Le 2 août 2026, une nouvelle vague d’obligations issues du règlement européen sur l’intelligence artificielle est entrée en application : transparence des contenus générés par IA, formation obligatoire des équipes, et activation des pouvoirs de sanction des autorités nationales. Dans le même temps, le règlement Digital Omnibus, entré en vigueur le 27 juillet 2026, a reporté d’un an les obligations les plus lourdes, celles applicables aux systèmes d’IA à haut risque. Ce guide fait le point sur ce qui s’applique réellement aux entreprises aujourd’hui, ce qui est reporté, et comment se mettre en conformité.
Qu’est-ce que l’IA Act et comment s’applique-t-il ?
L’IA Act est le règlement européen encadrant le développement, la mise sur le marché et l’utilisation des systèmes d’intelligence artificielle au sein de l’Union européenne. Entré en vigueur le 1er août 2024, il prévoit une application progressive et échelonnée sur plusieurs années plutôt qu’une entrée en vigueur unique, afin de laisser aux entreprises le temps de s’adapter à des obligations dont l’intensité varie selon le niveau de risque du système d’IA concerné.
Les quatre niveaux de risque de l’IA Act
| Niveau de risque | Exemples | Traitement |
| Inacceptable | Notation sociale, manipulation comportementale | Interdit depuis février 2025 |
| Haut risque | RH, crédit, santé, éducation, justice, biométrie | Obligations lourdes, reportées à décembre 2027 |
| Risque limité | Chatbots, deepfakes, contenus générés | Obligations de transparence depuis août 2026 |
| Risque minimal | Filtres anti-spam, jeux vidéo | Aucune obligation spécifique |
Ce qui change concrètement le 2 août 2026
Trois évolutions majeures sont entrées en application à cette date. D’abord, l’obligation de transparence sur les contenus générés ou manipulés par IA : les fournisseurs de systèmes générant des contenus synthétiques audio, image, vidéo ou texte doivent s’assurer que ces contenus sont marqués dans un format lisible et détectable comme générés artificiellement, et toute entreprise utilisant un chatbot ou un deepfake doit en informer clairement les personnes concernées.
Ensuite, les autorités nationales de contrôle disposent désormais de pouvoirs de sanction pleinement activés sur ce périmètre. Enfin, l’obligation de former les équipes à la littératie IA, en vigueur depuis février 2025 mais restée largement déclarative jusqu’ici, devient pleinement opposable : son absence constitue désormais un manquement pouvant être sanctionné. La Commission européenne précise qu’une simple notice d’utilisation ne suffit pas, et attend une formation interactive, adaptée au profil de chaque collaborateur exposé à des outils d’IA.
Le report des obligations à haut risque : le Digital Omnibus
Le règlement dit Digital Omnibus, entré en vigueur le 27 juillet 2026, quelques jours seulement avant l’échéance initiale, a reporté du 2 août 2026 au 2 décembre 2027 les obligations relatives aux systèmes d’IA à haut risque énumérés à l’annexe III du texte : ressources humaines, octroi de crédit, santé, éducation, justice et systèmes biométriques. Ce report répond aux difficultés pratiques rencontrées par de nombreuses entreprises pour finaliser à temps la documentation technique, la supervision humaine et la traçabilité exigées pour ces usages les plus sensibles.
| À ne pas confondre Le report ne concerne que les systèmes d’IA à haut risque de l’annexe III. Les obligations de transparence sur les contenus générés par IA et de formation des équipes, elles, s’appliquent bien depuis le 2 août 2026, sans report. |
Quelles sanctions en cas de non-conformité ?
| Type de manquement | Sanction maximale |
| Pratiques interdites (article 5) | 35 M€ ou 7 % du chiffre d’affaires mondial |
| Autres obligations du règlement | 15 M€ ou 3 % du chiffre d’affaires mondial |
| Informations inexactes aux autorités | 7,5 M€ ou 1 % du chiffre d’affaires mondial |
Ces sanctions, applicables depuis le 2 août 2025 pour les obligations déjà en vigueur, prévoient un plafond adapté pour les PME, calculé sur le montant le plus bas entre les deux bornes indiquées, afin de proportionner la sanction à la taille de l’entreprise concernée.
Qui contrôle l’application de l’IA Act en France ?
La CNIL a été désignée autorité chef de file pour l’application de l’IA Act en France, chargée de la coordination générale des saisines et des sanctions horizontales. Plusieurs autorités sectorielles interviennent en complément selon le domaine d’usage : l’ARCOM pour les usages audiovisuels et les contenus en ligne, l’ANSM pour les dispositifs médicaux intégrant de l’IA, l’ACPR pour le secteur banque-assurance, l’AMF pour les marchés financiers, et la DGCCRF pour les pratiques commerciales et la protection du consommateur.
Comment une entreprise doit-elle se mettre en conformité ?
- Cartographier les usages d’IA déjà en place : chatbots, outils de génération de contenu, solutions RH ou de scoring, afin d’identifier leur niveau de risque au sens du règlement.
- Mettre en place la transparence requise : informer systématiquement les utilisateurs lorsqu’ils interagissent avec un système d’IA ou consultent un contenu généré artificiellement.
- Former les équipes exposées à l’IA : organiser une formation interactive et adaptée à chaque profil de poste, financable via les OPCO, plutôt qu’une simple diffusion de documentation.
- Anticiper les obligations à haut risque malgré le report : les entreprises utilisant l’IA en RH, crédit ou santé ont intérêt à engager dès maintenant la documentation et la supervision humaine exigées pour l’échéance de décembre 2027.
FAQ : IA Act et entreprises en 2026
Depuis quand l’IA Act s’applique-t-il aux entreprises européennes ?
Le règlement est entré en vigueur le 1er août 2024, avec une application progressive : interdiction des pratiques inacceptables depuis février 2025, obligations pour les modèles d’IA à usage général depuis août 2025, et nouvelles obligations de transparence depuis le 2 août 2026.
Qu’est-ce qui a changé concrètement le 2 août 2026 ?
Trois éléments principaux : l’obligation de signaler les contenus générés ou manipulés par IA (deepfakes, chatbots), l’activation des pouvoirs de sanction des autorités nationales, et le contrôle effectif de l’obligation de former les équipes à la littératie IA.
Les obligations pour l’IA à haut risque s’appliquent-elles déjà ?
Non. Le règlement dit Digital Omnibus, entré en vigueur le 27 juillet 2026, a reporté les obligations relatives aux systèmes d’IA à haut risque de l’annexe III (RH, crédit, santé, éducation, justice, biométrie) du 2 août 2026 au 2 décembre 2027.
Quelles sont les sanctions prévues par l’IA Act ?
Trois paliers d’amendes coexistent : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions d’euros ou 3 % pour les autres manquements, et 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes aux autorités. Les PME bénéficient d’un plafond adapté, calculé sur le montant le plus bas.
Quelle autorité contrôle l’application de l’IA Act en France ?
La CNIL est l’autorité chef de file en France, chargée de la coordination générale et des sanctions horizontales. Plusieurs autorités sectorielles interviennent en complément : l’ARCOM pour l’audiovisuel, l’ACPR pour la banque-assurance, l’AMF pour les marchés financiers et la DGCCRF pour la protection des consommateurs.
La formation des équipes à l’IA est-elle vraiment obligatoire ?
Oui, cette obligation de littératie IA existe depuis février 2025, mais son absence est devenue pleinement opposable devant les autorités de contrôle depuis le 2 août 2026. Une simple notice d’utilisation ne suffit pas : la Commission européenne attend une formation interactive, adaptée au profil de chaque collaborateur.
