Le report de l'AI Act est réel. Votre chatbot a toujours une échéance au 2 août.

Pendant deux ans, le 2 août 2026 a été la date que tous les guides du règlement européen sur l'IA (AI Act) entouraient en rouge. C'était l'arrivée de la grosse machinerie : obligations à haut risque, évaluations de conformité, la documentation technique que personne ne voulait rédiger. Puis, le 7 mai, les législateurs européens se sont accordés pour en repousser l'essentiel.

Les gros titres soulagés se sont écrits tout seuls, et la plupart des fondateurs les ont survolés avant de passer à autre chose. Compréhensible. Et pourtant une erreur, parce que la partie de l'AI Act qui touche réellement un produit logiciel typique n'a pas bougé vers 2027. L'essentiel tombe toujours le 2 août, dans quatre semaines.

Ce qui a été reporté, ce qui ne l'a pas été, et ce qu'il vaut la peine de faire ce mois-ci.

Ce qui a réellement bougé

L'accord du 7 mai, formellement intégré au Digital Omnibus, la tentative de l'UE de simplifier son propre corpus de règles numériques, réécrit le calendrier de l'AI Act en trois endroits.

• Systèmes à haut risque autonomes (Annexe III) : recrutement et évaluation des performances, scoring de crédit, tarification du risque en assurance, biométrie, infrastructures critiques. C'était le 2 août 2026. C'est désormais le 2 décembre 2027.
• IA embarquée dans des produits réglementés (Annexe I) : dispositifs médicaux, jouets, ascenseurs, véhicules. Désormais le 2 août 2028. La définition de « composant de sécurité » a aussi été resserrée : une fonctionnalité d'IA qui se contente d'assister l'utilisateur ou d'optimiser les performances, sans créer de risque pour la santé ou la sécurité, n'entraîne plus tout le produit dans le périmètre à haut risque.
• Bacs à sable réglementaires nationaux : les États membres ont désormais jusqu'au 2 août 2027 pour les mettre en place.

Il y a aussi une clause d'antériorité qui vaut de l'argent : les systèmes déjà sur le marché européen avant ces dates restent entièrement hors du régime à haut risque, sauf modification substantielle ultérieure. Et les simplifications PME — documentation allégée et amendes proportionnées, entre autres — s'étendent désormais aux entreprises jusqu'à 750 salariés et 150 millions d'euros de chiffre d'affaires. Cela couvre presque toutes les entreprises avec lesquelles nous travaillons.

Donc si votre feuille de route comprend du recrutement assisté par IA, des décisions de crédit ou une fonction de diagnostic dans un dispositif médical, vous venez de gagner 16 à 24 mois. Cette partie du soulagement est réelle.

Ce qui tombe toujours le 2 août

L'article 50, les règles de transparence. Elles n'ont jamais fait partie de la négociation du report, et il se trouve qu'elles couvrent précisément les fonctionnalités d'IA que la plupart des produits livrent réellement. Trois obligations, en termes simples :

• Si des personnes interagissent avec un système d'IA, elles doivent le savoir. Un bot de support, un assistant de réservation, un agent commercial sur WhatsApp : si un utilisateur raisonnable peut croire qu'il parle à un humain, le produit doit dire le contraire.
• Si votre produit génère ou manipule du contenu — texte, images, audio ou vidéo — la sortie doit être marquée comme générée par IA de façon lisible par machine. C'est l'exigence de marquage, le « watermarking ».
• Les systèmes de reconnaissance des émotions et de catégorisation biométrique doivent se déclarer auprès des personnes qu'ils visent.

La seule concession : les systèmes génératifs déjà sur le marché avant le 2 août ont jusqu'au 2 décembre 2026 pour régler la question du filigrane. Tout ce qui est lancé après le 2 août doit être conforme dès le premier jour. C'est un délai de grâce de quatre mois, pas un report.

Les sanctions pour violation de l'article 50 atteignent 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu. Pas les 35 millions des gros titres ; ce palier est réservé aux pratiques interdites, en vigueur depuis février 2025 et étendues en décembre aux applications de nudification et au contenu pédopornographique généré par IA. Mais 3 % du chiffre d'affaires pour ne pas avoir étiqueté un chatbot, c'est une façon coûteuse d'économiser une ligne de texte d'interface.

La Commission a aussi publié un projet de lignes directrices et un code de bonnes pratiques sur la mise en œuvre concrète des règles de transparence. Les versions finales sont attendues d'ici quelques semaines et ne devraient guère s'écarter des projets.

Ce que cela donne pour un produit typique

Presque aucun produit n'est « un système d'IA » dans l'abstrait, donc une cartographie rapide :

• Chatbot de support ou de réservation : obligation de divulgation, 2 août. En général, une phrase honnête dans l'interface. La conformité la moins chère de toute votre année.
• Contenu généré par IA dans le produit : un rédacteur de descriptions d'annonces, un générateur d'images, des outils de textes marketing. Marquage lisible par machine, avec l'échéance du 2 décembre si vous avez lancé avant le 2 août. Surveillez le code de bonnes pratiques final pour savoir ce qui compte comme un marquage conforme.
• Fonctionnalités de recrutement, de scoring, d'assurance : décembre 2027. Mais les normes harmonisées sur lesquelles vous bâtiriez pourraient n'être finalisées que peu avant cette date — exactement ce qui s'est produit avec l'échéance d'origine. Les équipes qui attendront les normes construiront de nouveau contre la montre.
• Produits de santé : si l'IA est embarquée dans un dispositif réglementé, l'AI Act attend désormais 2028. Le MDR et les règles de la FDA, elles, n'ont pas bougé entre-temps et restent la contrainte qui s'impose.

Et une chose que le report ne met pas en pause : le RGPD. Les autorités européennes de protection des données ont déjà sanctionné des produits d'IA et bloqué certains usages de modèles. Minimisation des données, limitation des finalités et transparence sur les décisions automatisées s'appliquent aujourd'hui, à pleine puissance, aux mêmes fonctionnalités qui viennent de voir leur échéance AI Act déplacée. Un règlement reporté n'est pas un vide réglementaire.

Ce qu'il vaut la peine de faire en juillet

Pas un programme de conformité. Quatre après-midis de travail :

1. Inventoriez vos fonctionnalités d'IA selon les quatre catégories du règlement : interdites, à haut risque, transparence seule, minimales. Pour la plupart des produits, la réponse honnête est un ou deux points de transparence et rien d'autre. Écrivez-le. Un mémo de classification d'une page est la première chose que demande un régulateur — ou l'équipe achats d'un client entreprise.
2. Livrez la mention de divulgation du chatbot. Une phrase dans l'interface, en place avant le 2 août.
3. Si vous générez du contenu, choisissez dès maintenant une approche de marquage et suivez le projet de code de bonnes pratiques. Ajouter rétroactivement des métadonnées à des mois de contenu stocké, en novembre, fera considérablement plus mal.
4. Vérifiez si l'allègement étendu aux entreprises de taille intermédiaire vous couvre. Sous 750 salariés et 150 millions d'euros de chiffre d'affaires, c'est probablement le cas, et cela change à la fois votre charge documentaire et votre exposition aux amendes.

Une réserve : l'accord du 7 mai est un accord politique, pas encore une loi. Le Parlement et le Conseil devraient l'adopter formellement d'ici fin juillet, juste avant l'ancienne échéance. Les dates sont considérées comme acquises ; les petites lignes, non. Le sort de l'obligation générale de maîtrise de l'IA, par exemple, reste ouvert. Construisez sur les dates ci-dessus, et faites relire le texte final par quelqu'un quand il paraîtra au Journal officiel.