AI Act : ce qui s'applique depuis le 2 août 2026 — obligations et sanctions pour les PME des Hauts-de-France

Depuis ce dimanche 2 août 2026, l'article 50 du règlement européen sur l'intelligence artificielle (AI Act) est applicable dans les vingt-sept États membres. Concrètement : tout chatbot doit désormais indiquer à ses utilisateurs qu'ils parlent à une machine, les contenus générés ou manipulés par IA doivent embarquer un marquage détectable, les hypertrucages (« deepfakes ») et les textes d'information générés sans contrôle éditorial doivent être signalés comme tels. Les manquements sont passibles d'une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, selon La Revue du Digital. La Commission européenne obtient le même jour des pouvoirs de contrôle étendus sur les fournisseurs de grands modèles comme ChatGPT, Gemini ou Claude. Nous l'annoncions il y a huit jours : l'échéance est là, et elle concerne moins les géants de la tech que la multitude d'entreprises qui utilisent l'IA au quotidien — le commerçant d'Amiens dont le site embarque un assistant conversationnel, l'agence lilloise qui produit des visuels génératifs pour ses clients, le média local qui automatise des brèves. Mais le jour J révèle aussi un paradoxe très français : les obligations sont applicables, les sanctions prévues… et la désignation des autorités chargées de les contrôler n'est toujours pas finalisée, le volet numérique du projet de loi Ddadue voté au Sénat en février poursuivant son parcours parlementaire, comme l'a documenté Localtis.

Le 2 août 2026 en six chiffres

15 M€ ou 3 % du chiffre d'affaires mondial : amende maximale pour un manquement aux obligations de transparence de l'article 50 (35 M€ ou 7 % pour les pratiques interdites, 7,5 M€ ou 1 % pour des informations trompeuses aux autorités).
200 tokens (environ 150 mots) : seuil au-delà duquel un texte d'intérêt public généré par IA sans relecture humaine doit être signalé.
2 décembre 2026 : fin du délai de transition pour le marquage des systèmes mis sur le marché avant ce 2 août — et entrée en vigueur de deux nouvelles interdictions (« nudification » et contenus pédocriminels).
2 décembre 2027 et 2 août 2028 : échéances reportées pour les systèmes à haut risque (annexe III, puis systèmes intégrés à des produits réglementés).
17 autorités de surveillance pressenties en France, dont la CNIL sur 15 cas d'usage — une désignation toujours pas formalisée.
0 : nombre de contenus antérieurs au 2 août 2026 à étiqueter rétroactivement — le règlement ne rétroagit pas.

Ce qui est devenu obligatoire ce matin, précisément

L'article 50 organise la transparence en distinguant deux rôles. Les « fournisseurs » — ceux qui développent un système d'IA ou le commercialisent sous leur nom — doivent concevoir leurs chatbots, agents et assistants de façon que chacun soit informé, dès le début de l'échange, qu'il interagit avec une IA, sauf lorsque cela est évident. Ils doivent aussi intégrer aux contenus générés (texte, image, son, vidéo) des marques « lisibles par machine » — filigranes ou métadonnées — permettant d'en détecter l'origine artificielle, détaille La Revue du Digital. La RTBF en donne un exemple concret ce dimanche : une image générée avec Gemini embarque désormais le petit losange du logo en transparence, en bas à droite du visuel. Les « déployeurs » — les organisations qui utilisent ces systèmes dans un cadre professionnel — ont trois obligations propres : informer les personnes exposées à des outils de reconnaissance des émotions ou de catégorisation biométrique ; signaler clairement les deepfakes ; et étiqueter les textes générés ou manipulés par IA publiés « pour informer le public sur des sujets d'intérêt général ». Sur ce dernier point, les lignes directrices publiées par la Commission fixent un seuil précis, relevé par la RTBF : 200 tokens, soit environ 150 mots. En dessous, pas d'obligation ; au-dessus, le texte doit être signalé — sauf s'il a fait l'objet d'une véritable revue humaine et qu'une personne physique ou morale en assume la responsabilité éditoriale. Une simple correction orthographique ne suffit pas. Le texte de référence reste le règlement modifié, consolidé par le « Digital Omnibus sur l'IA » (règlement (UE) 2026/1744), publié au Journal officiel de l'Union le 24 juillet et entré en vigueur trois jours plus tard, rappelle BDM. La Commission a par ailleurs mis en ligne une foire aux questions dédiée à l'article 50, utile pour trancher les cas limites.

Ce que le Digital Omnibus a confirmé — et ce qu'il a reporté

Comme nous l'expliquions début juillet, le paquet de « simplification » européen a déplacé les obligations les plus lourdes sans toucher à la transparence. Les systèmes à haut risque de l'annexe III — recrutement, notation de crédit, éducation, biométrie — ne seront encadrés qu'à partir du 2 décembre 2027, et ceux intégrés à des produits déjà réglementés (dispositifs médicaux, jouets connectés) à partir du 2 août 2028. En revanche, l'article 50, le régime des modèles à usage général et les sanctions restent dus au 2 août 2026. Deux dates de repli méritent d'être notées dans les agendas régionaux. D'abord, les systèmes déjà commercialisés avant ce 2 août bénéficient d'un délai supplémentaire pour le marquage technique : jusqu'au 2 décembre 2026. Ensuite, cette même date du 2 décembre 2026 verra entrer en vigueur deux nouvelles interdictions ajoutées à l'article 5 par l'omnibus : les systèmes générant du contenu intime non consenti, dits de « nudification », et ceux générant des contenus pédocriminels. Enfin, aucun contenu produit avant ce 2 août n'a à être étiqueté rétroactivement — la Commission encourage simplement les déployeurs à le faire lorsque c'est possible.

Sanctions : trois plafonds, et une Commission qui peut désormais frapper

Le régime de sanctions s'organise en trois étages : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites ; jusqu'à 15 millions d'euros ou 3 % pour les autres manquements, dont ceux à l'article 50 ; jusqu'à 7,5 millions d'euros ou 1 % pour la communication d'informations inexactes aux autorités. Pour les fournisseurs de modèles d'IA à usage général, la période d'ajustement d'un an s'achève également ce 2 août : la Commission peut désormais leur réclamer des informations complémentaires, évaluer leurs modèles et prononcer des sanctions en cas de manquement. Faut-il s'attendre à des amendes dès lundi ? Non, et les spécialistes interrogées par la RTBF le disent sans détour. « Il y aura un délai de grâce pour mettre en place ces systèmes d'étiquetage », estime Trisha Meyer, maîtresse de conférences en gouvernance numérique à la Vrije Universiteit Brussel, qui ne s'attend pas à voir « vraiment les résultats avant la fin de cette année ». Le calendrier réel de la conformité se jouera donc entre ce 2 août et la fin de l'année — exactement la fenêtre dont disposent les entreprises régionales pour se mettre en ordre de marche.

Le paradoxe du jour J : des obligations applicables, un gendarme toujours pas installé

C'est la singularité de ce 2 août : l'article 50 s'applique, mais la France n'a toujours pas formellement désigné les autorités chargées d'en surveiller le respect. L'architecture est pourtant dessinée depuis septembre 2025 : dix-sept autorités de surveillance du marché pressenties, selon le décompte de la chaire MIAI de l'université Grenoble Alpes, avec la CNIL en tête (15 cas d'usage), la DGCCRF en coordination opérationnelle (14 cas d'usage) et l'Arcom sur les contenus (7 cas d'usage), l'ANSSI et le PEReN en appui technique. Le Sénat a voté le volet numérique du projet de loi Ddadue le 17 février 2026, en confiant à la CNIL un rôle central élargi : surveillance des pratiques interdites, contrôle des systèmes à haut risque de l'annexe III, certaines obligations de transparence sur les contenus synthétiques, et un pouvoir de sanction propre — astreintes jusqu'à 100 000 euros par jour, amendes jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires, rapporte Localtis. L'Arcom conserve une compétence propre sur la transparence des contenus générés par IA. Mais le texte devait ensuite être discuté à l'Assemblée nationale, et les sénateurs eux-mêmes ont pointé une régulation « en mode puzzle » — « illisible » avec quinze autorités, selon l'écologiste Thomas Dossus — ainsi que la question, non résolue, des moyens humains de ces régulateurs. La France n'est pas isolée : la Belgique, rapporte la RTBF ce dimanche, n'a pas davantage désigné ses autorités — l'avant-projet de loi belge ne sera soumis au gouvernement qu'après les vacances parlementaires, et le porte-parole du SPF Économie reconnaît que l'échéance initiale du 2 août 2025 « s'est révélée difficile à respecter » pour plusieurs États membres. En attendant, un canal existe : les questions et plaintes peuvent être adressées au Service Desk de la Commission, traitées par l'AI Office. Pour une PME régionale, la conclusion pratique est double : le risque de contrôle national à court terme est faible, mais l'obligation juridique, elle, est bien née ce matin — et elle s'imposera telle quelle le jour où le gendarme prendra ses fonctions.

Concrètement, pour une PME des Hauts-de-France : qui doit faire quoi

La plupart des entreprises régionales sont des déployeuses, pas des fournisseuses : elles utilisent des outils d'IA du marché sans les développer. Leur front principal est donc l'information des clients et la traçabilité de ce qu'elles publient. Le commerçant dont la boutique en ligne embarque un chatbot doit vérifier que l'assistant se présente comme une IA dès le premier message. L'agence qui livre des visuels génératifs à ses clients doit s'assurer que ses outils appliquent le marquage — et le dire dans ses livrables. Le média ou la collectivité qui automatise des contenus d'information dépassant 150 mots doit soit les étiqueter, soit documenter une vraie relecture humaine avec responsabilité éditoriale assumée. Nous détaillions trois situations types régionales la semaine dernière ; elles sont désormais des obligations, plus des anticipations. Le contexte régional rend l'exercice à la fois urgent et faisable. Urgent, parce que l'usage a explosé bien plus vite que la gouvernance : seules 16 % des entreprises françaises ont industrialisé l'IA et 75 % n'ont personne dédié à sa gouvernance, selon l'étude Kea/OpinionWay que nous analysions mi-juillet — autant dire que la conformité article 50 ne trouvera, dans la plupart des PME, aucun responsable naturel si la direction ne la porte pas. Faisable, parce que pour un déployeur, l'essentiel tient en quelques décisions d'affichage, de paramétrage et de documentation — rien de comparable au chantier « haut risque » qui attendra 2027. Et pour les entreprises dont la visibilité dépend des moteurs, ces marquages arrivent dans un écosystème déjà bousculé par les Aperçus IA de Google, activés en France fin juillet : la traçabilité des contenus devient un enjeu de confiance autant que de droit.

Cinq vérifications à faire cette semaine

Inventorier les points de contact IA visibles de vos clients (chatbot du site, standard vocal, avatar) et vérifier qu'ils annoncent clairement qu'ils ne sont pas humains, dès le début de l'échange.
Interroger vos fournisseurs d'outils génératifs : appliquent-ils le marquage lisible par machine ? Les versions que vous utilisez sont-elles à jour ? Gardez une trace écrite de leurs réponses.
Recenser les contenus d'information publiés sans relecture (newsletters automatisées, brèves, fiches générées) : au-delà d'environ 150 mots sur des sujets d'intérêt général, étiquetez ou instaurez une revue humaine documentée avec responsabilité éditoriale.
Étiqueter les hypertrucages : publicités avec avatars réalistes, voix clonées, mises en scène générées — la mention doit être claire, les exceptions (satire, fiction) restant encadrées.
Documenter votre rôle (fournisseur ou déployeur) pour chaque outil, et noter l'échéance du 2 décembre 2026 : fin de la transition de marquage pour les systèmes antérieurs au 2 août, et nouvelles interdictions.

Les limites du dispositif : un marquage contournable, une « revue humaine » floue

Le jour J n'est pas un jour de solution miracle, et les chercheuses interrogées par la RTBF posent des limites claires. « Toutes ces techniques de marquage peuvent être contournées : on peut recadrer, faire une capture d'écran, ajouter un petit peu d'humain dedans », observe Laurence Dierickx, maîtresse de conférences à l'Université libre de Bruxelles, pour qui « les fraudeurs, les vrais, ceux qui utilisent des fausses vidéos pour arnaquer les gens […] vont toujours passer entre les mailles du filet ». L'exemption de « revue humaine » pour les textes, elle, reste « assez floue » : un simple mot de relecture pourrait suffire à contourner l'obligation, s'inquiète la chercheuse. L'exemple qui ouvre l'enquête de la RTBF — trois images générées montrant Emmanuel Macron « en vacances » avec ses opposants politiques, aimées plus de 208 000 fois sur Instagram sans la moindre étiquette — illustre l'ampleur du rattrapage à opérer. Pour les PME régionales, ces limites ne changent pourtant rien au calcul. La transparence de l'article 50 n'est pas conçue pour arrêter les fraudeurs — elle établit un standard de loyauté vis-à-vis des clients, des salariés et du public, avec un avantage collatéral souligné par Trisha Meyer : « il sera beaucoup plus facile pour les vérificateurs de faits de détecter les contenus générés et manipulés par l'IA ». Une entreprise qui affiche proprement ses usages d'IA se distingue, à peu de frais, dans un environnement où, selon les mots de Laurence Dierickx, « c'est compliqué d'avoir confiance tellement on est exposé à du vrai et du faux ».

FAQ — L'AI Act au 2 août 2026

Mon site utilise un chatbot fourni par un prestataire : suis-je concerné ?

Oui, à double titre. Le fournisseur doit avoir conçu le chatbot pour qu'il s'annonce comme une IA, mais en tant que déployeur, vous devez vérifier que cette information apparaît bien sur votre site, dès le début de l'échange et de façon compréhensible. En pratique : testez votre propre chatbot aujourd'hui, et si l'annonce manque, demandez à votre prestataire d'activer ou d'ajouter la mention.

Dois-je étiqueter rétroactivement tous mes anciens contenus générés par IA ?

Non. Le règlement ne rétroagit pas : les contenus produits avant le 2 août 2026 n'ont pas à être étiquetés, même si la Commission encourage à le faire lorsque c'est possible. Par ailleurs, les systèmes d'IA mis sur le marché avant cette date disposent d'un délai supplémentaire, jusqu'au 2 décembre 2026, pour intégrer le marquage lisible par machine.

Quel est le risque réel de sanction pour une PME régionale dès maintenant ?

Le plafond prévu est de 15 millions d'euros ou 3 % du chiffre d'affaires mondial, mais la France n'a pas encore formellement installé ses autorités de surveillance, et les spécialistes anticipent un délai de grâce de fait jusqu'à la fin de l'année. Le risque immédiat est donc moins l'amende que le retard accumulé : l'obligation existe depuis ce 2 août et s'appliquera telle quelle quand le contrôle démarrera.

Une newsletter ou des brèves générées par IA doivent-elles être signalées ?

Si le texte informe le public sur des sujets d'intérêt général et dépasse environ 200 tokens (150 mots), oui — sauf s'il a fait l'objet d'une véritable revue humaine sur le fond et qu'une personne physique ou morale en assume la responsabilité éditoriale. Une correction orthographique ou de forme ne compte pas comme une revue humaine suffisante.

Et les systèmes à haut risque, comme l'IA de recrutement ou de scoring de crédit ?

Leurs obligations ont été reportées par le Digital Omnibus : 2 décembre 2027 pour les systèmes autonomes de l'annexe III (recrutement, crédit, éducation, biométrie) et 2 août 2028 pour ceux intégrés à des produits déjà réglementés. Ce report ne dispense pas de s'y préparer : évaluation des risques, qualité des données, documentation et supervision humaine demanderont bien plus qu'un trimestre de mise à niveau.

Sources