Le règlement européen sur l’intelligence artificielle (AI Act) est entré dans sa phase d’application progressive, mais le calendrier initialement prévu a subi un remaniement profond que la plupart des synthèses disponibles n’intègrent pas encore. Ce décalage modifie concrètement les échéances de conformité pour les entreprises et les administrations opérant en France.
Digital Omnibus : le calendrier réel des obligations IA après juillet 2026
Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026, a redistribué les dates d’entrée en vigueur des différentes strates de l’AI Act. Ignorer ce texte expose à deux erreurs symétriques : se croire en retard sur des obligations reportées, ou négliger celles qui s’appliquent déjà.
A voir aussi : Comment trouver une adresse postale en France et vérifier son exactitude en ligne
Les chapitres I et II, incluant l’article 4 sur la littératie IA et l’article 5 sur les pratiques d’IA interdites, sont applicables depuis le 2 février 2025. Les règles encadrant les modèles d’IA à usage général (GPAI) ainsi que le volet gouvernance et sanctions le sont depuis le 2 août 2025.
Les obligations de transparence de l’article 50 (information de l’utilisateur interagissant avec un système d’IA, signalement du contenu généré) s’appliquent à compter du 2 août 2026 et n’ont pas été repoussées par le Digital Omnibus.
A lire en complément : Les clés pour lancer et réussir son business en France en 2024
Les obligations les plus lourdes sur les systèmes à haut risque ont été décalées. Les systèmes autonomes de l’Annexe III (recrutement, scoring crédit, notation des salariés) passent au 2 décembre 2027 au lieu du 2 août 2026. Ce report dépasse la simple tolérance administrative : il traduit la difficulté technique à mettre en place les mécanismes d’évaluation de conformité dans les délais initiaux.
Pour mieux comprendre la législation sur l’intelligence artificielle en France, il faut intégrer ce nouveau calendrier comme référence opérationnelle.
Autorité de contrôle IA en France : un vide institutionnel persistant
À la mi-2026, la France n’a toujours pas officiellement désigné son autorité nationale compétente pour superviser l’application de l’AI Act. Ce retard n’est pas anodin : sans autorité identifiée, les entreprises ne disposent d’aucun interlocuteur pour les demandes de pré-conformité, les notifications d’incidents ou les questions d’interprétation des catégories de risque.
La CNIL fait figure de candidate naturelle, compte tenu de son expertise sur le RGPD et de ses travaux publiés sur l’articulation entre protection des données et systèmes d’IA. Elle a d’ailleurs produit plusieurs ressources techniques sur le sujet. Rien ne garantit toutefois que le mandat lui revienne intégralement : d’autres configurations institutionnelles restent possibles, notamment un partage de compétences entre plusieurs régulateurs sectoriels.
Ce flottement crée une insécurité juridique concrète pour les déployeurs de systèmes à haut risque. Sans lignes directrices nationales, les entreprises doivent s’appuyer sur les seuls textes européens et sur les orientations du Bureau européen de l’IA, qui ne couvrent pas les spécificités du droit français.
Articulation AI Act, RGPD et droit d’auteur français : trois régimes qui se superposent
Le 2 août 2026 marque aussi l’entrée en application des obligations de transparence qui croisent directement le droit d’auteur. L’article 53 de l’AI Act impose aux fournisseurs de modèles GPAI de publier un résumé suffisamment détaillé des données d’entraînement utilisées, y compris les contenus protégés par le droit d’auteur.
En droit français, cette exigence percute le cadre existant de la propriété intellectuelle. Les éditeurs, photographes et auteurs disposent déjà de mécanismes d’opposition à la fouille de textes et de données (text and data mining). La superposition des deux régimes pose des questions pratiques :
- Un résumé des données d’entraînement conforme à l’AI Act peut-il suffire à démontrer le respect du droit d’opposition au TDM prévu par le Code de la propriété intellectuelle ?
- Les fournisseurs de modèles GPAI entraînés sur des corpus multilingues doivent-ils adapter leur politique de transparence pays par pays, ou le cadre européen prime-t-il ?
- La responsabilité en cas de reproduction non autorisée d’une oeuvre dans une sortie générée par IA incombe-t-elle au fournisseur du modèle, au déployeur, ou aux deux ?
Nous recommandons aux entreprises utilisant des modèles génératifs de documenter dès maintenant leur chaîne d’approvisionnement en données d’entraînement, même si l’échéance de conformité complète pour les systèmes à haut risque a été repoussée.
Obligations de transparence IA applicables dès août 2026 : périmètre concret
L’article 50 de l’AI Act, applicable depuis le 2 août 2026, impose trois catégories d’obligations qui touchent directement les entreprises françaises déployant des systèmes d’IA en contact avec le public :
- Signalement d’interaction avec une IA : tout utilisateur doit être informé lorsqu’il interagit avec un système d’IA, sauf si cela est évident au vu des circonstances d’utilisation.
- Marquage du contenu synthétique : les images, textes, fichiers audio ou vidéos générés ou manipulés par IA doivent être identifiés comme tels de manière lisible par machine.
- Information sur les décisions automatisées : lorsqu’un système d’IA produit des décisions affectant des personnes physiques, le déployeur doit fournir des explications sur la logique du système et ses principales variables.
Ces obligations ne se substituent pas aux exigences du RGPD sur les décisions individuelles automatisées (article 22). Elles s’y ajoutent. Un chatbot de service client, par exemple, doit à la fois signaler sa nature artificielle au titre de l’AI Act et respecter les droits d’accès et de rectification au titre du RGPD.
L’absence d’autorité nationale désignée complique le contrôle de ces obligations, mais ne dispense pas de leur respect. Les sanctions prévues par l’AI Act pour non-conformité aux obligations de transparence peuvent atteindre des montants significatifs, proportionnels au chiffre d’affaires mondial du contrevenant.
Le cadre juridique de l’IA en France se construit par strates successives, entre règlement européen, droit national de la propriété intellectuelle et protection des données. Les entreprises qui attendent la désignation d’une autorité de contrôle pour agir accumulent un retard de conformité difficile à rattraper, en particulier sur la documentation des données d’entraînement et les mécanismes de transparence déjà exigibles.