IA Act : ce qui change le 2 août 2026

Le 2 août 2026 marque une nouvelle étape dans l’application de l’AI Act avec la mise en place de nouvelles obligations. Le calendrier a été revu par le Digital Omnibus sur l’IA, un texte publié au Journal officiel de l’Union européenne le 24 juillet et entré en vigueur trois jours plus tard.

Cette échéance s’inscrit dans une mise en application progressive du règlement européen sur l’intelligence artificielle, entré en vigueur le 1er août 2024, dont une partie des obligations est déjà active depuis 2025.

Chatbots, deepfakes et grands modèles : ce qui s’applique dès le 2 août

Le règlement (UE) 2026/1744, dit Digital Omnibus sur l’IA, confirme les obligations de transparence prévues par l’article 50 de l’IA Act pour le 2 août 2026.

Les chatbots, agents conversationnels et avatars virtuels devront signaler clairement à leurs utilisateurs qu’ils échangent avec une IA, sauf lorsque cela ne fait aucun doute. Il en va de même pour les contenus générés ou fortement modifiés par IA. Les deepfakes, images, sons et textes informatifs publiés sans contrôle éditorial humain devront ainsi être identifiables comme tels, par un marquage technique ou une mention visible selon les cas. Les systèmes déjà commercialisés avant cette date bénéficient d’un délai de transition supplémentaire pour se mettre en conformité (jusqu’au 2 décembre 2026).

La Commission européenne obtient par ailleurs des pouvoirs de contrôle plus étendus sur les fournisseurs de modèles d’IA à usage général, à l’image de ChatGPT, Gemini ou Claude. Elle peut désormais leur réclamer des informations complémentaires et prononcer des sanctions en cas de manquement.

Le haut risque attendra encore 2027 et 2028

Les obligations les plus lourdes de l’IA Act, qui concernent les systèmes classés à haut risque (recrutement, notation de crédit, éducation, biométrie), n’entreront en application que le 2 décembre 2027 pour les systèmes autonomes, et le 2 août 2028 pour ceux intégrés à des produits déjà réglementés comme les dispositifs médicaux ou les jouets connectés.

Le Digital Omnibus reporte cette échéance par rapport à la proposition initiale de la Commission européenne, présentée en novembre 2025. Avant leur mise sur le marché, ces systèmes devront répondre à des exigences strictes : évaluation et atténuation des risques, qualité des données d’entraînement, traçabilité des résultats, documentation technique détaillée et supervision humaine.

Le texte introduit également, à l’article 5, deux nouvelles interdictions applicables dès le 2 décembre 2026 : les systèmes d’IA générant du contenu intime non consenti, dits de nudification, et ceux générant des contenus pédopornographiques.

Ce que les entreprises doivent vérifier avant le 2 août

Deux vagues d’obligations sont déjà appliquées, avant même l’échéance du 2 août. La première, entrée en application en février 2025, interdit huit pratiques d’IA jugées à risque inacceptable pour les droits fondamentaux et impose aux salariés qui utilisent des outils d’IA de disposer d’un niveau de compréhension suffisant de leur fonctionnement, de leurs limites et de leurs risques. Ces huit pratiques sont les suivantes.

1. La manipulation et la tromperie préjudiciables fondées sur l’IA.
2. L’exploitation nocive des vulnérabilités liées à l’âge, au handicap ou à la situation sociale.
3. La notation sociale.
4. L’évaluation ou la prédiction du risque de récidive à partir du seul profilage.
5. La collecte non ciblée d’images faciales pour la reconnaissance faciale.
6. La reconnaissance des émotions au travail et dans les établissements d’enseignement.
7. La catégorisation biométrique de caractéristiques protégées.
8. L’identification biométrique à distance en temps réel dans l’espace public.

La seconde vague, entrée en application en août 2025, porte sur les fournisseurs de modèles d’IA à usage général. Ils documentent leurs données d’entraînement et respectent une politique de droit d’auteur, avec des obligations supplémentaires pour les modèles jugés à risque systémique, qui évaluent leurs risques et signalent les incidents graves.

Le régime général des sanctions de l’IA Act est également actif depuis cette date, avec des autorités nationales, en France la DGCCRF, la CNIL et l’Arcom, habilitées à intervenir contre les manquements.