AI Act : depuis le 2 août, l'Europe peut enfin sanctionner — mais elle a reporté l'essentiel

La date était attendue depuis l'adoption du texte en 2024 : le 2 août 2026, le règlement européen sur l'intelligence artificielle est entré en application générale. Concrètement, deux choses ont changé ce jour-là : des obligations de transparence s'imposent désormais aux systèmes qui interagissent avec le public, et la Commission européenne dispose de ses pleins pouvoirs de contrôle et de sanction sur les fournisseurs de modèles à usage général. Mais le calendrier initial a été amputé d'un morceau essentiel : les obligations sur les systèmes à haut risque, reportées à 2027 et 2028.

Ce qui s'applique désormais

Le volet le plus visible concerne la transparence. Chatbots, agents conversationnels et avatars doivent signaler clairement leur nature artificielle à leurs utilisateurs, sauf quand elle est évidente. Les hypertrucages et contenus générés ou substantiellement modifiés par IA doivent être marqués, par moyen technique ou mention visible. Les systèmes déjà commercialisés avant le 2 août bénéficient d'une période transitoire jusqu'au 2 décembre 2026. La Commission avait publié le 20 juillet des lignes directrices sur ces obligations, accompagnées d'un code de bonnes pratiques signé par plus de 180 organisations.

L'autre bascule est institutionnelle. Le Bureau de l'IA de la Commission peut désormais exiger des informations des fournisseurs de modèles à usage général et sanctionner les manquements, tandis que les autorités nationales prennent le relais sur le terrain. En France, la surveillance repose sur un triptyque DGCCRF, CNIL et Arcom, sous le régime de sanctions actif depuis août 2025. Les obligations des fournisseurs de modèles — documentation technique, résumé des données d'entraînement, respect du droit d'auteur — étaient applicables depuis un an ; ce qui manquait, c'était le bâton. Il existe désormais.

Le grand report du haut risque

Car l'autre événement du 2 août est un non-événement organisé. Dans le calendrier d'origine, cette date devait aussi déclencher les obligations les plus lourdes du règlement : celles pesant sur les systèmes à haut risque, du tri de CV à la notation de crédit. Le paquet législatif dit Digital Omnibus les a officiellement reportées : au 2 décembre 2027 pour les systèmes à haut risque autonomes, au 2 août 2028 pour ceux intégrés à des produits déjà couverts par une réglementation sectorielle.

Les arguments avancés sont connus : normes harmonisées en retard, organismes notifiés pas prêts, crainte de pénaliser les entreprises européennes face à des concurrents moins contraints. Il n'empêche : le cœur du règlement — la protection des personnes face aux systèmes qui décident de leur embauche, de leur crédit ou de leur parcours scolaire — attend désormais fin 2027. L'Europe se retrouve dans une position singulière : elle sanctionne dès aujourd'hui le défaut de transparence d'un chatbot, mais pas encore le biais d'un algorithme de recrutement.

Une asymétrie transatlantique de plus en plus nette

La comparaison avec Washington est éclairante. La même semaine, la Maison-Blanche finalisait un cadre volontaire et confidentiel de tests de sécurité des modèles de frontière, négocié à huis clos avec une poignée d'entreprises. D'un côté, un règlement public, contraignant, mais amputé et repoussé ; de l'autre, un dispositif volontaire, rapide, mais opaque et réservé aux initiés. Aucun des deux modèles ne fait aujourd'hui la démonstration complète de son efficacité.

Pour les entreprises françaises, l'équation immédiate est plus prosaïque. Les obligations de transparence s'appliquent : un service client automatisé doit se déclarer comme tel, un générateur d'images doit marquer ses sorties. Les fournisseurs d'outils s'y adaptent déjà — la publication par Mistral d'un classifieur de modération ouvert à politique variable, deux jours après l'échéance, illustre l'émergence d'un outillage de conformité. Et les entreprises qui déploient des systèmes RH ou financiers seraient mal avisées de lire le report comme une annulation : les exigences arriveront, et les chantiers de mise en conformité — inventaire des systèmes, documentation, gouvernance des données — se comptent en années, pas en semaines.

Le 2 août 2026 restera donc une date à double lecture. Formellement, l'AI Act est entré dans sa phase adulte : contrôle, sanctions, transparence. Politiquement, le Digital Omnibus a montré que son calendrier restait négociable sous pression. La crédibilité du dispositif se jouera sur les premiers dossiers que le Bureau de l'IA décidera — ou non — d'ouvrir.