Octobre 2026 · formation-ia

L'AI Act n'a pas basculé le 2 août 2026. Voilà ce qui compte vraiment pour votre entreprise

Depuis des mois, on annonce aux dirigeants que tout change au 2 août 2026. La partie la plus lourde a été repoussée à décembre 2027, et l'Europe a fini de publier ses modes d'emploi. Ce qui reste à comprendre est plus simple qu'annoncé, et une obligation vous concerne déjà.

Ce qui a réellement changé le 2 août 2026

L'article 50 du règlement européen sur l'intelligence artificielle est entré en application, et il porte sur la transparence, pas sur la technique. 4 situations sont visées, et elles se comprennent sans être juriste. Une personne qui dialogue avec un assistant doit savoir qu'elle parle à une machine. Un contenu produit ou retouché par une intelligence artificielle doit pouvoir être identifié comme tel. Une vidéo truquée qui met en scène une personne réelle doit être signalée comme un montage. Et un système qui devine l'émotion de quelqu'un, ou qui le classe dans une catégorie à partir de son visage ou de sa voix, doit le dire.

Le point important est que ces obligations ne visent pas seulement les systèmes jugés à haut risque, contrairement à ce que beaucoup de lectures rapides laissent croire. Elles touchent tout système d'intelligence artificielle utilisé dans l'une de ces 4 situations. En clair, cela concerne toute entreprise qui se sert d'un outil génératif pour produire un contenu qu'elle publie.

Ce qui a été repoussé, et pourquoi votre priorité change

Un règlement du 8 juillet 2026, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, a modifié le calendrier. Il porte le surnom de Digital Omnibus sur l'intelligence artificielle, un omnibus étant, dans le vocabulaire européen, un train de mesures qui en modifie plusieurs d'un coup. Il reporte les obligations les plus lourdes, celles qui pèsent sur les systèmes à haut risque.

Le mot mérite une définition, parce qu'il impressionne. Un système à haut risque, c'est le règlement lui-même qui le définit, et de 2 façons. Soit il s'agit d'un composant de sécurité d'un produit déjà encadré, une machine, un dispositif médical, un véhicule. Soit son usage figure dans la liste de l'annexe III, qui compte 8 catégories, dont l'emploi et la gestion des travailleurs, l'accès aux services essentiels, l'éducation et la formation professionnelle. Autrement dit, vous en êtes sans doute plus près que vous ne le pensez, et presque toujours comme utilisateur et non comme fabricant. Un outil qui trie des candidatures, qui évalue une performance ou qui surveille le comportement de vos salariés relève de l'annexe III, comme un outil qui note un crédit ou qui tarife une assurance. Le règlement ouvre aussi une sortie, à l'article 6, lorsque le fournisseur établit que son système ne présente pas de risque significatif, notamment parce qu'il ne profile personne.

Les dates sont d'ailleurs plus fines qu'annoncé, et il y en a 3. Les usages de l'annexe III sont concernés à partir du 2 décembre 2027. Les produits réglementés de l'annexe I le sont à partir du 2 août 2028. Les systèmes à haut risque utilisés par des autorités publiques, y compris ceux déjà en service, à partir du 2 août 2030.

Si votre inquiétude était de savoir si votre outil est un système à haut risque, vous avez donc du temps devant vous, et ce n'est probablement pas votre sujet. Le contrôle qui arrive n'est pas un contrôle documentaire sur des systèmes complexes. C'est un contrôle de transparence, sur des gestes que vos équipes font tous les jours, souvent sans y penser.

La prochaine échéance annoncée, le 2 décembre 2026

Les systèmes d'intelligence artificielle génératifs déjà sur le marché avant le 2 août 2026 disposent d'un délai jusqu'au 2 décembre 2026 pour se conformer à l'obligation de marquage lisible par machine de leurs productions. Un marquage lisible par machine est une marque inscrite dans le contenu lui-même, que lit un logiciel et non un lecteur : des métadonnées attachées au fichier, un filigrane invisible dans une image ou dans un texte. Le texte demande qu'elle soit efficace, interopérable, robuste et fiable, autant que la technique le permet. Autrement dit, un contenu généré doit porter, dans sa structure même, de quoi indiquer qu'il l'a été.

Cette échéance vise d'abord les fournisseurs d'outils, et c'est une bonne nouvelle pour vous. Ce qu'elle vous demande, à votre niveau, tient en une question simple. Si l'on vous montrait un texte, une image ou une vidéo publiés par votre entreprise, sauriez-vous dire s'ils ont été produits avec une intelligence artificielle. Si la réponse est non, c'est le premier sujet à traiter, et il ne demande aucun budget.

L'Europe a publié ses modes d'emploi

La Commission européenne a diffusé en juillet 2026 ses lignes directrices sur les obligations de transparence, puis un code de bonnes pratiques sur la transparence des contenus générés. Ce code est volontaire, et la Commission comme le comité de l'intelligence artificielle le reconnaissent comme un moyen adéquat de démontrer le respect de ces obligations, ce qui en fait un outil utile plutôt qu'une contrainte de plus.

Le basculement est là. Pendant 2 ans, le sujet était de savoir ce que le texte allait dire. Il s'agit maintenant de savoir comment on l'applique, avec des documents officiels à l'appui.

Dans ce dispositif, vous êtes presque toujours un déployeur

Le règlement distingue 2 rôles. Le fournisseur conçoit et met sur le marché un système d'intelligence artificielle. Le déployeur l'utilise dans son activité. Une PME qui se sert d'un assistant pour rédiger ses comptes rendus, d'un outil pour illustrer ses publications ou d'un logiciel de gestion augmenté à l'intelligence artificielle est un déployeur, et elle le restera tant qu'elle ne développe pas son propre modèle.

2 obligations concernent donc directement un dirigeant de PME. La transparence de l'article 50, quand l'entreprise publie des contenus générés. Et la maîtrise de l'intelligence artificielle de l'article 4, qui demande aux entreprises de prendre des mesures pour que les personnes qui se servent de ces outils dans le cadre de leur travail les comprennent et les utilisent correctement.

Cette deuxième obligation mérite qu'on s'y arrête, et pas pour les raisons qu'on lit d'habitude. Elle s'applique depuis le 2 février 2025, donc depuis plus d'un an et demi. L'omnibus l'a réécrite, en vigueur depuis le 27 juillet 2026, et c'est un allègement plutôt qu'un durcissement : l'obligation de garantir un niveau précis de maîtrise est devenue une obligation de moyens, prendre des mesures qui soutiennent la montée en compétence. À la date du 12 octobre 2026, l'article 4 ne fixe aucune échéance pour se mettre en conformité, aucun niveau à atteindre, aucune durée de formation à respecter ni renouvellement à prévoir, et il ne figure pas dans la liste des obligations dont le manquement est sanctionné par l'article 99.

Voilà donc une obligation en vigueur depuis un an et demi, sans date limite, sans barème et sans amende propre. C'est la plus facile à repousser indéfiniment, et c'est précisément pour cela qu'elle mérite d'être traitée maintenant. Le besoin est d'ailleurs exprimé par les intéressés eux-mêmes. Dans le baromètre formation et emploi 2025 du Centre Inffo, parmi les 855 personnes interrogées qui utilisaient déjà l'intelligence artificielle au travail, 72 % déclaraient ressentir un besoin de formation sur le sujet, et 38 % seulement en avaient reçu une.

Qui contrôlera, en France

Le schéma de gouvernance français a été publié. La Direction générale de la concurrence, de la consommation et de la répression des fraudes en assure la coordination, avec la Direction générale des entreprises, et la surveillance se répartit entre autorités existantes selon les sujets. L'Arcom et la concurrence traitent des procédés manipulatoires, la Commission nationale de l'informatique et des libertés intervient sur la notation sociale, la police prédictive, la reconnaissance faciale par moissonnage ou l'analyse des émotions au travail, et l'Agence nationale de la sécurité des systèmes d'information apporte un appui technique.

Ce schéma doit encore être validé par le Parlement. Le cadre français n'est donc pas définitif, et personne ne viendra vous demander des comptes demain matin au nom d'un dispositif qui n'est pas encore voté.

Ce que je ferais à votre place, dans cet ordre

• Lister les outils d'intelligence artificielle réellement utilisés dans l'entreprise, y compris ceux que personne n'a officiellement installés.
• Écrire qui a le droit d'en autoriser un, et à quelles conditions.
• Faire monter en compétence les personnes qui s'en servent, ce qui est le cœur de l'article 4 et souvent l'angle mort du dossier.
• Pouvoir dire, sur un contenu publié, s'il est généré ou non, et comment le prouver.
• Mettre par écrit ce que l'entreprise attend de ses fournisseurs d'outils, en commençant par les données qu'ils reçoivent.

Je ne suis pas juriste et je ne vends pas de conformité. Mon métier est de rendre ces règles compréhensibles à des équipes qui ne sont pas informaticiennes, et de faire en sorte qu'elles sachent ce qu'elles font quand elles utilisent un outil.

Pourquoi les sanctions comptent moins que la question de fond

Les montants circulent partout et impressionnent, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les autres obligations, et un régime spécifique aux petites entreprises qui retient le montant le plus faible des 2 plafonds. Ces plafonds concernent des manquements graves, et une PME qui débute sérieusement a peu de chances de les croiser.

Le vrai risque est ailleurs, et il est déjà là. C'est de découvrir, un jour de crise, ce que vos équipes ont déposé dans un outil dont personne ne mesurait les conditions. La Commission nationale de l'informatique et des libertés a sanctionné en septembre 2026 un hôpital à 500 000 euros pour une fuite de plus de 727 000 dossiers, et les manquements tenaient à 3 réglages de base qui existaient dans le logiciel et n'avaient jamais été activés.

Ce qui arrive ensuite

La Commission a proposé le 17 septembre 2026 un règlement destiné à protéger les mineurs des services numériques, qui encadrerait notamment les assistants conversationnels auxquels ils ont accès. Le panel scientifique de l'intelligence artificielle a été réuni en séance extraordinaire le 9 octobre 2026 pour examiner les risques systémiques. Et les fournisseurs commencent à implémenter l'article 50, ce qui se verra dans vos outils avant même que vous ayez à le demander.

L'AI Act n'est pas un couperet qui tombe sur les PME. C'est une obligation de savoir ce que l'on fait, avec des outils dont on comprend l'usage. Ce n'est pas une mauvaise nouvelle pour un dirigeant attentif, et c'est exactement le sujet de la formation que je donne aux équipes qui ne sont pas informaticiennes.

1. Règlement (UE) 2026/1744 du 8 juillet 2026, dit Digital Omnibus sur l'intelligence artificielle (24/07/2026) - Le texte qui reporte les obligations des systèmes à haut risque au 2 décembre 2027. https://eur-lex.europa.eu/eli/reg/2026/1744/oj
2. Commission européenne, lignes directrices sur les obligations de transparence (juillet 2026) - Le mode d'emploi officiel de l'article 50. https://digital-strategy.ec.europa.eu/fr/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems
3. Commission européenne, code de bonnes pratiques sur la transparence des contenus générés par l'intelligence artificielle (31/07/2026) - Outil volontaire reconnu adéquat pour démontrer la conformité. https://digital-strategy.ec.europa.eu/fr/policies/code-practice-ai-generated-content
4. Ministère de l'Économie et des Finances (25/08/2026) - Ce que les mesures du 2 août 2026 changent pour les internautes. https://www.economie.gouv.fr/actualites/reglement-europeen-sur-lia-des-mesures-concretes-pour-informer-et-proteger-les-internautes
5. Direction générale des Entreprises - Les autorités compétentes pour la mise en œuvre du règlement européen sur l'intelligence artificielle. https://www.entreprises.gouv.fr/priorites-et-actions/transition-numerique/soutenir-le-developpement-de-lia-au-service-de-0
6. DGCCRF (2026) - La DGCCRF coordonnera l'action des autorités de surveillance en France. https://www.economie.gouv.fr/dgccrf/actualites-dgccrf/ia-la-dgccrf-coordonnera-laction-des-autorites-de-surveillance-en-france
7. CNIL (mise à jour du 17/08/2026) - Questions-réponses sur l'entrée en vigueur du règlement européen sur l'intelligence artificielle. https://www.cnil.fr/fr/entree-en-vigueur-du-reglement-europeen-sur-lia-les-premieres-questions-reponses-de-la-cnil
8. Centre Inffo, baromètre formation et emploi 2025 - 855 utilisateurs professionnels interrogés, dont 72 % demandent une formation et 38 % en ont reçu une. https://www.centre-inffo.fr/content/uploads/2025/04/barometre-formation-emploi-2025.pdf
9. AI Act Service Desk, Commission européenne - Article 4, maîtrise de l'intelligence artificielle, texte et champ d'application. https://ai-act-service-desk.ec.europa.eu/fr/ai-act/article-4
10. ActuIA, AI Act, obligations en vigueur et reports de l'omnibus (mise à jour du 06/10/2026) - Tableau du calendrier de l'article 113 après l'omnibus, qui rattache l'article 4 au 2 février 2025. https://www.actuia.com/actualite/calendrier-ai-act-ce-qui-sapplique-ce-que-lomnibus-reporte/
11. Données personnelles, formation IA obligatoire et article 4 (2026) - La réécriture de l'article 4 par le règlement 2026/1744, article 1er point 5, et l'absence de niveau exigé depuis le 27 juillet 2026. https://www.donneespersonnelles.fr/ai-act-formation-obligatoire
12. AI Act Service Desk, Commission européenne - Article 6, règles de classification des systèmes d'intelligence artificielle à haut risque. https://ai-act-service-desk.ec.europa.eu/fr/ai-act/article-6
13. Annexe III du règlement européen sur l'intelligence artificielle - Les 8 catégories de systèmes à haut risque par leur usage, de l'emploi au crédit. https://artificialintelligenceact.eu/fr/annex/3/