Trois dates, et on les confond systématiquement. Le règlement européen sur l'intelligence artificielle est entré en vigueur le 1er août 2024. Il est devenu applicable dans sa majeure partie le 2 août 2026, ce qui veut dire une chose précise : depuis cette date, le Bureau de l'IA de la Commission et les autorités nationales peuvent contrôler et sanctionner. Et une partie substantielle du texte — celle dont on parle le plus — ne s'appliquera qu'en 2027 et 2028.
Le partage des rôles est simple : le Bureau de l'IA supervise les fournisseurs de modèles à usage général, les autorités nationales surveillent la plupart des systèmes commercialisés ou utilisés sur leur territoire.
Ce qui est contraignant depuis le 2 août : l'article 50
L'essentiel de ce qui s'applique aujourd'hui tient dans un article, celui sur la transparence. En clair :
- Les utilisateurs doivent être informés lorsqu'ils interagissent avec un chatbot, un agent ou un avatar d'IA, et non avec un humain.
- Les contenus synthétiques — texte, image, audio, vidéo — et les deepfakes doivent porter un marquage lisible par machine permettant de les détecter.
- Les entreprises qui diffusent des deepfakes ont l'obligation de les signaler.
- Même obligation pour les textes générés ou manipulés par IA destinés à informer le public sur des sujets d'intérêt général — sauf lorsqu'ils ont fait l'objet d'un contrôle humain et relèvent d'une responsabilité éditoriale.
- L'usage de reconnaissance des émotions ou de catégorisation biométrique doit être porté à la connaissance des personnes concernées.
Côté visible, cela donnera des bannières « Vous interagissez avec un système d'IA », ou leur équivalent sonore, et peut-être ces pastilles noires siglées « AI » que Bruxelles propose d'apposer dans le coin des images. Pour les systèmes qui génèrent des images ou des résumés de textes, l'étiquetage est plus léger : une mention dans les métadonnées, invisible sur le document mais consultable dans les paramètres du fichier.
L'exemption éditoriale est le point à retenir. Un texte généré puis relu, sous une responsabilité éditoriale identifiable, échappe à l'obligation de signalement. C'est elle qui sépare un média d'un générateur de contenu — et c'est un choix d'organisation, pas un choix d'outil.
Combien ça coûte de ne pas le faire
Les manquements à ces obligations peuvent être sanctionnés jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Des règles de proportionnalité sont prévues pour les PME et les entreprises de taille intermédiaire.
À côté, le code européen de bonnes pratiques sur la transparence des contenus générés, publié le 10 juin, reste facultatif. Il a recueilli quelque 190 signatures — dont Aleph Alpha, Anthropic, Cohere, Google, Meta, Microsoft, Mistral AI et OpenAI, mais aussi des déployeurs comme Getty Images, Lenovo ou Lufthansa, et près de la moitié de PME. Ne pas le signer n'est pas une faute : c'est l'obligation de démontrer que ses propres dispositifs offrent un niveau de conformité équivalent.
Ce qui ne s'applique pas encore — et c'est le gros morceau
L'« AI Omnibus », entré en vigueur le 27 juillet, a repoussé le calendrier des systèmes à haut risque.
Au 2 décembre 2027 pour l'annexe III, qui vise les usages susceptibles d'influencer une décision importante concernant une personne : outils qui sélectionnent des candidats à un emploi ou à une formation, évaluent des élèves ou des salariés, déterminent l'accès à une aide sociale, calculent un score de crédit ou un tarif d'assurance santé, trient les appels d'urgence. S'y ajoutent des applications biométriques, la gestion d'infrastructures critiques, l'évaluation de preuves ou d'un risque de récidive par la police, l'examen de demandes d'asile ou de visa, l'assistance à un magistrat, et les systèmes destinés à influencer un comportement électoral.
Au 2 août 2028 pour l'annexe I, qui vise les IA constituant elles-mêmes un produit réglementé ou remplissant une fonction essentielle à sa sécurité : pilotage d'un robot industriel, freinage d'un véhicule, navigation d'un drone, mécanisme de sécurité d'ascenseur, certains logiciels médicaux. La présence d'une IA ne suffit pas : le système doit jouer un rôle de sécurité et être soumis à une évaluation de conformité par un organisme tiers.
La Commission justifie ces reports par le temps nécessaire à la publication des normes harmonisées. L'objection, formulée par L'Usine Digitale, mérite d'être entendue : d'ici deux ans, ces systèmes auront pris beaucoup plus de place, et le texte censé les encadrer risque d'arriver déjà daté.
Ce qu'une équipe produit doit faire maintenant
Rien de ce qui précède ne demande un chantier de conformité. Quatre gestes suffisent, et ils sont surtout organisationnels :
- Dire quand c'est une IA qui parle, partout où un visiteur pourrait croire l'inverse.
- Marquer les contenus générés dans les métadonnées — c'est le minimum exigé pour les images et les résumés.
- Nommer la responsabilité éditoriale des textes publiés : c'est ce qui vous fait relever de l'exemption plutôt que de l'obligation de signalement.
- Savoir répondre à « qui a produit ce contenu, avec quel système, quand ». C'est la seule question à laquelle il est coûteux de répondre après coup.
Cette dernière ligne est de la traçabilité, pas de la conformité. Dans Survol, elle est un sous-produit du fonctionnement normal : chaque version d'une fonctionnalité sait de quelle session elle vient, quel agent l'a produite, à partir de quelle spécification validée et par qui. Quand la question arrive — d'un régulateur, d'un client, ou d'un collègue six mois plus tard — la réponse est déjà écrite.
Sources
- L'Usine Digitale, « AI Act : ces règles et nouvelles exigences de transparence appliquées depuis le 2 août », 10 août 2026.
- Le Monde, « La mention « généré par IA » devient obligatoire dans l'UE », 2 août 2026.
