# AI Act depuis le 2 août 2026 : trois vitesses, et deux plafonds de sanction à ne pas confondre > Le report voté en 2026 ne suspend pas le texte, il le découpe en trois calendriers distincts. La confusion la plus coûteuse n'est pas de rater l'échéance 2027 : c'est de croire que la transparence de l'article 50, déjà sanctionnable depuis le 2 août, reste soumise au même plafond d'amende que les pratiques interdites de l'article 5. Un second risque, moins mesuré mais à surveiller, pourrait déplacer l'attention de conformité du DSI vers le CMO. - Source : https://probans.org/analyses/ai-act-obligations-trois-vitesses - Catégorie : Intelligence artificielle - Auteur : Axel Morel - Publié le : 2026-08-10 - Mis à jour le : 2026-08-18 - Indice de solidité de la preuve (ISP) : 57/100 (56-75 %, Preuves modérées) ## En résumé - Le règlement (UE) 2026/1744 du 24 juillet 2026, pris dans son ensemble, touche à bien plus que le haut risque (nouvelles interdictions à l'article 5, pouvoirs de l'AI Office, sandboxes, période transitoire de l'article 50(2)) ; seul son volet de report des obligations liées au haut risque ne touche que l'Annexe III (reportée au 2 décembre 2027) et l'Annexe I (IA intégrée à des produits déjà réglementés, août 2028) : les obligations de transparence de l'article 50(1), (3) et (4) sont en vigueur depuis le 2 août 2026, sans lien avec ce volet. - L'article 50(2), le marquage technique lisible par machine, obéit à un calendrier distinct : un délai de grâce jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août, précisé par le Code of Practice finalisé le 10 juin 2026 et par les lignes directrices de la Commission mises à jour le 6 août 2026. - Ce calendrier à trois vitesses justifie de continuer à traiter séparément, dans tout dispositif de conformité déjà en place depuis début août, les obligations d'information et de divulgation (dues et sanctionnables depuis le 2 août) et le marquage technique lisible par machine (échéance encore à quatre mois), plutôt que de les fusionner sous une lecture unique du report de 2026. Le 2 août 2026 s'est installé pendant des mois dans les agendas de conformité comme la date à cocher pour l'AI Act européen. Depuis l'accord politique du 7 mai 2026, une autre idée a circulé tout aussi vite : le texte serait repoussé, le répit acquis. Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur trois jours plus tard, a tranché entre les deux lectures [1]. Les deux affirmations de départ étaient vraies en partie. C'est leur confusion, plus que l'une ou l'autre, qui continue de produire à la fois une fausse sérénité et une inquiétude disproportionnée, plusieurs jours après une échéance que beaucoup pensaient avoir été effacée. > Le report de 2026 ne suspend pas l'AI Act, il le découpe en trois vitesses distinctes. Le piège opérationnel n'est pas seulement de rater une échéance : c'est d'appliquer à l'ensemble du règlement le calendrier d'un seul bloc d'obligations. _[Élément interactif « ChiffresCles » disponible sur la version HTML de cette page.]_ ## Ce que le report de 2026 a réellement changé *Ce que les textes établissent.* Le Digital Omnibus on AI, déposé par la Commission le 19 novembre 2025, visait à simplifier un calendrier jugé trop dense sur une seule fenêtre [3]. L'accord politique du 7 mai 2026 a été validé par le Parlement le 16 juin puis par le Conseil le 29 juin 2026. Il a débouché sur le règlement (UE) 2026/1744, un texte qui modifie de nombreuses dispositions du règlement (UE) 2024/1689 (nouvelles pratiques interdites à l'article 5, pouvoirs de l'AI Office, sandboxes, entre autres) [1]. Son volet le plus commenté reporte les obligations des systèmes à haut risque de l'Annexe III du 2 août 2026 au **2 décembre 2027**, soit seize mois [1][2]. Les systèmes intégrés à des produits déjà réglementés au titre de l'Annexe I sont repoussés au **2 août 2028** [1]. C'est ce seul volet, et non le règlement dans son ensemble, qui laisse l'article 50 intact. ## L'article 50 n'a jamais été un bloc unique *Ce que les textes établissent.* L'erreur de lecture la plus répandue généralisait le report à l'ensemble du texte. L'article 50 se décompose en deux régimes distincts, une nuance que le communiqué du Conseil du 29 juin puis le texte final du 24 juillet rendent explicite [1][2] : - **Article 50(1), (3) et (4)** : informer l'utilisateur qu'il interagit avec un système d'IA (1), informer toute personne exposée à un système de reconnaissance des émotions ou de catégorisation biométrique (3), signaler les deepfakes et étiqueter le contenu d'intérêt public généré par IA (4). Sont en vigueur, sanctionnables, depuis le **2 août 2026**. - **Article 50(2)** : marquage technique lisible par machine. Délai de grâce de quatre mois jusqu'au **2 décembre 2026** pour les systèmes déjà sur le marché avant le 2 août ; un système nouveau doit s'y conformer dès sa mise sur le marché. _[Élément interactif « CartesComparaison » disponible sur la version HTML de cette page.]_ Cette date du 2 décembre 2026 coïncide avec l'entrée en vigueur de deux nouvelles interdictions de l'article 5, sur les contenus intimes non consentis générés par IA et les contenus pédopornographiques synthétiques [1]. ![Schéma 1](timeline-ai-act.svg) **Schéma 1.** L'AI Act à trois vitesses en 2026-2028. Source : règlement (UE) 2026/1744, 24 juillet 2026 [1] ; Commission européenne, Code of Practice, 10 juin 2026 [4]. Indépendance : [I]. _[Élément interactif « Chronologie » disponible sur la version HTML de cette page.]_ ## Le Code of Practice répond au marquage technique, les lignes directrices à l'application de terrain *Ce que les textes établissent.* La Commission a publié la version finale du Code of Practice on Transparency of AI-Generated Content le 10 juin 2026 [4]. Le texte retient une approche à deux couches, métadonnées sécurisées et filigranage technique. Le 27 juillet 2026 à 18h CEST était la date retenue pour figurer parmi les signataires initiaux ; fournisseurs et déployeurs peuvent continuer à adhérer au Code après cette date, l'inclusion dans la liste initiale n'étant pas une condition de recevabilité de la signature [10]. Depuis, la Commission a complété le dispositif par des lignes directrices sur les obligations de transparence, mises à jour le 6 août 2026. Elles précisent les notions de système directement interactif, de contenu synthétique et de deepfake, et détaillent les cas d'exemption [5]. ## Qui contrôle, en France : une architecture encore provisoire *Ce que les textes établissent.* L'article 50 est en vigueur, mais l'identité de l'autorité qui le fait appliquer sur le terrain, en France, n'est pas encore fixée par la loi. Le schéma présenté par la Direction générale des entreprises et la DGCCRF le 9 septembre 2025 confie à la DGCCRF un rôle de coordination et de point de contact unique au sens de l'article 70.2 du règlement. Les autorités sectorielles existantes conservent leur périmètre propre : l'Arcom pour les deepfakes et la transparence des contenus, l'ACPR pour les organismes bancaires et assurantiels, la CNIL pour les traitements de données personnelles et la biométrie [11]. Ce schéma n'a toutefois pas, à ce stade, valeur légale. La désignation formelle doit passer par un texte dédié au Parlement. Selon un observatoire spécialisé, elle n'était toujours pas intervenue plus de cinq mois après l'échéance du 2 août 2025 fixée par le règlement pour cette désignation [12], une échéance distincte de celle du 2 août 2026 sur la transparence et déjà dépassée. *Extrapolation prudente.* Je n'ai pas retrouvé de confirmation officielle et datée de l'état d'avancement de cette désignation à la date de publication de cet article ; le point mérite d'être vérifié avant toute décision qui en dépendrait directement. Ce que cela ne change pas : l'absence d'autorité formellement désignée ne suspend pas l'obligation de l'article 50 elle-même, ni son exposition au régime de sanction. Pour un assureur ou une banque, l'ACPR reste l'interlocuteur pressenti le plus probable, dans la continuité de son rôle de superviseur prudentiel existant. Pour une direction marketing hors secteur régulé, en revanche, l'absence de désignation formelle ne doit pas être lue comme une absence de risque. La DGCCRF dispose déjà, au titre de sa mission générale de protection des consommateurs contre les pratiques trompeuses, d'une base d'action indépendante de toute désignation propre à l'AI Act. ## Un chantier de simplification plus large, à deux vitesses *Ce que les textes établissent.* Le Digital Omnibus on AI n'est pas un texte isolé. La Commission l'a déposé le même jour, le 19 novembre 2025, que son texte jumeau, le Digital Omnibus général, qui modifie le RGPD, la directive ePrivacy, NIS2 et le Data Act au nom de la même logique de compétitivité [9]. Les deux textes n'ont pas avancé au même rythme. Celui sur l'IA a été adopté et publié au Journal officiel le 24 juillet 2026, huit mois après son dépôt. Celui sur le RGPD reste en négociation, avec une adoption anticipée autour de mi-2027 selon les cabinets qui suivent le dossier [9]. *Mon interprétation.* Le rythme observé sur l'IA pourrait se maintenir comme le gabarit de cette vague de simplification. Si c'est le cas, les directions conformité qui pilotent aussi leurs obligations RGPD, ePrivacy ou NIS2 disposent là d'un cas déjà bouclé pour observer comment une négociation comparable se déroule, plutôt que d'une raison de traiter ces deux chantiers séparément. ## Le contrepied *Où se situe l'apport propre de cette analyse.* Ce calendrier à trois vitesses n'est plus, au moment de la publication de cet article, une lecture isolée. Plusieurs cabinets d'avocats internationaux le formulent désormais dans les mêmes termes, spécifiquement sur l'AI Act [7][8]. Le rappeler ici ne serait qu'une redite. L'apport propre de cette pièce est ailleurs, dans deux éléments beaucoup moins commentés : un risque organisationnel encore mal cartographié, potentiellement porté par le CMO plus que par le DSI, et la confusion fréquente entre les deux plafonds de sanction de l'AI Act. *Mon interprétation.* La forte visibilité du report du haut risque crée un risque que l'attention et les ressources de conformité se concentrent sur 2027, au détriment des obligations déjà applicables. C'est ce risque qu'il fallait vérifier, et qu'il faut encore vérifier pour toute organisation qui ne l'a pas fait. L'article 50(1) vise le fournisseur (provider) du système : c'est à lui de le concevoir pour que l'utilisateur soit informé qu'il interagit avec une IA. Une entreprise qui conçoit et met sur le marché son propre chatbot, sous son nom, est potentiellement fournisseur au sens du règlement, et l'obligation de conception s'applique alors directement à elle depuis le 2 août. Une direction marketing qui se contente de déployer un chatbot fourni par un tiers est en revanche simple déployeur (deployer), une catégorie juridique distincte à laquelle l'article 50(1) n'impose pas automatiquement cette obligation : le statut réel, fournisseur ou déployeur, se vérifie au cas par cas, il ne se présume pas depuis le seul intitulé du poste. Quand elle s'applique au fournisseur concerné, cette obligation n'a en tout cas jamais été reportée et reste sanctionnable. Il en va de même pour une direction qui diffuse des contenus entrant effectivement dans le champ de l'article 50(4) sans dispositif de divulgation conforme. L'exemption pour contenu ayant fait l'objet d'un véritable contrôle éditorial humain ne couvre ni ce cas de conception par le fournisseur ni l'ensemble de l'article 50(4) : elle vise spécifiquement les textes d'intérêt public visés au second alinéa de l'article 50(4), sous réserve qu'une personne physique ou morale en assume la responsabilité éditoriale, et ne s'étend pas aux deepfakes couverts par ce même article 50(4). _[Élément interactif « Matrice » disponible sur la version HTML de cette page.]_ *Extrapolation prudente.* Ce raisonnement réglementaire est solide. Le report ne couvre que l'Annexe III. L'article 50 reste pleinement applicable, et un outil marketing peut y être exposé sans jamais relever d'un système à haut risque. L'étape suivante, celle d'un déplacement effectif de l'attention de conformité du DSI vers le CMO à l'intérieur des organisations, reste en revanche une hypothèse de lecture, pas une donnée mesurée : je n'ai trouvé aucune enquête qui documente spécifiquement qui, en interne, porte aujourd'hui la vigilance sur l'article 50. Un chiffre disponible va même à contre-courant d'une lecture trop simple. Selon l'étude Trends of AI 2026 de KPMG et Les EnthousIAstes (356 décideurs français interrogés, dont 62 % de dirigeants ou membres de Comex, publiée le 23 janvier 2026), le marketing et l'IT sont conjointement désignés comme les fonctions les plus avancées dans l'adoption de l'IA en France [13]. Pas le marketing seul, loin devant une DSI qui aurait déjà tourné son attention ailleurs. Ce chiffre ne mesure pas qui porte la conformité à l'article 50 en particulier, et KPMG vend par ailleurs du conseil en gouvernance IA, un intérêt à signaler plutôt qu'à taire. Il indique seulement qu'une DSI française reste, au global, un acteur engagé de l'adoption de l'IA, ce qui invite à traiter le déplacement de risque DSI/CMO comme un scénario plausible à surveiller, pas comme un fait déjà constaté. *Ce que je propose.* Je recommande à toute direction conformité de documenter, avant la fin de l'année 2026, le statut exact de chaque système d'IA qu'elle fournit ou déploie : fournisseur ou déployeur, catégorie de l'Annexe III applicable ou non, dans un registre daté et vérifiable. Mieux vaut ce registre maintenant que d'attendre l'échéance de décembre 2027 pour engager cette cartographie. Je recommande aussi, spécifiquement, que ce registre nomme explicitement qui, DSI ou direction marketing, est responsable du suivi de l'article 50 pour chaque système recensé : c'est précisément l'angle mort que la donnée disponible ne permet pas encore de trancher. Les autres pièces de ce dossier détaillent ce que cette cartographie doit distinguer selon le secteur, la taille et le système concernés. ## Pièges qui restent d'actualité - **Croire que le report général dispense de la transparence.** Le report ne concerne que l'Annexe III et l'Annexe I ; il n'a jamais touché l'article 50(1), (3) et (4). - **Confondre marquage technique et obligations d'information et de divulgation.** Deux calendriers différents, l'un déjà échu, l'autre encore ouvert jusqu'au 2 décembre 2026. - **Penser qu'une mention légale discrète suffit.** Les lignes directrices du 6 août 2026 demandent un signalement clair et distinguable, pas une mention noyée en bas de page [5]. - **Confondre les deux plafonds de sanction.** Le plafond de 35M€/7% du CA mondial est réservé aux manquements à l'article 5 (pratiques interdites) ; les manquements à l'article 50 relèvent d'un plafond distinct, 15M€ ou 3% du CA mondial [14]. ## Le risque à remettre à sa juste échelle *Mon interprétation.* Le plafond de 35M€/7% du CA mondial, souvent brandi comme menace générale, est réservé aux manquements les plus graves de l'article 5. Un manquement à l'article 50 relève d'un plafond distinct, 15M€ ou 3% du CA mondial [14], un montant qui reste sérieux et ne justifie pas de traiter le sujet à la légère. Pour une PME, y compris une start-up, l'article 99 retient le plus faible des deux montants (le plafond fixe ou le pourcentage du CA), pas le plus élevé [14]. Autre confusion fréquente : l'IA générative n'est pas devenue interdite au 2 août, seules des pratiques précises le sont. ## Le doute qui reste ouvert *Extrapolation prudente.* - **Le contenu déjà publié avant le 2 août doit-il être signalé rétroactivement ?** Tranché pour le marquage technique et l'étiquetage des deepfakes (article 50(2) et (4)), les seuls paragraphes qui portent sur du contenu déjà publié : la Commission a précisé qu'aucune obligation rétroactive ne s'applique au contenu déjà diffusé avant le 2 août 2026 [10]. La question ne se pose pas dans les mêmes termes pour l'article 50(1) et (3), qui portent sur l'information en temps réel d'une personne interagissant avec un système ou exposée à lui, pas sur l'étiquetage d'un contenu déjà publié. - **Une mention « assisté par IA » suffit-elle ?** Les lignes directrices du 6 août demandent la clarté du caractère généré, pas le détail technique du système utilisé [5]. Une mention générique peut être insuffisante si elle ne révèle pas clairement, selon le contexte, s'il s'agit d'un contenu entièrement généré ou seulement modifié par IA. La Commission distingue elle-même les deux cas dans ses propres pictogrammes de référence. - **La signature du Code of Practice devient-elle un standard de fait ?** Aucun standard alternatif documenté à ce jour. ## Écart au Standard Probans Je publie cet article sous mon propre seuil de qualité interne, après une première version plus nettement en retrait. Je nomme cette limite explicitement plutôt que de la masquer. La dimension en cause est l'**insight original** (14/20, le critère non négociable le plus bas des trois que je retiens). Je revendique deux différenciateurs propres : le déplacement possible du risque de conformité du DSI vers le CMO, et la distinction entre les deux plafonds de sanction de l'AI Act (35M€/7% pour l'article 5, 15M€/3% pour l'article 50). J'ai correctement hedgé le premier au fil de mes relectures : il reste, honnêtement, une hypothèse de lecture non tranchée par les données disponibles, pas un fait établi ni un objet intellectuel qui m'appartient. Le second est exact et utile, mais reste une clarification juridique attendue de toute veille sérieuse sur l'AI Act, pas un cadre nommé ou un calcul original comparable au « calendrier à trois vitesses » que je reconnais moi-même comme déjà repris par plusieurs cabinets d'avocats. Une clarification aurait pu renforcer le score sans franchir ce plafond : sourcer explicitement les deux montants de sanction à leur texte primaire (article 99 du règlement (UE) 2024/1689, que j'ai ajouté en citation [14] lors de cette révision). Je l'ai corrigé. Ce qui reste ouvert, en revanche, c'est l'absence d'un troisième objet qui m'appartiendrait en propre (donnée, cas documenté, étude) et qui trancherait réellement la question du déplacement DSI/CMO : aucune source publique que j'ai consultée à ce jour ne mesure qui, en interne, porte la vigilance de conformité sur l'article 50. Une future pièce du dossier pourra rouvrir ce point si une telle donnée apparaît. ## Application par profil de décision Ce calendrier à trois vitesses n'épuise pas la question de savoir ce que l'AI Act exige concrètement selon le secteur, la taille de l'entreprise et le type de système d'IA utilisé : c'est l'objet des autres pièces de ce dossier, qui détaillent des cas concrets de PME industrielle, de banque, d'assureur et d'éditeur SaaS. Le détail par profil de décision, ainsi que la posture recommandée selon l'enjeu et la réversibilité, est réuni sur la page [Décision possible](/ia/obligations-ai-act-entreprises/decision-possible) de ce dossier, mise à jour à chaque nouvelle pièce publiée. Retour au [dossier Les obligations de l'AI Act, secteur par secteur](/ia/obligations-ai-act-entreprises) · Lire la [Décision possible](/ia/obligations-ai-act-entreprises/decision-possible) du dossier. ## Mes réserves

Ce qui invaliderait cette lecture

Biais cognitifs que cette situation peut déclencher

## Sources - Union européenne (2026). Règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026 modifiant le règlement (UE) 2024/1689, publié au Journal officiel le 24 juillet 2026. - Conseil de l'UE (2026). Communiqué, 29 juin 2026. - Commission européenne (2025). Digital Omnibus on AI, proposition COM(2025) 837 final, 19 novembre 2025. - Commission européenne (2026). Code of Practice on Transparency of AI-Generated Content, 10 juin 2026. - Commission européenne (2026). Lignes directrices sur les obligations de transparence de l'article 50, mises à jour le 6 août 2026. - Future of Life Institute (2026). artificialintelligenceact.eu, Article 50, Article 43, Annexe III. - Gibson Dunn (2026). EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes. - DLA Piper (2026). The Digital AI Omnibus. - White & Case (2026). GDPR under revision: Key takeaways from the Digital Omnibus Regulation proposal. - Commission européenne (2026). FAQ : Signing the Code of Practice on transparency of AI-generated content. - Direction générale des Entreprises / DGCCRF (2025). Projet de désignation des autorités nationales compétentes pour le règlement européen sur l'intelligence artificielle, 9 septembre 2025. - AI Regulation / MIAI (2026). EU AI Act Implementation: France Still Without Designated National Competent Authorities, 20 janvier 2026. - KPMG France / Les EnthousIAstes (2026). Trends of AI 2026 : quels impacts de l'IA sur les grandes fonctions de l'entreprise en France ?, 356 décideurs interrogés de septembre à octobre 2025 dont 62 % de dirigeants ou membres de Comex, publié le 23 janvier 2026. - Union européenne (2024). Règlement (UE) 2024/1689, article 99 : plafonds d'amende de 35M€ ou 7% du CA mondial pour les manquements à l'article 5, et de 15M€ ou 3% du CA mondial pour les manquements aux autres obligations dont l'article 50 ; pour les PME et start-ups, c'est le plus faible des deux montants qui s'applique. --- Publié sur Probans : https://probans.org/analyses/ai-act-obligations-trois-vitesses