AI Act, 2 août 2026 : ce qui change vraiment (et ce qui a été reporté à 2027)

Par Rédaction E.T Editalent, publié le 2026-07-07.

Contenu partiellement rédigé par l’IA.

AI Act, 2 août 2026 : ce qui change vraiment (et ce qui a été reporté à 2027)

À trois semaines de l'échéance, une confusion massive circule. La plupart des articles annoncent encore « l'entrée en vigueur des obligations haut risque » pour le 2 août 2026. C'est factuellement inexact depuis le 29 juin 2026, date à laquelle le Conseil de l'Union européenne a validé l'accord dit « Omnibus VII » qui reporte de 16 mois l'essentiel de ces obligations (Conseil de l'UE, communiqué du 29 juin 2026). Ce qui reste bien en vigueur au 2 août, en revanche, touche des millions de Français chaque jour : les obligations de transparence de l'Article 50 du règlement (UE) 2024/1689.

1. Le calendrier réel de l'AI Act (post-Omnibus VII)

Sources : Règlement (UE) 2024/1689, art. 113 ; Conseil de l'UE, 29 juin 2026 ; analyse Gibson Dunn, 27 mai 2026.

Le Conseil européen l'a formulé sans ambiguïté :

« Given that provisions on high-risk AI systems were due to enter into force on 2 August 2026, the co-legislators treated this part of the package with utmost priority and agreed on a fixed timeline for the delayed application of high-risk rules: the new application dates would be 2 December 2027 for stand-alone high-risk AI systems and 2 August 2028 for high-risk AI systems embedded in products. » (Consilium.europa.eu, 29 juin 2026)

Note importante : au 7 juillet 2026, l'Omnibus VII n'avait pas encore été publié au Journal officiel de l'UE. Les dates de report deviennent juridiquement opposables trois jours après cette publication (attendue courant juillet).

2. Ce qui entre bien en vigueur le 2 août 2026 : l'Article 50

L'Article 50 impose quatre obligations de transparence distinctes. C'est celui qui a l'impact grand public le plus direct.

a) Article 50 §1, Votre chatbot doit vous dire qu'il est une IA

Tout fournisseur ou déployeur d'un système d'IA destiné à interagir avec des personnes physiques doit « informer clairement et en temps utile » l'utilisateur qu'il parle à une machine, sauf si le contexte le rend évident. Sont concernés : chatbots de service client, assistants vocaux, agents conversationnels de plateformes RH ou d'e-commerce, aides IA dans les applications bancaires.

Exception prévue : les systèmes autorisés pour la détection ou la poursuite d'infractions pénales.

b) Article 50 §2, Le contenu synthétique doit être marqué (watermarking)

Les fournisseurs de systèmes qui génèrent des contenus audio, vidéo, image ou texte synthétiques doivent les marquer dans un format lisible par machine (watermarking, métadonnées C2PA…). Objectif : rendre la détection automatisée possible.

L'Omnibus VII prévoit un délai de grâce de 4 mois pour les systèmes déjà sur le marché avant le 2 août 2026 : leur obligation entre en vigueur le 2 décembre 2026.

c) Article 50 §3, Les deepfakes doivent être signalés

Tout déployeur d'un système générant ou manipulant des images, sons ou vidéos représentant des personnes réelles de manière ressemblante (« deepfake ») doit indiquer visiblement et lisiblement que le contenu a été généré ou manipulé artificiellement.

Exceptions : œuvres artistiques, satire, journalisme d'intérêt public, à condition que le signalement ne compromette pas la finalité de l'œuvre.

d) Article 50 §4, Les contenus IA d'intérêt public doivent être étiquetés

Les déployeurs qui publient des contenus texte, audio ou vidéo générés par IA sur des sujets d'intérêt public (politique, santé publique, science, élections) doivent le signaler, sauf si un rédacteur humain a substantiellement révisé le fond.

Le cabinet Gibson Dunn le résume ainsi :

« 2 August 2026 remains an active compliance date. The Article 50 transparency obligations for AI systems largely remain on the original schedule. Businesses who are subject to those obligations must stay ready for that date regardless of the Omnibus. » (Gibson Dunn, 27 mai 2026)

La Commission européenne a publié le 8 mai 2026 un projet de lignes directrices pour préciser l'application concrète de ces quatre obligations.

3. Les sanctions : jusqu'à 15 millions d'euros pour l'Article 50

L'Article 99 du règlement fixe des sanctions administratives graduées :

Pour les PME et startups, l'article 99 §6 protège explicitement : c'est le plus petit des deux montants qui s'applique (plafond fixe ou pourcentage du CA).

4. Qui contrôle en France ?

La France n'a pas encore adopté la loi formelle d'adaptation désignant l'autorité de surveillance nationale (obligation prévue à l'art. 70 du règlement). Un amendement gouvernemental au projet de loi IANE (« PACTE numérique ») a été adopté par le Sénat le 17 février 2026, habilitant la CNIL à contrôler et sanctionner dans son champ de compétences (Sénat, séance du 17 février 2026).

En pratique, l'architecture pressentie combine plusieurs autorités :

• CNIL, chef de file, protection des personnes, articulation avec le RGPD ;
• Arcom, contenus numériques, deepfakes, désinformation IA ;
• DGCCRF, protection des consommateurs face aux systèmes IA commerciaux ;
• DGE (Direction générale des Entreprises), coordination nationale et notification à l'UE ;
• Bureau européen de l'IA (AI Office, Bruxelles), compétence exclusive sur les GPAI (GPT, Gemini, Claude, Mistral…) et les systèmes intégrés à des très grandes plateformes.

5. Nouveauté Omnibus : les nudifiers et CSAM IA interdits en décembre 2026

Le compromis Omnibus VII ne fait pas qu'assouplir. Il ajoute à l'article 5 (pratiques interdites) une interdiction explicite des systèmes d'IA générant des images intimes non consenties de personnes réelles (« nudifiers ») et des contenus pédopornographiques produits ou manipulés par IA (CSAM). L'interdiction s'appliquera à partir du 2 décembre 2026 et vise également les systèmes dont ce n'est pas l'usage prévu mais où ce résultat est « raisonnablement prévisible et reproductible » sans modification technique significative.

6. Ce qui a été reporté à décembre 2027 : la liste

Les usages « haut risque » de l'annexe III, ceux qui touchent le plus directement la vie des Français, ne seront soumis aux obligations lourdes (analyse de risques, documentation technique, supervision humaine, tests, conformité) qu'à partir du 2 décembre 2027 :

• Systèmes de scoring de crédit et évaluation de solvabilité ;
• Outils de recrutement (parsing de CV, scoring de candidats) ;
• Vidéosurveillance biométrique en temps réel dans les espaces publics ;
• IA dans l'éducation (évaluation automatisée d'élèves) ;
• Accès aux services publics essentiels (attribution d'aides, prestations) ;
• Application de la loi (détection prédictive) ;
• Contrôle aux frontières et instruction des demandes d'asile.

Autrement dit : pendant seize mois de plus, ces systèmes continuent d'opérer sans les garde-fous que le règlement avait initialement prévus. C'est le point le plus critiqué du compromis par les organisations de droits numériques.

Questions fréquentes

Est-ce que ChatGPT, Gemini ou Le Chat de Mistral tombent sous les obligations du 2 août 2026 ?

Oui, mais partiellement. Ces outils sont des modèles GPAI soumis à leurs propres obligations depuis le 2 août 2025 (art. 51-56). Au 2 août 2026, ce sont les applications qui les intègrent (un chatbot de banque, un assistant RH, un site e-commerce) qui doivent respecter l'Article 50 : dire à l'utilisateur qu'il parle à une IA, marquer les images générées, signaler les deepfakes.

Un site qui utilise ChatGPT pour rédiger ses articles doit-il le signaler ?

Uniquement si les contenus portent sur des sujets d'intérêt public (politique, santé, science, élections), art. 50 §4. Et pas si un humain a substantiellement révisé le fond. Un blog cuisine n'est pas concerné ; une couverture d'élection l'est.

Combien coûte une infraction à l'Article 50 ?

Jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, le plus élevé des deux (art. 99 §4). Pour une PME, c'est le plafond fixe qui s'applique.

Qui sanctionne en France ?

La loi française n'est pas encore promulguée. Un amendement adopté par le Sénat en février 2026 confie à la CNIL le contrôle dans son champ de compétences. Arcom et DGCCRF interviendront selon les cas (contenus, consommateurs).

Ce qui était prévu pour le 2 août 2026 est-il reporté ?

Une grande partie, oui. L'Omnibus VII du 29 juin 2026 reporte les obligations haut risque de l'annexe III au 2 décembre 2027 et celles de l'annexe I au 2 août 2028. L'Article 50 (transparence), lui, n'est pas reporté et entre bien en vigueur le 2 août 2026.

À retenir

• Le 2 août 2026 ≠ haut risque IA. C'est l'Article 50 (transparence chatbots, deepfakes, contenus IA) qui entre en vigueur.
• Haut risque reporté : décembre 2027 (annexe III) et août 2028 (annexe I), accord Omnibus VII du 29 juin 2026.
• Sanction max Article 50 : 15 M€ ou 3 % du CA mondial.
• Nouveauté : interdiction des nudifiers et CSAM générés par IA à partir du 2 décembre 2026.
• En France : la CNIL est habilitée par amendement (février 2026), architecture définitive attendue.

Retour au blog