AI Act reporté à 2027 : ce qui change vraiment pour les entreprises françaises

Vous avez vu passer les titres. L’AI Act, le règlement européen sur l’intelligence artificielle, fait encore parler de lui. Et pour cause. Le Digital Omnibus a rebattu les cartes le 7 mai 2026. Résultat : tout le monde confond report et annulation.

Pourtant, la réalité est bien plus nuancée. D’un côté, certaines obligations high-risk sont repoussées. De l’autre, l’article 50 sur la transparence reste bel et bien actif au 2 août 2026. En conséquence, vos chatbots, outils de génération et contenus automatiques doivent déjà se conformer.

Alors, que devez-vous faire concrètement ? On fait le point ensemble. Parce qu’entre ce qui s’applique vraiment et ce qui peut attendre, la frontière n’est pas si claire.

AI Act : le calendrier qui change tout

Depuis l’entrée en vigueur de l’AI Act en août 2024, le calendrier n’a cessé d’évoluer. En effet, le texte original prévoyait une montée en charge progressive des obligations. Cependant, le Digital Omnibus a modifié la donne en mai 2026.

L’accord politique entre le Conseil et le Parlement européen, acté le 7 mai 2026, reporte plusieurs échéances majeures. Par conséquent, de nombreuses entreprises respirent un peu. Mais attention. Ce report ne concerne pas l’ensemble du règlement. En réalité, certaines obligations restent strictement applicables cet été.

De plus, le processus législatif n’est pas terminé. L’adoption formelle et la publication au Journal officiel de l’UE doivent encore intervenir avant le 2 août 2026. Tant que ces étapes ne sont pas accomplies, le calendrier initial demeure officiellement en vigueur.

Ce qui s’applique le 2 août 2026

L’article 50 de l’AI Act est au cœur du sujet. Il impose des obligations de transparence qui ne sont pas reportées. Concrètement, cela signifie plusieurs choses pour votre entreprise.

Premièrement, vous devez informer les utilisateurs lorsqu’ils interagissent avec un système d’IA. Par exemple, un chatbot sur votre site doit mentionner clairement qu’il est propulsé par une intelligence artificielle. Ensuite, les contenus générés automatiquement doivent être signalés comme tels. Il s’agit des images, textes, vidéos ou audio produits par des modèles d’IA.

Le watermarking entre aussi en jeu à cette date. Il s’agit de l’intégration de marqueurs lisibles par machine dans les contenus générés. En revanche, les systèmes déjà déployés bénéficient d’une grace period de quatre mois. Ainsi, ils doivent se conformer d’ici le 2 décembre 2026.

En outre, de nouvelles interdictions deviennent effectives. Les deepfakes non consentants sont formellement interdits. Il en va de même pour tout contenu IA à caractère CSAM. L’AI Office, quant à lui, dispose désormais de pouvoirs d’enquête et de sanction renforcés. Cela signifie que les contrôles seront plus fréquents et plus rigoureux.

Ce qui est reporté (et jusqu’à quand)

Passons aux reports proprement dits. Deux grandes catégories sont concernées. D’abord, les systèmes dits high-risk listés à l’Annex III. Ils couvrent des domaines sensibles comme le recrutement, le scoring crédit, l’éducation ou encore la justice. Ces obligations sont repoussées au 2 décembre 2027.

Ensuite, les systèmes d’IA intégrés dans des produits réglementés (Annex I). Il s’agit notamment des dispositifs médicaux, des machines industrielles et des véhicules autonomes. Pour ceux-ci, la deadline glisse au 2 août 2028. C’est un report significatif de deux ans par rapport au calendrier initial.

Par ailleurs, les sandboxes réglementaires nationales, initialement prévues en août 2026, sont également repoussées. Ces espaces de test encadrés permettaient aux entreprises d’expérimenter leurs solutions IA sous supervision des autorités. Elles ne seront pas opérationnelles avant août 2027 au plus tôt.

Et la CNIL dans tout ça ?

La CNIL n’est pas en reste. Dans son programme 2026, l’autorité française se prépare officiellement à devenir l’autorité nationale de surveillance de l’AI Act, en complément de son rôle RGPD historique. Les contrôles seront croisés dès cette année.

Concrètement, cela signifie que la CNIL pourra sanctionner simultanément un manquement RGPD (article 35 sur l’analyse d’impact) et une violation de l’AI Act. Comme le résume le rapport annuel 2025 de la CNIL, l’autorité dispose déjà d’une expertise solide sur les traitements algorithmiques — et elle entend l’étendre à l’IA.

En France, la CNIL sera rejointe par plusieurs autorités sectorielles : la DGCCRF pour les pratiques commerciales, l’Arcom pour les contenus médiatiques, et l’ANSSI pour les aspects de cybersécurité. L’AI Office européen, quant à lui, conservera la supervision directe des modèles GPAI (GPT, Claude, Mistral).

Checklist par type d’entreprise

Chaque situation est différente. Voici ce que vous devez prioriser selon votre profil.

PME de moins de 250 salariés

Les PME bénéficient d’exigences documentaires allégées. Néanmoins, les obligations de transparence s’appliquent pleinement. Vérifiez que votre site web informe les visiteurs de l’usage d’IA. Si vous utilisez un chatbot, il doit se présenter comme tel. De plus, cartographiez simplement vos usages d’IA.

Startup développant de l’IA

Si votre produit relève de l’Annex III, vous avez jusqu’en décembre 2027 pour la conformité complète. En attendant, implémentez la transparence dès maintenant. Cela prend quelques semaines. Par conséquent, vous avancez sur le sujet sans pression immédiate. De surcroît, surveillez la publication officielle de l’Omnibus au Journal officiel.

Éditeur de logiciels intégrant de l’IA

Votre responsabilité dépend du rôle que vous jouez. En tant que fournisseur, vous devrez documenter votre système et gérer les risques. Cependant, les échéances sont reportées. D’ici là, concentrez-vous sur la documentation technique et la gestion des données d’entraînement. Ces éléments ne seront pas impactés par le report.

Entreprise utilisant de l’IA en interne

Si vous utilisez des outils IA sans les commercialiser, vos obligations sont limitées. Toutefois, vous devez veiller à la transparence envers vos utilisateurs finaux. Par exemple, si votre service client utilise une IA pour rédiger des réponses, cela doit être signalé. De plus, évaluez si vos outils relèvent de l’Annex III.