Règlement IA : ce qui s'applique depuis le 2 août 2026 et ce qui est reporté à 2027

Réponse rapide : depuis le 2 août 2026, les obligations de transparence de l'article 50 du règlement IA s'appliquent et les autorités nationales peuvent les faire respecter. Les obligations relatives aux systèmes à haut risque, longtemps annoncées pour cette même date, ne sont pas arrivées. Le règlement (UE) 2026/1744 a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il a reporté les systèmes autonomes à haut risque de l'annexe III au 2 décembre 2027 et l'IA intégrée aux produits réglementés de l'annexe I au 2 août 2028.

Cette division compte davantage que ne le suggéraient les titres. "L'UE a reporté le règlement IA" est la version que la plupart ont retenue, et elle est fausse d'une manière qui coûte cher. Si votre travail de conformité était rythmé par l'échéance du haut risque, vous disposez d'un vrai répit. Si votre produit parle aux utilisateurs ou produit du texte, des images, de l'audio ou de la vidéo, vous êtes déjà dans une obligation en vigueur, et la période de transition est plus étroite que ne l'admettent la plupart des synthèses.

Un second problème mérite d'être nommé d'emblée. Une grande partie des guides publiés avant juillet 2026 décrit un état du droit qui n'existe plus. Des checklists, des webinaires et des présentations de prestataires affirment encore que l'ensemble du cadre s'active en août 2026. Vérifiez la date de tout ce sur quoi vous vous appuyez.

Ce guide est une information générale, pas un conseil juridique. Il reflète le règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. Vérifiez le texte consolidé et prenez un avis qualifié pour votre situation.

Quatre choses se sont produites ce jour-là, et aucune n'a été reportée.

Les obligations de transparence de l'article 50 sont devenues applicables. Si votre système interagit directement avec des personnes, génère du contenu synthétique, reconnaît des émotions, catégorise des personnes par la biométrie ou produit des hypertrucages, vous devez informer dès maintenant. Ces obligations valent quel que soit le niveau de risque : un simple agent conversationnel de service client est concerné, même si rien en lui n'est à haut risque.

L'application a commencé. Les autorités nationales compétentes peuvent désormais agir sur les parties déjà en vigueur : les interdictions de l'article 5, les règles applicables aux modèles à usage général depuis août 2025, l'obligation de maîtrise de l'IA et les nouvelles obligations de transparence. Auparavant, une grande partie du cadre existait sur le papier, sans autorité en mesure d'en tirer des conséquences.

La Commission a obtenu ses pouvoirs d'exécution à l'égard des fournisseurs de modèles à usage général. Les obligations GPAI de fond s'appliquent depuis le 2 août 2025. Ce qui a changé, c'est la capacité de les faire respecter.

Les lignes directrices sont arrivées de justesse. La Commission a adopté le 20 juillet 2026 des lignes directrices sur les obligations de transparence de l'article 50, accompagnées d'un code de bonnes pratiques sur le marquage des contenus générés par IA. Si vous décidez à quoi doit ressembler une mention conforme dans votre interface, travaillez à partir de ce document plutôt que d'un modèle générique.

L'Omnibus numérique sur l'IA est né d'une proposition de la Commission du 19 novembre 2025. Le Parlement et le Conseil ont trouvé un accord provisoire le 7 mai 2026, le Parlement a approuvé le texte le 16 juin, le Conseil le 29 juin, et la publication est intervenue le 24 juillet. C'est aujourd'hui du droit en vigueur, non une proposition, et c'est la correction la plus importante à apporter à toute note ancienne.

Voici ce qu'il a fait.

• Les obligations relatives aux systèmes autonomes à haut risque de l'annexe III passent au 2 décembre 2027. Cela couvre le recrutement et la gestion du personnel, le scoring de crédit, la biométrie, l'éducation, les services essentiels, la répression, la migration et l'administration de la justice.
• Les obligations relatives à l'IA intégrée aux produits réglementés de l'annexe I passent au 2 août 2028. Dispositifs médicaux, machines, véhicules, jouets et le reste de la famille de la sécurité des produits.
• Les obligations des déployeurs suivent les systèmes auxquels elles se rattachent. L'article 26, l'analyse d'impact sur les droits fondamentaux de l'article 27 et le droit à l'explication de l'article 86 sont liés aux systèmes à haut risque et arrivent donc aux mêmes dates différées.
• Le marquage lisible par machine bénéficie de quatre mois, mais seulement pour l'existant. Les fournisseurs de systèmes génératifs déjà sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour se conformer à l'article 50, paragraphe 2. Un produit génératif lancé le 2 août 2026 ou après devait disposer du marquage dès le premier jour.
• Deux nouvelles interdictions ont été ajoutées à l'article 5, visant les systèmes d'IA servant à produire des images intimes non consenties, dont les outils dits de dénudation, et l'IA générant du matériel d'abus sexuel sur mineurs. Elles s'appliquent à compter du 2 décembre 2026.
• Les bacs à sable réglementaires nationaux sont attendus pour le 2 août 2027, chaque État membre devant en faire fonctionner au moins un.

Ce qui n'a pas changé, c'est l'architecture. Les niveaux de risque, la voie de l'évaluation de la conformité, la filière GPAI et le rôle du Bureau de l'IA restent intacts. Le motif avancé pour le report est pratique et non politique : les normes harmonisées du CEN et du CENELEC n'étaient pas finalisées et plusieurs États membres n'avaient pas désigné leurs autorités compétentes. Gagner du temps pour construire la mécanique n'équivaut pas à supprimer l'obligation.

Le règlement est entré en vigueur le 1er août 2024 et s'applique par étapes. Les dates ci-dessous reflètent le règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744.

Une nuance qui échappe souvent : les contenus générés avant le 2 août 2026 n'ont pas à être marqués rétroactivement. L'obligation vaut pour l'avenir, pas pour le passé.

L'article 50 est court, et c'est la partie du règlement que la plupart des entreprises doivent réellement satisfaire. Il couvre quatre situations.

1. Les systèmes qui interagissent avec des personnes

Une personne qui a affaire à un système d'IA doit en être informée, sauf si cela est évident pour une personne raisonnablement avisée au vu des circonstances. En pratique, cela signifie une mention visible au point d'interaction, et non une clause en page neuf des conditions générales. Un agent conversationnel qui se présente sous un prénom humain sans rien divulguer est le cas d'école du manquement.

2. Le contenu synthétique doit être marqué

Les fournisseurs de systèmes qui génèrent de l'audio, des images, de la vidéo ou du texte synthétiques doivent marquer la sortie dans un format lisible par machine, afin qu'elle soit détectable comme artificiellement générée. L'étiquetage visible et le marquage lisible par machine sont deux obligations distinctes : satisfaire l'une ne satisfait pas l'autre. C'est cette obligation qui bénéficie de la transition jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché.

3. Reconnaissance des émotions et catégorisation biométrique

Les déployeurs doivent informer les personnes exposées au système et traiter les données à caractère personnel conformément au droit européen de la protection des données. Des exceptions étroites existent lorsque le système sert à détecter, prévenir ou enquêter sur des infractions pénales, sous réserve de garanties.

4. Hypertrucages et textes d'intérêt public

Les déployeurs qui génèrent ou manipulent des contenus représentant des personnes, des lieux ou des événements réels doivent indiquer leur caractère artificiel. Il en va de même des textes générés par IA publiés pour informer le public sur des questions d'intérêt public, sauf contrôle humain assorti d'une responsabilité éditoriale identifiée.

Deux remarques pratiques. L'article 50 ne se demande pas si votre système est à haut risque : le report à décembre 2027 ne vous aide donc en rien ici. Et l'information doit atteindre la personne dès la première interaction, de manière claire et distincte. Si un client ou une autorité vous a déjà interrogé sur votre étiquetage, notre lettre de réponse sur la transparence de l'article 50 en donne la structure efficace.

Le règlement attribue les obligations selon le rôle que vous jouez, pas selon l'intitulé que vous utilisez en interne.

• Fournisseur. Vous développez un système d'IA, ou le faites développer, et le mettez sur le marché ou en service sous votre propre nom. Les fournisseurs portent les obligations les plus lourdes.
• Déployeur. Vous utilisez un système d'IA sous votre propre autorité dans un cadre professionnel. Les déployeurs ont leurs propres devoirs, notamment en matière d'information, de contrôle humain et d'utilisation conforme aux instructions.
• Importateur et distributeur. Vous introduisez des systèmes sur le marché de l'Union ou les mettez à disposition, avec des devoirs de vérification et de conservation.

Une même organisation porte souvent deux casquettes. Si vous achetez un modèle génératif et l'intégrez dans votre produit sous votre marque, vous êtes le plus souvent fournisseur de ce produit, même sans avoir entraîné quoi que ce soit.

Le règlement a par ailleurs une portée extraterritoriale, que l'Omnibus n'a pas touchée. Si votre système, ou sa sortie, est utilisé dans l'Union européenne, le règlement peut vous concerner quel que soit le siège de la société. Ne pas avoir d'entité européenne n'est pas une défense. Ce qui compte, c'est de savoir si le système touche des personnes dans l'Union.

C'est la catégorie dont l'échéance a bougé : la précision s'impose.

Deux voies mènent à la qualification de haut risque. La première vise l'IA utilisée comme composant de sécurité d'un produit déjà régi par la législation européenne de sécurité des produits, ou comme ce produit lui-même, listé à l'annexe I. Cette voie court désormais jusqu'au 2 août 2028. La seconde est la liste des usages autonomes de l'annexe III, désormais fixée au 2 décembre 2027, qui comprend :

• l'emploi, le recrutement et la gestion du personnel, par exemple les outils de tri ou de classement de candidatures,
• l'accès aux services essentiels privés et publics, y compris la solvabilité et le scoring de crédit,
• la biométrie et la catégorisation biométrique,
• l'éducation et la formation professionnelle, par exemple la notation d'examens ou les décisions d'admission,
• les infrastructures critiques, la répression, la migration et le contrôle aux frontières, ainsi que l'administration de la justice.

Si vous relevez de l'un de ces domaines, employez ces seize mois supplémentaires à ce qui prend le plus de temps : les preuves de gouvernance des données, un dossier de gestion des risques qui décrit le système tel qu'il fonctionne réellement, une journalisation capable de produire plus tard une explication individuelle, et un dispositif de contrôle humain confié à une personne nommée ayant l'autorité de contredire la sortie du système. La finalisation des normes est attendue fin 2026 et début 2027 : attendre laisse une fenêtre très étroite.

L'article 99 met en place une structure graduée, et le palier applicable dépend de la règle enfreinte.

La violation des interdictions de l'article 5 expose à des amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu.

La plupart des autres manquements, y compris les obligations des fournisseurs de l'article 16, celles des déployeurs de l'article 26, les devoirs des importateurs et distributeurs et les obligations de transparence de l'article 50, exposent à des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial total. C'est le palier qui s'applique désormais aux agents conversationnels non signalés et aux contenus synthétiques non marqués.

La fourniture d'informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales en réponse à une demande relève d'un palier propre : jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires annuel mondial. Il vaut la peine de le noter : une réponse négligente à un régulateur est en elle-même sanctionnable. Pour les PME et les jeunes entreprises, c'est le montant ou le pourcentage le plus faible qui s'applique.

Enfin, le règlement IA ne remplace pas le RGPD. Lorsque des données à caractère personnel sont traitées, les deux régimes s'appliquent simultanément et les autorités de protection des données conservent leur compétence sur le volet données personnelles. Deux autorités, deux dossiers.

Depuis le début de l'application, le volume des demandes augmente. Elles viennent des autorités nationales de surveillance du marché, du Bureau européen de l'IA pour les modèles à usage général, de clients menant une due diligence et de plaignants ayant déposé un dossier contre vous. Une réponse faible ou tardive transforme une question de routine en enquête.

1. Identifier précisément la demande

Date, expéditeur, référence et objet exact de la question. Cela crée la trace écrite et montre que vous avez lu attentivement.

2. Indiquer votre rôle au titre du règlement

Fournisseur, déployeur, importateur ou distributeur, et de quel système il s'agit. Toutes les obligations en découlent : une erreur ici contamine la suite.

3. Répondre point par point

Reprenez les questions dans l'ordre où elles sont posées et répondez à chacune par des faits. Là où le règlement attend une documentation, décrivez ce que vous détenez et renvoyez aux pièces jointes plutôt que de promettre un envoi ultérieur.

4. Assumer les lacunes

S'il manque quelque chose, dites-le, indiquez ce que vous faites et donnez une date. Un plan de remédiation documenté se lit bien mieux que le silence, et nettement mieux qu'une réponse qui se révèle inexacte.

5. Terminer par un contact et une étape suivante

Nommez un responsable, confirmez votre disponibilité pour compléter, proposez une étape concrète et listez les pièces jointes.

DocuGov.ai intègre cette structure dans des lettres adaptées à la juridiction, pour qu'une demande arrivée un vendredi après-midi ne consomme pas votre week-end. Commencez par le générateur de réponse aux demandes de conformité, ou parcourez les lettres de conformité au règlement IA.

Le règlement n'est pas qu'un exercice de conformité pour les entreprises. Il donne aussi des moyens d'agir aux personnes.

Si vous estimez qu'un système recourt à une pratique interdite, par exemple la notation sociale ou la reconnaissance des émotions au travail, vous pouvez le signaler à votre autorité nationale de surveillance du marché. Notre guide de la plainte concernant une pratique d'IA interdite précise ce qu'il faut y mettre. À partir du 2 décembre 2026, cette liste couvrira aussi l'IA servant à produire des images intimes non consenties.

Par ailleurs, et dès aujourd'hui plutôt qu'en 2027, le RGPD vous donne des droits sur les décisions automatisées. Vous pouvez exiger une intervention humaine et contester une décision prise sur le seul fondement d'un traitement automatisé par une opposition au titre de l'article 22 du RGPD, et demander des informations utiles sur la logique sous-jacente par une demande d'explication. Le droit à l'explication de l'article 86 du règlement IA arrivera avec le régime du haut risque en décembre 2027 : d'ici là, c'est la voie RGPD qui fonctionne.

Ces courriers portent quand ils sont précis. Nommez la décision, la date, le système si vous le connaissez, et exactement ce que vous demandez à l'organisation, avec un délai.

Lire le report comme une pause générale. Le report concerne le chapitre haut risque. La transparence, les interdictions, les règles GPAI et la maîtrise de l'IA n'ont pas bougé et sont applicables aujourd'hui.

Supposer que la transition de décembre 2026 vous couvre. Elle ne vise que les systèmes génératifs mis sur le marché avant le 2 août 2026, et uniquement le marquage lisible par machine de l'article 50, paragraphe 2. Tout ce qui a été lancé depuis devait se conformer dès le premier jour.

Prendre une clause des conditions générales pour une information. L'obligation est d'informer la personne au point d'interaction, de manière claire et distincte.

Confondre étiquette visible et marquage lisible par machine. Ce sont deux exigences distinctes et la plupart des solutions de tatouage n'en couvrent qu'une.

Travailler avec des guides antérieurs à juillet 2026. Les textes consolidés et les suivis de tiers ont mis du temps à intégrer la modification. Si une checklist annonce l'annexe III pour août 2026, elle est antérieure au règlement (UE) 2026/1744.

Répondre informellement à une autorité. Un courriel sans structure ni pièces appelle des relances, et une réponse inexacte relève de son propre palier de sanction.

Oublier le RGPD. Si des données personnelles sont en jeu, vous menez deux régimes de conformité à la fois.

• Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026 et les autorités nationales peuvent les faire respecter.
• Le règlement (UE) 2026/1744, l'Omnibus numérique sur l'IA, est entré en vigueur le 27 juillet 2026 et a modifié le règlement IA pour la première fois.
• Les obligations haut risque ont été reportées au 2 décembre 2027 pour les systèmes autonomes de l'annexe III et au 2 août 2028 pour les systèmes intégrés de l'annexe I.
• La prochaine échéance est le 2 décembre 2026 : marquage lisible par machine pour les systèmes génératifs déjà sur le marché, et les deux nouvelles interdictions de l'article 5.
• Les manquements à l'article 50 relèvent du palier 15 millions d'euros ou 3 %, ceux à l'article 5 atteignent 35 millions d'euros ou 7 %.
• La localisation ne détermine pas le champ d'application. Si le système ou sa sortie est utilisé dans l'Union, le règlement peut s'appliquer.
• Répondez formellement, point par point, pièces à l'appui. DocuGov.ai rédige cette lettre en quelques minutes.