# AI Act : ce qui s'applique vraiment depuis le 2 août 2026

> Le Digital Omnibus a reporté les obligations haut risque à décembre 2027, cinq jours avant l'échéance. Voici ce qui s'applique réellement aujourd'hui.

Source: https://olyteck.com/blog/fr/ai-act-2-aout-2026-ce-qui-s-applique
Published: 2026-08-19
Author: Oleg Garasym, Olyteck (France, EU-hosted)
Product: Olyteck Ask
Topics: ai act, ia, conformité, rgpd, gouvernance, réglementation, cnil, copilot, entreprise
License: free to quote with attribution to Olyteck and a link to the source URL.

---

Si vous avez lu un article français sur l'AI Act publié avant l'été, il vous a
probablement expliqué que les obligations applicables aux systèmes à haut risque
arrivaient le 2 août 2026. C'était exact au moment où il a été écrit. **Ce ne
l'est plus.**

Le **règlement (UE) 2026/1744**, dit *Digital Omnibus* sur l'IA, a été publié au
Journal officiel de l'Union européenne le **24 juillet 2026** et est entré en
vigueur le **27 juillet 2026**, soit cinq jours avant l'échéance qu'il déplaçait.
La plupart des contenus en ligne n'ont pas été mis à jour depuis.

Voici l'état réel du calendrier, et ce que cela change concrètement pour une
entreprise européenne de taille moyenne qui déploie Copilot ou un assistant
interne.

## Le calendrier après le Digital Omnibus

| Date | Statut |
|---|---|
| 2 février 2025 | Interdictions de l'article 5 et **article 4 sur la littératie IA** applicables |
| 2 août 2025 | Obligations GPAI (articles 51 à 56) et régime de sanctions (article 99) applicables |
| 27 juillet 2026 | Entrée en vigueur du règlement (UE) 2026/1744 |
| **2 août 2026** | **Seules** les obligations de transparence de l'**article 50** deviennent applicables |
| **2 décembre 2026** | Fin du délai de grâce de quatre mois pour le marquage des contenus générés par IA sur les systèmes déjà sur le marché avant le 2 août 2026 |
| 2 août 2027 | Les bacs à sable réglementaires doivent exister (reporté depuis le 2 août 2026) |
| **2 décembre 2027** | Obligations haut risque autonomes de l'**annexe III** : emploi, éducation, scoring de crédit, infrastructures critiques, forces de l'ordre. **Reporté de seize mois** |
| 2 août 2028 | Haut risque intégré de l'annexe I, composants de sécurité dans des produits déjà réglementés |

## Ce qui s'applique effectivement à vous aujourd'hui

Une entreprise qui déploie Microsoft 365 Copilot ou un assistant interne est un
**déployeur**, pas un fournisseur. La distinction est structurante : l'essentiel
des obligations lourdes du règlement pèse sur le fournisseur.

Trois choses vous concernent réellement à ce jour.

### 1. Transparence, article 50, applicable maintenant

Informer les personnes lorsqu'elles interagissent avec un système d'IA, et
signaler les contenus synthétiques. C'est court à écrire et long à déployer, parce
que cela touche vos formulaires, votre support, vos chatbots et vos communications
externes.

### 2. Littératie IA, article 4, applicable depuis février 2025 mais assoupli

Le Digital Omnibus a modifié la formulation : il ne s'agit plus de *garantir un
niveau suffisant* de littératie IA, mais de **prendre des mesures pour favoriser
le développement** de cette littératie. L'obligation demeure, le niveau de preuve
exigé a baissé.

En pratique, ce qui tient devant une inspection : une cartographie des usages, une
segmentation par rôle, une formation proportionnée, et surtout la **trace** de
tout cela. Registre de formation, feuilles d'émargement, supports, charte d'usage
signée.

**Un point à corriger, parce qu'il circule beaucoup.** Plusieurs contenus français
affirment que le non-respect de l'article 4 expose à une amende de 15 millions
d'euros ou 3 % du chiffre d'affaires mondial. **L'article 99 ne mentionne pas
l'article 4.** Il énumère les articles 16, 22, 23, 24, 26 et 50. Il n'existe pas
de palier de sanction dédié à l'article 4. Le risque réaliste passe plutôt par la
CNIL, à l'occasion d'un contrôle RGPD, ou comme circonstance aggravante dans un
autre manquement. C'est une raison suffisante de s'en occuper, mais pas celle qui
est annoncée.

### 3. L'obligation française que l'AI Act ne contient pas

Elle ne vient pas du règlement européen mais du **code du travail**. L'article
L.2312-8 impose la **consultation du CSE** avant l'introduction de nouvelles
technologies ayant un effet sur les conditions de travail, dans les entreprises
d'au moins cinquante salariés. Le déploiement d'une IA générative entre dans ce
cadre, **y compris en phase pilote**.

C'est l'obligation la plus souvent oubliée dans les projets Copilot français, et
c'est aussi celle dont le non-respect se voit le plus vite, parce qu'elle a un
interlocuteur qui la connaît.

## Ce qui a été reporté, et pourquoi cela compte

Les obligations haut risque de l'annexe III passent au **2 décembre 2027**. Si
votre projet touche au tri de candidatures, à l'évaluation de salariés, au scoring
de crédit ou à l'accès à des services essentiels, vous avez seize mois de plus que
prévu.

Le Digital Omnibus a également introduit un principe de **droits acquis** : les
systèmes déjà présents sur le marché européen avant les nouvelles échéances
échappent à la conformité haut risque complète, sauf modification substantielle.
Et il a prévu des allègements explicites pour les PME : documentation technique
simplifiée, système de gestion de la qualité proportionné, sanctions atténuées,
accès prioritaire aux bacs à sable.

Ce report est une opportunité de calendrier, pas une dispense. Les obligations qui
s'appliquent déjà, elles, s'appliquent.

## Trois questions à poser à votre fournisseur d'IA

Le règlement ne remplace pas la diligence contractuelle. Ce sont les mêmes
questions que pour le RGPD, posées avant de signer :

1. **Où sont hébergées les données, et sous quelle juridiction ?** Un hébergement
   européen opéré par une entité soumise à une législation extraterritoriale n'est
   pas la même réponse qu'un hébergement européen opéré par une entité européenne.
2. **Mes documents servent-ils à entraîner un modèle ?** Exigez la réponse dans le
   contrat, pas dans une page marketing, et vérifiez que l'engagement est répercuté
   sur les sous-traitants.
3. **Que fait le système quand il ne sait pas ?** Un assistant qui invente une
   réponse plausible dans un questionnaire de sécurité ou une réponse d'appel
   d'offres crée un risque contractuel, pas seulement un désagrément.

Nous avons développé ce point dans
[IA et RGPD : où partent vos données ?](/blog/fr/ou-vont-vos-donnees-avec-lia-checklist-rgpd).

## Comment nous abordons le sujet chez Olyteck

Olyteck Ask est un RAG privé hébergé en Europe. Nos réponses à ces trois
questions, telles qu'elles figurent dans nos documents contractuels :

- **Hébergement en France**, chez Scaleway PAR1, pour les documents, les
  embeddings et l'historique. Sauvegardes chiffrées en supplément.
- **Vos documents ne servent jamais à entraîner quoi que ce soit**, et nos
  sous-traitants en sont contractuellement empêchés.
- **Isolation par tenant.** Une tentative d'accès inter-tenant renvoie un HTTP 404,
  et la suppression d'un espace de travail supprime les données en cascade.
- **Chaque réponse cite sa source. Sinon, le système dit qu'il ne sait pas.**
  C'est un choix de conception : nous préférons une abstention utilisable à une
  affirmation invérifiable.

Nous sommes conformes au RGPD, avec résidence des données strictement européenne,
et référencés CSA STAR niveau 1. **SOC 2 Type II et ISO 27001 sont sur notre
feuille de route et ne sont pas obtenus à ce jour.** Nous préférons l'écrire ici
plutôt que de laisser un acheteur le découvrir pendant son audit fournisseur.

## FAQ

### Les obligations haut risque de l'AI Act s'appliquent-elles depuis le 2 août 2026 ?

Non. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, les a
reportées au 2 décembre 2027 pour les systèmes autonomes de l'annexe III. Seules
les obligations de transparence de l'article 50 sont devenues applicables le
2 août 2026.

### Mon entreprise est-elle fournisseur ou déployeur si elle utilise Copilot ?

Déployeur, dans la très grande majorité des cas. Vous devenez fournisseur si vous
mettez un système d'IA sur le marché sous votre propre nom ou marque, ou si vous
modifiez substantiellement un système existant.

### Quelle est la prochaine échéance réelle à surveiller ?

Le 2 décembre 2026 : fin du délai de grâce de quatre mois pour le marquage des
contenus générés par IA sur les systèmes déjà sur le marché avant le 2 août 2026.

### Faut-il consulter le CSE avant de déployer Copilot ?

Dans une entreprise d'au moins cinquante salariés, la consultation prévue à
l'article L.2312-8 du code du travail s'applique à l'introduction de nouvelles
technologies affectant les conditions de travail, phase pilote comprise. Cette
obligation est française et distincte de l'AI Act, qui ne la remplace pas.

### Qui contrôle l'application de l'AI Act en France ?

La CNIL est l'autorité de référence dès que l'IA traite des données personnelles,
ce qui couvre la plus grande partie des usages d'IA générative en entreprise. La
DGE et les régulateurs sectoriels interviennent sur les autres périmètres.

## Sources

- Règlement (UE) 2026/1744, *Digital Omnibus on AI*, JOUE du 24 juillet 2026,
  en vigueur le 27 juillet 2026
- Règlement (UE) 2024/1689, AI Act, articles 4, 50 et 99
- Code du travail, article L.2312-8

*Cet article décrit l'état du droit au 19 août 2026 et ne constitue pas un conseil
juridique. Le Digital Omnibus est récent et son interprétation évoluera :
faites valider par un conseil toute décision de conformité qui en dépend.*

## À lire ensuite

- [IA et RGPD : où partent vos données ? La checklist de due diligence avant de signer](/blog/fr/ou-vont-vos-donnees-avec-lia-checklist-rgpd)
- [Qu'est-ce que le RAG ? Faire répondre une IA sur ses propres documents](/blog/fr/qu-est-ce-que-le-rag-guide-entreprise)
- [Sécuriser Copilot M365 : la checklist permissions à passer avant le déploiement](/blog/fr/checklist-permissions-copilot-microsoft-365)