AI Act : la transparence s'applique, l'essentiel attend 2027

Depuis dimanche 2 août, un agent conversationnel doit prévenir son interlocuteur qu’il n’est pas humain, et un contenu produit par une machine doit être signalé comme tel. L’article 50 du règlement européen sur l’intelligence artificielle est entré en application, et le Bureau de l’IA de la Commission a commencé à en contrôler le respect avec les autorités nationales.

C’est la partie de l’annonce que tout le monde a reprise. La partie intéressante est datée du 27 juillet.

Ce qui s’applique depuis dimanche

Les obligations concernent les fournisseurs comme les déployeurs. Un chatbot, un agent vocal ou un avatar doit indiquer clairement, dès le premier échange, que l’utilisateur s’adresse à une machine, sauf lorsque cela ne fait aucun doute. Les contenus générés ou modifiés par une IA doivent porter un marquage lisible par machine, et les hypertrucages doivent être signalés.

Pour accompagner la mise en conformité, la Commission a publié le 20 juillet des lignes directrices, et un code de bonnes pratiques sur la transparence des contenus générés a été signé par plus de 180 organisations. Le Bureau de l’IA a également ouvert un outil de plainte accessible au public, un dispositif pour les lanceurs d’alerte, et un canal réservé aux fournisseurs en aval qui utilisent des modèles à usage général.

Un délai subsiste pour les systèmes déjà commercialisés avant cette date : ils ont jusqu’au 2 décembre 2026 pour se conformer au marquage.

Ce qui a été repoussé cinq jours plus tôt

Le règlement dit Digital Omnibus sur l’IA, publié au Journal officiel de l’Union le 24 juillet et entré en vigueur le 27, confirme l’application de l’article 50 à la date prévue. Il repousse en revanche les obligations les plus lourdes.

Les systèmes classés à haut risque devaient relever du droit commun à partir d’août 2026. Ce sera finalement décembre 2027 pour une partie d’entre eux, et 2028 pour le reste. Sont concernés les usages qui touchent directement les personnes : recrutement, notation de crédit, éducation, identification biométrique.

Autrement dit, ce qui est entré en application dimanche porte sur l’étiquetage. Ce qui décide de l’accès à un emploi, à un prêt ou à une formation attend encore dix-huit mois au minimum.

Le texte accorde par ailleurs à la Commission des pouvoirs de contrôle élargis sur les fournisseurs de modèles à usage général, avec la possibilité de leur réclamer des informations et de prononcer des sanctions.

Pourquoi ça compte

Le calendrier initial de l’AI Act était présenté comme la démonstration qu’une régulation ambitieuse pouvait tenir un rythme. Deux reports successifs plus tard, cette démonstration est affaiblie.

Il faut néanmoins distinguer deux lectures, parce que les deux se défendent.

La première considère que le report est un aveu. L’Europe a produit un texte que ni ses entreprises ni ses administrations n’étaient prêtes à appliquer, et elle recule sous la pression, comme elle avait déjà retiré en février 2025 sa proposition de directive sur la responsabilité en matière d’IA.

La seconde observe qu’appliquer des obligations lourdes à des acteurs non préparés produit surtout de la conformité de façade, et qu’un report assorti de moyens de contrôle renforcés vaut mieux qu’une application symbolique. Le Digital Omnibus donne effectivement à la Commission des prérogatives qu’elle n’avait pas.

Ce qui est certain, c’est que l’écart se creuse entre l’image de l’AI Act et son contenu applicable. Une entreprise européenne qui déploie aujourd’hui un système de tri de candidatures n’est soumise à aucune obligation spécifique avant fin 2027. Elle doit en revanche prévenir ses candidats qu’ils dialoguent avec une machine.

Un mot sur notre propre cas

Nous sommes concernés. Actu Tech utilise l’IA pour la veille et la préparation de premières versions, et le signale sur chaque article ainsi que sur notre page dédiée. Cette déclaration existait avant que le texte l’impose, et nous n’avons rien eu à modifier dimanche.

Nous le mentionnons parce que la nouvelle obligation va produire, dans les mois qui viennent, une vague de mentions ajoutées en bas de page par des acteurs qui n’en parlaient pas jusqu’ici. La distinction entre une déclaration volontaire et une conformité réglementaire nous paraît valoir d’être signalée.

Les angles morts

Le régime de sanctions applicable aux manquements à l’article 50 n’a pas fait l’objet d’une communication détaillée. Les montants théoriques figurent dans le règlement, mais aucune pratique décisionnelle n’existe encore.

Le partage des rôles entre le Bureau de l’IA et les autorités nationales reste à clarifier dans les faits. En France, la désignation complète des autorités compétentes et leurs moyens n’ont pas été rendus publics à ce jour.

Enfin, la question technique du marquage des contenus n’est pas résolue. Le code de bonnes pratiques décrit des principes, pas un standard unique. Un marquage lisible par machine peut être retiré par un simple traitement, et rien n’indique aujourd’hui comment cette obligation sera vérifiée à grande échelle.