AI Act : le report de 2026 donne-t-il un répit sur la transparence de l'IA ?

Le 2 août 2026 est la date à partir de laquelle l’AI Act s’applique, à quelques exceptions près [14]. Neuf jours avant, le Journal officiel de l’Union européenne publiait un règlement qui repousse certaines échéances de ce texte [1].

Nous avons voulu vérifier si ce report couvre aussi l’article 50, celui qui impose d’informer les personnes qu’elles ont affaire à une IA et de signaler les contenus qu’elle génère. La question compte pour une décision concrète : l’article 50 est assorti d’un plafond d’amende, et son calendrier décide de ce qu’une entreprise doit traiter maintenant [14].

La réponse courte

Le report concerne les règles applicables aux systèmes à haut risque, repoussées au 2 décembre 2027 et au 2 août 2028 [1]. L’article 50, lui, n’est pas reporté : il s’applique depuis le 2 août 2026, et le seul délai prévu court jusqu’au 2 décembre 2026 pour le marquage des contenus générés par des systèmes déjà sur le marché [1][5]. Côté amende, le plafond est de 15 millions d’euros ou 3 % du chiffre d’affaires mondial, loin des 35 millions et des 7 % des pratiques interdites de l’article 5 [14].

Ce que le report vise d’abord

Le règlement (UE) 2026/1744, daté du 8 juillet 2026, modifie l’AI Act. Publié au Journal officiel le 24 juillet, il entre en vigueur trois jours plus tard [1]. Son intitulé annonce un « train de mesures omnibus numérique sur l’IA », un omnibus étant un texte qui modifie plusieurs textes existants [1][9].

Ce qu’il repousse, ce sont les obligations des systèmes classés à haut risque. Pour ceux de l’annexe III (la liste des systèmes d’IA à haut risque visés à l’article 6, paragraphe 2), l’échéance passe au 2 décembre 2027 ; pour ceux de l’annexe I (la liste de la législation d’harmonisation de l’Union), au 2 août 2028 [1][14]. Le législateur invoque des retards dans la disponibilité des normes et dans la mise en place des autorités nationales compétentes [1].

Ces dates sont fixes. La proposition de la Commission de novembre 2025 liait le haut risque à une décision constatant que des mesures d’appui à la conformité étaient disponibles [3]. Pour le marquage, elle prévoyait six mois de délai, jusqu’au 2 février 2027 ; le texte adopté en accorde quatre, jusqu’au 2 décembre 2026 [3][1]. Le cabinet d’avocats Gibson Dunn, dans une alerte du 27 mai 2026 qui commente l’accord politique provisoire et non le texte adopté, notait déjà que cet accord remplaçait par des dates fixes le mécanisme conditionnel proposé par la Commission, et y voyait un report plutôt qu’un démantèlement [7].

Tableau 1. Dix dates de l’AI Act, de 2024 à 2030. Sources : [1][14][5].

Le 2 décembre 2026 n’est pas seulement l’échéance du marquage : deux nouvelles interdictions de l’article 5 s’appliquent ce jour-là. L’une vise les systèmes d’IA qui génèrent des images, vidéos ou contenus audio réalistes montrant, sans son consentement, les parties intimes d’une personne identifiable ou cette personne dans des activités sexuellement explicites. L’autre vise certains matériels relevant d’une directive européenne de 2011 sur la lutte contre les abus sexuels et l’exploitation sexuelle des enfants. Toutes deux jouent dans les limites d’un nouveau paragraphe 1 bis [1].

L’article 50 en quatre obligations

L’article 50 ne se résume pas à une règle : il en contient quatre, qui visent des acteurs différents [5][14]. Le fournisseur développe ou fait développer un système d’IA et le met sur le marché ou en service sous son nom ; le déployeur l’utilise sous sa propre autorité, hors activité personnelle non professionnelle [14].

Tableau 2. Les quatre obligations de l’article 50. Source : [14].

Pour un texte, l’obligation tombe si un examen humain ou un contrôle éditorial s’est exercé sous une responsabilité éditoriale [14]. Ces obligations peuvent se cumuler sur un même système et engager des acteurs différents [5]. Le déployeur qui publie un hypertrucage ne peut pas s’en remettre au marquage du fournisseur, car ce marquage n’est pas immédiatement clair pour les personnes exposées [5].

La date est la même pour toutes : l’article 50 s’applique à partir du 2 août 2026 à tous les systèmes concernés, quelle que soit leur date de mise sur le marché [5]. La seule règle transitoire touche le marquage et la détection du § 2 : les fournisseurs de systèmes qui génèrent du son, des images, des vidéos ou du texte, mis sur le marché avant le 2 août 2026, ont jusqu’au 2 décembre 2026 [1][5]. Un système à la fois interactif et génératif n’en profite que pour le marquage : informer les personnes qui dialoguent avec lui est dû depuis le 2 août [5].

Le code, un outil volontaire

Pour aider à respecter les § 2, 4 et 5, la Commission a publié un code de bonne pratique sur la transparence, rédigé par des experts indépendants avec le Bureau de l’IA, la fonction de la Commission qui contribue à la mise en œuvre et à la surveillance de l’IA [14]. Sa version finale date du 10 juin 2026, il compte deux sections, l’une pour les fournisseurs, l’autre pour les déployeurs, et environ 190 signataires l’avaient adopté fin juillet [4].

Y adhérer est volontaire, alors que les obligations de l’article 50 sont légales [4]. Ne pas signer n’est pas une non-conformité [10]. L’intérêt est ailleurs : pour les signataires d’un code jugé adéquat, la Commission et les autorités de surveillance concentreront leur contrôle sur le respect du code ; les non-signataires devraient démontrer leur conformité autrement, par exemple par une analyse d’écart (une comparaison de leurs mesures avec celles du code), et pourront recevoir davantage de demandes d’information [5]. Un engagement pris dans un code jugé adéquat peut aussi compter comme circonstance atténuante dans le montant d’une amende [5].

Le législateur est plus réservé : les codes de bonne pratique ont un effet juridique limité et ne sont pas assortis d’une présomption de conformité [1]. La Commission doit vérifier, avec l’avis du Comité IA (où siège un représentant de chaque État membre), s’ils suffisent pour les § 2 et 4 [1][14]. Seule la page du 31 juillet 2026 écrit que la Commission et le Comité IA ont confirmé l’adéquation du code, sans dater cette confirmation ; la foire aux questions du 29 juillet parle encore d’évaluation à venir [4][10].

Lignes directrices : le mode d’emploi

Les lignes directrices de la Commission sur l’article 50, datées du 20 juillet 2026, servent de guide pratique aux autorités et aux entreprises. Elles se déclarent non contraignantes : seule la Cour de justice de l’Union européenne (CJUE) peut donner une interprétation qui fait autorité, et la Commission peut les modifier ou les retirer [5].

Informer : une mention placée seulement dans les conditions générales, un marquage que l’utilisateur ne perçoit pas au moment de l’échange, une simple référence à un « assistant » ou une formule du genre « les services de ce site utilisent l’IA » ne suffisent pas [5]. Une notification unique et visible avant la première interaction suffit probablement dans la plupart des cas ; dans les contextes plus risqués (conseil financier, assurance, assistance juridique, conseil de santé, traitement des réclamations), des rappels périodiques sont probablement nécessaires [5]. Un assistant interne destiné à du personnel formé à l’IA, qui sait qu’il utilise un système d’IA, est donné en exemple de cas où l’obligation ne s’applique pas [5].

Marquer : le § 2 exige à la fois le marquage et un moyen de détection, l’un sans l’autre ne suffit pas [5]. Un résumé ou une réécriture générés par IA qui changent style, structure et sens entrent dans le champ ; la correction grammaticale, l’orthographe, le polissage stylistique mineur et la traduction n’y entrent pas [5]. Faute de normes, le fournisseur peut s’appuyer sur sa propre solution de détection ou sur une solution tierce ou partagée, à condition qu’elle soit interopérable avec celles des autres fournisseurs, et de façon transitoire seulement [5].

Hypertrucages et textes : sont cités en exemple une vidéo générée d’un influenceur célèbre dans une publicité, l’avatar synthétique d’un dirigeant félicitant ses salariés, l’image générée d’un produit qui peut tromper sur son apparence ou son usage [5]. Des rapports d’entreprise manipulés par IA, publiés sur le site d’une société cotée avec des informations pour investisseurs, sont à étiqueter ; un texte de publicité ou de description de produit est hors champ, sauf allégations, par exemple, de santé, de sécurité des consommateurs ou de durabilité [5]. L’exception du contrôle éditorial exige au minimum une vérification des faits, et une intervention substantielle de l’IA après la relecture l’annule [5].

Contenu ancien : pas de rétroactivité

Selon les lignes directrices, les sorties du § 2 et les hypertrucages générés ou manipulés avant le 2 août 2026 n’ont pas à être marqués ou étiquetés après coup ; un texte généré avant cette date mais publié à partir du 2 août doit en revanche être étiqueté [5]. La foire aux questions du 29 juillet ajoute une condition : la dispense y vaut pour les sorties, hypertrucages compris, générées et déjà mises à disposition avant le 2 août 2026 [10]. C’est l’interprétation de la Commission, exposée dans ses lignes directrices non contraignantes et sa foire aux questions, pas une disposition des deux règlements [5][10].

En France, un schéma provisoire

Qui contrôlera l’article 50 en France ? Le règlement oblige chaque État à désigner au moins une autorité de surveillance du marché (l’autorité nationale chargée des contrôles prévus par le règlement (UE) 2019/1020) et à en faire un point de contact unique [14]. Le 9 septembre 2025, la direction générale des Entreprises (DGE) et la direction générale de la Concurrence, de la Consommation et de la Répression des fraudes (DGCCRF) ont présenté un projet qui priorise des autorités existantes selon leurs compétences : une entreprise déjà régulée dans son secteur s’adressera « en très grande majorité » à son régulateur habituel [11]. Le schéma doit passer devant le Parlement par un projet de loi [11].

Pour l’article 50, la répartition présentée serait la suivante : la Commission nationale de l’informatique et des libertés (CNIL) pour la reconnaissance des émotions et la catégorisation biométrique ; la DGCCRF et l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) pour les systèmes qui interagissent avec des personnes, génèrent des contenus de synthèse ou créent des hypertrucages ; l’Arcom aussi pour les textes d’intérêt public. La DGCCRF serait le point de contact unique [16].

Au 20 janvier 2026, la note d’AI-Regulation.com écrit que ce projet attend l’approbation du Parlement, que les dispositions de désignation ont été retirées du projet de loi soumis au Parlement, et que la France n’avait pas désigné ses autorités plus de cinq mois après l’échéance du 2 août 2025 [12]. C’est la dernière information datée que nous ayons sur la désignation.

Une partie des systèmes échappe aux autorités nationales : le Bureau de l’IA est seul compétent pour certains, dont les très grandes plateformes et les très grands moteurs de recherche en ligne. Cette compétence vise les fournisseurs, et les déployeurs seulement s’ils sont aussi le fournisseur ou de la même entreprise : les autres restent contrôlés à l’échelon national [1].

Deux omnibus, le volet IA adopté

Le règlement de 2026 n’est qu’une moitié du chantier. Le 19 novembre 2025, la Commission a présenté deux propositions jumelles : un « Digital Omnibus on AI » (COM(2025) 836), qui ajuste l’AI Act, et un « Digital Omnibus » général (COM(2025) 837) [3][15]. Ce dernier modifierait plusieurs textes existants, dont le RGPD, le règlement européen sur les données personnelles, et proposerait de fonder sur l’intérêt légitime le traitement de données personnelles nécessaire à l’IA, sauf si une autre loi exige le consentement, sous réserve de la mise en balance avec les droits des personnes concernées [9][15].

En décembre 2025, White & Case situait une adoption réaliste du paquet vers la mi-2027 [9]. Le volet IA a été publié le 24 juillet 2026 [1]. Où en est le texte général, les sources ne le disent pas au-delà de décembre 2025 [9].

Fournisseur ou déployeur ?

Savoir quelle obligation vous concerne revient à savoir quel rôle vous jouez. Selon les lignes directrices, une entreprise qui modifie un système existant et le met en service sous son nom devient fournisseur du nouveau système ; le déployeur n’a pas besoin d’un contrôle technique, il lui suffit de décider à quelles fins et comment utiliser le système [5]. Une entreprise qui commande seulement une publicité à une agence, sans décider si et comment celle-ci utilise l’IA, n’est pas déployeur ; un même opérateur peut cumuler les deux rôles [5].

Le risque change-t-il de mains ?

L’étude Trends of AI 2026, menée par KPMG et Les EnthousIAstes (un think tank et laboratoire d’innovation) auprès de 356 décideurs français, classe le marketing, l’IT et la relation client parmi les fonctions les plus avancées dans l’adoption de l’IA. La génération de contenus est déployée chez 55 % des entreprises interrogées [13].

Des plafonds, pas des amendes

Les manquements à l’article 50 relèvent de l’article 99, paragraphe 4 : une amende pouvant aller jusqu’à 15 millions d’euros ou, pour une entreprise, jusqu’à 3 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu [14].

Tableau 3. Plafonds de l’article 99, le montant le plus élevé étant retenu. Source : [14].

Ce sont des plafonds : le montant se décide au cas par cas, selon la gravité, la taille de l’opérateur, la coopération, le caractère délibéré ou négligent, entre autres [14]. Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au chiffre le plus faible des deux [14]. Le règlement de 2026 applique la même règle aux petites entreprises à moyenne capitalisation pour les paragraphes 4 et 5, mais pas pour l’article 5, alors que la proposition de 2025 les plaçait avec les PME [1][3].

Ce qu’un lecteur qui doit décider peut en faire

Le report vise le haut risque, l’article 50 court déjà, et seul son marquage a un délai pour les systèmes déjà sur le marché [1][5]. Selon votre place, la lecture change :

Tableau 4. Lecture par profil. Les niveaux d’enjeu et de réversibilité sont notre appréciation. Sources : [1][4][5][12][14].

Mes réserves

• Des guides sans force obligatoire. Les règles pratiques sur l’information, le marquage, les hypertrucages et la rétroactivité viennent des lignes directrices, qui se déclarent non contraignantes [5].
• Un schéma français non confirmé. Le schéma est un projet, et la dernière information datée sur la désignation est du 20 janvier 2026 [11][12]. La page de la DGE numérote « 50(2,3) » des hypertrucages que le règlement range au § 4 [16][14].
• Un code dont l’adéquation n’est pas datée. Les documents de juillet 2026 n’en donnent pas le même état [5][10][4].
• Des sources qui décrivent autre chose. Gibson Dunn décrit en mai 2026 un accord provisoire, la page de DLA Piper ne traite pas l’article 50, et le communiqué de l’étude KPMG (356 décideurs) ne publie pas de méthode d’échantillonnage et ne parle pas de l’AI Act [7][8][13].
• Un communiqué du Conseil non consulté. Sa page n’a pas pu être ouverte : la date du 29 juin 2026 vient du règlement et de DLA Piper [1][8].
• Des plafonds, jamais des cas réels. Je ne cite aucune amende infligée : les sources ne donnent que des plafonds [14].
• Trois blocs : un regroupement à nous. Le tableau 1 réunit dix dates tirées de trois sources.