Le 2 août 2026, le règlement européen sur l'intelligence artificielle a franchi une étape décisive : les premières obligations substantielles sont désormais applicables et susceptibles de donner lieu à des contrôles effectifs. Après une longue phase de préparation — texte adopté en juin 2024, entrée en vigueur en août 2024, calendrier progressif de deux ans —, le volet transparence est entré dans sa phase d'effectivité pleine.
Ce changement concerne directement toute organisation déployant en Europe un chatbot, un assistant vocal, un outil de génération de contenu ou un système de reconnaissance d'émotions. La question n'est plus « que devons-nous faire d'ici le 2 août ? » mais « sommes-nous conformes aujourd'hui, et si non, dans quel délai devons-nous régulariser ? »
Cet article fait le point sur ce qui est exigible depuis hier, qui contrôle, quel est le régime de sanctions réel et quelles dispositions protègent spécifiquement les PME. Il complète notre checklist pratique de début juillet, en passant d'une logique de préparation à une logique d'application concrète.
Les trois obligations de transparence désormais exigibles
Depuis le 2 août 2026, trois catégories d'obligations issues de l'Article 50 du règlement sont exigibles sans période de grâce supplémentaire.
Disclosure en temps réel pour les interfaces utilisateur
Tout système d'IA qui interagit directement avec un utilisateur humain — chatbot, assistant conversationnel, agent vocal — doit l'informer qu'il s'adresse à une machine, de façon claire et au moment même de l'interaction. L'obligation couvre les systèmes intégrés dans des outils métier (CRM, support client, ressources humaines) comme les interfaces grand public déployées en Europe.
Marquage obligatoire des contenus synthétiques
Les contenus synthétiques — images, vidéos, fichiers audio — qui représentent de façon réaliste des personnes ou des lieux réels, générés ou modifiés par IA, doivent porter un marquage lisible par machine (métadonnées normalisées) et perceptible par l'utilisateur final. Une exception existe pour les usages clairement artistiques ou satiriques, à condition que le contexte le rende sans ambiguïté pour le public visé.
Notification pour la reconnaissance biométrique et émotionnelle
Les systèmes qui catégorisent des individus à partir de données biométriques ou qui analysent leurs émotions en temps réel doivent en informer les personnes concernées. Cette obligation s'applique quelle que soit la finalité déclarée : ressources humaines, marketing expérientiel, contrôle d'accès.
Ces trois obligations s'appliquent aux fournisseurs (ceux qui développent le système IA) comme aux déployeurs (ceux qui intègrent un système tiers dans leur produit ou service). Pour les PME françaises qui utilisent des outils tiers, la responsabilité du marquage peut être partiellement contractualisée avec le fournisseur — mais la responsabilité finale de la mise en conformité reste partagée. Lors d'un développement sur mesure incluant un composant IA, ces obligations doivent être intégrées dès la conception des interfaces.
Le Bureau IA et les autorités nationales : rôles et compétences
L'architecture d'application de l'AI Act est bicéphale : un niveau européen et un niveau national, avec des compétences distinctes selon le type d'acteur contrôlé.
Le Bureau IA (AI Office) au niveau européen
Le Bureau IA de la Commission européenne est l'autorité compétente pour les modèles d'IA à usage général (GPAI) — c'est-à-dire les grands modèles de langage ou de génération de contenu mis sur le marché par des fournisseurs comme Anthropic, OpenAI ou Google. Il conduit les enquêtes directement sur ces acteurs systémiques et est seul compétent pour prononcer les sanctions les concernant. Fin juillet 2026, plus de 180 organisations avaient signé le Code de pratique sur la transparence des GPAI, dont la quasi-totalité des grands fournisseurs mondiaux.
Les autorités nationales pour les déployeurs
Pour les entreprises qui déploient ou intègrent des systèmes d'IA — la situation de la majorité des PME françaises —, les autorités nationales désignées par chaque État membre sont l'interlocuteur principal. En France, la CNIL (pour les usages impliquant des données personnelles) et l'ARCOM (pour les contenus numériques) sont les candidates les plus probables à la désignation formelle. Le décret de transposition précisant la gouvernance nationale était attendu courant 2026.
Le droit de plainte des tiers
L'AI Act prévoit explicitement la possibilité pour toute personne physique ou morale de déposer une plainte auprès de l'autorité nationale compétente. Un concurrent, un consommateur ou une association peut donc signaler une non-conformité observée. Cette mécanique rend l'application potentiellement proactive, indépendamment des contrôles initiés par les régulateurs eux-mêmes — un signal fort pour les organisations qui retardent leur mise en conformité.
Le régime de sanctions : niveaux, procédure et calendrier
Pour les violations des obligations de transparence (Article 50), le plafond de sanction fixé par le règlement est de 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé. Ce plafond s'applique par infraction constatée et par entité juridique.
La procédure contradictoire avant sanction
Avant toute sanction formelle, le règlement impose une phase contradictoire : l'entité concernée est informée des griefs retenus et dispose d'un délai pour répondre, fournir des preuves et prendre des mesures correctives. La Commission européenne a précisé que la priorité initiale de l'application serait d'inciter à la mise en conformité effective, plutôt que d'infliger des amendes immédiates — sauf en cas de récidive ou de violation manifeste et délibérée.
Les facteurs pris en compte
Le montant effectif de la sanction tient compte de la nature, de la gravité et de la durée de l'infraction, du caractère intentionnel ou négligent, et des actions prises par l'entité pour y remédier. Une organisation qui démontrera avoir pris des mesures correctives rapides après une première notification sera dans une position sensiblement plus favorable.
Le calendrier réaliste pour les PME
Aucun délai d'enquête n'est imposé par le règlement. Les premières décisions de sanction formelles pourraient prendre entre 12 et 24 mois après les premiers contrôles ou plaintes — ce qui représente une fenêtre de régularisation concrète pour les organisations qui agissent maintenant. La mise en conformité d'un chatbot ou d'un outil de génération de contenu reste accessible techniquement, notamment via un accompagnement ciblé.
Proportionnalité PME : protections réelles et leurs limites
L'AI Act a intégré dès sa conception des dispositions visant à ne pas faire peser une charge disproportionnée sur les petites structures.
Le principe de proportionnalité inscrit dans le texte
Le règlement prévoit explicitement que les autorités tiennent compte de la taille de l'entreprise pour calibrer les sanctions et les obligations documentaires. Les PME au sens européen — moins de 250 salariés et moins de 50 millions d'euros de chiffre d'affaires — bénéficient de formulaires simplifiés et d'une attention moindre des autorités dans la phase initiale, comparées aux acteurs systémiques.
Les sandbox réglementaires prévus
Les États membres ont l'obligation de mettre en place des environnements réglementaires contrôlés (sandboxes) permettant aux PME et startups de tester des systèmes d'IA innovants dans un cadre sécurisé, sans risque de sanction pendant la phase d'expérimentation. En France, ce mécanisme était en cours de structuration au premier semestre 2026 sous l'égide du ministère de l'Économie numérique.
Ce que la proportionnalité ne couvre pas
La proportionnalité ne dispense pas de l'obligation elle-même : le chatbot d'une entreprise de dix personnes doit toujours se présenter comme un système IA à ses utilisateurs. Ce qui est proportionné, c'est la sévérité de la sanction et l'attention accordée par les contrôleurs — pas l'existence de l'obligation. Pour les éditeurs qui intègrent de l'IA dans leurs produits métier, se mettre en conformité relève en grande partie de l'ajustement des processus et des interfaces automatisées déjà en place.
Ce qui reste différé : systèmes à haut risque et horizon 2027
L'entrée en vigueur du 2 août 2026 ne marque pas la fin du calendrier progressif de l'AI Act — plusieurs obligations majeures restent différées.
Ce que le Digital Omnibus a repoussé
L'amendement Digital Omnibus, adopté par le Parlement européen en mai 2026, a repoussé de plus d'un an les obligations relatives aux systèmes d'IA à haut risque listés à l'Annexe III du règlement. Sont notamment visés : les systèmes utilisés dans le recrutement, l'évaluation des candidats, l'éducation, les décisions de crédit, la gestion des infrastructures critiques et l'application des lois. Ces obligations n'entreront pas en vigueur avant mi-2027 au plus tôt.
Les obligations pour les fournisseurs de grands modèles
Les fournisseurs de modèles d'usage général à forte puissance de calcul — au-dessus du seuil de 10²⁵ FLOP d'entraînement — restent soumis à des exigences renforcées de documentation et d'évaluation des risques systémiques. Le Code de pratique volontaire que les 180 signataires ont rejoint vise à formaliser ces exigences dans un cadre contraignant d'ici fin 2026.
La prochaine étape concrète pour les PME françaises
D'ici fin 2026, les entreprises devraient cartographier les systèmes d'IA qu'elles utilisent dans des fonctions à enjeu — recrutement, scoring client, décisions automatisées —, même si les obligations formelles de ces catégories ne sont pas encore effectives. Une préparation anticipée permet d'éviter une mise à niveau contrainte en 2027, notamment pour les équipes engagées dans des projets d'outils internes sur mesure intégrant de l'IA dans des processus décisionnels. Le règlement est désormais dans sa phase opérationnelle : l'attentisme n'est plus une posture tenable.
FAQ — AI Act en vigueur depuis le 2 août 2026 : mécanisme de sanction, rôle du Bureau IA et proportionnalité PME
L'AI Act s'applique-t-il à une PME française qui utilise ChatGPT dans son service client ?
Oui. Une PME française qui intègre ChatGPT ou tout autre système IA dans son service client est considérée comme « déployeur » au sens de l'AI Act. Elle est donc soumise à l'obligation de transparence depuis le 2 août 2026 : les utilisateurs doivent être informés qu'ils interagissent avec un système automatisé. La responsabilité peut être partiellement contractualisée avec le fournisseur (OpenAI, Microsoft, etc.), mais l'obligation de s'assurer de la conformité effective incombe au déployeur.
Un assistant IA utilisé uniquement en interne par les employés est-il concerné par les obligations de l'Article 50 ?
Les obligations de l'Article 50 visent les systèmes qui interagissent directement avec des personnes physiques. Un outil interne destiné aux salariés est concerné si ces derniers ne savent pas qu'ils s'adressent à une IA. En pratique, si l'outil est clairement présenté comme un assistant IA dans son interface (nom, icône, mention explicite), l'obligation est considérée comme satisfaite. La transparence n'exige pas une déclaration à chaque message, mais une identification non ambiguë du caractère artificiel du système.
Quels sont les délais réalistes avant une première sanction pour une PME non conforme ?
Les premières décisions de sanction formelles sont attendues entre 12 et 24 mois après le début de l'application effective, soit entre début 2027 et mi-2028. La Commission a précisé que la priorité initiale est d'inciter à la conformité, pas de sanctionner immédiatement. Une PME qui régularise sa situation après un premier signalement — ou de manière proactive — bénéficiera des circonstances atténuantes prévues par le règlement.
Comment prouver la conformité si une autorité nationale nous sollicite ?
La documentation technique est la preuve centrale : captures d'écran de l'interface montrant la disclosure IA, documentation du système (nature de l'IA utilisée, cas d'usage, fournisseur), politiques internes datées et signées. L'AI Act ne prescrit pas de format standardisé pour les déployeurs PME. En pratique, un registre des outils IA utilisés, avec la date de mise en conformité et la preuve de la disclosure, constitue un dossier solide face à une demande de contrôle.
Le Digital Omnibus a-t-il allégé toutes les obligations initialement prévues dans l'AI Act ?
Non. Le Digital Omnibus a uniquement repoussé les obligations relatives aux systèmes à haut risque (Annexe III), mais n'a pas modifié les obligations de transparence de l'Article 50 — celles qui sont entrées en vigueur le 2 août 2026. Il n'a pas non plus allégé les exigences pour les fournisseurs de grands modèles d'usage général (GPAI). L'essentiel des obligations de transparence reste intact ; seule leur entrée en vigueur pour les systèmes à haut risque a été différée.