l’AI Act fait encore parler de lui. Dans le cadre de la réforme du droit européen du numérique, le Parlement européen, le Conseil et la Commission ne sont pas parvenu à un accord. Qu’est ce qui va changer ?
Ce qui s’est passé à Bruxelles
Les trois institutions n’étaient pourtant pas loin d’un accord. Sur la table : le report des obligations pour les systèmes d’IA à haut risque relevant de l’Annexe III (biométrie, recrutement, éducation, scoring de crédit) au 2 décembre 2027, et ceux de l’Annexe I (IA intégrée dans des produits réglementés comme les dispositifs médicaux ou les machines industrielles) au 2 août 2028.
Le point de blocage : l’articulation entre l’AI Act et les législations sectorielles existantes. Faut-il soumettre un système d’IA embarqué dans un dispositif médical à une évaluation cumulative AI Act et sectorielle, ou le faire basculer vers un régime purement sectoriel ? Cette question technique a suffi à faire capoter l’ensemble de la négociation.
Un nouveau trilogue est programmé autour du 13 mai 2026. Sans publication au Journal officiel avant le 2 août 2026, les obligations originales s’appliquent dans leur version intégrale, sans aucun des reports prévus.
Ce que l’AI Act impose dès le 2 août 2026
L’erreur la plus répandue que nous observons dans notre cabinet : confondre le report éventuel des obligations pour les systèmes à haut risque avec une pause générale. Certaines obligations sont déjà applicables ou entrent en vigueur le 2 août 2026, quoi qu’il arrive.
L’Article 50, obligations de transparence, est la première ligne de conformité pour toute entreprise qui déploie un chatbot, un assistant virtuel ou un système de génération de contenu. Concrètement :
- Tout chatbot doit informer l’utilisateur qu’il interagit avec une IA, dès le premier message, pas dans les conditions générales
- Le contenu généré par IA (deepfakes, images, textes destinés à informer le public) doit être explicitement marqué comme tel
- Les systèmes de reconnaissance d’émotions ou de catégorisation biométrique doivent notifier les personnes concernées
Dans nos audits de chatbots déployés en e-commerce, le retard est surtout opérationnel : peu de logs exploitables, peu de documentation de la supervision humaine, et des interfaces qui ne signalent pas clairement la nature de l’IA. L’Article 50 est déjà là, et il concerne des dizaines de milliers de PME françaises.
Le RGPD n’a pas attendu l’AI Act pour s’appliquer
L’arrêt SCHUFA de la CJUE (C-634/21, 7 décembre 2023) a définitivement tranché : l’article 22 du RGPD pose une interdiction de principe des décisions fondées exclusivement sur un traitement automatisé à effets significatifs. Le scoring de crédit, le tri de CV par algorithme, la modération automatisée de contenu : ces usages sont déjà dans le viseur des autorités de contrôle, sans attendre que l’AI Act soit pleinement applicable.
Les trois exceptions permettant de déroger à cette interdiction sont strictement encadrées :
- nécessité contractuelle,
- autorisation légale
- ou consentement explicite.
Hors de ces cas, le système est illicite aujourd’hui.
| Ce que dit la CNIL en 2026 La CNIL ne joue pas un rôle de spectateur. Dans son programme de travail 2026, elle est explicite : elle se prépare à être désignée autorité de surveillance de marché au titre de l’AI Act, en plus de ses fonctions de protection des données. Concrètement, elle pourra contrôler simultanément le respect du RGPD et des obligations de l’AI Act chez un même opérateur. En avril 2026, la CNIL a également finalisé ses recommandations sur le développement des systèmes d’IA. Sa position est claire : lorsque des données personnelles sont impliquées, le RGPD et l’AI Act s’appliquent tous les deux, simultanément. Il n’y a pas de choix entre les deux textes. Elle a par ailleurs publié un outil dédié à la traçabilité des modèles d’IA en février 2026, signal fort que la documentation de vos systèmes sera un axe de contrôle prioritaire. Les PME qui ne tiennent pas de registre de leurs systèmes IA s’exposent à un double risque : RGPD et AI Act, contrôlés par la même autorité. |
Pourquoi attendre est la pire stratégie ?
Le report éventuel donne l’illusion d’une marge de manœuvre. C’est une erreur d’analyse.
- Les sanctions sont réelles. L’AI Act prévoit des amendes jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires mondial pour les manquements les plus graves
- Les obligations de transparence (Art. 50) et de traçabilité s’appliquent au 2 août 2026, indépendamment de tout accord sur le Digital Omnibus
- Le RGPD, lui, s’applique déjà. L’arrêt SCHUFA crée un risque juridique immédiat pour tout système prenant des décisions automatisées affectant des droits
- La mise en conformité prend du temps. Inventaire des systèmes IA, classification par niveau de risque, documentation, gouvernance : six mois, c’est court
Sur le terrain, nous voyons encore très peu d’entreprises qui anticipent concrètement l’échéance d’août 2026. La majorité attend un hypothétique report, alors que les obligations de traçabilité sont déjà opérationnelles. Comme on dit : mieux vaut prévenir que guérir.
Ce que vous devez faire avant le 2 août 2026 :
- Inventoriez tous vos systèmes IA : chatbots, outils de recrutement, scoring, outils de génération de contenu, systèmes de recommandation
- Classifiez leur niveau de risque selon les annexes de l’AI Act (risque minimal, limité, haut risque, risque inacceptable)
- Vérifiez la conformité Art. 50 : vos chatbots informent-ils clairement les utilisateurs dès le premier échange ?
- Auditez vos traitements automatisés au regard de l’article 22 du RGPD et de l’arrêt SCHUFA
- Documentez : logs, supervision humaine tracée, registre de traitement des systèmes IA
Ne laissez pas l’incertitude législative devenir votre risque opérationnel. Que le trilogue du 13 mai aboutisse ou non, vos obligations de transparence et de traçabilité sont actives dans moins de trois mois.
Chez Cyberstrat, nous accompagnons les dirigeants, DSI et DAF de PME françaises dans leur mise en conformité AI Act : audit de vos systèmes IA, classification des risques, documentation et gouvernance. Découvrez notre accompagnement AI Act et prenez rendez-vous pour un premier échange sans engagement.
