Systèmes d’IA : ce qui s’applique déjà, ce qui est reporté

Le report de juillet 2026 n’a pas repoussé l’AI Act : il a repoussé le calendrier des systèmes à haut risque. Le règlement est applicable depuis le 2 août 2026, plusieurs blocs le sont depuis 2025, et deux nouvelles interdictions entrent en application le 2 décembre 2026. La question utile n’est donc pas « quand l’AI Act s’applique-t-il », mais « quelles règles s’appliquent déjà à chacun de nos usages ».

---

Information juridique générale — droit de l’Union européenne, règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, vérifiée en session le 3 septembre 2026.

1. Le calendrier, tel que l’article 113 le fixe aujourd’hui

Une seule disposition commande tout le reste : l’article 113 du règlement, dans sa rédaction issue de la modification de juillet 2026. Il pose une règle générale et quatre exceptions.

Une précision utile sur les sanctions : le chapitre XII s’applique depuis le 2 août 2025, à la seule exception de l’article 101, qui permet à la Commission d’infliger aux fournisseurs de modèles d’IA à usage général des amendes pouvant atteindre 3 % de leur chiffre d’affaires annuel mondial. Une sanction ne peut évidemment frapper qu’une obligation elle-même applicable — mais le dispositif répressif, lui, est en place depuis plus d’un an.

2. Ce qui est en vigueur depuis 2025, et que le report ne touche pas

Deux obligations s’appliquent depuis le 2 février 2025 et concernent toute organisation qui utilise de l’IA, quel que soit son rôle.

Les pratiques interdites. L’article 5 prohibe notamment les systèmes recourant à des techniques subliminales, délibérément manipulatrices ou trompeuses altérant substantiellement le comportement d’une personne au point de lui faire prendre une décision qu’elle n’aurait pas prise autrement, et ceux qui exploitent les vulnérabilités dues à l’âge, au handicap ou à la situation sociale ou économique. Ce sont des interdictions, non des obligations de conformité : aucun aménagement, aucun délai.

La maîtrise de l’IA. L’article 4 impose aux fournisseurs comme aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et par les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur formation et du contexte d’utilisation.

Le texte pose lui-même sa limite, et elle est rarement citée : cette obligation ne contraint ni le fournisseur ni le déployeur à garantir un niveau spécifique de maîtrise de l’IA par un individu. L’obligation porte sur les mesures prises, non sur un résultat mesuré personne par personne — ce qui déplace la question vers la démonstration de ce qui a été mis en place.

3. Deux interdictions nouvelles au 2 décembre 2026

Ce sont les ajouts les plus concrets de la réforme, et ils ne relèvent pas du haut risque mais de l’interdiction pure.

Sera interdite la mise sur le marché, la mise en service ou l’utilisation d’un système d’IA qui génère ou manipule des images, vidéos, contenus audio ou tout autre matériel similaire réalistes représentant les parties intimes d’une personne identifiable, ou une personne identifiable se livrant à des activités sexuellement explicites, sans son consentement libre, spécifique, éclairé, univoque et explicite. Sera également interdit le système qui génère ou manipule des matériels ou spectacles relevant de la directive européenne de 2011 sur la lutte contre les abus sexuels sur les enfants, sauf lorsqu’une défense « sans droit » s’applique en droit national.

4. La transparence, applicable depuis le 2 août 2026

C’est le bloc immédiatement opérationnel, et celui que la plupart des organisations ont sous les yeux sans le savoir.

L’article 50 impose au fournisseur d’un système destiné à interagir directement avec des personnes physiques de faire en sorte que celles-ci soient informées qu’elles interagissent avec une IA, sauf lorsque cela ressort clairement du point de vue d’une personne normalement informée et raisonnablement attentive. Il impose au déployeur d’un système qui génère ou manipule un hypertrucage d’indiquer que le contenu a été généré ou manipulé par une IA — l’obligation se limitant, pour une œuvre manifestement artistique, créative, satirique ou fictive, à divulguer l’existence de ce contenu d’une manière qui n’entrave pas la jouissance de l’œuvre.

Une mesure transitoire reste ouverte jusqu’au 2 décembre 2026. Les fournisseurs de systèmes d’IA, y compris à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte et qui ont été mis sur le marché avant le 2 août 2026, doivent prendre les mesures nécessaires pour se conformer à l’article 50, paragraphe 2 — le marquage lisible par machine — d’ici cette date. Cette fenêtre ne couvre que le paragraphe 2, et que les systèmes antérieurs.

Le préalable, dans tous les cas, est de déterminer si l’organisation agit comme fournisseur ou comme déployeur : les obligations ne sont pas les mêmes et ne pèsent pas sur la même personne.

5. Ce qui a réellement été reporté — et une exception qui allège beaucoup

Le report porte sur les sections 1, 2 et 3 du chapitre III, c’est-à-dire les exigences applicables aux systèmes à haut risque et les obligations de leurs opérateurs, à l’exception de l’article 6, paragraphe 5.

Pour les systèmes relevant de l’annexe III, l’échéance est le 2 décembre 2027. Les huit domaines qu’elle vise sont : la biométrie, les infrastructures critiques, l’éducation et la formation professionnelle, l’emploi et la gestion de la main-d’œuvre, l’accès aux services privés essentiels et aux services publics, la répression, la migration, l’asile et le contrôle aux frontières, l’administration de la justice et les processus démocratiques.

Pour les systèmes relevant de l’article 6, paragraphe 1, et de l’annexe I — l’IA intégrée à un produit déjà soumis à une législation d’harmonisation de l’Union et à une évaluation de conformité —, l’échéance est le 2 août 2028.

6. Modèles à usage général : une échéance propre, au 2 août 2027

Les obligations relatives aux modèles d’IA à usage général relèvent du chapitre V, applicable depuis le 2 août 2025. Mais les fournisseurs de modèles mis sur le marché avant le 2 août 2025 bénéficient d’un régime propre : ils prennent les mesures nécessaires pour se conformer aux obligations du règlement au plus tard le 2 août 2027.

Cette date ne concerne que les fournisseurs de modèles, non les organisations qui les utilisent. Quatre objets doivent rester distincts, et leur confusion produit la plupart des erreurs de calendrier : le modèle à usage général, le système ou service qui l’incorpore, l’organisation qui le déploie, et l’usage concret qui en est fait. Dire qu’une IA générative « n’est concernée qu’en 2027 » revient à appliquer à l’usage une date écrite pour le modèle.

7. Fournisseur ou déployeur : une qualification, pas une étiquette d’achat

Acheter un outil ne suffit pas à faire d’une organisation un déployeur pour tous les usages qu’elle en fait.

Le règlement distingue le fournisseur, le déployeur, l’importateur, le distributeur et le mandataire. Une organisation qui utilise sous sa propre autorité un système développé par un tiers relève en principe du déployeur. Mais celle qui modifie substantiellement un système, le met sur le marché sous son propre nom ou sa propre marque, ou l’intègre dans une solution qu’elle diffuse, peut assumer les obligations du fournisseur — bien plus lourdes.

La cartographie doit donc porter sur les systèmes et sur les rôles. Pour chaque usage, documentez au minimum : le système et sa finalité, le fournisseur, les personnes concernées, les données utilisées, le service qui l’exploite, et le rôle juridique que l’organisation est susceptible d’assumer.

8. Le reste du droit n’attend pas ce calendrier

Le report de certaines dispositions de l’AI Act ne suspend aucun autre texte. Un projet d’IA peut relever du RGPD dès lors qu’il traite des données personnelles, du droit du travail lorsqu’il intervient dans la relation de travail, de la propriété intellectuelle, du secret des affaires, de règles sectorielles ou d’engagements contractuels déjà souscrits.

Un système qui ne sera soumis au chapitre III qu’en décembre 2027 peut donc être aujourd’hui irrégulier sur un autre fondement. La conformité IA ne se traite pas comme un calendrier isolé.

Dans l’ordre

• Inventoriez les systèmes réellement utilisés, y compris les outils souscrits directement par les équipes sans passer par les achats.
• Pour chaque système, distinguez le parc antérieur des projets nouveaux : la dispense de l’article 111, paragraphe 2, ne joue que pour le premier.
• Qualifiez le rôle de l’organisation, système par système et non fournisseur par fournisseur.
• Vérifiez d’abord ce qui est déjà applicable : pratiques interdites, maîtrise de l’IA, obligations relatives aux modèles à usage général le cas échéant, transparence de l’article 50.
• Identifiez d’ici décembre 2026 les générateurs d’images ou de contenus audio et vidéo au regard des deux nouvelles interdictions, et le marquage des systèmes antérieurs au 2 août 2026.
• Repérez les systèmes susceptibles de relever de l’annexe III ou de l’annexe I, sans attendre 2027 ou 2028 pour les qualifier.
• Introduisez dans les contrats fournisseurs l’information sur les modifications de conception, qui conditionne le maintien de la dispense.
• Traitez en parallèle ce qui relève du RGPD et des autres régimes, indépendamment du calendrier de l’AI Act.

Trois idées reçues

« L’AI Act a été reporté. » Il est applicable depuis le 2 août 2026. Ce qui a été repoussé, ce sont les sections du chapitre III relatives aux systèmes à haut risque, et rien d’autre.

« Nos systèmes existants devront être mis en conformité en 2027. » Pas nécessairement : pour un système à haut risque déjà en service avant la date d’application du chapitre III, le règlement ne s’applique qu’en cas de modification importante de sa conception — hors systèmes destinés aux autorités publiques, tenus au 2 août 2030.

« L’IA générative attend 2027. » Les obligations des modèles à usage général relèvent d’août 2025, la transparence d’août 2026, et deux interdictions nouvelles frappent certains générateurs au 2 décembre 2026. Le 2 août 2027 ne vise que les fournisseurs de modèles mis sur le marché avant août 2025.

L’essentiel

Le report a modifié la planification, non la gouvernance. Au 3 septembre 2026, les interdictions, la maîtrise de l’IA, les règles sur les modèles à usage général, la transparence et le dispositif de sanctions sont applicables ; seuls les régimes du haut risque courent jusqu’en décembre 2027 et août 2028.

Deux dispositions décident du volume de travail réel d’une organisation, et aucune ne figure dans les tableaux de dates habituels : l’article 111, paragraphe 2, qui laisse le parc existant hors champ tant qu’il n’est pas substantiellement modifié, et la qualification du rôle, qui détermine si l’organisation supporte les obligations du déployeur ou celles, bien plus lourdes, du fournisseur.

La démarche la plus robuste tient donc en quatre temps : inventorier, qualifier les systèmes et les rôles, traiter ce qui est déjà applicable, et utiliser le temps restant pour préparer ce qui relèvera du haut risque — plutôt que pour en différer l’examen.

Références

Ce mini-guide fournit une information juridique générale et ne constitue pas une consultation personnalisée. Le calendrier exposé est celui de la version consolidée au 27 juillet 2026 ; la qualification d’un système, le rôle de l’organisation et les obligations applicables s’apprécient au regard du système, de sa finalité, de son contexte d’utilisation et des textes sectoriels applicables.