AI Act : ce qui change vraiment pour les entreprises françaises le 2 août 2026

Le 2 août 2026 devait être le "grand soir" du règlement européen sur l'intelligence artificielle. Pendant deux ans, cabinets de conseil et juristes ont présenté cette date comme le moment où l'ensemble des obligations de l'AI Act s'abattrait sur les entreprises. La réalité, en juillet 2026, est plus nuancée — et c'est précisément ce qui rend la préparation délicate.

Le paquet législatif Digital Omnibus, définitivement approuvé par le Parlement européen le 16 juin puis par le Conseil le 29 juin 2026, a reporté les obligations les plus lourdes — celles des systèmes d'IA à haut risque — à décembre 2027 (Source : DLA Piper). Mais attention : le 2 août 2026 reste une échéance bien réelle. Les obligations de transparence, l'activation du régime de sanctions et la fin de la période de transition pour les modèles d'IA à usage général entrent en application à cette date.

Ce guide fait le tri entre ce qui s'applique, ce qui est reporté, et ce que votre entreprise doit faire concrètement pour assurer sa conformité IA en 2026.

L'essentiel en une phrase : le 2 août 2026, ce ne sont pas les obligations "haut risque" qui arrivent, mais les règles de transparence de l'article 50, les pouvoirs de sanction et la conformité obligatoire des grands modèles d'IA — et cela concerne bien plus d'entreprises françaises qu'on ne le croit.

Rappel express : le calendrier du règlement IA en entreprise

L'AI Act (règlement UE 2024/1689) est entré en vigueur le 1er août 2024 avec une application échelonnée (Source : EUR-Lex). Deux jalons sont déjà derrière nous. Depuis le 2 février 2025, les pratiques d'IA à risque inacceptable (notation sociale, manipulation comportementale, certaines surveillances biométriques) sont interdites, et l'obligation de maîtrise de l'IA — la formation des équipes prévue à l'article 4 — s'applique déjà.

Depuis le 2 août 2025, les fournisseurs de modèles d'IA à usage général (GPAI) comme GPT, Claude, Gemini ou Mistral sont soumis à leurs propres obligations de documentation et de transparence (Source : Commission européenne). Le 2 août 2026 marque la troisième vague. C'est la date d'application générale du règlement, celle qui active les rouages institutionnels et les sanctions.

Le malentendu du report : ce que le Digital Omnibus change (et ne change pas)

C'est le point qui génère le plus de confusion dans les directions juridiques et conformité en ce moment. Le Digital Omnibus reporte l'application des obligations pour les systèmes d'IA à haut risque de l'annexe III (recrutement, scoring de crédit, éducation, biométrie...) du 2 août 2026 au 2 décembre 2027, et celles des systèmes intégrés à des produits réglementés (annexe I) au 2 août 2028 (Source : White & Case).

La raison est pragmatique : les normes harmonisées du CEN-CENELEC et les organismes notifiés nécessaires à la certification n'étaient pas prêts. Imposer des obligations sans les outils pour s'y conformer aurait créé une insécurité juridique majeure. Mais ce report est étroit. Voici ce qui reste inchangé au 2 août 2026 :

• Les obligations de transparence de l'article 50 (chatbots, deepfakes, contenus générés par IA) s'appliquent à la date prévue

• Le régime de sanctions et la gouvernance nationale deviennent pleinement opérationnels

• Les modèles GPAI mis sur le marché avant août 2025 doivent être en conformité totale

• Les interdictions de l'article 5 et l'obligation de formation restent en vigueur depuis février 2025

Le report du haut risque n'est pas un sursis général. Les entreprises qui relâchent l'effort d'inventaire et de classification de leurs systèmes d'IA en 2026 se retrouveront en décembre 2027 avec quelques semaines pour faire un travail qui en demande des mois.

À noter également : le Digital Omnibus introduit une nouvelle pratique interdite visant les systèmes générant des images intimes non consenties ("nudifiers") et du contenu pédocriminel, applicable au 2 décembre 2026 (Source : Parlement européen).

Transparence IA générative : l'obligation qui concerne presque tout le monde

Si votre entreprise n'a retenu qu'une seule chose de cet article, que ce soit celle-ci. L'article 50 du règlement, applicable au 2 août 2026, impose des obligations de transparence IA générative qui touchent la grande majorité des entreprises françaises — bien au-delà des seuls éditeurs de logiciels.

Concrètement, à partir de cette date :

• Chatbots et assistants virtuels : toute personne interagissant avec un système d'IA doit en être informée clairement (une mention visible du type "Vous échangez avec un assistant IA" suffit)

• Contenus générés ou manipulés par IA : les deepfakes et les contenus artificiels diffusés au public doivent être signalés comme tels

• Reconnaissance des émotions et catégorisation biométrique : les personnes exposées doivent en être informées

• Marquage technique des contenus (article 50(2)) : les fournisseurs de systèmes génératifs doivent intégrer un marquage lisible par machine — avec un délai de grâce jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché avant août 2026 (Source : Gibson Dunn)

Prenons un exemple courant. Une PME française qui a déployé un chatbot de service client sur son site Shopify ou WordPress est un "déployeur" au sens du règlement. Son obligation n'a rien d'insurmontable : afficher la mention d'information, vérifier que le fournisseur du chatbot respecte le marquage technique, et documenter ce point dans son registre interne. Le coût est marginal ; l'absence de mention, en revanche, devient sanctionnable.

Sanctions : le règlement montre les dents à partir d'août

Jusqu'ici, l'AI Act était largement dépourvu de bras armé au niveau national. Le 2 août 2026 active le régime de sanctions prévu par le règlement, et les montants sont calibrés sur le modèle du RGPD — en plus sévère (Source : service-public.fr).

Le barème s'organise en trois niveaux :

• Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour le recours à des pratiques interdites

• Jusqu'à 15 millions d'euros ou 3 % du CA mondial pour les manquements aux autres obligations, y compris la transparence de l'article 50

• Jusqu'à 7,5 millions d'euros ou 1 % du CA mondial pour la fourniture d'informations inexactes aux autorités

Un mécanisme protecteur existe pour les PME et startups : c'est le montant le plus faible entre le pourcentage et la somme fixe qui s'applique, alors que les grandes entreprises se voient appliquer le plus élevé. Cette asymétrie, prévue à l'article 99, rend la conformité proportionnée — mais pas optionnelle.

Qui contrôle quoi en France : CNIL, DGCCRF et le puzzle des autorités

Pour les entreprises françaises, la question pratique est simple : qui frappera à la porte en cas de contrôle ? La France a opté pour un modèle sectoriel, dont le schéma de gouvernance a été publié par le ministère de l'Économie (Source : Direction générale des Entreprises).

Dans ce dispositif, la DGCCRF assure la coordination opérationnelle et joue le rôle de point de contact unique avec la Commission européenne. La CNIL occupe une position centrale sur tout ce qui touche aux données personnelles, à la biométrie, à l'emploi et aux pratiques interdites — un périmètre que le gouvernement a encore renforcé début 2026 en la positionnant comme pivot de la régulation (Source : Next). L'Arcom intervient sur les contenus générés et les deepfakes, l'ACPR sur la finance, et l'ANSSI en appui technique sur la cybersécurité.

Pour un DPO ou un responsable conformité, la conséquence est directe : les réflexes acquis avec le RGPD sont le meilleur point de départ. La CNIL cumulera les deux casquettes sur de nombreux dossiers, et une IA traitant des données personnelles relèvera simultanément des deux règlements — qui se cumulent, sans se substituer l'un à l'autre.

Votre plan d'action conformité IA : la méthode en 5 étapes

Le processus de mise en conformité n'a rien de mystérieux. Voici la démarche que toute entreprise française peut appliquer dès maintenant, quelle que soit sa taille.

Étape 1 — Cartographier tous vos systèmes d'IA. Recensez chaque outil intégrant de l'IA : chatbots, scoring, tri de CV, génération de contenu, CRM prédictif, y compris les usages "shadow IA" des collaborateurs sur ChatGPT ou Copilot. Sans inventaire, aucune classification n'est possible — c'est l'équivalent du registre des traitements du RGPD.

Étape 2 — Classer chaque système par niveau de risque. Le règlement distingue quatre niveaux : inacceptable (interdit), haut risque (annexe III — obligations reportées à décembre 2027 mais à anticiper), risque limité (transparence obligatoire dès août 2026) et risque minimal (aucune obligation spécifique). Pour la majorité des PME, les usages courants relèvent du risque limité ou minimal.

Étape 3 — Déployer les mentions de transparence avant le 2 août. Ajoutez l'information "IA" sur vos chatbots, étiquetez vos contenus générés destinés au public, et vérifiez contractuellement que vos fournisseurs assurent le marquage technique. C'est l'action la plus urgente et la moins coûteuse de toute la démarche.

Étape 4 — Formaliser la formation de vos équipes. L'obligation de maîtrise de l'IA (article 4) s'applique déjà depuis février 2025. Documentez qui utilise quels outils, formez ces collaborateurs aux risques et conservez les preuves — les formations éligibles aux financements OPCO rendent ce chantier accessible même aux petites structures.

Étape 5 — Préparer le haut risque sans attendre décembre 2027. Si vous utilisez de l'IA en recrutement, en évaluation des salariés ou en octroi de crédit, lancez dès 2026 l'analyse d'écart : documentation technique, supervision humaine, traçabilité, gouvernance des données. Le report vous donne du temps ; il ne réduit aucune exigence de fond.

La conformité IA suit la même courbe que le RGPD en 2018 : ceux qui ont commencé douze mois avant l'échéance l'ont vécue comme un projet ; ceux qui ont attendu l'ont vécue comme une crise.