Le règlement européen sur l’intelligence artificielle (AI Act) ne se résume pas à une classification par niveaux de risque. Depuis l’adoption du règlement « Digital Omnibus » en juillet 2026, le calendrier d’application a été profondément remanié, décalant des échéances que beaucoup d’entreprises croyaient imminentes. Comprendre ce cadre suppose d’intégrer ces modifications récentes, qui redistribuent les priorités de mise en conformité pour les opérateurs français.
Digital Omnibus et report des échéances AI Act : ce qui a changé en 2026
Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur trois jours plus tard, a introduit des décalages substantiels. Les obligations pour les systèmes d’IA à haut risque listés à l’annexe III (recrutement, éducation, crédit, assurance, services publics) ont été repoussées du 2 août 2026 au 2 décembre 2027.
A voir aussi : Conseils et ressources essentiels pour réussir dans l'entrepreneuriat en France aujourd'hui
Les systèmes intégrés dans des produits déjà soumis à une réglementation sectorielle (annexe I, notamment les dispositifs médicaux) bénéficient d’un report encore plus large, jusqu’au 2 août 2028. Ce décalage traduit la complexité d’articuler l’AI Act avec les cadres normatifs existants.
Pour les entreprises françaises qui avaient lancé des chantiers de conformité calés sur l’échéance initiale d’août 2026, ce report modifie la feuille de route. Il ne dispense pas de préparer la documentation technique et les procédures de gestion des risques, mais il donne un délai supplémentaire pour stabiliser les processus internes. Un dossier complet sur la loi sur l’intelligence artificielle en France détaille ces implications réglementaires.
A lire également : Comment Trouver Rapidement des Petites Annonces Gratuites en France
Obligations de transparence applicables depuis août 2026
Si le Digital Omnibus a repoussé les obligations les plus lourdes, les exigences de transparence de l’article 50 sont en vigueur depuis le 2 août 2026. Concrètement, tout système d’IA interagissant avec des personnes physiques doit signaler qu’il s’agit d’une IA. Les contenus générés (texte, image, audio, vidéo) doivent être marqués comme tels lorsqu’ils portent sur des sujets d’intérêt public.
Nous observons un flou persistant sur la gouvernance nationale. La CNIL a publié des premières orientations, mais les autorités de contrôle sectorielles n’ont pas toutes été formellement désignées. Cette situation crée une incertitude opérationnelle pour les entreprises qui déploient des systèmes d’IA générative à destination du public.
Articulation avec le RGPD
L’AI Act ne remplace pas le RGPD. Les deux textes se superposent : un système d’IA traitant des données personnelles reste soumis aux obligations du règlement général sur la protection des données, en plus des exigences spécifiques de l’AI Act. La CNIL conserve son rôle de régulateur pour le volet données personnelles, ce qui implique un double reporting pour certains systèmes à haut risque.
Modèles GPAI et obligations spécifiques des fournisseurs
Les modèles d’IA à usage général (GPAI) font l’objet d’un régime dédié. Depuis le 2 août 2025, les fournisseurs de modèles GPAI doivent respecter des obligations de transparence renforcées, notamment la publication d’une documentation technique détaillée et d’une politique de respect du droit d’auteur.
Les modèles GPAI présentant un risque systémique sont soumis à des contraintes supplémentaires :
- Réalisation d’évaluations de modèle incluant des tests adversariaux pour identifier les vulnérabilités
- Notification à la Commission européenne des incidents graves dans des délais définis par le règlement
- Mise en place de mesures de cybersécurité proportionnées à la puissance du modèle
Le seuil de classification en risque systémique n’est pas fixé par une simple métrique de performance. La Commission peut désigner un modèle comme présentant un risque systémique sur la base de critères qualitatifs, ce qui laisse une marge d’appréciation significative.
Sanctions et conformité : ce que risquent les entreprises en France
Le régime de sanctions de l’AI Act est gradué. Les infractions les plus graves (déploiement de systèmes interdits, comme la notation sociale ou la manipulation comportementale subliminale) exposent à des amendes pouvant atteindre un pourcentage du chiffre d’affaires annuel mondial de l’entreprise. Les manquements aux obligations de transparence ou de documentation technique entraînent des sanctions d’un montant inférieur, mais non négligeable.
La conformité ne se limite pas à cocher des cases réglementaires. Elle suppose une gouvernance interne structurée : registre des systèmes d’IA déployés, évaluation continue des risques, traçabilité des décisions algorithmiques. Les entreprises qui externalisent le développement de leurs systèmes d’IA restent responsables au titre du règlement si elles les déploient.
Pratiques d’IA interdites depuis février 2025
Depuis le 2 février 2025, les interdictions portant sur les pratiques à risque inacceptable sont déjà effectives. Parmi les systèmes prohibés :
- Systèmes de notation sociale par les autorités publiques ou pour leur compte
- Systèmes exploitant les vulnérabilités liées à l’âge, au handicap ou à la situation économique
- Systèmes de catégorisation biométrique fondés sur des caractéristiques sensibles (origine ethnique, orientation sexuelle)
- Systèmes d’identification biométrique à distance en temps réel dans l’espace public, sauf exceptions strictement encadrées
Positionnement de la France dans la mise en oeuvre de l’AI Act
La France a adopté une posture qui tente de concilier régulation et soutien à l’écosystème national d’IA. La CNIL joue un rôle de premier plan dans l’accompagnement des entreprises, mais l’architecture de gouvernance nationale reste incomplète à ce stade. Les autorités sectorielles (santé, finance, transport) n’ont pas toutes clarifié leur périmètre d’intervention au regard de l’AI Act.
Nous recommandons aux entreprises concernées de ne pas attendre la stabilisation complète du dispositif institutionnel pour engager leurs travaux de conformité. Les obligations de transparence sont déjà opposables, et les délais accordés par le Digital Omnibus pour les systèmes à haut risque ne dispensent pas de documenter dès maintenant les analyses de risques et les mesures d’atténuation.
Le cadre réglementaire européen sur l’IA continuera d’évoluer au fil des actes délégués et des lignes directrices de la Commission. Les entreprises qui auront structuré leur gouvernance interne en amont seront mieux positionnées pour absorber ces ajustements sans rupture opérationnelle.