Quelles obligations de l’AI Act s’appliquent depuis août 2026 ?

Depuis le 2 août 2026, l’AI Act est devenu applicable dans sa majeure partie et son contrôle entre réellement dans une nouvelle phase. Les entreprises doivent notamment respecter les obligations de transparence lorsqu’elles utilisent certains systèmes d’IA, poursuivre leurs efforts de maîtrise de l’IA par les collaborateurs et s’assurer qu’elles n’utilisent pas de pratiques interdites.

En revanche, les principales obligations concernant les systèmes d’IA à haut risque ont été reportées : 2 décembre 2027 pour les usages de l’annexe III, notamment dans l’emploi et les RH, et 2 août 2028 pour certains systèmes intégrés à des produits réglementés.

Le 2 août 2026 constituait depuis l’adoption du règlement européen sur l’intelligence artificielle une date importante. Mais entre-temps, le calendrier a évolué. Le Digital Omnibus sur l’IA, entré en vigueur le 27 juillet 2026, a notamment reporté certaines règles concernant les systèmes à haut risque. Résultat : affirmer que « tout l’AI Act s’applique depuis août 2026 » serait aujourd’hui inexact.

Alors, quelles sont réellement les obligations qui concernent les entreprises aujourd’hui ?

AI Act : ce qui s’applique déjà et ce qui attendra encore

Ce nouveau calendrier est désormais celui présenté par la Commission européenne.

1. Les nouvelles obligations de transparence s’appliquent depuis août 2026

C’est probablement le changement le plus directement visible. L’article 50 de l’AI Act impose désormais des règles destinées à permettre aux personnes de savoir lorsqu’elles interagissent avec une IA ou lorsqu’elles sont exposées à certains contenus générés ou manipulés artificiellement.

Les fournisseurs de systèmes interactifs doivent ainsi permettre aux utilisateurs de comprendre qu’ils interagissent avec une IA lorsqu’il existe un risque de confusion.

Les fournisseurs de systèmes générant des contenus doivent également intégrer, dans certains cas, un marquage détectable par machine permettant d’identifier des contenus artificiels ou manipulés.

Pour les entreprises qui utilisent ces systèmes, d’autres obligations peuvent apparaître.

Il faut notamment informer les personnes lorsqu’elles sont exposées à :

• certains systèmes de reconnaissance des émotions ou de catégorisation biométrique
• des deepfakes
• certains textes générés ou manipulés par IA portant sur des sujets d’intérêt public lorsqu’ils sont publiés sans contrôle humain ou éditorial

Pour les systèmes de génération de contenus déjà commercialisés avant le 2 août 2026, une période transitoire existe toutefois pour certaines obligations techniques de marquage jusqu’au 2 décembre 2026.

2. Former les collaborateurs à l’IA reste une obligation

Cette obligation n’est pas nouvelle d’août 2026 : elle s’applique depuis le 2 février 2025. Mais elle devient aujourd’hui plus importante puisque les autorités peuvent désormais superviser plus largement l’application du règlement.

L’article 4 impose aux fournisseurs et aux entreprises qui déploient des systèmes d’IA de prendre des mesures pour développer la maîtrise de l’IA des personnes qui utilisent ces systèmes pour leur compte.

Le Digital Omnibus a néanmoins clarifié un point important : l’entreprise n’a pas à garantir un niveau précis ou uniforme de compétence pour chaque salarié.

Les mesures doivent être adaptées :

• aux connaissances et à l’expérience des utilisateurs
• aux systèmes utilisés
• au contexte professionnel
• aux personnes susceptibles d’être affectées

Il n’existe donc ni certification obligatoire ni formation standard imposée à toutes les entreprises. Un suivi interne des formations, sensibilisations ou règles diffusées peut néanmoins aider à démontrer la démarche engagée.

Cette logique rejoint directement le développement de l’AI literacy en entreprise : savoir utiliser une IA, mais aussi en comprendre les limites, les risques et les conditions d’utilisation.

3. Les pratiques interdites restent interdites

Certaines dispositions de l’AI Act étaient déjà applicables bien avant août 2026. Depuis février 2025, plusieurs usages de l’intelligence artificielle sont interdits dans l’Union européenne.

Le règlement vise notamment certaines techniques manipulatoires, l’exploitation de vulnérabilités, certaines formes de notation sociale ou encore des usages spécifiques de reconnaissance biométrique.

Dans le monde du travail, un point mérite une vigilance particulière : l’utilisation de systèmes de reconnaissance des émotions sur le lieu de travail est en principe interdite, sauf exceptions limitées liées notamment à des raisons médicales ou de sécurité.

Depuis août 2026, les autorités disposent désormais d’un cadre d’application plus opérationnel pour contrôler plusieurs de ces règles.

4. Les fournisseurs de modèles d’IA généralistes sont désormais réellement sous contrôle

Les obligations concernant les modèles d’IA à usage général, ou GPAI, s’appliquent depuis août 2025.

Elles visent principalement les entreprises qui fournissent les grands modèles eux-mêmes, et non l’entreprise qui utilise simplement ChatGPT, Claude ou Gemini dans son activité quotidienne.

Ces fournisseurs doivent notamment respecter des exigences concernant la documentation, les informations fournies aux acteurs qui réutilisent leurs modèles et le droit d’auteur. Des obligations renforcées concernent les modèles présentant des risques systémiques.

Depuis août 2026, la Commission peut désormais contrôler et sanctionner le respect de ces obligations.

Pour une entreprise utilisatrice, l’enjeu consiste surtout à comprendre son propre rôle. Dans la majorité des usages classiques d’un outil tiers, elle sera considérée comme déployeur et non comme fournisseur du modèle.

5. Attention : les principales règles sur les IA à haut risque ont été reportées

C’est probablement la nuance la plus importante à intégrer depuis l’été 2026.

Le calendrier initial prévoyait qu’une large partie des obligations relatives aux systèmes à haut risque s’applique dès août 2026.

Ce n’est plus le cas.

À la suite du Digital Omnibus :

les systèmes relevant de l’annexe III seront concernés à partir du 2 décembre 2027.

Cette catégorie inclut notamment certains systèmes utilisés dans :

• l’emploi et le recrutement
• l’éducation
• les infrastructures critiques
• la biométrie
• la migration et le contrôle aux frontières

Les systèmes d’IA à haut risque intégrés dans certains produits réglementés bénéficieront quant à eux d’un délai allant jusqu’au 2 août 2028.

Une entreprise qui utilise aujourd’hui un système d’IA dans le recrutement ne doit donc pas partir du principe que l’ensemble du régime « haut risque » est déjà applicable.

Cela ne signifie évidemment pas qu’elle peut ignorer le RGPD, le droit du travail, les règles anti-discrimination ou les dispositions de l’AI Act déjà applicables.

Que doivent faire les entreprises maintenant ?

Plutôt que d’attendre la prochaine échéance, la priorité consiste à comprendre les usages déjà présents dans l’organisation.

Nous recommandons cinq premières actions :

1. recenser les outils et les principaux cas d’usage de l’IA
2. identifier le rôle de l’entreprise : fournisseur, déployeur ou autre acteur de la chaîne
3. repérer les usages interdits, sensibles ou susceptibles de devenir à haut risque
4. vérifier les obligations de transparence applicables
5. organiser la montée en compétences des utilisateurs

Cette cartographie permet également de détecter les usages non encadrés, notamment le Shadow IA au sein de l’entreprise.

Le calendrier réglementaire continue d’évoluer, mais la logique de fond ne change pas : plus l’usage de l’IA peut affecter une personne ou produire des conséquences importantes, plus son encadrement doit être rigoureux.