2 août 2026, AI Act européen, règlement UE 2024/1689, obligations strictes, ce que les entreprises doivent affronter

Le AI Act européen entre dans une phase opérationnelle pour les entreprises présentes dans l’Union européenne. Depuis le 2 août 2026, de nouvelles obligations concernent les chatbots, les deepfakes, les contenus générés par IA et les modèles à usage général. Le texte, issu du règlement UE 2024/1689 puis ajusté par le Digital Omnibus, impose une lecture par niveau de risque. Pour les directions juridiques, informatiques, RH et conformité, l’enjeu porte moins sur le principe que sur l’inventaire précis des usages, des fournisseurs et des responsabilités contractuelles.

Le règlement UE 2024/1689 classe l’IA par risques

Le règlement UE 2024/1689 constitue le socle juridique du AI Act. Il vise les fournisseurs, importateurs, distributeurs et déployeurs de systèmes d’intelligence artificielle dès lors que leurs services produisent des effets dans l’Union européenne. Une entreprise établie hors d’Europe peut donc être concernée si son outil sert des clients, des salariés ou des utilisateurs européens.

Le texte repose sur une logique graduée. Les usages à risque inacceptable sont interdits, notamment certaines formes de manipulation comportementale, de notation sociale ou d’exploitation de vulnérabilités. À l’opposé, des systèmes à risque minimal restent largement libres. Entre les deux, le règlement encadre les outils soumis à transparence et les systèmes dits à haut risque, plus strictement surveillés.

Cette architecture répond à une difficulté centrale, l’IA ne désigne pas une technologie unique. Un assistant de rédaction interne, un outil de scoring bancaire, un logiciel de tri de candidatures ou un système biométrique n’exposent pas les personnes aux mêmes conséquences. Le AI Act impose donc d’examiner l’usage concret, les données traitées, le degré d’autonomie du système et l’impact possible sur les droits fondamentaux.

Pour les entreprises, la première tâche consiste à dresser une cartographie des solutions déjà utilisées. Les directions achètent parfois des services d’IA via des abonnements cloud, des modules intégrés à des logiciels métiers ou des expérimentations locales. Sans inventaire, il devient difficile de déterminer si une application relève de la transparence IA, du haut risque ou d’une simple documentation interne.

Cette approche oblige également à distinguer les rôles. Un fournisseur conçoit ou met sur le marché un système. Un déployeur l’utilise dans son activité. Une même société peut occuper les deux positions selon les projets. Cette distinction conditionne les obligations, les contrôles et les clauses à prévoir avec les prestataires technologiques.

Le Digital Omnibus reporte le haut risque à décembre 2027

Le calendrier du AI Act a été ajusté en 2026 par le Digital Omnibus, adopté sous la référence règlement UE 2026/1744. Ce texte de simplification a modifié plusieurs dates d’application, dans un contexte où les entreprises réclamaient davantage de visibilité technique et opérationnelle. Il ne supprime pas les obligations, mais décale certaines échéances jugées lourdes.

Les pratiques interdites et l’obligation de soutenir la compétence des salariés face à l’IA s’appliquent depuis le 2 février 2025. Le régime général des sanctions et celui des modèles d’IA à usage général ont suivi le 2 août 2025. Depuis le 2 août 2026, les obligations de transparence relatives aux chatbots, aux deepfakes et aux contenus générés par IA sont devenues centrales pour de nombreux services numériques.

Le point le plus sensible concerne les systèmes à haut risque. Pour les usages listés à l’Annexe III, comme le tri de candidatures, l’évaluation de crédit, certains outils éducatifs, la biométrie ou des usages liés à la justice, l’échéance a été reportée au 2 décembre 2027. Pour les systèmes liés à l’Annexe I, la date mentionnée par les textes révisés atteint le 2 août 2028.

Ce report ne doit pas être interprété comme une période d’attente passive. Les obligations à venir supposent des dossiers techniques, une gestion des risques, une surveillance humaine, des journaux d’événements, une gouvernance des données et une information des utilisateurs professionnels. Ces éléments nécessitent souvent plusieurs mois de préparation, surtout lorsque les outils sont déjà connectés à des processus RH ou financiers.

Deux nouvelles interdictions sont également annoncées pour le 2 décembre 2026, visant notamment la génération de contenus sexuels sans consentement et les matériels d’abus sexuels impliquant des mineurs. Pour les plateformes, hébergeurs, éditeurs d’outils génératifs et services de modération, cette échéance impose un contrôle renforcé des usages détournés.

Chatbots et deepfakes doivent être signalés depuis août 2026

La nouveauté la plus visible pour le public concerne les obligations de transparence applicables depuis août 2026. Lorsqu’une personne interagit avec un chatbot, elle doit pouvoir comprendre qu’elle échange avec un système automatisé, sauf si le contexte rend cette information évidente. Cette règle vise les services clients, assistants RH, interfaces bancaires, agents de réservation ou outils intégrés à des sites marchands.

Les contenus synthétiques font l’objet d’une attention comparable. Les images, sons ou vidéos manipulés pouvant être assimilés à des deepfakes doivent être signalés de manière appropriée. Le sujet dépasse le divertissement. Il concerne la communication politique, la publicité, l’information financière, la réputation des dirigeants et les campagnes de désinformation ciblant des entreprises ou des administrations.

Les fournisseurs de modèles d’IA à usage général, souvent désignés par le sigle GPAI, sont également suivis de plus près. La Commission européenne dispose de pouvoirs accrus pour demander des informations complémentaires et contrôler le respect des obligations. Les grands modèles comme ChatGPT, Gemini ou Claude sont cités dans le débat public, mais les obligations peuvent aussi concerner des modèles spécialisés utilisés sous licence.

Dans les organisations, la transparence ne se limite pas à ajouter une mention sur une interface. Il faut vérifier le parcours utilisateur, les scripts de conversation, les points de bascule vers un conseiller humain et les documents générés automatiquement. Les équipes marketing, relation client et produit doivent travailler avec les juristes pour éviter une information trop discrète ou trop tardive.

Les contenus générés par IA posent également un problème de traçabilité. Une entreprise qui diffuse une image publicitaire, une voix synthétique ou une vidéo institutionnelle doit conserver des preuves de production et de validation. Cette exigence devient plus sensible lorsque les contenus mettent en scène une personne identifiable, un produit réglementé ou un message susceptible d’influencer une décision économique.

Des amendes européennes atteignent 35 millions d’euros

Le AI Act prévoit un régime de sanctions élevé, pensé pour s’appliquer aux grands groupes comme aux acteurs plus spécialisés. Le plafond le plus lourd atteint 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé pouvant être retenu. Il concerne notamment les violations relatives aux pratiques interdites.

D’autres manquements peuvent entraîner des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Cette catégorie vise plusieurs obligations imposées aux fournisseurs, déployeurs ou organismes notifiés. La transmission d’informations inexactes, incomplètes ou trompeuses aux autorités peut, de son côté, être sanctionnée jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires mondial.

Ces montants ne résument pas tout le risque. Une procédure liée au non-respect du règlement peut provoquer une interruption de service, une remise en cause contractuelle, des audits imposés et une perte de confiance des clients. Pour une entreprise qui vend des logiciels RH, financiers ou de cybersécurité, la conformité devient un argument commercial autant qu’une contrainte réglementaire.

La préparation passe par des mesures concrètes. Les entreprises doivent identifier les outils d’IA, qualifier leur niveau de risque, documenter les usages, encadrer les accès aux modèles publics et former les équipes exposées. Les contrats avec les fournisseurs doivent préciser la responsabilité, les garanties techniques, les procédures d’incident, la localisation des données et les conditions d’audit.

La mise en conformité ne relève pas seulement des juristes. Les directions métiers connaissent les usages réels, les équipes IT maîtrisent les intégrations, les responsables sécurité évaluent les risques et les ressources humaines gèrent la compétence des salariés. Dans les prochains mois, les contrôles devraient porter sur la cohérence de cette gouvernance et sur la capacité à prouver les décisions prises face à chaque système d’IA.