En bref : le 2 décembre 2026, l'AI Act active deux catégories d'obligations pour les entreprises européennes. D'une part, des obligations de transparence s'appliquent désormais aux systèmes d'IA générative mis sur le marché de l'UE avant le 2 août 2026 — ces systèmes disposaient d'un délai de grâce qui arrive à échéance. D'autre part, deux nouvelles catégories d'usages interdits deviennent pleinement exécutoires.
Pour les PME et ETI françaises qui exposent des outils IA générative à leurs utilisateurs finaux — que ce soit via une application, un chatbot client, un outil de génération de contenu ou un agent automatisé — cette date est un signal d'action concret. Ce n'est pas la date la plus redoutée de l'AI Act (les obligations pour les systèmes à haut risque autonomes ont été repoussées à décembre 2027), mais elle est immédiate et concerne un large périmètre d'usages.
Cet article décrit précisément ce qui entre en vigueur, qui est concerné, et les cinq actions prioritaires à lancer avant le 2 décembre. Il s'appuie sur le texte du règlement et sur les analyses publiées par plusieurs cabinets juridiques en novembre 2026, à recouper avec le Journal officiel de l'UE pour une application formelle.
Le 2 décembre 2026 : ce qui entre exactement en vigueur
La date du 2 décembre n'est pas une nouvelle réglementation : c'est la fin d'un délai de grâce. Le règlement AI Act est entré en vigueur en 2024, et le Digital Omnibus (Règlement 2026/1744), adopté le 27 juillet 2026, a révisé certains calendriers et ajouté de nouvelles obligations. Le 2 décembre 2026 marque deux échéances simultanées :
- Fin du délai de grâce pour la transparence (IA générative) : les systèmes d'IA qui génèrent ou manipulent des contenus synthétiques (texte, image, audio, vidéo), mis sur le marché avant le 2 août 2026, bénéficiaient d'un délai supplémentaire pour se conformer aux obligations de transparence de l'article 50. Ce délai se termine le 2 décembre 2026. Après cette date, ces systèmes doivent respecter les mêmes règles que les systèmes mis sur le marché après le 2 août.
- Entrée en exécution de deux nouvelles interdictions : le Digital Omnibus a ajouté deux nouvelles catégories à la liste des usages interdits de l'article 5. Elles deviennent pleinement exécutoires le 2 décembre 2026, soit quatre mois après l'entrée en vigueur du règlement modificatif.
Pour mémoire, les délais des autres catégories sont les suivants : systèmes à haut risque autonomes → décembre 2027 ; systèmes à haut risque intégrés dans des produits réglementés (dispositifs médicaux, machines) → août 2028. Ces dates ne changent pas au 2 décembre.
Les obligations de transparence : article 50 en pratique
L'article 50 de l'AI Act impose des obligations de transparence aux fournisseurs et déployeurs de systèmes d'IA qui interagissent avec des personnes physiques ou génèrent des contenus synthétiques. Concrètement, voici ce que cela implique pour une PME qui déploie un tel système :
Pour les systèmes qui interagissent avec des utilisateurs (chatbots, assistants)
Les utilisateurs finaux doivent être informés qu'ils interagissent avec un système d'IA, sauf si cela est évident par nature. Cette information doit être donnée avant l'interaction, de manière claire et lisible. Elle ne peut pas être enfouie dans les conditions générales.
Pour les systèmes qui génèrent des contenus synthétiques
Les contenus générés par IA (textes, images, sons, vidéos) doivent être signalés comme tels, de manière lisible par machine (marquage technique standardisé) et/ou visible par l'utilisateur. Les fournisseurs de modèles de base sont responsables de mettre en place le marquage technique ; les déployeurs (c'est-à-dire votre entreprise si vous utilisez un modèle tiers pour générer des contenus) doivent s'assurer que le marquage est présent dans leur produit.
Ce que cela signifie pour votre environnement
- Si vous avez déployé un chatbot ou un assistant IA pour vos clients avant août 2026, vérifiez qu'une mention d'IA est affichée avant ou pendant l'interaction.
- Si vous générez du contenu marketing, des rapports ou des réponses automatiques avec un outil IA, vérifiez si votre fournisseur propose déjà un marquage technique (SynthID, C2PA, ou équivalent).
- Si vous avez développé votre propre modèle ou fine-tuné un modèle open-weight, les obligations de transparence vous incombent directement.
Pour les projets de automatisation métier qui génèrent des communications automatisées, cette obligation est à intégrer dès la conception.
Les deux nouvelles interdictions renforcées
Le Digital Omnibus a ajouté deux nouvelles catégories à l'article 5, qui liste les usages d'IA inconditionnellement interdits dans l'UE. Ces deux catégories entrent en application le 2 décembre 2026 :
- L'IA utilisée pour créer ou diffuser des contenus intimes non consentis : tout système d'IA qui génère, manipule ou diffuse des images, vidéos ou contenus audio à caractère sexuel mettant en scène une personne réelle sans son consentement est désormais formellement interdit. Cette interdiction vise à la fois les fournisseurs de modèles et les déployeurs qui permettraient sciemment un tel usage.
- La génération de matériaux pédopornographiques par IA : toute utilisation d'un système d'IA pour produire de tels contenus est interdite de manière absolue, sans exception.
Pour une PME ou ETI classique, ces deux interdictions ne devraient pas modifier directement vos usages légitimes. En revanche, si vous opérez une plateforme de génération de contenus ouverte au public, vous avez une obligation de mise en place de garde-fous techniques et procéduraux pour prévenir ces usages. L'absence de garde-fous, même sans intention malveillante, peut engager votre responsabilité de déployeur.
Les amendes prévues par l'AI Act pour violation des interdictions de l'article 5 peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé. Aucune sanction n'avait encore été prononcée à la date de rédaction de cet article, mais les autorités nationales compétentes sont opérationnelles depuis août 2026.
Ce que le Digital Omnibus a changé pour les PME
Le Digital Omnibus (Règlement 2026/1744), entré en vigueur le 27 juillet 2026, a apporté plusieurs allègements importants pour les petites et moyennes entreprises. Il est utile de rappeler ces points, souvent ignorés dans la communication sur les risques de non-conformité :
- Délais repoussés pour les systèmes à haut risque : les systèmes à haut risque autonomes (par exemple, un outil de sélection de CV ou d'évaluation de crédit) n'ont plus l'obligation de conformité à août 2026 mais à décembre 2027. Cela laisse du temps pour préparer une mise en conformité sérieuse.
- Proportionnalité pour les PME : le texte introduit des dispositions proportionnelles pour les entreprises de petite taille, notamment sur les obligations documentaires et les exigences de système de management de la qualité (QMS). Une PME n'a pas les mêmes obligations documentaires qu'un grand groupe.
- Obligation de littératie IA (article 4) : l'article 4 impose des mesures de littératie IA pour les collaborateurs qui travaillent avec des systèmes IA. C'est une obligation de moyens, pas de résultats : vous devez démontrer que vous avez pris des mesures appropriées, pas que chaque collaborateur a passé une certification.
Le bilan pratique pour une PME française : les obligations immédiates du 2 décembre 2026 concernent principalement la transparence des outils IA exposés aux utilisateurs finaux. Les obligations les plus lourdes (documentation de conformité, QMS, enregistrement dans la base EU AI Office) concernent les systèmes à haut risque, avec des délais significativement plus longs.
Pour une analyse de la première norme harmonisée publiée au JOUE, voir notre article sur EN 18286:2026 et l'article 17 de l'AI Act.
Checklist : cinq actions avant le 2 décembre
Voici les cinq actions prioritaires à engager dans les prochaines semaines, si ce n'est pas déjà fait :
- Inventorier vos systèmes IA exposés aux utilisateurs finaux. Faites la liste de tous les outils, chatbots, agents ou générateurs de contenu que vos clients, partenaires ou collaborateurs utilisent. Pour chaque outil, notez : qui a mis le système sur le marché (vous ou un tiers), quelle est sa date de mise en service, et s'il génère des contenus synthétiques.
- Vérifier la présence d'une mention d'IA dans les interfaces utilisateur. Pour chaque système interactif (chatbot, assistant), confirmez qu'une information claire est affichée avant ou au début de l'interaction. Si elle est absente, c'est une modification d'interface à prévoir.
- Contacter vos fournisseurs d'outils IA pour les contenus générés. Demandez à vos fournisseurs (OpenAI, Anthropic, Mistral, etc.) quelle est leur approche de marquage technique des contenus générés (SynthID, C2PA ou équivalent). Si vous utilisez un modèle open-weight, la responsabilité du marquage vous incombe.
- Mettre en place des garde-fous pour les plateformes ouvertes. Si vous opérez une plateforme où des utilisateurs tiers peuvent générer des contenus avec de l'IA, révisez vos conditions d'utilisation et vos filtres de contenu pour prévenir les usages désormais interdits.
- Documenter vos actions. L'AI Act est une loi de conformité : la traçabilité de vos efforts compte autant que les mesures elles-mêmes. Constituez un dossier simple qui liste vos systèmes, les vérifications effectuées et les modifications apportées. Ce dossier sera utile si une autorité nationale vous interroge.
Si vous n'êtes pas sûr du périmètre qui s'applique à vos outils, prenez contact avec notre équipe pour un cadrage initial. Pour les projets de développement sur mesure incluant de l'IA, nous intégrons systématiquement une analyse de conformité AI Act dès la phase de conception.
FAQ — AI Act : obligations de transparence IA générative et deux nouvelles interdictions entrent en vigueur le 2 décembre — qui est vraiment concerné ?
Quelle est la différence entre les obligations du 2 décembre 2026 et celles d'août 2026 ?
Les obligations d'août 2026 (entrée en application du premier paquet de l'AI Act) portaient sur les pratiques d'IA interdites existantes et les exigences de modèles d'IA à usage général. Le 2 décembre 2026 ajoute la fin du délai de grâce pour la transparence des systèmes génératifs déjà sur le marché, et l'entrée en vigueur de deux nouvelles interdictions introduites par le Digital Omnibus de juillet 2026.
Une PME qui utilise un outil SaaS avec IA doit-elle se conformer à l'article 50 ?
Si vous utilisez un outil SaaS tiers (par exemple, un CRM avec IA ou un outil de génération de contenu), la responsabilité principale incombe au fournisseur du SaaS, en tant que fournisseur ou déployeur principal. En revanche, si vous intégrez cet outil dans une interface que vous présentez à vos propres clients, vous êtes co-déployeur et les obligations de transparence s'appliquent également à votre couche d'interface.
Qu'est-ce que la littératie IA imposée par l'article 4 de l'AI Act ?
L'article 4 impose aux fournisseurs et déployeurs de systèmes d'IA de prendre des mesures appropriées pour s'assurer que leurs équipes disposent du niveau de compétence nécessaire pour utiliser les systèmes IA de manière responsable. C'est une obligation de moyens : il faut démontrer que vous avez fait quelque chose (formation, documentation, sensibilisation), pas nécessairement certifier chaque collaborateur.
Les contenus générés par IA en interne (non publiés) sont-ils concernés par les obligations de transparence ?
Les obligations de l'article 50 portent sur les systèmes exposés à des personnes physiques. Un outil de génération de contenu utilisé uniquement en interne par vos équipes n'est pas soumis aux mêmes obligations de marquage public. En revanche, si ce contenu est ensuite publié ou transmis à des tiers, les obligations de marquage des contenus synthétiques peuvent s'appliquer selon les circonstances.
Quelles sont les sanctions prévues pour non-conformité à l'article 50 en 2026 ?
Les violations des obligations de transparence de l'article 50 sont passibles d'amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel. Aucune sanction formelle n'avait été prononcée à la date de rédaction de cet article. Les autorités nationales compétentes (en France, la CNIL est l'une des autorités désignées) sont opérationnelles depuis août 2026.