L'essentiel
Le 2 août 2026, seules les obligations de transparence de l'article 50 de l'AI Act concernent réellement une PME : dire à vos clients quand ils parlent à une IA, signaler certains contenus générés. Les obligations lourdes pesant sur les systèmes à haut risque sont reportées à décembre 2027 et août 2028.
Le calendrier a changé quatre jours avant l'échéance
Depuis des mois, la plupart des articles consacrés au règlement européen sur l'intelligence artificielle annonçaient la même chose : le 2 août 2026, l'AI Act s'applique « en totalité ». Ce n'est plus exact.
Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « Digital Omnibus sur l'IA », a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il modifie le règlement (UE) 2024/1689 — l'AI Act — et reporte une partie substantielle des obligations. C'est la première révision de fond de ce texte depuis son adoption en 2024.
Le 2 août 2026 reste une date qui compte, mais elle ne recouvre plus ce qui était annoncé. Ce qui entre réellement en application est plus étroit, plus concret — et concerne beaucoup plus de TPE et de PME qu'on ne le croit, parce que cela touche les chatbots et les contenus générés par IA, pas seulement les grands systèmes industriels.
Si vous avez lu un article publié avant fin juillet 2026 vous annonçant une mise en conformité « haut risque » pour le 2 août, mettez-le de côté. Voici l'état du droit à jour.
Ce qui s'applique vraiment le 2 août 2026
Une seule famille d'obligations concerne directement la grande majorité des petites entreprises : les obligations de transparence de l'article 50 de l'AI Act. Elles n'ont pas été reportées. Le cabinet Freshfields, dans son analyse du texte final de l'omnibus, est explicite : toutes les obligations de transparence de l'article 50 — à commencer par l'information de l'utilisateur qu'il interagit avec une IA — s'appliquent bien à partir du 2 août 2026.
Deuxième bascule ce jour-là, qui explique le bruit ambiant sans vous concerner directement : la Commission européenne et son Bureau de l'IA obtiennent leurs pouvoirs de supervision et de sanction sur les fournisseurs de modèles d'IA à usage général. Ces fournisseurs sont soumis à leurs obligations depuis le 2 août 2025, mais la Commission ne pouvait pas encore les sanctionner. C'est ce verrou qui saute.
Autrement dit : le 2 août 2026, la pression réglementaire monte surtout sur ceux qui fabriquent les modèles. Pour vous qui les utilisez, l'enjeu se résume à une question simple et très concrète : vos clients savent-ils quand ils parlent à une machine, et quand ils lisent un contenu produit par une machine ?
Fournisseur ou déployeur ? La distinction qui décide de tout
C'est le point où la plupart des articles dérapent, et où une erreur d'appréciation coûte du temps et de l'argent. L'AI Act ne traite pas de la même façon celui qui construit un système d'IA et celui qui l'utilise.
Le fournisseur développe un système d'IA et le met sur le marché sous son propre nom. Le déployeur l'utilise sous sa propre autorité, dans le cadre de son activité professionnelle. Une TPE qui utilise un assistant conversationnel pour rédiger ses fiches produits est un déployeur. Un artisan qui installe un chatbot du commerce sur son site est un déployeur. Dans l'immense majorité des cas, vous êtes déployeur, pas fournisseur.
L'article 50 répartit les obligations ainsi :
- Le fournisseur doit concevoir les systèmes qui interagissent directement avec des personnes de manière à ce que celles-ci soient informées qu'elles s'adressent à une IA, sauf si c'est évident au vu du contexte. Il doit aussi marquer les sorties de ses systèmes génératifs (texte, image, audio, vidéo) dans un format lisible par machine et détectable comme artificiel.
- Le déployeur doit informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique, dans le respect du RGPD. Et il doit signaler les contenus constituant des hypertrucages (deepfakes), ainsi que les textes publiés dans le but d'informer le public sur des questions d'intérêt général.
Dans tous les cas, l'information doit être délivrée de manière claire et distinguable, au plus tard au moment de la première interaction ou exposition.
Attention au piège de l'article 25 : un déployeur peut basculer dans le statut de fournisseur — et hériter des obligations correspondantes — s'il commercialise le système sous sa propre marque, s'il le modifie substantiellement, ou s'il en détourne la finalité prévue. Si vous apposez votre logo sur un assistant construit à partir d'un modèle tiers et que vous le présentez comme votre propre produit, posez la question à un juriste avant, pas après.
Transparence : ce que vous devez dire à vos clients
Traduisons en actions.
Votre site a un chatbot. La personne qui l'ouvre doit comprendre dès le premier message qu'elle s'adresse à une IA. Une phrase d'accueil du type « Bonjour, je suis l'assistant automatique de [nom de l'entreprise] » suffit. Un avatar portant un prénom humain, sans aucune mention de sa nature artificielle, ne suffit pas. L'exemption « c'est évident » existe dans le texte, mais elle s'apprécie du point de vue d'une personne normalement informée et raisonnablement attentive. Ne pariez pas dessus si votre agent est convaincant.
Vous publiez des contenus rédigés avec de l'IA. Le marquage technique lisible par machine pèse sur le fournisseur de l'outil, pas sur vous. En revanche, si vous publiez des textes destinés à informer le public sur des sujets d'intérêt général, l'obligation de signalement retombe sur vous en tant que déployeur — avec une exception décisive : elle ne s'applique pas lorsque le contenu a fait l'objet d'un contrôle éditorial humain et qu'une personne physique ou morale assume la responsabilité de la publication. Pour une PME qui relit ses articles avant publication, cette exception change tout. Encore faut-il pouvoir le démontrer : écrivez-le noir sur blanc dans votre process.
Vous produisez des visuels ou des vidéos manipulés. Les hypertrucages doivent être signalés comme tels. L'exception pour les œuvres artistiques, créatives ou satiriques existe, mais elle est étroite : elle permet de signaler la manipulation d'une manière qui n'entrave pas l'œuvre, pas de ne rien dire du tout.
Un délai a été accordé sur un point précis : les systèmes génératifs déjà mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour se conformer à l'obligation de marquage lisible par machine. Ce sursis vise les éditeurs d'outils, pas les entreprises qui les utilisent.
La Commission européenne a par ailleurs publié un code de bonnes pratiques sur la transparence des contenus générés par IA, accompagné d'icônes de signalement. L'adhésion est volontaire ; les obligations sous-jacentes, elles, ne le sont pas. Pour une petite structure, s'aligner sur ces icônes est le moyen le plus économique de démontrer sa bonne foi.
Systèmes à haut risque : reporté à décembre 2027
C'est le grand changement apporté par l'omnibus. Les obligations lourdes applicables aux systèmes d'IA à haut risque — système de gestion de la qualité, documentation technique, évaluation de conformité, contrôle humain, journalisation — sont repoussées :
- 2 décembre 2027 pour les systèmes autonomes listés à l'annexe III (article 6(2)) : recrutement et gestion des ressources humaines, accès à l'éducation, évaluation de la solvabilité, certains usages biométriques, accès aux services publics essentiels ;
- 2 août 2028 pour les systèmes intégrés comme composants de sécurité dans des produits déjà couverts par une réglementation sectorielle (article 6(1), annexe I) : machines, dispositifs médicaux, aéronautique.
Si vous utilisez un logiciel de tri de CV ou un outil de scoring, vous êtes probablement concerné à terme — mais vous disposez de seize mois de plus que prévu. Ce n'est pas une raison pour ne rien faire : c'est le bon moment pour recenser vos usages sans être dans l'urgence, et pour interroger vos éditeurs sur leur feuille de route.
L'omnibus a également allégé le texte pour les petites structures : documentation technique simplifiée sur la base de modèles fournis par la Commission, système de gestion de la qualité proportionné, accès prioritaire aux bacs à sable réglementaires — dont la mise en place par les États membres est décalée au 2 août 2027.
Enfin, l'obligation de culture de l'IA de l'article 4 a été assouplie : elle passe d'une obligation d'assurer un niveau suffisant de maîtrise de l'IA chez les collaborateurs à une obligation de prendre des mesures pour en soutenir le développement. Le texte précise qu'elle n'impose pas de garantir un niveau donné pour un individu donné. Une obligation de moyens, donc — mais qui existe toujours, et qui reste le meilleur investissement du lot : la plupart des incidents liés à l'IA en entreprise viennent d'un usage mal cadré, pas d'un défaut technique.
Sanctions : ce que vous risquez réellement
Le régime de sanctions de l'AI Act comporte trois niveaux, calculés sur le chiffre d'affaires annuel mondial. Le manquement aux obligations de transparence de l'article 50 relève du niveau intermédiaire : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Un point capital, systématiquement oublié dans les articles alarmistes : l'article 99, paragraphe 5, inverse la règle pour les PME et les jeunes entreprises. Pour elles, c'est le montant le plus faible entre le pourcentage et la somme fixe qui s'applique. Le plafond réel d'une TPE n'a donc rien à voir avec les chiffres à sept zéros qui circulent dans la presse. L'omnibus a étendu ce plafonnement favorable aux entreprises de taille intermédiaire.
Le risque n'est pas nul pour autant. À votre échelle, il n'est simplement pas là où on vous le dit : c'est le litige commercial, le signalement d'un client mécontent, ou le donneur d'ordre qui exige une attestation de conformité dans son appel d'offres. C'est déjà le mécanisme qu'on observe avec la directive NIS 2, où la conformité du sous-traitant devient une condition d'accès au marché — un enchaînement que nous détaillons dans notre checklist NIS 2 pour les PME.
Votre checklist de conformité
Cinq actions, réalisables en une demi-journée pour la plupart des structures.
1. Recensez vos usages d'IA. Listez tous les outils utilisés dans l'entreprise : assistants de rédaction, chatbot du site, générateurs d'images, transcription de réunions, fonctions IA intégrées à votre CRM ou à votre suite bureautique. La plupart des dirigeants sous-estiment ce nombre, parce que l'IA s'est glissée dans des outils qu'ils utilisaient déjà. 2. Pour chacun, déterminez votre rôle. Déployeur dans la quasi-totalité des cas. Vérifiez les situations de l'article 25 si vous rebaptisez un outil sous votre marque. 3. Vérifiez vos points de contact clients. Chatbot, standard téléphonique automatisé, réponses automatiques : l'utilisateur est-il informé qu'il s'adresse à une IA dès le premier échange ? Si non, corrigez le message d'accueil. C'est le plus souvent une ligne de configuration, pas un chantier. 4. Écrivez votre règle de publication. Une note interne d'une page : qui utilise quoi, ce qui passe par une relecture humaine, qui assume la responsabilité éditoriale. C'est ce document qui vous permettra d'invoquer l'exception de contrôle éditorial humain. 5. Passez en revue vos contrats. Vérifiez ce que vos éditeurs s'engagent à faire en matière de marquage, et qui porte la responsabilité de la conformité à l'article 50 dans vos conditions générales comme dans celles de vos prestataires.
Ce qui n'est pas utile à ce stade : lancer une évaluation de conformité haut risque, payer une certification, ou souscrire à une plateforme de gouvernance IA. Rien de tout cela n'est exigible d'une TPE ou d'une PME au 2 août 2026.
Le calendrier jusqu'en 2028
- 2 février 2025 — interdiction des pratiques d'IA inacceptables ; obligation de culture de l'IA (depuis assouplie).
- 2 août 2025 — obligations des fournisseurs de modèles d'IA à usage général.
- 2 août 2026 — obligations de transparence de l'article 50 ; pouvoirs de supervision et de sanction de la Commission sur les fournisseurs de modèles à usage général.
- 2 décembre 2026 — fin du délai de marquage pour les systèmes génératifs déjà sur le marché ; application des nouvelles interdictions ajoutées à l'article 5 (contenus intimes générés sans consentement, matériel pédocriminel).
- 2 août 2027 — bacs à sable réglementaires nationaux ; mise en conformité des modèles à usage général mis sur le marché avant août 2025.
- 2 décembre 2027 — obligations haut risque pour les systèmes autonomes de l'annexe III.
- 2 août 2028 — obligations haut risque pour les systèmes intégrés de l'annexe I.
Où trouver de l'aide
Côté français, la répartition définitive des autorités de surveillance du marché n'était pas encore stabilisée à la date de rédaction de cet article. Le sujet est traité dans le projet de loi d'adaptation au droit de l'Union européenne, et plusieurs autorités sectorielles — CNIL, DGCCRF, Arcom, ACPR notamment — sont appelées à se partager le contrôle selon les domaines d'usage. Pour toutes les questions touchant aux données personnelles, la CNIL reste votre référence dès aujourd'hui et publie des questions-réponses sur l'articulation entre l'AI Act et le RGPD.
Le texte de l'AI Act et celui du règlement (UE) 2026/1744 sont consultables gratuitement sur EUR-Lex, le portail officiel du droit de l'Union. Le site artificialintelligenceact.eu en propose un suivi article par article en accès libre. Ces deux sources suffisent à vérifier n'importe quelle affirmation lue ailleurs — y compris celles de cet article.
Si vous voulez faire le tri entre ce qui vous concerne réellement et ce qui relève du bruit réglementaire, c'est le travail que nous menons avec nos clients sur leurs projets d'intelligence artificielle et de cybersécurité. Recenser les usages, qualifier les rôles, corriger les points de contact : la conformité à l'article 50 d'une petite structure se règle en général bien plus vite qu'on ne le redoute. Parlons-en.
---
Rédigé le 28 juillet 2026 d'après les règlements (UE) 2024/1689 et (UE) 2026/1744, ce dernier publié au Journal officiel de l'Union européenne le 24 juillet 2026. Contenu informatif, ne constituant pas un conseil juridique.
