européen, et publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement. Ce dernier point a fait grincer des dents à peu près tous les laboratoires concernés — pour des raisons faciles à deviner.
Les modèles présentant un risque systémique (typiquement les modèles au-delà d’un seuil de puissance de calcul défini par le règlement) sont soumis à des exigences supplémentaires : évaluation et réduction des risques, signalement des incidents graves, mesures de cybersécurité adaptées. Les modèles mis sur le marché avant le 2 août 2025 disposent d’un délai de mise en conformité jusqu’au 2 août 2027.
Haut risque : le grand report (et pourquoi ce n’est pas une pause)
Voilà le morceau qui a agité les DPO tout l’été. Le règlement 2026/1744 — dit Digital Omnibus sur l’IA — a été publié au JO le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Sa disposition phare : reporter l’application des obligations « haut risque ».
Les systèmes à haut risque regroupent les usages susceptibles d’affecter fortement la sécurité ou les droits fondamentaux. L’annexe III couvre notamment certains systèmes liés aux infrastructures critiques, à l’éducation, à la gestion des travailleurs, au recrutement, à l’accès au crédit, à l’assurance santé ou vie, au maintien de l’ordre, à la migration, à la justice et à certains usages biométriques.
Un outil qui trie des CV, évalue des candidats, calcule la solvabilité d’une personne ou influence l’accès à une prestation essentielle peut relever de cette catégorie selon sa finalité précise. Pour ces systèmes, les fournisseurs devront assurer une gestion des risques, une gouvernance des données, une documentation et une traçabilité suffisantes, une information appropriée, une supervision humaine effective, ainsi que des niveaux adéquats d’exactitude, de robustesse et de cybersécurité. Une évaluation de conformité et un enregistrement dans une base européenne peuvent aussi être requis.
« Un report n’est pas une pause. C’est un délai pour finaliser les normes techniques et laisser aux entreprises le temps de faire ce qu’elles auraient dû commencer il y a deux ans. Si vous attendez décembre 2027 pour lancer votre inventaire, vous aurez décembre 2027 pour découvrir que vous êtes en retard. »
Le calendrier réel post-Digital Omnibus
Comme le calendrier a été retouché à quelques jours de l’échéance, voici une synthèse claire de ce qui s’applique et de ce qui glisse.
| Date | Ce qui s’applique | Statut |
|---|---|---|
| 2 février 2025 | Interdictions (article 5) + littératie IA (article 4) |  En vigueur |
| 2 août 2025 | Modèles GPAI (obligations fournisseurs) | En vigueur |
| 2 août 2026 | Article 50 (transparence), sanctions, supervision article 4, contrôle GPAI |  Depuis hier |
| 2 décembre 2026 | Fin de la période de grâce pour le marquage machine (art. 50(2)) |  À venir |
| 2 décembre 2027 | Systèmes à haut risque (annexe III) — reporté par le Digital Omnibus | Reporté |
| 2 août 2028 | IA intégrées à des produits réglementés (dispositifs médicaux, jouets, ascenseurs…) | Reporté |
Ce décalage n’efface pas les obligations, il les redistribue. Comme le rappelle sobrement la Commission, les interdictions, la gouvernance des GPAI et les obligations de transparence sont déjà applicables. Le grand récit d’une « suspension générale de l’AI Act » qui circule sur les réseaux ne correspond pas au texte.
Sanctions : parce que sinon personne ne bouge
Les États membres doivent prévoir des sanctions effectives, proportionnées et dissuasives. Le règlement fixe trois plafonds, à mémoriser dans cet ordre.
ou 7% du CA mondial
Pratiques interdites (art. 5)
ou 3% du CA mondial
Manquements transparence, haut risque, GPAI
ou 1% du CA mondial
Informations inexactes aux autorités
Pour les dirigeants, c’est le montant le plus bas qui s’applique, et non un pourcentage. La gouvernance repose sur deux niveaux : les autorités nationales supervisent les systèmes d’IA, tandis que l’AI Office européen joue un rôle central pour les GPAI et certains systèmes transfrontaliers.
Plan d’action : par où commencer sans se noyer
Pour une entreprise qui utilise l’IA sans développer les modèles, la conformité commence par une démarche pragmatique et progressive. Rien d’exotique, mais rien qui doive attendre décembre prochain.
- Cartographier les outils d’IA utilisés par les équipes, les prestataires et les logiciels métiers. Y compris le Shadow AI que « personne n’utilise vraiment ».
- Qualifier votre rôle pour chaque cas d’usage : simple utilisateur, deployeur, intégrateur, fournisseur ou distributeur. Le régime d’obligations dépend du chapeau que vous portez.
- Évaluer le niveau de risque de chaque système, en séparant les outils de productivité (Copilot, Notion AI…) des usages qui affectent des personnes (tri de candidats, scoring client…).
- Écarter immédiatement les pratiques interdites et formaliser une procédure d’escalade en cas de doute.
- Déployer les mentions de transparence : chatbots, contenus synthétiques, deepfakes. C’est le chantier prioritaire de cet été.
- Former les équipes : la littératie en IA est une obligation applicable depuis février 2025. La supervision par les autorités a commencé hier.
- Articuler avec le RGPD : registre des traitements, base légale, information des personnes, analyse d’impact quand nécessaire, encadrement des fournisseurs.
- Constituer les preuves : politique d’usage, inventaire, analyses de risques, consignes internes, contrats fournisseurs et journal des incidents.
L’AI Act ne demande pas à toutes les entreprises de certifier chaque usage. Il impose de passer d’une adoption opportuniste des outils à une adoption documentée, transparente et proportionnée au risque. La différence entre les deux tient souvent à un tableur, une réunion trimestrielle et un peu de discipline collective.
Questions fréquentes
Le Digital Omnibus a-t-il vraiment reporté tout l’AI Act ?
Non. Il reporte les obligations des systèmes à haut risque (annexe III) au 2 décembre 2027 et celles des IA intégrées à des produits réglementés au 2 août 2028. Les interdictions, la littératie IA, les obligations GPAI, l’article 50 (transparence) et les sanctions restent applicables selon leur calendrier initial.
Mon chatbot Zendesk / Intercom / maison est-il concerné par l’article 50 ?
Oui, dès qu’il interagit avec une personne en langage naturel. Il doit clairement indiquer à l’utilisateur qu’il échange avec une IA, sauf si cela ressort évidemment du contexte. Une mention en début de conversation type « Je suis l’assistant virtuel de [entreprise] » satisfait généralement l’exigence.
Dois-je marquer chaque image générée par IA que je publie ?
Le marquage machine (métadonnées, filigrane numérique) est une obligation du fournisseur du système génératif, pas de l’utilisateur final. En revanche, si vous publiez un deepfake (image, audio ou vidéo réaliste manipulée), vous devez le divulguer visiblement en tant que déployeur. Les œuvres manifestement artistiques ou satiriques bénéficient d’une modalité allégée.
Une TPE ou un freelance est-il vraiment concerné ?
Oui. L’article 50 ne prévoit pas de seuil de taille. Un freelance qui installe un chatbot sur le site d’un client ou une TPE qui publie une vidéo IA sur ses réseaux entre dans le champ. Les sanctions sont plafonnées au montant le plus bas pour les PME, mais l’obligation existe.
Qui contrôle en France ?
La désignation formelle des autorités nationales compétentes en France fait toujours l’objet de discussions. La CNIL joue un rôle central sur les usages qui recoupent le RGPD, et l’AI Office européen supervise les GPAI et certains systèmes transfrontaliers.
Le point de vue CIA Conseil en IA à Bourges
Pour les dirigeants, l’AI Act ne se résume pas à quelques cases à cocher. Chez CIA Conseil en IA à Bourges, nous proposons une approche pragmatique et progressive: cartographier les usages, évaluer le risque véritable de chaque cas d’usage, et mettre en œuvre des mécanismes de transparence et de traçabilité qui tiennent dans le cadre réglementaire tout en soutenant la performance opérationnelle. L’idée est d’éviter les écueils des audits tardifs et des contrôles surprises en démontrant que vos décisions IA reposent sur une gouvernance claire et des preuves documentées. Nous avons déjà accompagné de nombreuses agences et entreprises dans la mise en place d’un plan d’action opérationnel, aligné sur vos objectifs commerciaux et votre culture d’entreprise.
Recommandation exclusive de CIA Bourges : démarrez par un inventaire d’usage IA, incluant le Shadow AI. Ensuite, établissez un Chapeau (rôle) pour chaque cas d’usage et priorisez les actions qui tombent sous l’article 50 (transparence, contenus IA, deepfakes). Enfin, intégrez ces dispositifs dans votre RGPD et vos politiques internes afin d’obtenir une traçabilité robuste et une capacité d’audit rapide en cas de contrôle. Pour aller plus loin, contactez notre équipe à Bourges et bénéficiez d’un diagnostic personnalisé et d’un plan de mise en œuvre en 90 jours.
L’avis de CIA Conseil en IA à Bourges
Recommandation pratique exclusive : Lancez une cartographie des usages IA et un registre des cas d’usage, puis créez un comité de pilotage interne chargé de prioriser les obligations liées à l’article 50. Chez CIA Bourges, nous proposons une méthodologie en 3 étapes: 1) cartographier et qualifier, 2) évaluer les risques et définir les seuils de traitement, 3) écrire les procédures, contrats et chartes nécessaires pour démontrer la conformité et faciliter les contrôles.
Pour les dirigeants, l’objectif est clair: transformer la conformité IA en un avantage compétitif plutôt qu’en une contrainte. En parallèle, notre offre de formation à la littératie IA (article 4) et d’audits d’usages IA en entreprise vous aide à réduire les risques et à accélérer la mise en œuvre opérationnelle.
Vous souhaitez discuter de votre situation avec des experts locaux et obtenir un plan d’action sur-mesure ? Rendez-vous sur agencecia.fr et demandez une consultation avec l’équipe CIA Conseil en IA à Bourges.
Le point de vue DeepDive demeure pertinent ici: la conformité IA est un régime permanent. Cartographier vos outils, former les équipes, documenter les usages — voilà le socle. Bien entendu, nous continuerons d’aider les PMEs et les agences à transformer l’IA en levier concret et rentable sans tomber dans le piège des obligations non alignées sur l’activité réelle.
Sources principales : Règlement (UE) 2024/1689, Règlement (UE) 2026/1744 (Digital Omnibus sur l’IA), publications de l’AI Office européen, CNIL, Cabinet Persée, Redstone Consulting, La taverne du testeur (point à date du 8 juillet 2026).
L’article AI Act 2026 : ce qui s’applique vraiment depuis le 2 août (guide complet pour les entreprises) est apparu en premier sur DeepDive – Intelligence Artificielle AURILLAC ET BOURGES.
Référence finale : L’article AI Act 2026 : ce qui s’applique vraiment depuis le 2 août (guide complet pour les entreprises) est apparu en premier sur DeepDive – Intelligence Artificielle AURILLAC ET BOURGES.
L’article complet est disponible sur le site de DeepDive l’agence de communication boostée à l’IA avec le lien : https://deep-dive.fr/ai-act-2026-ce-qui-sapplique-vraiment-depuis-le-2-aout-guide-complet-pour-les-entreprises/
