AI Act : à la veille du 2 août 2026, ce que Bruxelles a vraiment changé sur la transparence

Demain, 2 août 2026, une nouvelle tranche de l'AI Act entre en application. Pas les obligations les plus lourdes — celles sur les systèmes à haut risque restent reportées à 2027 et 2028 — mais l'article 50, qui impose la transparence des systèmes d'IA et le marquage des contenus générés. La Commission européenne vient d'y adosser un code de bonnes pratiques et toute une boîte à outils. Ce qui change concrètement, et ce qui ne change pas encore.

Ce qui s'est passé

L'article 50 de l'AI Act entre en application le 2 août 2026. Il impose trois choses distinctes. D'abord, les fournisseurs de systèmes d'IA destinés à interagir directement avec des personnes physiques (chatbots, assistants conversationnels) doivent veiller à ce que les utilisateurs sachent qu'ils échangent avec une IA. Ensuite, les fournisseurs de systèmes génératifs doivent associer à leurs sorties un marquage lisible par machine — avec une période de grâce jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août. Enfin, les déployeurs qui génèrent des deepfakes (image, audio, vidéo) ou des textes visant à informer le public sur des questions d'intérêt général doivent signaler que le contenu a été généré ou manipulé par une IA.

Pour accompagner l'échéance, la Commission a publié un code de bonnes pratiques sur la transparence des contenus générés, ainsi qu'un ensemble d'outils réunis sur une plateforme unique : un vérificateur de conformité, l'AI Act Explorer, une compilation de FAQ et un service d'assistance. Aucune de ces briques n'est obligatoire en tant que telle, mais elles servent de référence pour démontrer sa bonne foi.

Pourquoi c'est important

Cette échéance s'inscrit dans un calendrier redessiné par l'omnibus numérique, qui a repoussé à 2027 et 2028 l'essentiel des obligations sur les systèmes à haut risque — le temps que les autorités nationales compétentes se mettent en place et que le CENELEC finalise ses normes harmonisées, très en retard sur le calendrier initial. Dans l'intervalle, les notions structurantes du règlement (modèle vs système d'IA, fournisseur vs déployeur, risque à haut risque vs risque systémique) continuent de déterminer qui est concerné par quoi, et notre guide complet de conformité AI Act détaille cette architecture pas à pas.

Nous avions déjà couvert le volet spécifiquement destiné aux PME et ETI déployant des obligations de transparence du 2 août. Ce qui change avec la publication du code de bonnes pratiques, c'est le niveau de détail opérationnel : critères d'étiquetage des deepfakes, exceptions pour le code source ou les échanges machine-to-machine, obligations de détection gratuite pour les gros fournisseurs. Ces clarifications viennent compléter les lignes directrices sur la classification des systèmes à haut risque publiées en mai, qui traitaient d'un tout autre pan du règlement.

Ce que ça change pour les organisations

Trois vérifications concrètes s'imposent avant l'échéance. D'abord, tout système conversationnel exposé aux utilisateurs (chatbot support, assistant interne) doit clairement signaler sa nature IA — ce n'est pas nouveau en soi, mais la surveillance officielle des autorités nationales démarre le 3 août. Ensuite, les organisations qui exploitent des outils génératifs pour produire des visuels, vidéos ou contenus destinés au public doivent vérifier si leur fournisseur applique déjà le marquage machine, et si elles-mêmes, en tant que déployeurs de deepfakes, doivent apposer une étiquette visible (icône « AI », avertissement audio en début de contenu). Enfin, pour les structures de taille intermédiaire — les « small caps » de moins de 750 salariés et 150 M€ de chiffre d'affaires — l'omnibus numérique élargit les allégements de documentation technique initialement réservés aux PME : autant vérifier son éligibilité avant de sur-investir en conformité.

Le choix d'un outil de cartographie AI Act devient d'autant plus pertinent que le règlement distingue désormais des régimes différents selon la date de mise sur le marché, le statut fournisseur/déployeur et le niveau de risque : une gestion à la main devient vite intenable dès que le catalogue de systèmes d'IA dépasse quelques unités.

Ce que Leto pense de cette décision

La méthode de la Commission a le mérite de la cohérence : plutôt que de laisser les entreprises interpréter seules un texte dense, elle multiplie les instruments d'accompagnement — codes de bonnes pratiques, FAQ, vérificateur de conformité. Mais cette abondance a un revers : aucune technique de marquage ne satisfait à elle seule aux quatre critères que pose l'AI Act (efficacité, interopérabilité, robustesse, fiabilité), ce qui oblige à combiner plusieurs méthodes sans certitude réglementaire totale. Pour les DPO et RSSI, le vrai travail commence maintenant : cartographier lesquels de leurs systèmes d'IA généreront, dès demain, des contenus soumis à ces obligations de transparence, plutôt que d'attendre une clarification qui ne viendra pas avant les échéances de 2027-2028.

Sources : Silicon.fr, « AI Act : clés et ressources pour se mettre en conformité », Règlement omnibus numérique (UE) 2026/1744, Plateforme unique d'information sur l'AI Act, Commission européenne.