Depuis le 2 août 2026, la Commission européenne et les autorités nationales ont commencé à faire appliquer l’AI Act. Une nouvelle série d’obligations est devenue opposable, et cette fois elle ne vise pas que les géants de la tech : elle concerne toute entreprise qui publie du contenu produit avec de l’intelligence artificielle ou qui fait dialoguer un outil IA avec ses clients.
Une autre échéance, très commentée, a en revanche été repoussée. Voici ce qui s’applique réellement, ce qui a été reporté, et les vérifications à faire de votre côté.
1. Qu’est-ce que l’AI Act ?
L’AI Act, officiellement le règlement (UE) 2024/1689, est un texte européen. Il a été adopté par l’Union européenne, il s’applique sur le territoire de l’Union, et il n’existe à ce jour aucun équivalent aussi complet ailleurs dans le monde. C’est en ce sens qu’on le présente comme le premier cadre juridique complet consacré à l’intelligence artificielle. Il est entré en vigueur le 1er août 2024.
Deux caractéristiques structurent le texte.
Une approche par les risques. Le règlement encadre les usages, pas la technologie. Quatre niveaux : risque inacceptable (pratiques interdites, comme la notation sociale ou l’exploitation de personnes vulnérables), haut risque (recrutement, crédit, éducation, biométrie, infrastructures critiques), risque limité (obligations de transparence), risque minimal (aucune obligation).
Une application progressive. Là où le RGPD était entré en application d’un bloc, l’AI Act déploie ses obligations par vagues successives entre 2025 et 2028. Le texte existe depuis deux ans, mais toutes ses briques ne sont pas encore actives.
Deux rôles à distinguer. Le règlement répartit les obligations entre deux catégories d’acteurs :
- Le fournisseur est l’entreprise qui développe un système d’IA et le met sur le marché.
- Le déployeur est l’entreprise qui utilise ce système dans son activité professionnelle.
Une même entreprise peut cumuler les deux rôles si elle développe un outil et l’utilise également. Dans le cas d’une entreprise qui se contente de souscrire à des outils du marché, seul le rôle de déployeur s’applique.
Une portée qui dépasse les frontières européennes. Le critère n’est pas le lieu d’établissement de l’entreprise, mais l’usage. Une entreprise américaine qui vend un outil d’IA utilisé par des clients européens entre dans le champ du règlement, au même titre qu’un éditeur français. À l’inverse, cette même entreprise n’y est pas soumise pour ses activités purement domestiques aux États-Unis.
Selon une enquête de Bpifrance Le Lab publiée en janvier 2026, 55 % des TPE et PME françaises déclaraient utiliser l’IA générative fin 2025, contre 31 % un an plus tôt. L’usage régulier, lui, ne concerne encore que 17 % des entreprises.
2. Le calendrier, étape par étape
| Date | Ce qui devient applicable |
|---|---|
| 1er août 2024 | Entrée en vigueur du règlement |
| 2 février 2025 | Dispositions générales, définitions, obligation de littératie IA (article 4), interdiction des pratiques à risque inacceptable |
| 2 août 2025 | Obligations des fournisseurs de modèles d’IA à usage général, désignation des autorités nationales, gouvernance européenne |
| 2 août 2026 | Obligations de transparence (article 50), régime de sanctions, mesures de soutien à l’innovation, début de l’application par les autorités |
| 2 décembre 2026 | Fin du délai transitoire pour le marquage technique des systèmes déjà sur le marché avant le 2 août 2026 |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III, reportés depuis le 2 août 2026 |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés, annexe I, reportés depuis le 2 août 2027 |
Deux étapes passent souvent inaperçues alors qu’elles sont en vigueur depuis février 2025.
La littératie IA. L’article 4 impose aux fournisseurs comme aux déployeurs de veiller à ce que leur personnel dispose d’un niveau suffisant de compétence en matière d’IA, proportionné au contexte d’usage. Aucun format n’est imposé, aucune certification n’est exigée, mais l’obligation est réelle et s’applique quelle que soit la taille de l’entreprise.
Les pratiques interdites. Peu d’entreprises sont concernées, mais la liste mérite une lecture rapide. Elle inclut notamment la reconnaissance des émotions sur le lieu de travail et dans l’enseignement.
3. Ce qui s’applique depuis le 2 août : l’article 50
L’article 50 crée quatre obligations de transparence, réparties entre fournisseurs et déployeurs. Elles sont présentées ici de la plus courante à la plus rare.
Le marquage technique des contenus générés par IA
Les fournisseurs de systèmes d’IA générative doivent apposer sur leurs productions un marquage lisible par machine, permettant d’identifier un contenu comme généré ou manipulé artificiellement. Ce marquage est invisible : il s’agit d’une signature cryptographique inscrite dans le fichier, selon le standard C2PA, aussi appelé Content Credentials.
Cette obligation porte sur toutes les productions de l’outil : photo réaliste, illustration, texte, audio, vidéo. Une aquarelle générée par IA reçoit le même marquage qu’un faux portrait photographique.
Ce marquage relève du fournisseur, pas de vous. Vous n’avez ni à l’apposer, ni à vérifier qu’il est présent.
Les deepfakes et certains textes
C’est l’obligation qui concerne le plus d’entreprises, et la seule qui pèse directement sur le déployeur.
Les deepfakes. Un contenu image, audio ou vidéo généré ou manipulé par IA, représentant des personnes, objets, lieux ou événements plausibles, et susceptible de passer pour authentique, doit être accompagné d’une mention claire et visible.
Ce qui entre dans cette définition :
- Un mannequin photoréaliste entièrement généré, ou un fragment de corps humain photoréaliste, même s’il ne correspond à aucune personne réelle
- Une scène photoréaliste fabriquée de toutes pièces
Ce qui n’y entre pas :
- Une illustration, une aquarelle, une gravure, un motif : le contenu ne prétend pas être authentique
- Une vraie photo de produit dont le fond a été remplacé ou l’éclairage retravaillé, tant que le produit lui-même reste fidèle à la réalité
- Tout ce qui reste interne et n’est pas publié
La frontière décrite ci-dessus concerne la présence d’un humain de synthèse. Une autre ligne, indépendante de l’AI Act, mérite autant d’attention : celle qui sépare la retouche du décor de la retouche du produit.
Tant que l’IA ne touche qu’au fond ou à l’éclairage général, rien à signaler. Dès qu’elle modifie le produit lui-même, sa couleur, sa texture, sa forme ou son fini, le visuel ne représente plus ce que le client recevra. Cela relève des pratiques commerciales trompeuses, sanctionnées par l’article L121-2 du code de la consommation et contrôlées par la DGCCRF, que de l’IA soit intervenue ou non.
Pour une petite structure, c’est le risque le plus probable des deux : il suffit d’un client qui compare son colis à la fiche produit.
L’obligation ne vaut que pour les contenus générés à partir du 2 août 2026. Les lignes directrices retiennent la date de génération, et non celle de publication : les contenus antérieurs n’ont pas à être étiquetés rétroactivement.
Concrètement, quelle mention, et où ? Le marquage technique du fichier ne suffit pas : il est invisible et peut disparaître au premier recadrage. La mention doit être écrite, explicite, et accessible dès la première exposition au contenu.
Une formulation courte suffit, du type « Visuel généré par IA ». Elle doit nommer l’intelligence artificielle : « image de synthèse » ou « créé avec des outils numériques » ne remplit pas la condition.
Où la placer selon le support :
- Publication sur les réseaux sociaux : première ligne de la légende, avant la troncature
- Story ou format sans légende : en incrustation sur le visuel
- Page produit ou article de site : sous l’image, visible sans avoir à cliquer ou faire défiler
- Newsletter : sous l’image concernée
Ce qui ne compte pas : la bio du compte, les mentions légales, les conditions générales, un commentaire sous la publication.
Les textes. L’obligation vise les publications destinées à informer le public sur des sujets d’intérêt public : développements financiers, politiques, scientifiques ou culturels susceptibles d’alimenter un débat public. La publicité produit et la communication d’entreprise en sont en principe exclues.
Une exemption large s’y ajoute : un texte relu et validé, avec une personne assumant la responsabilité éditoriale de sa publication, n’a pas à être signalé. Cette relecture doit être substantielle et non une simple approbation de forme.
Un point de vigilance tout de même : le contenu marketing rédigé sous une forme éditoriale sur des sujets de santé, de finance ou de droit peut entrer dans le champ. Tant que ces textes sont écrits ou réellement retravaillés à la main, l’exemption joue.
Les systèmes qui dialoguent avec des personnes
Un chatbot, un assistant conversationnel, un agent qui rédige et envoie des e-mails doit informer son interlocuteur qu’il s’adresse à une machine, dès le premier échange, sauf si c’est évident au vu du contexte.
En pratique : si un assistant IA répond à vos clients sur votre site ou par mail, il doit se présenter comme tel.
La reconnaissance des émotions et la catégorisation biométrique
Deux familles de systèmes encore peu répandues dans les petites structures, mais qu’il faut savoir identifier.
La reconnaissance des émotions déduit un état émotionnel à partir de données corporelles : expression du visage, intonation de la voix, gestuelle. Par exemple, un outil qui analyse le ton d’un client au téléphone pour évaluer son degré d’agacement.
La catégorisation biométrique classe des personnes dans des catégories à partir de leurs caractéristiques physiques : estimation de l’âge ou du genre à partir d’un visage, par exemple sur un écran publicitaire en magasin.
Quand ces systèmes sont utilisés, les personnes concernées doivent en être informées. Certains usages sont par ailleurs purement interdits, notamment la reconnaissance des émotions appliquée aux salariés ou aux élèves.
Vos publications et vos publicités sur les réseaux sociaux
Indépendamment du règlement, les plateformes appliquent leurs propres règles, et elles sont parfois plus larges.
Meta lit le marquage C2PA au moment de la mise en ligne et appose automatiquement une mention « AI info » sur les contenus détectés comme générés ou modifiés par IA. Cette mention est appliquée sans intervention humaine et ne peut pas être retirée après publication. Sont notamment concernées la génération de fond, la génération d’image et l’animation, y compris lorsqu’elles proviennent d’outils tiers qui inscrivent des Content Credentials dans le fichier. Le recadrage et la correction colorimétrique manuelle ne déclenchent rien.
Pour les publicités, Meta impose en outre une déclaration IA dans le gestionnaire de publicités, et le contenu non divulgué constitue un motif de rejet.
4. Fournisseur ou déployeur : ce que ça change pour vous
| Qui | Obligation au titre de l’article 50 | |
|---|---|---|
| Fournisseur | L’entreprise qui développe le système et le met sur le marché | Marquage technique des productions, documentation |
| Déployeur | L’entreprise qui l’utilise dans son activité | Mention visible sur les deepfakes et les textes d’intérêt public, information sur les chatbots |
Si vous utilisez ChatGPT, Midjourney, Canva ou un générateur d’images pour produire vos contenus, vous êtes déployeur. Le marquage du fichier relève de l’éditeur de l’outil.
Cela ne signifie pas que la responsabilité se délègue. Le règlement organise les obligations tout au long de la chaîne, et le déployeur porte les siennes, distinctes de celles du fournisseur. Souscrire à un outil d’IA ne transfère pas la responsabilité de ce qu’on en fait.
5. Le Digital Omnibus : ce qui a été reporté
Un « omnibus » désigne, dans le vocabulaire européen, un texte de loi unique qui vient modifier plusieurs réglementations existantes en une seule fois, plutôt que de les réviser séparément. Le Digital Omnibus est de cette nature : proposé par la Commission européenne en novembre 2025, il visait à simplifier et rééchelonner plusieurs textes numériques, dont le RGPD, le Data Act et l’AI Act.
Son volet consacré à l’IA a été détaché du reste et traité en priorité, en raison de l’échéance du 2 août 2026 qui approchait. Il s’agit donc bien d’un règlement européen, qui modifie l’AI Act sans le réécrire.
Son parcours : accord politique le 7 mai 2026, adoption par le Parlement européen le 16 juin, feu vert du Conseil le 29 juin, signature le 8 juillet, publication au Journal officiel le 24 juillet et entrée en vigueur le 27 juillet 2026.
Ce qu’il change :
- Les obligations applicables aux systèmes à haut risque de l’annexe III, ceux définis par leur usage (recrutement, scoring de crédit, éducation, gestion des salariés, justice), passent du 2 août 2026 au 2 décembre 2027.
- Celles de l’annexe I, qui visent l’IA intégrée à des produits déjà réglementés, passent du 2 août 2027 au 2 août 2028.
L’article 50 sur la transparence, le régime de sanctions et l’obligation de littératie IA de l’article 4 s’appliquent bien depuis le 2 août 2026.
6. Les sanctions
Le règlement prévoit un régime gradué.
| Type d’infraction | Plafond |
|---|---|
| Pratiques interdites (article 5) | 35 M€ ou 7 % du chiffre d’affaires annuel mondial |
| Non-conformité aux autres obligations, dont l’article 50 | 15 M€ ou 3 % |
| Informations incorrectes fournies aux autorités | 7,5 M€ ou 1 % |
Ces plafonds sont assortis d’un principe de proportionnalité pour les PME.
Le règlement fixe les montants mais laisse aux États membres l’organisation de la sanction. L’amende est prononcée par l’autorité nationale compétente et encaissée par les finances publiques du pays concerné, pas par la Commission européenne.
Pour une petite structure, le risque réel n’est pas l’amende européenne, mais la qualification de pratique commerciale trompeuse évoquée plus haut, qui relève du droit national de la consommation.
7. Qui contrôle en France
Le dispositif français répartit le contrôle entre plusieurs autorités, avec une coordination assurée par l’État.
La DGCCRF, Direction générale de la concurrence, de la consommation et de la répression des fraudes, rattachée au ministère de l’Économie. Elle contrôle les pratiques commerciales et la protection des consommateurs. Elle est ici le point de contact unique au sens de l’article 70.2 du règlement et coordonne la surveillance du marché. C’est l’interlocuteur opérationnel principal.
La DGE, Direction générale des entreprises, également au ministère de l’Économie. Elle pilote la coordination réglementaire nationale et représente la France au Comité européen de l’IA.
La CNIL, Commission nationale de l’informatique et des libertés, autorité chargée de la protection des données personnelles. Elle intervient sur les cas touchant fortement aux droits fondamentaux, notamment les usages haut risque en biométrie et en emploi.
L’Arcom, Autorité de régulation de la communication audiovisuelle et numérique, née de la fusion du CSA et de la Hadopi. Elle supervise les obligations de transparence, en particulier les contenus générés ou manipulés par IA destinés à informer le public.
Le Défenseur des droits, autorité indépendante chargée de la lutte contre les discriminations, intervient sur l’égalité de traitement face aux systèmes d’IA.
L’ANSSI, Agence nationale de la sécurité des systèmes d’information, et le PEReN, Pôle d’expertise de la régulation numérique, fournissent l’appui technique aux autres autorités. Ils ne contrôlent pas directement les entreprises.
Comment se déroule un contrôle. La logique est celle de la surveillance du marché : la vérification intervient après la mise sur le marché ou en service. Elle peut être déclenchée par un signalement de client, de salarié ou d’association, par un incident déclaré, par une enquête sectorielle ou par une action ciblée.
L’entreprise doit alors pouvoir démontrer quatre choses : la cartographie de ses cas d’usage d’IA, la qualification de leur niveau de risque, sa documentation et son organisation interne, ses mécanismes de supervision humaine et de gestion des incidents.
8. Votre checklist en 12 points
Vos visuels
- Ajouter une mention visible sur tout visuel photoréaliste représentant une personne générée par IA, produit après le 2 août 2026
- Vérifier que chaque visuel produit reste fidèle à l’article livré : couleur, texture, forme, fini
- Archiver les originaux des photos retouchées
Vos textes
- Faire relire et valider chaque contenu avant publication par une personne identifiée
- Écrire noir sur blanc qui assume cette responsabilité éditoriale
- Rédiger ou retravailler à la main les contenus éditoriaux portant sur la santé, la finance ou le droit
Vos points de contact automatisés
- Faire annoncer à votre chatbot, s’il existe, qu’il est un système d’IA dès le premier échange
- Cocher la déclaration IA dans le gestionnaire de publicités avant toute campagne en ligne
Votre organisation
- Établir la liste de tous les outils d’IA utilisés dans votre activité, y compris les fonctionnalités intégrées à des logiciels déjà en place
- Noter, pour chacun, quelles données lui sont transmises
- Vérifier que les personnes qui les utilisent en connaissent les limites, au titre de l’obligation de littératie IA de l’article 4
- Réunir ces éléments dans un dossier unique et daté, prêt à être présenté sans délai en cas de demande. Notre article sur la gouvernance de l’IA détaille les cinq documents à produire et qui doit s’en charger.
L’AI Act inquiète surtout ceux qui ne l’ont pas lu. Pour une entreprise qui n’exploite ni biométrie ni décision automatisée sur des personnes, tout tient dans ces douze points, et la plupart sont déjà satisfaits sans le savoir.
Un doute sur vos propres usages ?
Flowtransfo accompagne entreprises et indépendants sur le recensement de leurs outils d’IA, la qualification des risques et la mise en conformité.
Sources
- Règlement (UE) 2024/1689 sur l’intelligence artificielle
- Règlement modificatif « Digital Omnibus sur l’IA », adopté en juin 2026, en vigueur depuis le 27 juillet 2026
- Commission européenne, communiqué du 2 août 2026 : Commission starts enforcing AI Act rules and new transparency requirements on 2 August
- Commission européenne, AI Act Service Desk : calendrier de mise en œuvre
- Commission européenne, Shaping Europe’s digital future : obligations de transparence au titre de l’article 50, FAQ et fiche pratique
- Lignes directrices de la Commission sur l’article 50 et code de bonnes pratiques sur la transparence des contenus générés par IA
- Bpifrance Le Lab, enquête sur l’adoption de l’IA générative dans les TPE et PME, janvier 2026
- Meta, règles relatives aux contenus générés par IA et aux publicités
- Prof. Bamdad Shams, Formation IA & Leadership, cours Comprendre et gouverner les systèmes de l’IA, ESSEC Business School, mars 2026
