AI Act : ce qui s'applique vraiment depuis le 2 août 2026

Si vous avez lu un article français sur l'AI Act publié avant l'été, il vous a probablement expliqué que les obligations applicables aux systèmes à haut risque arrivaient le 2 août 2026. C'était exact au moment où il a été écrit. Ce ne l'est plus.

Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026, soit cinq jours avant l'échéance qu'il déplaçait. La plupart des contenus en ligne n'ont pas été mis à jour depuis.

Voici l'état réel du calendrier, et ce que cela change concrètement pour une entreprise européenne de taille moyenne qui déploie Copilot ou un assistant interne.

Le calendrier après le Digital Omnibus #

Ce qui s'applique effectivement à vous aujourd'hui #

Une entreprise qui déploie Microsoft 365 Copilot ou un assistant interne est un déployeur, pas un fournisseur. La distinction est structurante : l'essentiel des obligations lourdes du règlement pèse sur le fournisseur.

Trois choses vous concernent réellement à ce jour.

1. Transparence, article 50, applicable maintenant #

Informer les personnes lorsqu'elles interagissent avec un système d'IA, et signaler les contenus synthétiques. C'est court à écrire et long à déployer, parce que cela touche vos formulaires, votre support, vos chatbots et vos communications externes.

2. Littératie IA, article 4, applicable depuis février 2025 mais assoupli #

Le Digital Omnibus a modifié la formulation : il ne s'agit plus de garantir un niveau suffisant de littératie IA, mais de prendre des mesures pour favoriser le développement de cette littératie. L'obligation demeure, le niveau de preuve exigé a baissé.

En pratique, ce qui tient devant une inspection : une cartographie des usages, une segmentation par rôle, une formation proportionnée, et surtout la trace de tout cela. Registre de formation, feuilles d'émargement, supports, charte d'usage signée.

Un point à corriger, parce qu'il circule beaucoup. Plusieurs contenus français affirment que le non-respect de l'article 4 expose à une amende de 15 millions d'euros ou 3 % du chiffre d'affaires mondial. L'article 99 ne mentionne pas l'article 4. Il énumère les articles 16, 22, 23, 24, 26 et 50. Il n'existe pas de palier de sanction dédié à l'article 4. Le risque réaliste passe plutôt par la CNIL, à l'occasion d'un contrôle RGPD, ou comme circonstance aggravante dans un autre manquement. C'est une raison suffisante de s'en occuper, mais pas celle qui est annoncée.

3. L'obligation française que l'AI Act ne contient pas #

Elle ne vient pas du règlement européen mais du code du travail. L'article L.2312-8 impose la consultation du CSE avant l'introduction de nouvelles technologies ayant un effet sur les conditions de travail, dans les entreprises d'au moins cinquante salariés. Le déploiement d'une IA générative entre dans ce cadre, y compris en phase pilote.

C'est l'obligation la plus souvent oubliée dans les projets Copilot français, et c'est aussi celle dont le non-respect se voit le plus vite, parce qu'elle a un interlocuteur qui la connaît.

Ce qui a été reporté, et pourquoi cela compte #

Les obligations haut risque de l'annexe III passent au 2 décembre 2027. Si votre projet touche au tri de candidatures, à l'évaluation de salariés, au scoring de crédit ou à l'accès à des services essentiels, vous avez seize mois de plus que prévu.

Le Digital Omnibus a également introduit un principe de droits acquis : les systèmes déjà présents sur le marché européen avant les nouvelles échéances échappent à la conformité haut risque complète, sauf modification substantielle. Et il a prévu des allègements explicites pour les PME : documentation technique simplifiée, système de gestion de la qualité proportionné, sanctions atténuées, accès prioritaire aux bacs à sable.

Ce report est une opportunité de calendrier, pas une dispense. Les obligations qui s'appliquent déjà, elles, s'appliquent.

Trois questions à poser à votre fournisseur d'IA #

Le règlement ne remplace pas la diligence contractuelle. Ce sont les mêmes questions que pour le RGPD, posées avant de signer :

1. Où sont hébergées les données, et sous quelle juridiction ? Un hébergement

européen opéré par une entité soumise à une législation extraterritoriale n'est pas la même réponse qu'un hébergement européen opéré par une entité européenne.

1. Mes documents servent-ils à entraîner un modèle ? Exigez la réponse dans le

contrat, pas dans une page marketing, et vérifiez que l'engagement est répercuté sur les sous-traitants.

1. Que fait le système quand il ne sait pas ? Un assistant qui invente une

réponse plausible dans un questionnaire de sécurité ou une réponse d'appel d'offres crée un risque contractuel, pas seulement un désagrément.

Nous avons développé ce point dans IA et RGPD : où partent vos données ?.

Comment nous abordons le sujet chez Olyteck #

Olyteck Ask est un RAG privé hébergé en Europe. Nos réponses à ces trois questions, telles qu'elles figurent dans nos documents contractuels :

• Hébergement en France, chez Scaleway PAR1, pour les documents, les

embeddings et l'historique. Sauvegardes chiffrées en supplément.

• Vos documents ne servent jamais à entraîner quoi que ce soit, et nos

sous-traitants en sont contractuellement empêchés.

• Isolation par tenant. Une tentative d'accès inter-tenant renvoie un HTTP 404,

et la suppression d'un espace de travail supprime les données en cascade.

• Chaque réponse cite sa source. Sinon, le système dit qu'il ne sait pas.

C'est un choix de conception : nous préférons une abstention utilisable à une affirmation invérifiable.

Nous sommes conformes au RGPD, avec résidence des données strictement européenne, et référencés CSA STAR niveau 1. SOC 2 Type II et ISO 27001 sont sur notre feuille de route et ne sont pas obtenus à ce jour. Nous préférons l'écrire ici plutôt que de laisser un acheteur le découvrir pendant son audit fournisseur.

FAQ #

Les obligations haut risque de l'AI Act s'appliquent-elles depuis le 2 août 2026 ? #

Non. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, les a reportées au 2 décembre 2027 pour les systèmes autonomes de l'annexe III. Seules les obligations de transparence de l'article 50 sont devenues applicables le 2 août 2026.

Mon entreprise est-elle fournisseur ou déployeur si elle utilise Copilot ? #

Déployeur, dans la très grande majorité des cas. Vous devenez fournisseur si vous mettez un système d'IA sur le marché sous votre propre nom ou marque, ou si vous modifiez substantiellement un système existant.

Quelle est la prochaine échéance réelle à surveiller ? #

Le 2 décembre 2026 : fin du délai de grâce de quatre mois pour le marquage des contenus générés par IA sur les systèmes déjà sur le marché avant le 2 août 2026.

Faut-il consulter le CSE avant de déployer Copilot ? #

Dans une entreprise d'au moins cinquante salariés, la consultation prévue à l'article L.2312-8 du code du travail s'applique à l'introduction de nouvelles technologies affectant les conditions de travail, phase pilote comprise. Cette obligation est française et distincte de l'AI Act, qui ne la remplace pas.

Qui contrôle l'application de l'AI Act en France ? #

La CNIL est l'autorité de référence dès que l'IA traite des données personnelles, ce qui couvre la plus grande partie des usages d'IA générative en entreprise. La DGE et les régulateurs sectoriels interviennent sur les autres périmètres.

Sources #

• Règlement (UE) 2026/1744, Digital Omnibus on AI, JOUE du 24 juillet 2026,

en vigueur le 27 juillet 2026

• Règlement (UE) 2024/1689, AI Act, articles 4, 50 et 99
• Code du travail, article L.2312-8

Cet article décrit l'état du droit au 19 août 2026 et ne constitue pas un conseil juridique. Le Digital Omnibus est récent et son interprétation évoluera : faites valider par un conseil toute décision de conformité qui en dépend.

À lire ensuite #

• IA et RGPD : où partent vos données ? La checklist de due diligence avant de signer
• Qu'est-ce que le RAG ? Faire répondre une IA sur ses propres documents
• Sécuriser Copilot M365 : la checklist permissions à passer avant le déploiement