Le règlement européen sur l’intelligence artificielle (AI Act) franchira une nouvelle étape le 2 août prochain, avec l’entrée en application des obligations de transparence prévues à l’article 50. Chatbots, contenus générés par IA, deepfakes et fonctionnalités intégrées aux outils RH, marketing ou métiers : de nombreuses entreprises doivent désormais examiner leurs usages, y compris celles qui pensaient être épargnées par le report des règles sur l’IA “à haut risque”.

Article publié le 29 juillet 2026

1. L’article 50 de l’AI Act, qui impose des obligations de transparence sur les contenus et interactions générés ou modifiés par IA, deviendra applicable à partir du 2 août prochain.
2. Le report d’une partie des règles sur les systèmes dits à haut risque (2027-2028) ne concerne pas la transparence, ni les pratiques interdites, ni la culture IA : ces obligations restent d’actualité.
3. Le risque principal ne vient pas des grands projets IA officiels, mais de l’IA invisible (Shadow AI) : outils SaaS, options activées par des éditeurs, usages non cartographiés.
4. La première action concrète recommandée est de constituer un registre des usages IA. La CNIL recommande également aux organisations d’encadrer les usages de l’IA générative par des politiques ou des chartes internes.

Plus de transparence

Entré en vigueur le 1^er août 2024, l’AI Act s’applique par étapes. Les interdictions de certaines pratiques et l’obligation de “culture IA” sont effectives depuis février 2025, alors que la gouvernance des modèles à usage général l’est depuis août 2025. Le 2 août prochain marquera une nouvelle étape avec l’entrée en application de nombreuses dispositions, dont l’article 50 sur la transparence.

Concrètement, une entreprise doit désormais pouvoir répondre à des questions simples : un client est-il informé qu’il échange avec un chatbot ? Un texte destiné à informer le public et généré ou remanié par IA doit-il être signalé ou bénéficie-t-il de l’exception liée au contrôle humain et à la responsabilité éditoriale ? Une voix ou une image synthétique est-elle identifiable en tant que telle ?

“Haut risque” : quel cas d’usage ?

Le Digital Omnibus, définitivement adopté et en vigueur depuis le 27 juillet dernier, a repoussé une partie des obligations liées aux systèmes d’IA à haut risque, désormais attendues en décembre 2027 (systèmes autonomes) et août 2028 (systèmes intégrés à des produits réglementés). Une période transitoire est toutefois prévue pour certains systèmes génératifs déjà commercialisés avant le 2 août 2026 : leurs fournisseurs auront jusqu’au 2 décembre 2026 pour mettre en œuvre le marquage technique des contenus.

Certains systèmes utilisés dans le recrutement, l’évaluation des salariés, l’éducation, l’assurance vie et santé, la biométrie ou l’accès à des services essentiels sont considérés comme à haut risque.

Toutes les applications d’IA dans l’assurance, la santé ou l’éducation ne sont pas automatiquement considérées comme étant à haut risque. Sont notamment visés :

• L’évaluation et la tarification des risques en assurance vie et santé,
• Certains dispositifs médicaux intégrant de l’IA,
• Le triage médical d’urgence,
• L’accès à certaines prestations de santé,
• L’admission, l’évaluation ou la surveillance des examens dans l’éducation,
• Certains systèmes biométriques. 

L’annexe III établit des cas d’usage précis et prévoit aussi des possibilités d’exclusion lorsqu’un système n’influence pas matériellement une décision et ne présente pas de risque significatif.

Ce report ne suspend ni les pratiques interdites déjà applicables, ni l’obligation de culture IA, ni les règles sur les modèles à usage général, ni l’échéance de transparence fixée au 2 août.

Le risque : une IA invisible

Le danger ne vient pas toujours du projet IA validé en comité de direction, mais souvent d’un IA déjà présente, de façon diffuse : une fonctionnalité activée dans un CRM, un copilote testé par une équipe RH, un module de scoring intégré à un outil marketing, un prestataire qui utilise de l’IA dans ses livrables sans le signaler. Ce phénomène, appelé “Shadow AI”, échappe fréquemment à toute cartographie interne.

Disposer d’un registre des usages IA

Plutôt qu’engager un grand chantier juridique, la première étape consiste à établir un inventaire simple. Pour chaque usage d’IA identifié, il s’agit de documenter :

• l’outil ou le système utilisé,
• le service concerné,
• la finalité métier,
• les données traitées,
• les personnes potentiellement affectées,
• le rôle de l’entreprise dans la chaîne de valeur : déployeur, fournisseur, importateur, distributeur ou autre opérateur concerné.

Ce registre permet de répondre demain à un client, un assureur, un acheteur public ou une autorité de contrôle et de démontrer, preuves à l’appui, que l’usage de l’IA est maîtrisé.

Des sanctions dissuasives

L’AI Act prévoit plusieurs niveaux de sanctions. Les violations des pratiques interdites peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Le non-respect des obligations de transparence mentionnées dans l’article 50 peut, quant à lui, entraîner une amende pouvant aller jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. Mais pour beaucoup d’entreprises, le risque le plus concret pourra porter sur un appel d’offres perdu faute de réponse claire sur l’usage de l’IA, un questionnaire fournisseur resté incomplet, ou une relation de confiance fragilisée avec un partenaire ou un client.

❶ L’AI Act s’applique-t-il déjà aux entreprises françaises ?
Oui. Le règlement est en application progressive depuis août 2024. Une nouvelle étape sera franchie le 2 août 2026, avec l’application de l’article 50.  

❷ Le report des règles sur le “haut risque” dispense-t-il d’agir avant 2027 ?
Non. Ce report, encore en cours d’adoption formelle, ne concerne que les systèmes à haut risque. Les obligations de transparence, la culture IA et les règles sur les modèles à usage général restent immédiatement applicables.

❸ Par où commencer concrètement ?
Par un inventaire des usages d’IA dans l’entreprise, y compris ceux intégrés à des outils tiers (CRM, RH, marketing), afin d’identifier les usages soumis à une obligation de transparence ou susceptibles de relever du haut risque.

❹ Quelles conséquences pour TOUTécrit ?
L’AI Act ouvre un nouveau champ dans la communication éditoriale responsable. TOUTécrit peut accompagner ses clients dans la cartographie éditoriale de leurs usages de l’IA, la rédaction de chartes, la création de mentions de transparence et la formalisation des circuits de relecture, de validation humaine et de traçabilité. Lorsque l’accompagnement comporte une appréciation juridique de conformité, celle-ci doit être réalisée ou validée par un juriste, un DPO ou un spécialiste de l’AI Act.

Cet article a une portée informative générale et ne remplace pas un avis juridique adapté à la situation de chaque organisation.