AI Act : le 2 août 2026 change-t-il vraiment la donne pour votre entreprise IT ?

Le 2 août 2026, les obligations de transparence de l’AI Act deviennent pleinement opposables et la supervision du règlement passe en régime opérationnel : les amendes de l’article 99 s’appliquent, elles, depuis le 2 août 2025, et la Commission peut désormais sanctionner directement les fournisseurs de modèles d’IA à usage général (article 101). Pour les entreprises IT qui auraient cru pouvoir souffler, le réveil risque d’être brutal : les sanctions peuvent atteindre jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les manquements les plus graves (Règlement UE 2024/1689).

Quel est le calendrier réel de l’AI Act ?

Pour comprendre où en est l’AI Act, il faut reprendre le calendrier dans l’ordre, tel qu’établi par la Commission européenne :

• 2 février 2025 : entrée en vigueur des interdictions (pratiques d’IA à risque inacceptable) et de l’obligation de maîtrise de l’IA (article 4)
• 2 août 2025 : obligations pour les modèles d’IA à usage général (GPAI), comme les grands modèles de langage
• 2 août 2026 : activation des pouvoirs de sanction, application des obligations de transparence (article 50), mise en place des sandboxes réglementaires dans chaque État membre
• 2 décembre 2026 : obligations de marquage technique lisible par machine des contenus de synthèse, pour les seuls systèmes déjà mis sur le marché avant le 2 août 2026, et entrée en application des deux nouvelles interdictions ajoutées par l’Omnibus
• 2 décembre 2027 : obligations pour les systèmes d’IA à haut risque autonomes (annexe III)
• 2 août 2028 : obligations pour les systèmes d’IA à haut risque intégrés dans des produits réglementés

Ce calendrier est le cadre de référence. Toute stratégie de conformité doit s’y ancrer, indépendamment des évolutions législatives parallèles.

Ce que l’AI Act impose concrètement à votre organisation

L’obligation de maîtrise de l’IA (article 4) : déjà opposable

Depuis le 2 février 2025, toute organisation utilisant un système d’IA dans un contexte professionnel est soumise à l’obligation de maîtrise de l’IA. Cela signifie que chaque collaboratrice et collaborateur utilisant ou supervisant un système d’IA doit disposer d’un niveau de compétence proportionnel à son rôle. Selon iavenir-formation.fr, un volume de 4 à 8 heures est souvent avancé. Le règlement, lui, ne fixe aucune durée : le niveau attendu s’apprécie au regard du rôle de chacun, des usages réels et du niveau de risque des systèmes concernés. Cette formation doit être documentée, non seulement pour se conformer, mais aussi afin de pouvoir le démontrer en cas de contrôle.

Les obligations de transparence (article 50) : en vigueur depuis le 2 août 2026

Tout système d’IA qui interagit avec des utilisateurs humains (chatbot, assistant conversationnel, contenu généré par IA) doit informer ces derniers qu’ils interagissent avec une IA. Cette obligation ne fait l’objet d’aucun report et s’applique pleinement depuis le 2 août 2026.

Les interdictions : actives depuis février 2025

Les pratiques d’IA classées à risque inacceptable sont interdites depuis le 2 février 2025. Elles concernent notamment les systèmes de notation sociale, la manipulation comportementale à l’insu des personnes ou l’exploitation de leurs vulnérabilités, et certains usages de la reconnaissance biométrique en temps réel dans les espaces publics.

Les systèmes à haut risque : une anticipation indispensable

Les obligations les plus structurantes pour les systèmes à haut risque (documentation technique complète, gestion des risques formalisée, contrôle humain documenté, inscription dans la base de données UE) sont fixées au 2 décembre 2027 pour les systèmes autonomes, et au 2 août 2028 pour les systèmes intégrés dans des produits réglementés. Ces délais peuvent sembler confortables. Ils ne le sont pas : un chantier de conformité de cette envergure requiert, comme ce fut le cas pour le RGPD, entre 12 et 24 mois de travail. Les organisations qui attendront 2027 pour démarrer seront en retard dès le premier jour d’application.

Ce que le Digital Omnibus change (et ne change pas)

Depuis l’accord politique conclu le 7 mai 2026, adopté formellement le 29 juin 2026, puis la publication du règlement (UE) 2026/1744 fin juillet 2026, une idée circule dans les couloirs des DSI : « l’AI Act a été reporté, on a le temps. » C’est une lecture partielle, et potentiellement très coûteuse.

Le Digital Omnibus a bien obtenu un report des obligations relatives aux systèmes d’IA à haut risque : au 2 décembre 2027 pour les systèmes autonomes, et au 2 août 2028 pour les systèmes intégrés dans des produits soumis à des règles sectorielles de sécurité. Ce report est réel, mais il ne concerne que ces obligations-là. Les interdictions, l’obligation de maîtrise de l’IA (article 4), les obligations de transparence (article 50) et les pouvoirs de sanction ne sont pas concernés par ce report et s’appliquent selon le calendrier initial.

Un point de calendrier essentiel : le Digital Omnibus sur l’IA a été publié au Journal officiel de l’Union européenne. Il s’agit du règlement (UE) 2026/1744, signé le 8 juillet 2026 et entré en vigueur le 27 juillet 2026. Le calendrier révisé est donc désormais du droit positif, et non plus une hypothèse législative : c’est l’AI Act tel que modifié (Règlement UE 2024/1689 modifié par le règlement UE 2026/1744) qui fait foi. En revanche, en déduire un report général de l’AI Act serait une erreur coûteuse : l’Omnibus ne décale que les obligations haut risque, et ajoute deux nouvelles pratiques interdites applicables au 2 décembre 2026 (systèmes de nudification et génération de contenus pédocriminels).

L’AI Act vise-t-il uniquement les grands groupes ?

Non, et c’est précisément l’idée reçue la plus répandue. L’AI Act s’applique à toute organisation qui développe, met sur le marché ou utilise un système d’IA dans l’Union européenne, quelle que soit sa taille. Selon le rapport Digital Economy and Society Index (2025), la maturité numérique des entreprises françaises progresse ; la conformité AI Act, elle, reste très peu formalisée, une large majorité d’ETI et de PME n’ayant pas encore engagé de démarche structurée.

Voici une grille de lecture concrète pour les entreprises IT :

Vous développez un produit intégrant de l’IA générative :

• Obligations de transparence depuis le 2 août 2026 (article 50 du Règlement UE 2024/1689)
• Marquage du contenu synthétique à partir du 2 décembre 2026
• Qualification du niveau de risque de votre système à réaliser sans délai

Vous utilisez des outils IA en interne (Copilot, Claude, ChatGPT…) :

• L’obligation de maîtrise de l’IA (article 4 de l’AI Act) est déjà en vigueur depuis le 2 février 2025
• Vos équipes doivent disposer d’un niveau suffisant de littératie IA, proportionnel à leur rôle

Vous vendez des solutions à des secteurs sensibles (RH, santé, finance) :

• Vos systèmes sont potentiellement classés « haut risque » au titre de l’annexe III
• Même reportées à décembre 2027, ces obligations nécessitent d’être anticipées dès maintenant

Fournisseur, déployeur : une double casquette aux implications concrètes

L’AI Act distingue deux rôles aux obligations distinctes. Le fournisseur est celui qui développe et met sur le marché un système d’IA. Le déployeur (ou utilisateur professionnel) est celui qui intègre ou utilise ce système dans son contexte opérationnel.

La réalité des entreprises IT est plus complexe : la plupart sont les deux à la fois. Elles développent des solutions intégrant de l’IA pour leurs clients et clientes, tout en utilisant des outils IA en interne (Copilot, Claude, ChatGPT, etc.). Cette double casquette implique un double périmètre de conformité, souvent sous-estimé.

La fenêtre stratégique de l’article 111

L’article 111 de l’AI Act prévoit une clause de non-rétroactivité particulièrement intéressante : les systèmes d’IA à haut risque mis sur le marché avant les nouvelles échéances (2 décembre 2027 ou 2 août 2028) n’auront pas à se conformer aux obligations haut risque, sauf en cas de modification substantielle de leur conception après cette date.

Pour les DSI et les équipes produit, cela crée une fenêtre stratégique réelle : les solutions actuellement en développement ou en phase de déploiement peuvent bénéficier de ce régime transitoire, à condition d’être mises sur le marché avant les échéances et de ne pas subir de refonte majeure par la suite. Cette logique doit s’intégrer dans les roadmaps produit dès maintenant.

Quel plan d’action concret mettre en place ?

Face à ce calendrier, voici les six étapes structurantes à engager sans attendre.

1. Cartographier ses usages IA

Recenser exhaustivement tous les outils IA utilisés en interne et tous les systèmes IA intégrés dans les produits ou services délivrés aux clients. Cette cartographie doit couvrir à la fois les outils grand public (Copilot, ChatGPT, Gemini) et les modèles intégrés dans les applications métier.

2. Qualifier le niveau de risque de chaque usage

Classer chaque usage selon la grille de l’AI Act : risque inacceptable (interdit), haut risque (obligations lourdes), risque limité (transparence), risque minimal (libre). Cette qualification conditionne l’ensemble des obligations applicables et leur calendrier.

3. Satisfaire à l’obligation de compétence IA (article 4)

L’obligation de maîtrise de l’IA est déjà opposable depuis février 2025. Un programme de formation documenté est indispensable, non seulement pour se conformer, mais aussi pour pouvoir le démontrer en cas de contrôle.

4. Structurer la documentation de conformité

Mettre en place les registres requis : inventaire des systèmes IA, évaluation des risques, dispositifs de supervision humaine des décisions automatisées. Pour les systèmes à haut risque, cette documentation constitue la colonne vertébrale du dossier de conformité (articles 11 à 18 et annexe IV du Règlement UE 2024/1689).

5. Vérifier la conformité de ses fournisseurs de modèles GPAI

Si vous intégrez un modèle tiers (OpenAI, Anthropic, Mistral, etc.) dans vos produits ou services, vous êtes responsable de vérifier que ce fournisseur respecte ses propres obligations au titre de l’AI Act. Demandez la documentation de conformité et intégrez cette vérification dans vos processus d’achat et de qualification des prestataires.

6. Ne pas se reposer sur les reports d’échéance

Le report à décembre 2027 est réel, mais trompeur. Un chantier de conformité de type AI Act requiert, comme ce fut le cas pour le RGPD, entre 12 et 24 mois de travail : cartographie, qualification, formation, documentation, tests, gouvernance.

Pourquoi anticiper constitue un avantage stratégique

Le parallèle avec le RGPD est éclairant. En 2018, les entreprises qui avaient anticipé la mise en conformité n’ont pas seulement évité les sanctions : elles ont transformé cette contrainte en argument de confiance vis-à-vis de leurs clients, de leurs partenaires et de leurs donneurs d’ordre. Selon une étude étude menée auprès de DPO en 2024 (claustres.com), une part significative d’entre eux constate un effet positif direct sur les appels d’offres, en particulier lorsque la fonction conformité est associée aux processus commerciaux.

L’AI Act suit la même logique. Dans les secteurs bancaires, de la santé et de l’industrie, où Blue Soft accompagne quotidiennement ses clients et clientes, la conformité à l’AI Act deviendra rapidement un critère de sélection dans les appels d’offres et les due diligences. Les organisations qui auront structuré leur gouvernance IA en amont disposeront d’un avantage concurrentiel tangible sur celles qui subiront la réglementation dans l’urgence.