AI Act : ce que les entreprises doivent préparer avant le 2 août 2026

La Commission européenne indique que les règles de transparence de l’AI Act entrent en application le 2 août 2026. Elles couvrent notamment l’information des personnes lorsqu’elles interagissent avec certains systèmes d’IA, ainsi que le marquage ou l’étiquetage de certains contenus générés ou manipulés.

À cette date, la Commission pourra aussi faire appliquer les obligations qui concernent les fournisseurs de modèles d’IA à usage général. Une entreprise qui utilise ces modèles n’en devient pas automatiquement fournisseur. Elle doit toutefois savoir quel rôle elle joue et ce que ses contrats couvrent.

La Commission européenne a publié ses lignes directrices sur les obligations de transparence de l’article 50. Elles précisent les situations couvertes pour les fournisseurs et les déployeurs. Les obligations commencent à s’appliquer le 2 août 2026.

Une période transitoire limitée concerne uniquement le marquage et la détection prévus à l’article 50, paragraphe 2. Pour les systèmes mis sur le marché avant le 2 août 2026, les fournisseurs doivent respecter cette obligation à partir du 2 décembre 2026.

Le tableau ci-dessous sert à préparer une revue produit et technique. Il ne remplace pas la qualification juridique du rôle de l’entreprise, du système ou du contenu concerné.

Un inventaire utile décrit ce que le système fait, pour qui, avec quelles données et quelle conséquence métier. La simple liste « ChatGPT, Copilot, Mistral » ne permet pas d’évaluer un risque ni d’attribuer une responsabilité.

• Processus concerné et responsable métier
• Modèle, fournisseur et version lorsque l’information est disponible
• Données envoyées, stockées ou récupérées
• Personnes affectées par la sortie du système
• Niveau de revue humaine avant qu’une décision ou un contenu soit utilisé

Les obligations suivent le rôle joué. Utiliser le chatbot d’un tiers, mettre un modèle généraliste sur le marché et modifier fortement un modèle existant sont trois situations distinctes.

Un juriste doit confirmer la qualification lorsqu’elle engage la conformité. Pour les équipes produit et technique, cette distinction sert surtout à savoir quels documents, contrôles et engagements demander aux fournisseurs.

Une phrase perdue dans les conditions générales ne suffit pas. Quand une personne interagit avec un système concerné, l’information doit apparaître au moment où elle en a besoin.

Le code de bonnes pratiques publié en juin 2026 sépare les mesures destinées aux fournisseurs, comme le marquage et la détectabilité, de celles qui concernent les déployeurs. Il traite notamment de l’étiquetage de certains deepfakes et textes d’intérêt public. Adhérer au code reste volontaire. Respecter l’article 50 ne l’est pas.

Il faut pouvoir retrouver qui a validé l’usage, avec quel jeu d’évaluation, sur quelle version et après quels incidents. La date de la dernière revue compte aussi.

Cet historique aide lors d’un contrôle. Il aide surtout l’équipe à comprendre une régression, comparer deux modèles et décider si une automatisation peut rester en production.

En 30 jours, une équipe peut déjà savoir quels systèmes tournent, où partent les données et quels usages méritent une revue juridique ou technique.

• Semaine 1 : recenser les usages et désigner un responsable par processus
• Semaine 2 : classer les données, les personnes affectées et le niveau de revue humaine
• Semaine 3 : collecter contrats, documentation fournisseur, journaux et évaluations disponibles
• Semaine 4 : prioriser les écarts et décider quels systèmes corriger, suspendre ou faire examiner

MAX examine les flux, l’architecture, l’exposition des données, les évaluations, les accès et la documentation d’exploitation. Un professionnel du droit reste responsable de la qualification juridique finale.

L’audit produit une liste de systèmes, de risques et de preuves manquantes. Chaque point reçoit une priorité et une décision à prendre.