Publicité en cours de chargement...
Règlement IA : le 2 août 2026, entrée en application de nouvelles obligations !
04 août 2026 - 08:54,
Tribune-
Léa Rogerie
& Marguerite Brac de La Perrière
Le 2 août 2026, le règlement (UE) 2024/1689 du 13 juin 2024 sur l'intelligence artificielle ( « Règlement IA » ou « AI Act ») franchit un cap décisif : la majorité de ses dispositions entrent en application et le Bureau de l'IA de la Commission, conjointement avec les autorités nationales, commence à contrôler leur respect. Premier cadre juridique complet au monde sur l'IA, fondé sur une approche par les risques, ce texte s'applique progressivement depuis son entrée en vigueur le 1er août 2024.
Mais le chemin vers la pleine application aura été mouvementé : le règlement « Omnibus numérique sur l'IA » (Digital Omnibus on AI), entré en vigueur le 27 juillet 2026, a repoussé plusieurs échéances. Le présent article revient sur ce calendrier désormais consolidé (1), détaille les obligations de transparence applicables, éclairées par les lignes directrices et le Code de bonnes pratiques (2), et examine la gouvernance – notamment en France – ainsi que les risques encourus (3).
1. Un calendrier d'application progressif, par paliers de risques
Le Règlement IA déploie ses obligations par vagues successives. L'AI Omnibus – proposé le 19 novembre 2025, objet d'un accord politique le 7 mai 2026, adopté par le Conseil le 29 juin et entré en vigueur le 27 juillet 2026 - a repoussé les échéances pour les systèmes à haut risque, dont l'infrastructure réglementaire (normes harmonisées, autorités nationales) n'était pas prête. Voici donc le calendrier consolidé
- 1er août 2024 : entrée en vigueur du règlement, déclenchant le compte à rebours réglementaire.
- 2 février 2025 : application des dispositions générales (définitions, obligation de maîtrise de l'IA – article 4) et des interdictions de pratiques d'IA présentant un risque inacceptable (chapitre II, article 5). a Commission a publié le 4 février 2025 des lignes directrices sur les pratiques interdites afin d'accompagner les opérateurs.
- 2 août 2025 : application des obligations relatives aux modèles d'IA à usage général (chapitre V), des règles de gouvernance (organismes notifiés, Comité IA, groupe scientifique, forum consultatif) et des dispositions sur les sanctions. En pratique, le Code de bonnes pratiques pour les modèles d'IA à usage général (GPAI Code of Practice) a été finalisé conformément à l'article 56 du Règlement IA, le Bureau de l'IA ayant associé les fournisseurs de modèles GPAI, les autorités nationales compétentes, le groupe scientifique et les parties prenantes à son élaboration. Les États membres devaient également avoir désigné leurs autorités nationales compétentes et adopté leurs régimes nationaux de sanctions à cette date - un objectif inégalement atteint selon les pays.
- 2 août 2026 : date-pivot du Règlement IA. Application des obligations de transparence (article 50) - à l'exception de l'obligation de marquage de l'article 50(2) pour les systèmes déjà sur le marché -, des mesures de soutien à l'innovation, et début de la mise en application effective au niveau national et européen. Concrètement, la Commission a publié le 20 juillet 2026 les lignes directrices sur les obligations de transparence, tandis que le Code de bonnes pratiques sur la transparence des contenus générés par l'IA a été finalisé et signé par plus de 180 organisations. Le Bureau de l'IA a également mis en place un outil de plaintes (AI Act complaints tool), un outil pour les lanceurs d'alerte (Whistleblower Tool) et un canal de plaintes pour les fournisseurs en aval utilisant des modèles GPAI. Contrairement au calendrier initial, les obligations relatives aux systèmes d'IA à haut risque ne s'appliquent pas à cette date, ayant été reportées par l'AI Omnibus.
- 2 décembre 2026 : entrée en application des nouvelles interdictions introduites par l'AI Omnibus (systèmes d'IA générant des deepfakes sexuels non consentis - dits « nudification apps » - et des contenus pédocriminels) et date limite transitoire pour les fournisseurs de systèmes d'IA, y compris les systèmes d'IA à usage général générant du contenu synthétique, déjà mis sur le marché avant le 2 août 2026, de se conformer aux obligations de marquage de l'article 50(2).
- 2 août 2027 : date limite pour les États membres d'établir au moins un bac à sable réglementaire de l'IA au niveau national (reportée d'un an par l'AI Omnibus, initialement prévue au 2 août 2026).
- 2 décembre 2027 : application des obligations relatives aux systèmes d'IA à haut risque autonomes figurant à l'annexe III (biométrie, infrastructures critiques, éducation, emploi, services publics essentiels, migration, répression) - date initialement fixée au 2 août 2026.
- 2 août 2028 : application des obligations relatives aux systèmes d'IA à haut risque intégrés dans des produits couverts par la législation d'harmonisation de l'Union (article 6, paragraphe 1, et annexe I) - date initialement fixée au 2 août 2027.
Pourquoi ce report ? Mandatés en mai 2023, les organismes de normalisation CEN et CENELEC n'ont pas pu finaliser les normes harmonisées à temps – les consultations publiques sont attendues fin 2026/début 2027. Or, sans ces normes, pas de présomption de conformité - un mécanisme de sécurité juridique crucial pour les fournisseurs. L'AI Omnibus lie donc explicitement l'entrée en application des obligations haut risque à la disponibilité de ces outils.
Au-delà du calendrier, l'AI Omnibus apporte d'autres ajustements notables : extension aux petites entreprises à capitalisation moyenne (SMCs) de certaines simplifications PME, renforcement des pouvoirs d'enquête du Bureau de l'IA (compétence centralisée sur les systèmes GPAI du même fournisseur et sur ceux intégrés dans les très grandes plateformes au sens du DSA), et clarification de l'articulation avec le règlement Machines (UE) 2023/1230.
2. Les obligations de transparence : un cadre opérationnalisé par les lignes directrices et le Code de bonnes pratiques
Si les obligations haut risque attendent, les règles de transparence, elles, sont bel et bien en vigueur depuis le 2 août 2026. Pour accompagner la mise en conformité, la Commission a publié le 20 juillet 2026 des lignes directrices dédiées, complétées par un Code de bonnes pratiques déjà signé par plus de 180 organisations. L'article 50 distingue les obligations des fournisseurs de celles des déployeurs.
a) Obligations des fournisseurs
Les fournisseurs de systèmes d'IA destinés à interagir directement avec des personnes physiques doivent concevoir leurs systèmes de manière à ce que les personnes soient informées qu'elles interagissent avec un système d'IA, sauf lorsque cela ressort clairement du contexte d'utilisation. Concrètement, les chatbots et autres systèmes interactifs doivent informer les utilisateurs qu'ils ont affaire à une IA et non à un être humain.
Les fournisseurs de systèmes d'IA générant du contenu synthétique (audio, image, vidéo ou texte) doivent en outre veiller à ce que les sorties de leurs systèmes soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une IA. Leurs solutions techniques doivent être « efficaces, interopérables, solides et fiables » dans la mesure de ce qui est techniquement réalisable.
Le Code de bonnes pratiques précise que les signataires doivent mettre en œuvre une approche de marquage multicouche comportant au minimum deux couches : des métadonnées signées numériquement et un filigrane imperceptible. Pour le texte libre (au-delà de 200 tokens), le filigranage doit être appliqué même si sa fiabilité peut être moindre que pour le texte très long. Le Code prévoit également l'obligation de mettre à disposition gratuitement une solution de détection permettant de vérifier si un contenu a été généré ou manipulé par le système d'IA concerné.
b) Obligations des déployeurs
Les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent informer les personnes physiques qui y sont exposées.
Les déployeurs de systèmes d'IA générant ou manipulant des images, contenus audio ou vidéo constituant des hypertrucages (deepfakes) doivent indiquer que ces contenus ont été générés ou manipulés par une IA. De même, les déployeurs de systèmes générant ou manipulant des textes publiés dans le but d'informer le public sur des questions d'intérêt public doivent divulguer l'origine artificielle du contenu, sauf lorsque celui-ci a fait l'objet d'un processus d'examen humain ou de contrôle éditorial et qu'une personne physique ou morale en assume la responsabilité éditoriale.
Le Code de bonnes pratiques détaille les spécifications de design de la divulgation : une icône EU comprenant l'acronyme « AI » en majuscules, accompagnée le cas échéant d'un texte indiquant si le contenu est « generated » ou « modified ». L'icône ou l'étiquette équivalente doit être placée de manière claire et reconnaissable, au plus tard au moment de la première exposition.
c) Exceptions
Ces obligations connaissent des exceptions limitées : systèmes utilisés à des fins de prévention ou de détection des infractions pénales (sous réserve de garanties appropriées) ; et, pour les deepfakes, les œuvres manifestement artistiques, créatives, satiriques ou fictives, pour lesquelles la divulgation est maintenue mais adaptée de sorte à ne pas entraver l'affichage ou la jouissance de l'œuvre.
3. Gouvernance, articulation Commission / États membres et risques
a) Répartition des compétences
Le Règlement IA partage la surveillance entre deux niveaux. Le Bureau de l'IA (AI Office), au sein de la Commission, contrôle les modèles d'IA à usage général et les systèmes fondés sur ces modèles lorsque le fournisseur est le même. Pour tout le reste – y compris les obligations de transparence –, ce sont les autorités nationales de surveillance du marché qui prennent le relais.
Les amendes pour non-conformité aux obligations de transparence peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, un principe de proportionnalité étant applicable aux PME et aux petites entreprises à capitalisation moyenne. Les sanctions pour les pratiques interdites au titre de l'article 5 peuvent quant à elles s'élever jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
Chaque État membre devait, au plus tard le 2 août 2025, désigner ses autorités nationales compétentes et adopter des lois nationales sur les sanctions. En outre, les États membres doivent veiller à ce qu'au moins un bac à sable réglementaire de l'IA soit opérationnel au niveau national au plus tard le 2 août 2027 (date reportée d'un an par l'AI Omnibus).
b) La France : une gouvernance en construction
En France, le paysage de la mise en œuvre reste en cours de structuration à la date du 2 août 2026. Contrairement à d'autres États membres (l'Italie a par exemple adopté dès octobre 2025 une loi nationale sur l'IA prévoyant des amendes allant jusqu'à 774 685 euros), la France n'a pas encore adopté de texte général désignant formellement l'ensemble de ses autorités nationales compétentes au sens du Règlement IA ni un régime autonome de sanctions AI Act.
La CNIL se positionne néanmoins comme un acteur central de la régulation de l'IA lorsque les systèmes impliquent des données personnelles, considérant que le Règlement IA et le RGPD sont complémentaires. Les autorités européennes de protection des données, dont la CNIL relaie la position, ont demandé à être désignées comme autorités de surveillance du marché pour un certain nombre de systèmes d'IA à haut risque, en raison de leur expertise sur les droits fondamentaux et la protection des données personnelles. La CNIL dispose d'ailleurs d'ores et déjà d'une direction dédiée aux technologies, à l'innovation et à l'intelligence artificielle (DTIIA), et a multiplié en 2025-2026 les actions d'encadrement du développement de l'IA.
La CNIL dispose d'ores et déjà d'une pratique d'accompagnement à l'innovation en matière d'IA : elle a publié en avril 2025 le bilan de son bac à sable « IA et services publics » (2023-2024) et les recommandations associées. Elle a également invité le gouvernement à consacrer explicitement dans la loi Informatique et Libertés une mission d'accompagnement de l'innovation dans le domaine de l'IA. Par ailleurs, la CNIL continue à publier des recommandations sur l'application du RGPD au développement des systèmes d'IA.
La France s'inscrit plus largement dans une stratégie nationale ambitieuse pour l'intelligence artificielle, lancée en 2018, qui a vu le nombre de startups françaises en IA doubler depuis 2021 pour atteindre 1 000 en 2025.
c) Risques et enjeux de conformité
Pour les opérateurs, les conséquences sont immédiates et concrètes :
• Sanctions financières significatives : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour les manquements aux obligations de transparence.
• Risque réputationnel : les manquements aux obligations de transparence, en particulier en matière de deepfakes, exposent les opérateurs à un risque d'image considérable dans un contexte de sensibilité croissante du public à la désinformation.
• Complexité de la chaîne de valeur : les fournisseurs de modèles d'IA à usage général ont une responsabilité particulière puisque leurs modèles constituent la base de nombreux systèmes en aval, nécessitant une documentation et des informations de transparence à destination des fournisseurs en aval.
• Incertitude transitoire : les systèmes d'IA mis sur le marché avant le 2 août 2026 ne sont soumis au Règlement IA que s'ils subissent des modifications substantielles de leur conception après cette date. Néanmoins, les fournisseurs et déployeurs de systèmes d'IA à haut risque utilisés par des autorités publiques devront se conformer au plus tard le 2 août 2030.
Le Règlement IA est une réalité opérationnelle. Si le report des obligations haut risque offre un répit bienvenu, les obligations de transparence, elles, n'attendent pas.
Les acteurs ont tout intérêt à s'appuyer dès maintenant sur les lignes directrices, les codes de bonnes pratiques et les bacs à sable réglementaires pour construire leur conformité – plutôt que de l'improviser sous pression.
Léa Rogerie
Marguerite Brac de La Perrière
Avocate, Numérique & Santé
Avez-vous apprécié ce contenu ?
A lire également.
IA générative en santé : le guide de la HAS comme cadre d’usage
08 jan. 2026 - 16:20,
Tribune
-Alexandre FIEVEÉ &
Alice ROBERT
La Haute Autorité de Santé (HAS) a livré, il y a quelques mois, des premières recommandations sous forme de guide pour l’utilisation de l’IA générative par les professionnels du secteur sanitaire, social et médico-social[1] . Ce guide devrait permettre aux DSIH d’avoir à disposition des bonnes prati...
Digital Omnibus on AI, évolutions et perspectives
01 déc. 2025 - 21:44,
Tribune
-Marguerite Brac de La Perrière
Faisant suite à un appel à contributions de la Commission européenne, deux projets de règlements ont été publiés le 19 novembre 2025 par la Commission européenne, bousculant assez substantiellement la réglementation en vigueur : le “Digital Omnibus for the digital acquis" ou "Omnibus numérique" [1] ...
PLFSS 2026 : le DMP devient obligatoire sous peine d’amendes
03 nov. 2025 - 17:19,
Actualité
- DSIH,Le Projet de loi de financement de la Sécurité sociale (PLFSS) pour 2026, actuellement examiné à l’Assemblée nationale, franchit une étape décisive dans la numérisation du système de santé français. Les articles 30 et 31 du texte, publiés dans le dossier législatif n° 1907 (Assemblée nationale 1), i...
L’IA générative en santé : un outil prometteur, à utiliser de manière responsable
30 oct. 2025 - 11:15,
Communiqué
- HASFace à l’expansion rapide des systèmes d’intelligence artificielle (IA) générative – tels que Mistral AI, CoPilot ou ChatGPT – la HAS publie ses premières clés pour un usage responsable de ces technologies dans les secteurs sanitaire, social et médico-social. Ce guide concis et pédagogique, destiné ...
