AI Act
AI Act : ce qui change vraiment le 2 août 2026 (et ce qui a été reporté)
Le 2 août 2026 n'est pas la date où « tout l'AI Act s'applique ». Les obligations lourdes sur les systèmes à haut risque ont été reportées à décembre 2027. Ce qui bascule bien le 2 août : les obligations de transparence et les pouvoirs de sanction des autorités.
Pourquoi ce que vous avez lu est probablement dépassé
Si vous avez lu ces derniers mois qu'au 2 août 2026 toutes les obligations « haut risque » tombaient sur votre entreprise dès lors que vous utilisez un chatbot, l'information est aujourd'hui dépassée. Beaucoup de prestataires et de médias n'ont pas mis à jour leurs contenus et continuent de vendre de la mise en conformité urgente sur la base de l'ancien calendrier.
Le calendrier a été modifié par le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA. Le texte a été publié au Journal officiel de l'Union européenne le 24 juillet et est entré en vigueur trois jours plus tard. Voici l'état réel des obligations.
Ce qui devient applicable le 2 août 2026
Les obligations de transparence de l'article 50. Le Digital Omnibus confirme ces obligations pour le 2 août 2026. Concrètement : un utilisateur doit savoir qu'il parle à une IA et non à un humain, et les contenus générés ou manipulés par IA doivent être identifiés comme tels. Si vous avez un chatbot sur votre site, si vous publiez des visuels ou des textes générés, vous êtes concerné.
Les pouvoirs de contrôle et de sanction des autorités nationales. C'est la date où les obligations de transparence deviennent pleinement contrôlables et sanctionnables. Jusqu'ici, le règlement existait sans mécanisme d'application effectif dans la plupart des États membres. Ce n'est plus le cas.
L'ouverture des bacs à sable réglementaires, qui permettent de tester un système d'IA sous supervision de l'autorité compétente.
Ce qui a été reporté
Les systèmes à haut risque de l'annexe III passent au 2 décembre 2027. Les obligations pour les systèmes IA à haut risque de l'annexe III (RH, crédit, santé, éducation, justice, biométrie) sont reportées du 2 août 2026 au 2 décembre 2027.
Si vous utilisez un outil de présélection de candidatures, un scoring de solvabilité ou un système de décision automatisée relevant de l'annexe III, vous disposez de seize mois supplémentaires. Ce n'est pas une dispense : c'est un délai pour construire une gouvernance sérieuse au lieu de bricoler une conformité de façade.
Les systèmes intégrés à des produits déjà soumis au marquage CE bénéficient d'un échéancier encore plus tardif.
Ce qui était déjà applicable, et que beaucoup ont manqué
C'est le point le plus souvent oublié, et le plus directement contrôlable.
Depuis le 2 février 2025, l'article 4 impose un niveau suffisant de maîtrise de l'IA aux personnes qui utilisent des systèmes d'IA pour le compte de l'entreprise. Cette obligation n'a jamais été reportée. Elle s'applique depuis dix-huit mois. Et la documentation de cette formation devient contrôlable dès le 2 août 2026.
Autrement dit : l'obligation existait déjà, mais sans autorité armée pour la vérifier. À partir du 2 août, ce n'est plus vrai.
Depuis le 2 août 2025, les obligations pesant sur les fournisseurs de modèles à usage général (ChatGPT, Claude, Gemini, Mistral) sont en vigueur. Elles concernent les éditeurs, pas vous, mais elles se répercutent dans vos contrats.
Les sanctions
Les manquements les plus graves peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Les autres infractions (système haut risque non conforme, transparence manquante) plafonnent à 15 millions d'euros ou 3 % du CA mondial. Les informations incorrectes ou trompeuses fournies aux autorités : 7,5 millions d'euros ou 1 %.
Une nuance importante pour les PME. L'article 99 prévoit une protection explicite : pour une PME ou une startup, le montant retenu est le moindre entre le pourcentage du CA et le montant fixe, alors que pour les grandes entreprises c'est le plus élevé qui s'applique.
Les trois erreurs qu'on voit le plus souvent
Trois raisonnements reviennent systématiquement dans nos échanges avec les dirigeants, et les trois sont faux.
- « On est trop petits pour être concernés. » C'est l'usage qui déclenche l'obligation, pas l'effectif. Une entreprise de huit personnes qui publie du contenu généré par IA sans le signaler est dans le périmètre de l'article 50.
- « On attend que la France désigne son autorité de contrôle. » Les obligations elles-mêmes ne dépendent pas de ce calendrier national.
- « Le haut risque est reporté, donc on a le temps. » Le report concerne l'annexe III. Il ne concerne ni la transparence, ni l'article 4, ni les pouvoirs de sanction.
Ce qu'il faut faire cette semaine
Cinq actions, dans l'ordre. Aucune ne demande un budget significatif. Elles demandent surtout d'être faites.
- Inventorier vos usages réels de l'IA, y compris ceux intégrés à vos outils existants sans que vous les ayez choisis : suggestions de rédaction dans votre messagerie, résumés automatiques dans votre visioconférence, assistants dans votre ERP. C'est presque toujours plus large que ce que la direction imagine.
- Afficher une mention claire sur chaque chatbot exposé au public et sur chaque contenu généré que vous publiez.
- Documenter la formation de vos équipes : qui a été formé, quand, sur quoi, avec quel support et quelle attestation. C'est ce qui matérialise l'article 4 en cas de contrôle.
- Désigner un référent IA en interne. Ce n'est pas une obligation réglementaire, mais sans point d'entrée identifié, aucun des trois points précédents ne tient dans la durée.
- Planifier le chantier annexe III si vous êtes concerné, sans précipitation, sur l'horizon décembre 2027.
Comment nous intervenons
Mookay est certifié Qualiopi. Nos formations à l'IA générative produisent systématiquement les pièces attendues au titre de l'article 4 : programme détaillé, feuille d'émargement, attestation nominative, et la bibliothèque de prompts et de règles d'usage validée avec vos équipes.
Notre audit IA cartographie vos usages réels, y compris les usages informels, et identifie les points d'exposition avant qu'ils ne deviennent un sujet de contrôle.
Sources et cadre de référence
Questions fréquentes
Nous utilisons simplement ChatGPT en interne : sommes-nous concernés par le 2 août 2026 ?
Les obligations de transparence de l'article 50 visent les chatbots exposés au public et les contenus générés que vous publiez. En revanche, l'article 4 (la maîtrise de l'IA par vos équipes) s'applique déjà depuis février 2025, y compris pour un usage purement interne, et devient contrôlable à partir du 2 août 2026.
Le report à décembre 2027 concerne-t-il toutes les obligations ?
Non. Il concerne uniquement les systèmes à haut risque de l'annexe III (RH, crédit, santé, éducation, justice, biométrie). La transparence, l'article 4 et les pouvoirs de sanction des autorités ne sont pas reportés.
Comment prouver la conformité à l'article 4 en cas de contrôle ?
Par la documentation de la formation : programme détaillé, dates, feuille d'émargement, attestations nominatives et supports utilisés. Une formation délivrée par un organisme certifié Qualiopi produit exactement ces pièces.