AI Act : le 2 août approche, et non, tout n'a pas été reporté

Les faits

Reprenons depuis le début, parce que le récit ambiant est trompeur.

En juin, le Parlement européen a validé le paquet dit Digital Omnibus, un texte de simplification très attendu par les entreprises. Son effet le plus commenté : le report des obligations les plus lourdes, celles qui pèsent sur les systèmes d'IA à haut risque de l'annexe III (recrutement, scoring de crédit, biométrie, éducation). Ces obligations, prévues pour le 2 août 2026, sont repoussées à décembre 2027. Seize mois de répit sur la partie la plus documentée du règlement.

Beaucoup de dirigeants ont retenu cette phrase et l'ont classée : « l'AI Act, c'est pour 2027 ». Erreur.

Car le 2 août 2026 reste une date d'application bien réelle pour tout le reste. À cette date, les autorités nationales de surveillance deviennent opérationnelles. Leurs pouvoirs de contrôle et de sanction s'activent. Concrètement, quatre briques entrent ou passent en régime d'application effective : les pratiques interdites, les obligations des modèles à usage général (les grands modèles comme ChatGPT, Claude ou Gemini), les obligations de transparence, et surtout l'obligation de littératie IA de l'article 4.

Cette dernière est celle que presque personne n'a anticipée. Elle est théoriquement en vigueur depuis février 2025, mais son contrôle par les autorités commence le 2 août. Elle impose que toute personne qui opère un système d'IA pour le compte de l'entreprise, salariés, prestataires, intérimaires, dispose d'un niveau suffisant de compréhension de l'IA. Ce n'est pas une obligation qui vise vos ingénieurs. Elle vise tout le monde, y compris votre CODIR.

Ce que ça veut dire pour vous

Vous n'avez pas seize mois. Vous avez neuf jours avant que le régime de sanction s'installe sur les pratiques interdites et la littératie. Les amendes pour pratiques prohibées peuvent atteindre 35 millions d'euros ou 7 pour cent du chiffre d'affaires mondial. La bonne nouvelle : la littératie IA ne se prouve pas par une usine à gaz. Une cartographie des systèmes d'IA réellement utilisés dans l'entreprise, une sensibilisation formalisée des équipes, une trace écrite de qui a été formé à quoi, cela suffit à passer d'un risque à une conformité de base. Encore faut-il l'avoir fait.

La question à se poser

Si un régulateur frappait à votre porte le 3 août, seriez-vous capable de nommer les systèmes d'IA utilisés dans votre entreprise et de prouver que ceux qui les manipulent ont été sensibilisés ?