L'AI Act européen : l'échéance du 2 août n'a pas bougé

Version 1.0 · Publié le 2026-07-06

Si vous exploitez une IA en contact avec vos clients en Europe, les gros titres du mois écoulé vous ont rendu un mauvais service, en silence. Le Digital Omnibus a été adopté, les mots « report » et « délai » ont beaucoup circulé, et en chemin, de nombreuses équipes ont classé l’AI Act européen dans la case « problème de l’année prochaine ». Pour la plupart des entreprises qui déploient de l’IA face à leurs clients, c’est la mauvaise conclusion.

Ce qui a bougé, c’est le régime applicable au risque élevé. Ce qui n’a pas bougé, c’est l’article 50, le chapitre sur la transparence, et c’est justement la partie qui concerne presque tous les déploiements d’IA en contact avec les clients. À la fin de cet article, vous saurez exactement quelles dates ont été repoussées, laquelle s’applique toujours le 2 août 2026, et quoi demander à votre fournisseur d’IA avant cette date.

Ce que l’Omnibus a vraiment changé

Le Digital Omnibus est bien réel, et le report aussi. Le Parlement européen l’a approuvé le 16 juin 2026, et le Conseil a donné son feu vert définitif le 29 juin. Il entre en vigueur dès sa publication au Journal officiel, attendue avant le 2 août.

Les dates repoussées sont celles du risque élevé. Les obligations pour les systèmes autonomes à haut risque relevant de l’annexe III passent au 2 décembre 2027, et pour l’IA intégrée à des produits réglementés relevant de l’annexe I, au 2 août 2028, selon l’analyse de l’accord par Gibson Dunn. Un point de transparence a également obtenu un peu de répit : les systèmes d’IA générative déjà sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour se conformer à l’exigence de marquage lisible par machine du contenu généré par IA, une obligation qui incombe au fournisseur.

C’est là toute l’étendue de l’assouplissement. Tout le reste de l’article 50 reste exactement en place.

L’échéance qui n’a pas bougé

Dès le 2 août 2026, l’article 50 de l’AI Act européen s’applique aussi bien aux fournisseurs qu’aux déployeurs, et il ne se préoccupe pas de savoir si votre IA relève du risque élevé. Il couvre quatre situations : l’IA qui interagit directement avec des personnes, l’IA qui génère du contenu synthétique, la reconnaissance d’émotions ou la catégorisation biométrique, et les deepfakes ou textes générés par IA sur des sujets d’intérêt public.

Pour une IA en contact avec les clients, c’est la première situation qui pèse le plus. Tout système destiné à interagir avec des personnes doit être conçu pour que les utilisateurs sachent qu’ils s’adressent à une IA, avec une information claire dès le tout début de l’interaction. Une mention perdue dans le pied de page ou les conditions générales ne suffit pas.

Il existe une exception lorsque la nature IA du système est évidente pour une personne raisonnablement informée, mais les lignes directrices provisoires de la Commission sur l’Article 50 indiquent que cette exception doit être interprétée de façon restrictive, et déconseillent de s’y appuyer. Si vos clients incluent des utilisateurs non spécialistes plutôt que des professionnels du logiciel, partez du principe que l’obligation de déclaration s’applique. Cette hypothèse vous coûte une décision de conception ; l’hypothèse inverse pourrait vous coûter un contentieux avec le régulateur.

Déployeur n’est pas un rôle de spectateur

Voici la distinction que les gros titres ont laissée de côté : selon l’AI Act, l’entreprise qui construit le système d’IA est le fournisseur, et celle qui le met devant ses propres clients est le déployeur. Si vous intégrez un agent IA dans votre produit ou votre portail, ce déployeur, c’est vous. Le report a déplacé les obligations des déployeurs pour les systèmes à haut risque, pas les obligations de transparence qui accompagnent l’IA en contact avec les clients.

Concrètement, les déployeurs doivent informer les personnes lorsque la reconnaissance d’émotions ou la catégorisation biométrique entrent en jeu, et doivent signaler les deepfakes et les textes générés par IA publiés pour informer le public. Tout aussi concrètement : l’obligation de déclaration pour l’IA interactive est conçue dans le produit par le fournisseur, mais c’est vous qui l’activez et la configurez dans votre déploiement. Un fournisseur peut vous livrer une fonctionnalité conforme ; seul vous pouvez l’activer.

Et n’oubliez pas non plus l’obligation déjà en vigueur : la culture IA prévue à l’article 4 s’applique depuis février 2025. Vos équipes qui utilisent l’IA doivent savoir ce qu’elle fait et où se situent ses limites, une responsabilité que les deux parties partagent.

La checklist de juillet

La bonne nouvelle, c’est que juillet vous laisse juste assez de temps, à condition d’en faire une checklist plutôt qu’un compte à rebours. Voici la version que nous suivrions :

• Cartographiez votre exposition à l’article 50. Listez chaque point de contact IA que rencontrent vos clients : agent, recherche, contenu d’aide généré. Pour chacun, notez laquelle des quatre situations de l’article 50 s’applique.

• Vérifiez vous-même la déclaration, à l’écran. Ouvrez votre IA client comme le ferait un client. Si elle ne précise pas qu’il s’agit d’une IA avant le début de la conversation, c’est le premier point à corriger.

• Posez quatre questions à votre fournisseur. Le produit intègre-t-il nativement la fonctionnalité de déclaration exigée par l’article 50, et est-elle activée dans votre déploiement ? Les résultats de l’IA sont-ils marqués comme générés par IA de façon lisible par machine, ou existe-t-il un plan daté pour respecter l’échéance de marquage du 2 décembre ? Pouvez-vous exporter les journaux par interaction ? Le fournisseur partage-t-il la documentation du modèle dont vous avez besoin en tant que déployeur ?

• Renseignez-vous cette semaine sur le Code de bonnes pratiques. Le Code de bonnes pratiques sur la transparence du contenu généré par IA de la Commission est volontaire, mais le signer entraîne une présomption de conformité avec les obligations de marquage et d’étiquetage qu’il couvre. Les fournisseurs qui veulent figurer parmi les premiers signataires doivent se déclarer avant le 22 juillet 2026, 18h00 CEST. Que votre fournisseur signe ou non vous apprend quelque chose, dans un cas comme dans l’autre.

• Mettez la répartition des rôles par écrit. Fournisseur et déployeur ont chacun leurs devoirs. Si votre fournisseur ne peut pas vous montrer un document qui répartit ces deux rôles, vous portez les deux jeux d’obligations par défaut.

Comment UNLESS gère sa moitié

Autant être clairs sur notre propre position, puisque nous sommes du côté fournisseur de cette répartition. UNLESS intègre la fonctionnalité de déclaration de l’article 50 à l’Agent Client, fournit les moyens techniques pour marquer le contenu généré par IA, et conserve une traçabilité d’audit par décision, avec horodatage, cheminement décisionnel, modèle utilisé et sources citées, qu’un DPO ou un auditeur peut lire et exporter.

La répartition des rôles est écrite, pas sous-entendue : Unless agit comme fournisseur, notre client comme déployeur, et l’annexe de conformité détaille qui fait quoi. C’est la portée honnête de toute promesse de fournisseur sur ce terrain. Un fournisseur peut vous simplifier le 2 août ; aucun fournisseur ne peut le faire disparaître pour vous.

L’échéance qui compte n’a jamais été celle des gros titres. Passez la checklist ce mois-ci, mettez par écrit les réponses de votre fournisseur, et le 2 août devient un mardi comme un autre.