EU AI Act : les règles de transparence IA entrent en vigueur

Ce qui s'est passé

Le 2 août 2026 marque une date charnière dans l'histoire de la régulation de l'intelligence artificielle : les premières obligations contraignantes du règlement européen sur l'IA, dit EU AI Act, entrent officiellement en vigueur pour les opérateurs déployant des systèmes d'IA dans l'Union européenne. Après des mois d'incertitude sur le calendrier exact — notamment suite à l'adoption du Digital AI Omnibus en juin 2026, qui a repoussé certains délais pour les systèmes à haut risque — cette échéance du 2 août est désormais ferme et non négociable pour les obligations de transparence. La réglementation, adoptée par le Parlement européen en mars 2024 et entrée en vigueur le 1er août 2024, s'applique selon une logique de risque graduée.

Les obligations activées ce 2 août 2026 concernent quatre catégories de déploiements. Premièrement, les systèmes d'IA interactifs — chatbots et assistants conversationnels — dont les opérateurs doivent informer les utilisateurs, de manière claire et accessible, qu'ils interagissent avec une intelligence artificielle et non un humain, dès le début de l'échange. Deuxièmement, les fournisseurs de systèmes d'IA générant ou manipulant des contenus synthétiques — audio, image, vidéo, texte — doivent implémenter des marquages lisibles par machine attestant la nature artificielle du contenu. Troisièmement, les opérateurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent en informer les personnes concernées. Quatrièmement, les deepfakes et contenus générés par IA portant sur des personnes réelles ou des sujets d'intérêt public doivent être explicitement étiquetés comme tels.

Une nuance importante a été introduite par le Digital AI Omnibus de juin 2026 : les exigences de marquage technique lisible par machine bénéficient d'un délai supplémentaire jusqu'au 2 décembre 2026, au motif que les standards techniques du CEN-CENELEC et de l'ISO ne sont pas encore finalisés. Mais l'obligation d'informer les utilisateurs de manière humainement lisible est, elle, immédiatement applicable. Concrètement, un service client automatisé déployé sur un site web européen doit, dès aujourd'hui, afficher un avertissement clair stipulant que l'interlocuteur est un système d'IA. Cette mention doit figurer avant le début de l'échange et ne peut être dissimulée dans les conditions générales d'utilisation.

La deuxième grande activation du 2 août concerne les modèles d'IA à usage général, dits GPAI (General-Purpose AI Models). L'AI Office — l'autorité de surveillance européenne créée en 2024 au sein de la Commission européenne — obtient ce jour l'ensemble de ses pouvoirs d'exécution. Elle peut désormais émettre des demandes d'information aux fournisseurs de grands modèles de langage ou de modèles multimodaux, exiger l'accès aux systèmes pour audit, et prononcer des ordres de modification ou de retrait d'un modèle si des risques systémiques sont détectés. Ces pouvoirs s'appliquent à tous les fournisseurs dont les systèmes sont accessibles dans l'UE, y compris les acteurs américains et asiatiques, indépendamment de leur pays d'établissement.

Ce qui ne s'active pas le 2 août 2026 mérite également d'être souligné. Les obligations les plus contraignantes, celles relatives aux systèmes d'IA à haut risque, ont été repoussées au 2 décembre 2027 par le Digital AI Omnibus. Ces systèmes incluent les outils de scoring de crédit, les systèmes de recrutement automatisé, les technologies biométriques d'identification à distance, les systèmes décisionnels dans l'éducation et la justice, ainsi que les applications d'IA dans les infrastructures critiques. Les obligations d'évaluation de conformité, de documentation technique et de marquage CE associées ne seront exigibles que seize mois plus tard. Ce report résulte d'une pression intense des industriels et des États membres qui jugeaient le calendrier initial irréaliste au regard de la complexité des exigences.

Pour les entreprises concernées par les obligations du 2 août, la Commission européenne a publié en juin 2026 des lignes directrices détaillées sur la mise en œuvre de l'article 50, régissant les obligations de transparence. Ces guidelines précisent que l'obligation de divulgation chatbot s'applique indépendamment du niveau de sophistication du système : si un bot basé uniquement sur des règles préprogrammées peut être exempté, tout système utilisant l'apprentissage automatique pour générer ses réponses est soumis à l'obligation. La communication doit intervenir avant le début de l'échange et être compréhensible par un utilisateur non expert.

Sur le volet deepfakes, les lignes directrices précisent que l'obligation s'applique même en l'absence d'intention trompeuse. Une vidéo synthétique représentant une célébrité dans un contexte satirique doit être étiquetée si elle a été générée par IA. Seules exceptions prévues : les œuvres d'art clairement présentées comme fictionnelles et certains usages liés à la sécurité nationale. Les plateformes distribuant ces contenus sont solidairement responsables du respect des obligations d'étiquetage, en complément des fournisseurs des modèles générateurs.

Les sanctions en cas de non-conformité sont graduées. Pour les violations des obligations de transparence par des opérateurs de systèmes IA non-GPAI, les amendes peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel. Pour les fournisseurs de modèles GPAI, les infractions graves peuvent entraîner des pénalités allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Ces montants dépassent significativement les seuils prévus par le RGPD pour des violations comparables, témoignant de la volonté du législateur européen d'imposer un cadre dissuasif dès l'entrée en vigueur de la réglementation.

Pourquoi c'est important

L'entrée en vigueur de l'EU AI Act le 2 août 2026 constitue un tournant réglementaire comparable, dans ses ambitions, à l'entrée en application du RGPD en mai 2018. Comme ce dernier, il s'agit d'une réglementation à portée extraterritoriale : toute entreprise dans le monde dont les systèmes d'IA sont accessibles aux résidents de l'Union européenne est concernée, qu'elle soit basée à San Francisco, Séoul ou Paris. Les grands acteurs américains ont d'ores et déjà investi des ressources considérables pour s'aligner sur ce cadre, mais des milliers de PME et de startups européennes découvrent seulement maintenant l'étendue des obligations qui leur incombent.

L'activation simultanée des pouvoirs de l'AI Office marque une nouvelle phase dans la gouvernance mondiale de l'IA. Pour la première fois, une autorité supranationale dispose de pouvoirs coercitifs réels sur les fournisseurs de grands modèles de langage. Cette capacité à demander l'accès aux systèmes, à mener des audits, et potentiellement à exiger le retrait d'un modèle du marché européen n'a pas d'équivalent dans aucune autre juridiction. Elle crée un précédent que le Royaume-Uni, le Canada et certains États américains observent attentivement dans le cadre de leurs propres réflexions législatives sur l'IA.

Pour les équipes de conformité et les DSI, le 2 août marque le début d'une ère de reporting et d'audit sur les systèmes IA. Les entreprises ayant intégré des chatbots dans leurs portails clients, automatisé leur service après-vente, ou déployé des outils de génération de contenu doivent documenter ces usages, vérifier leur conformité aux obligations de transparence, et mettre en place des processus pour répondre aux éventuelles demandes de l'AI Office ou des autorités nationales compétentes. En France, la CNIL a été désignée comme autorité de surveillance nationale pour certaines catégories de systèmes IA, en complément du rôle de l'AI Office pour les GPAI.

Le report des obligations pour les systèmes à haut risque à décembre 2027 offre un répit, mais ne doit pas conduire à la procrastination. Les exigences en matière de documentation technique, de systèmes de gestion des risques et d'enregistrement dans la future base de données européenne des systèmes IA à haut risque représentent un chantier de fond qui prendra de nombreux mois. Les organisations qui attendront la dernière minute risquent de se retrouver dans la situation de celles qui avaient sous-estimé l'ampleur du chantier RGPD en 2017-2018.

Ce qu'il faut retenir

• Dès le 2 août 2026, tout chatbot ou assistant IA déployé en Europe doit informer explicitement l'utilisateur qu'il interagit avec une IA, sous peine d'amendes jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial.
• Les deepfakes et contenus synthétiques doivent être étiquetés même sans intention trompeuse ; le marquage technique lisible par machine bénéficie d'un délai jusqu'au 2 décembre 2026 en attente des standards ISO/CEN.
• L'AI Office dispose désormais de pouvoirs complets d'audit et de sanction sur les fournisseurs de modèles GPAI (grands modèles de langage, modèles multimodaux) actifs sur le marché européen.