AI Act : ce qui s'applique vraiment depuis août 2026, et ce qui a été repoussé

Le calendrier initial faisait du 2 août 2026 la date d'application des obligations pesant sur les systèmes d'IA à haut risque. Le paquet dit Digital Omnibus a modifié cette échéance : les obligations des systèmes autonomes listés à l'annexe III, qui couvrent notamment le tri de candidatures, l'admission scolaire, l'évaluation de solvabilité ou la gestion migratoire, s'appliqueront le 2 décembre 2027. Celles des systèmes d'IA intégrés à des produits déjà réglementés, comme les dispositifs médicaux, les jouets ou les machines, sont fixées au 2 août 2028. Le report a été justifié par le retard des normes techniques harmonisées et des lignes directrices de la Commission, sans lesquelles les entreprises n'avaient pas de référentiel opposable pour se mettre en conformité.

C'est le point que beaucoup d'entreprises ont manqué. Depuis août 2026, un site, un service client ou une administration qui utilise un agent conversationnel doit avertir l'utilisateur qu'il parle à une IA. Les contenus générés ou modifiés par un système d'IA doivent porter un marquage technique permettant d'identifier leur origine artificielle, qu'il s'agisse de métadonnées intégrées au fichier, d'une information de provenance ou d'un filigrane. Et les contenus de synthèse représentant des personnes ou des événements réels doivent être signalés de façon visible, pour que le public comprenne sans ambiguïté qu'il ne regarde pas une scène authentique.

C'est ce qui change la nature du sujet. Le manquement aux obligations de transparence peut être sanctionné jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu. Le recours à une pratique interdite par le règlement expose à 35 millions d'euros ou 7 % du chiffre d'affaires annuel. La Commission européenne a par ailleurs obtenu un pouvoir de supervision directe sur les fournisseurs de grands modèles, avec la possibilité de leur demander des informations et de les sanctionner.

Depuis le 2 février 2025, une entreprise qui déploie des systèmes d'IA doit être en mesure de démontrer que ses équipes ont été sensibilisées aux possibilités, aux limites et aux risques de ces outils. Cette obligation ne demande ni audit externe ni certification : une session de sensibilisation documentée, une note de cadrage interne et une trace de qui a été formé suffisent à en établir le respect. C'est probablement le meilleur rapport entre l'effort demandé et le risque couvert, et c'est pourtant la ligne que nous voyons le plus souvent absente des dossiers.

Déployer Microsoft 365 Copilot ne fait pas de vous l'opérateur d'un système à haut risque, et le report de décembre 2027 ne vous concerne donc probablement pas. Ce qui vous concerne, en revanche, s'applique déjà : la sensibilisation des utilisateurs, la transparence si vous exposez un agent conversationnel à vos clients, et le marquage des contenus que vous publiez après génération. À quoi s'ajoute une exigence de bon sens que le règlement rend utile à documenter : savoir quels usages d'IA existent réellement dans l'entreprise, y compris ceux que personne n'a validés.

Le report est récent, et plusieurs pages de référence, y compris institutionnelles, affichent encore l'ancien calendrier avec le 2 août 2026 comme date d'application des obligations haut risque. Si vous construisez un plan de conformité ou arbitrez un budget sur cette base, vous risquez de provisionner pour 2026 un chantier qui n'est exigible qu'en 2027, ou pire, de considérer que tout est repoussé alors que la transparence et les sanctions, elles, sont en vigueur. Vérifiez la date de mise à jour de vos sources avant de trancher.