Régulation · 14 août 2026

Le 2 août 2026, une partie de l’AI Act est entrée en application. Ce n’est pas « tout l’AI Act ». Les systèmes à haut risque de l’annexe III sont reportés au 2 décembre 2027. Les systèmes embarqués relevant de l’annexe I le sont au 2 août 2028, via le Digital Omnibus (règlement UE 2026/1744, en vigueur depuis le 27 juillet 2026). Une TPE ou une PME qui lit des titres alarmistes a intérêt à séparer ce qui est déjà dû de ce qui ne l’est pas. Paniquer sur un dossier d’évaluation de conformité dont l’échéance est 2027, tout en oubliant l’affichage du chatbot, est le mauvais arbitrage.

Le calendrier, sans raccourci

Trois strates coexistent désormais.

Déjà applicable, et ce depuis plus longtemps qu’on ne le dit: les pratiques interdites, avec des amendes pouvant aller jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Également déjà applicable depuis le 2 février 2025: l’article 4 sur la littératie IA, pour les fournisseurs et pour les déployeurs.

Applicable depuis le 2 août 2026: la transparence de l’article 50 (information sur les interactions avec une IA, marquage machine des contenus synthétiques, étiquette visible des deepfakes professionnels, mention sur certains textes d’intérêt public). Les systèmes déjà sur le marché avant cette date ont jusqu’au 2 décembre 2026 pour le marquage machine de l’article 50, paragraphe 2. Le Bureau de l’IA peut enquêter sur les fournisseurs de modèles à usage général depuis le 2 août 2026. Les manquements au volet transparence exposent jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial.

Pas encore applicable: le régime complet des systèmes à haut risque annexe III (2 décembre 2027) et des systèmes embarqués annexe I (2 août 2028). C’est ce report que beaucoup de commentaires ont résumé trop vite par « l’AI Act est retardé ». Non. Une partie est en vigueur. Une autre est décalée.

Ce qui ne s’applique pas encore à une PME typique

La plupart des agents que nous voyons chez les TPE et PME (prise de rendez-vous, FAQ, relance devis, accueil hôtel, suivi de chantier) ne sont pas, de ce seul fait, des systèmes à haut risque au sens de l’annexe III. Tant que le report tient, vous n’avez pas à produire le dossier d’évaluation, la gestion des risques formalisée au format haut risque, ni les obligations de surveillance post-marché de ce régime.

Cela ne veut pas dire que votre usage est « hors AI Act ». Vous restez déployeur. Vous restez soumis à l’article 50 si un humain dialogue avec le système. Vous restez soumis à l’article 4 si vos équipes déploient de l’IA sans compétence minimale. Vous restez soumis au RGPD dès que des données personnelles transitent.

Méfiez-vous aussi de l’autodiagnostic trop optimiste. Un outil qui oriente un recrutement, qui note des candidats, qui assiste un diagnostic médical ou qui pèse sur l’accès à un service essentiel peut basculer dans le haut risque le moment venu. Le report donne du temps pour se préparer. Il ne transforme pas un usage sensible en usage anodin.

Ce qu’il faut faire quand même, maintenant

Tenir un registre d’usages. Quel outil, quel fournisseur, quelles données, quel public (salariés, clients, candidats). Une page à jour suffit au départ. Sans ce socle, vous serez incapable de dire, en 2027, ce qui est devenu haut risque.
Traiter la transparence 2026. Chatbots, agents, contenus générés: l’article 50 n’attend pas 2027. C’est le chantier prioritaire de cet été.
Ne pas attendre 2027 pour la littératie. L’article 4 court depuis le 2 février 2025. Un programme de formation IA et cybersécurité n’est pas un à-côté marketing. C’est une obligation de déployeur.
Sécuriser le système, pas seulement le discours. Un agent mal cloisonné, avec trop de droits sur la messagerie ou le dossier client, est un incident cyber avant d’être un dossier AI Act. Voir notre offre cybersécurité de l’IA.
Recouper RGPD et AI Act. Finalité, base légale, transfert hors UE, durée de conservation des prompts: un audit de conformité RGPD reste le moyen le plus concret de voir ce qui circule vraiment.
Documenter les décisions de non-haut-risque. Si vous estimez qu’un usage n’est pas annexe III, écrivez pourquoi, à quelle date, sur la base de quels faits. En 2027, cette note vaudra plus qu’un souvenir de réunion.

Éviter deux erreurs symétriques

La première erreur est la panique: geler tout projet IA jusqu’en 2027, ou acheter un « pack conformité haut risque » pour un chatbot de FAQ. Vous dépensez, vous vous croyez couvert, et vous n’avez toujours pas informé l’utilisateur qu’il parle à une machine.

La seconde est le déni: « ce n’est que pour les grandes plateformes ». Le déployeur d’une PME est nommément dans le texte. Les plafonds d’amende sont calculés aussi en pourcentage du chiffre d’affaires mondial. Pour un groupe, le pourcentage pèse. Pour une TPE, le risque réputationnel et contractuel pèse souvent plus vite que le plafond théorique.

Patrick Dajan Mouelle, dirigeant de Cybernecs, insiste sur cet ordre de bataille: d’abord l’inventaire et l’affichage, ensuite la sécurité des accès, ensuite seulement les dossiers lourds si un usage s’approche vraiment du haut risque. L’ordre inverse produit des classeurs et des agents opaques.

Comment avancer sans théâtre

Si vous voulez une lecture de vos usages (ce qui est déjà dû, ce qui peut attendre 2027, ce qui doit être formé), contactez-nous via la page contact. Nous ne vendons pas la peur du 2 décembre 2027. Nous cadrons ce qui est en vigueur le 14 août 2026, et ce que vous pouvez raisonnablement planifier d’ici là.

Sources: règlement sur l’intelligence artificielle (AI Act), règlement UE 2026/1744 (Digital Omnibus), Touteleurope, L’Express.