Pendant deux ans, le 2 août 2026 a été annoncé comme la grande bascule de l'AI Act, le règlement européen sur l'intelligence artificielle. La date est passée. Ce qui s'applique depuis n'est ni le raz-de-marée annoncé ni un non-événement, et six jours avant l'échéance Bruxelles a déplacé une partie du calendrier.
Un règlement, puis un second qui le modifie
Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024, mais il ne s'applique pas d'un bloc. Ses obligations se déclenchent par paliers successifs, jusqu'en 2030 pour les derniers. C'est ce séquencement qui explique qu'on parle de ce texte depuis deux ans sans que rien n'ait vraiment bougé pour l'immense majorité des entreprises.
Le 24 juillet 2026, un second texte a été publié au Journal officiel de l'Union : le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA ». Signé le 8 juillet, entré en vigueur le 27 juillet, il modifie l'AI Act six jours avant l'échéance que tout le monde attendait.
Attention au contresens : ce n'est pas un report général. C'est un décalage ciblé sur le volet le plus lourd du règlement, celui des systèmes dits à haut risque, assorti de quelques allègements pour les petites structures et d'une nouvelle interdiction. Le motif avancé par la Commission tient en une phrase : les outils qui devaient accompagner la mise en conformité, à commencer par les normes techniques harmonisées, n'étaient pas prêts.
Ce qui était déjà en vigueur avant août
Deux paliers étaient passés depuis longtemps, et ils sont régulièrement confondus avec celui d'août 2026.
Depuis le 2 février 2025 s'appliquent les pratiques interdites de l'article 5 et l'obligation de littératie en IA de l'article 4. Les interdictions visent des usages nommément désignés, pas l'IA en général : notation sociale généralisée, manipulation exploitant une vulnérabilité, reconnaissance des émotions sur le lieu de travail et dans l'enseignement, moisson indiscriminée d'images faciales. Une PME qui n'a jamais envisagé aucune de ces choses n'a rien à y faire.
Depuis le 2 août 2025 s'appliquent les règles de gouvernance et les obligations des fournisseurs de modèles d'IA à usage général. Ce palier vise ceux qui entraînent et diffusent les grands modèles. Sauf à construire le vôtre, il ne vous concerne pas directement : c'est votre prestataire qu'il attrape, pas vous.
Ce qui bascule le 2 août 2026
Trois choses, et une seule touche vraiment le terrain.
La transparence, article 50. C'est le cœur de l'échéance, et c'est la disposition la plus large du règlement, parce qu'elle s'applique quel que soit le niveau de risque du système. Un agent conversationnel de service client n'est pas un système à haut risque : il tombe quand même sous l'article 50. Le principe se résume ainsi : une personne doit savoir qu'elle parle à une machine, et un contenu fabriqué par une machine doit être identifiable comme tel.
Le contrôle devient effectif. Le 31 juillet, la Commission a annoncé que le Bureau européen de l'IA et les autorités nationales commençaient à faire appliquer le règlement le 2 août. Jusque-là, les obligations existaient sur le papier sans architecture de supervision réellement en marche.
La littératie en IA reste due. L'obligation n'est pas nouvelle, elle date de février 2025, et l'échéance d'août ne la crée pas : elle la place sous une supervision désormais active. Le texte demande de prendre des mesures pour que les personnes qui manipulent ces outils sachent ce qu'elles font, pas de garantir un niveau de compétence individuel. En clair, une trace documentée de vos actions de sensibilisation vaut mieux qu'un discours sur la culture d'entreprise. Les commentaires divergent sur le point de savoir si l'omnibus en a retouché la formulation ; le fond, lui, ne bouge pas.
Pour accompagner tout cela, la Commission a publié le 20 juillet des lignes directrices sur l'application de l'article 50, et le Bureau de l'IA anime un code de bonnes pratiques sur la transparence des contenus générés par IA, que plus de 180 organisations avaient signé fin juillet. L'adhésion est volontaire, et les lignes directrices ne sont pas contraignantes : elles éclairent le texte, elles ne le remplacent pas.
Le calendrier, en un tableau
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Pratiques interdites (art. 5) et littératie en IA (art. 4) |
| 2 août 2025 | Gouvernance et obligations des fournisseurs de modèles à usage général |
| 2 août 2026 | Transparence (art. 50) ; mise en œuvre par le Bureau de l'IA et les autorités nationales |
| 2 décembre 2026 | Marquage lisible par machine pour les systèmes génératifs déjà sur le marché avant août 2026 ; nouvelles interdictions ajoutées par l'omnibus |
| 2 août 2027 | Bacs à sable réglementaires nationaux |
| 2 décembre 2027 | Obligations « haut risque » des systèmes autonomes (annexe III), initialement prévues en août 2026 |
| 2 août 2028 | Obligations « haut risque » des systèmes intégrés à des produits réglementés (annexe I) |
La ligne à retenir est l'avant-dernière. Le régime haut risque, celui qui impose système de gestion des risques, documentation technique, gouvernance des données, journalisation et surveillance humaine, ne s'applique aux systèmes autonomes qu'à partir du 2 décembre 2027. C'est ce bloc-là qui faisait peur, et c'est ce bloc-là qui a été repoussé.
Fournisseur ou déployeur : toute la différence est là
Le règlement distingue deux rôles, et confondre les deux est la source d'à peu près toutes les paniques inutiles.
Le fournisseur développe un système d'IA et le met sur le marché sous son nom. Le déployeur l'utilise sous sa propre autorité, dans un cadre professionnel. Si votre entreprise utilise un assistant conversationnel du commerce, un outil de génération d'images, un logiciel de tri de CV acheté sur étagère, vous êtes déployeur. Y compris quand l'outil est en ligne, en abonnement, et que vous n'avez rien installé.
Les obligations du déployeur sont sans commune mesure avec celles du fournisseur. Concrètement, au 2 août 2026, elles tiennent en trois points :
- Les hypertrucages. Si vous publiez une image, un son ou une vidéo générés ou manipulés par IA qui ressemblent à des personnes ou des événements réels, vous devez l'indiquer, clairement, dès la première exposition. Nos sept indices pour repérer un deepfake montrent bien pourquoi cette obligation existe : quand la détection à l'œil devient difficile, l'étiquetage est ce qui reste.
- Les textes d'intérêt public. Un texte généré par IA, publié pour informer le public sur des sujets d'intérêt général, doit être signalé comme tel. L'exception vise le contenu passé par une vraie relecture humaine engageant une responsabilité éditoriale, pas une correction orthographique.
- Les systèmes biométriques. Si vous exposez des personnes à de la reconnaissance des émotions ou de la catégorisation biométrique dans un cadre autorisé, vous devez les en informer.
S'y ajoute un réflexe de bon sens qui n'est pas une obligation du déployeur mais qui vous protège : vérifier que les outils que vous achetez respectent, eux, leurs propres obligations. Le fournisseur doit concevoir son système pour que l'utilisateur sache qu'il parle à une IA, et marquer ses productions dans un format lisible par machine. Ce point figure désormais dans les contrats sérieux, au même titre que le plafond de responsabilité du prestataire, dont nous détaillons les pièges dans notre article sur qui est responsable quand une IA se trompe.
💡 Par où commencer, sans juriste
La première étape n'est pas juridique, elle est documentaire : lister les outils d'IA réellement utilisés dans l'entreprise, service par service, y compris ceux que personne n'a validés. Cet inventaire suffit à savoir si l'article 50 vous concerne. NET&PRO le conduit avec vous dans le cadre d'un audit de vos usages numériques.
Une entreprise marocaine est-elle concernée ?
Oui, dans deux cas de figure, et c'est écrit noir sur blanc à l'article 2 du règlement.
Le premier : vous mettez un système d'IA sur le marché de l'Union ou vous l'y mettez en service. Le lieu d'établissement du fournisseur n'entre pas en ligne de compte.
Le second, plus large et plus souvent ignoré : vous êtes fournisseur ou déployeur établi dans un pays tiers, mais la sortie produite par le système est utilisée dans l'Union. Une agence casablancaise qui génère des visuels pour un annonceur français, un éditeur marocain dont l'outil sert des clients européens, un centre de relation client dont l'agent conversationnel répond à des consommateurs en Europe : le règlement s'applique. Le critère n'est pas le passeport de l'entreprise, c'est la destination de ce qu'elle produit.
Le Maroc, lui, n'a pas de loi dédiée à l'intelligence artificielle. Le socle applicable reste la loi 09-08 sur la protection des données personnelles et le travail de cadrage de la CNDP. Pour une entreprise tournée vers l'export, la conformité européenne devient donc, de fait, la norme de référence, exactement comme le RGPD l'est devenu pour les données. C'est un argument commercial autant qu'une contrainte : nous en avions posé les bases dans notre guide sur l'IA en PME marocaine, par où commencer.
Les sanctions : les bons chiffres, au bon endroit
Le chiffre de 35 millions d'euros ou 7 % du chiffre d'affaires mondial circule beaucoup. Il est exact, mais il ne concerne que les pratiques interdites de l'article 5, c'est-à-dire des usages qu'une PME ordinaire ne pratique pas.
Le manquement aux obligations de transparence relève d'un palier inférieur : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Un troisième palier, à 7,5 millions ou 1 %, sanctionne les informations inexactes fournies aux autorités. Ces trois paliers figurent à l'article 99 du règlement (UE) 2024/1689, version consolidée : c'est la version à consulter plutôt que le texte d'origine, puisque le règlement a déjà été modifié depuis sa publication au Journal officiel du 12 juillet 2024.
Une précision qui change tout pour les petites structures : lorsque l'entreprise est une PME ou une jeune pousse, c'est le montant le plus bas des deux qui plafonne l'amende, et non le plus élevé. Le règlement a prévu la disproportion.
Reste la réalité du terrain. Les États membres devaient désigner leurs autorités de surveillance du marché pour le 2 août 2025 ; beaucoup ne l'avaient pas fait. Une obligation applicable dont l'autorité de contrôle n'existe pas encore reste une obligation, mais le calendrier réel des contrôles sera probablement plus lent que celui du texte.
Ce que cet article n'est pas
Un avis juridique. Nous ne sommes pas juristes, et l'AI Act est un texte de 113 articles et 13 annexes, désormais modifié par un second règlement. Les nuances de qualification, en particulier la frontière entre un usage courant et un usage à haut risque au sens de l'annexe III, se tranchent sur pièces et pas dans un article de blog.
Ce que nous pouvons dire tient en trois lignes. La plupart des PME sont déployeurs et non fournisseurs. Leurs obligations au 2 août 2026 sont réelles mais limitées, et se ramènent à de la transparence et à de la formation. Le volet lourd du règlement a été repoussé de seize mois, ce qui laisse le temps de faire les choses dans l'ordre, en commençant par savoir ce qu'on utilise.
Pour le reste, le texte officiel et les lignes directrices de la Commission sont publics, gratuits, et bien plus fiables que la moitié des synthèses qui circulent depuis quinze jours.
