AI Act : le calendrier complet des obligations

Le règlement européen sur l’intelligence artificielle ne s’applique pas d’un bloc. Ses obligations entrent en vigueur par vagues depuis février 2025, et le calendrier initial a été modifié en juillet 2026.

Cette page recense les dates opposables, sépare ce qui s’applique de ce qui a été reporté, et signale ce qui reste incertain. Nous la corrigeons à chaque évolution plutôt que de publier un nouvel article.

Le calendrier en un coup d’œil

Date	Ce qui s’applique	Statut
1er août 2024	Entrée en vigueur du règlement	Fait
2 février 2025	Pratiques interdites, maîtrise de l’IA	En vigueur
2 août 2025	Modèles à usage général, gouvernance	En vigueur
2 août 2026	Transparence, pouvoirs de sanction	En vigueur
2 décembre 2026	Marquage des systèmes antérieurs, contenus intimes	À venir
2 décembre 2027	Haut risque, annexe III	Reporté
2 août 2028	Haut risque intégré aux produits, annexe I	Reporté

Le texte de référence est le règlement (UE) 2024/1689, publié au Journal officiel de l’Union le 12 juillet 2024 et entré en vigueur le 1er août suivant.

Ce qui s’applique depuis le 2 février 2025

Deux séries d’obligations, en vigueur depuis dix-huit mois.

Les pratiques interdites, énumérées à l’article 5. Elles concernent la notation sociale par les autorités publiques, la manipulation comportementale, l’exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation sociale, le moissonnage non ciblé d’images faciales pour constituer des bases de reconnaissance, et la reconnaissance biométrique en temps réel dans l’espace public à des fins répressives, sauf exceptions strictement encadrées.

Toute organisation qui déployait l’une de ces pratiques devait l’avoir retirée à cette date.

La maîtrise de l’IA, prévue à l’article 4. Tout déployeur doit assurer un niveau suffisant de connaissance de l’IA chez les personnes qui l’utilisent en son nom. Cette obligation est souvent ignorée parce qu’elle ne s’accompagne d’aucune procédure de certification. Elle est pourtant devenue contrôlable au 2 août 2026, quand les autorités ont obtenu leurs pouvoirs de sanction.

Ce qui s’applique depuis le 2 août 2025

Les obligations pesant sur les fournisseurs de modèles à usage général, catégorie qui recouvre GPT, Claude, Gemini ou les modèles de Mistral. Documentation technique, politique de respect du droit d’auteur, résumé public des données d’entraînement, et exigences renforcées pour les modèles présentant un risque systémique.

La même date a activé le volet institutionnel : Bureau de l’IA au sein de la Commission, Comité européen de l’intelligence artificielle, panel scientifique d’experts indépendants, et désignation par chaque État membre de ses autorités nationales compétentes.

Ce qui s’applique depuis le 2 août 2026

C’est l’échéance la plus commentée, et la plus mal comprise.

Les obligations de transparence de l’article 50. Un système conversationnel doit informer son interlocuteur qu’il n’est pas humain, sauf lorsque cela ne fait aucun doute. Les contenus produits ou modifiés par une IA doivent porter un marquage lisible par machine. Les hypertrucages doivent être signalés comme tels.

Pour accompagner la mise en conformité, la Commission a publié des lignes directrices le 20 juillet 2026, et un code de bonnes pratiques sur la transparence des contenus générés a été signé par plus de 180 organisations.

Les pouvoirs de sanction. Les autorités nationales peuvent désormais contrôler et sanctionner. Le plafond le plus élevé atteint 35 millions d’euros ou 7 % du chiffre d’affaires mondial, réservé aux pratiques interdites. Les autres manquements relèvent de plafonds inférieurs, gradués selon la nature du défaut.

Les outils de signalement. Le Bureau de l’IA a ouvert un formulaire de plainte accessible au public, un dispositif destiné aux lanceurs d’alerte, et un canal réservé aux fournisseurs en aval qui intègrent des modèles à usage général.

Ce que le Digital Omnibus a changé

Cinq jours avant l’échéance du 2 août, le calendrier a été modifié.

Le règlement (UE) 2026/1744, dit Digital Omnibus sur l’IA, a été publié au Journal officiel de l’Union le 24 juillet 2026 et est entré en vigueur le 27. Il fait suite à une proposition de la Commission du 19 novembre 2025, approuvée par le Parlement européen le 16 juin 2026 puis formellement adoptée par le Conseil le 29 juin.

Ce qu’il reporte :

Les obligations applicables aux systèmes à haut risque autonomes de l’annexe III passent du 2 août 2026 au 2 décembre 2027. Cette annexe couvre huit domaines : biométrie, infrastructures critiques, éducation, emploi et recrutement, accès aux services essentiels et au crédit, maintien de l’ordre, migration et contrôle aux frontières, administration de la justice.

Les systèmes à haut risque intégrés à des produits déjà soumis à évaluation de conformité, listés à l’annexe I, passent du 2 août 2027 au 2 août 2028. Sont visés les jouets, les dispositifs médicaux, les machines, les véhicules.

Ce qu’il ajoute :

Un délai jusqu’au 2 décembre 2026 pour le marquage des contenus, au titre de l’article 50 paragraphe 2, au bénéfice des systèmes déjà commercialisés avant le 2 août 2026.

Une interdiction explicite des systèmes conçus pour produire des contenus intimes non consentis, dont la mise en conformité est exigée dès le 2 décembre 2026.

Comment savoir ce qui vous concerne

Le règlement classe les systèmes en quatre niveaux, et les obligations en découlent entièrement.

Risque inacceptable. Interdit depuis février 2025. Si votre usage figure à l’article 5, aucun aménagement n’est prévu.

Haut risque. Les huit domaines de l’annexe III, ou l’intégration à un produit réglementé de l’annexe I. Ce niveau concentre les obligations lourdes : documentation technique, système de gestion des risques, supervision humaine, traçabilité, enregistrement dans la base de données européenne. Échéances repoussées à décembre 2027 et août 2028.

Risque limité. Agents conversationnels, générateurs de contenu, systèmes de recommandation. L’obligation principale est d’informer l’utilisateur. Applicable depuis le 2 août 2026.

Risque minimal. La majorité des usages courants. Aucune obligation spécifique au titre du règlement.

Un point revient souvent : si votre entreprise utilise un outil tiers plutôt qu’elle ne le développe, une part importante de la charge de conformité pèse sur le fournisseur. Vous restez néanmoins déployeur, avec les obligations attachées à ce statut, dont la formation de vos équipes.

L’erreur à ne pas commettre

Le report des obligations haut risque a été accueilli comme un répit général. Il ne l’est pas.

Ce qui a été repoussé concerne les systèmes à haut risque, et eux seuls. La transparence est exigible depuis le 2 août. Les pouvoirs de sanction sont actifs. L’obligation de formation, en vigueur depuis février 2025, est désormais contrôlable.

Autrement dit : une entreprise qui trie des candidatures avec un outil automatisé n’a pas d’obligation spécifique avant décembre 2027, mais elle doit dès aujourd’hui prévenir ses candidats lorsqu’ils dialoguent avec une machine, et être en mesure de démontrer que ses équipes ont été formées.

Un second point mérite attention pour les fournisseurs de systèmes haut risque. L’échéance de décembre 2027 paraît lointaine, mais la documentation technique de l’annexe IV demande plusieurs mois de production, l’évaluation par un organisme notifié plusieurs semaines, et la surveillance après commercialisation doit être opérationnelle avant la mise sur le marché. Le travail commence en 2027, pas à l’échéance.

Ce qui reste incertain

Nous signalons ici ce que nous ne savons pas, parce que plusieurs publications présentent ces points comme acquis.

Les normes harmonisées. Dans le cadre du paquet omnibus, la Commission a proposé de lier l’application des règles haut risque à la disponibilité effective des outils de soutien, dont les normes techniques. Ces normes ne sont pas toutes publiées. Un nouveau glissement de calendrier n’est donc pas exclu, même s’il n’est pas annoncé.

Le dispositif français. La désignation complète des autorités compétentes en France et les moyens qui leur sont alloués n’ont pas fait l’objet d’une communication détaillée. Le calendrier des obligations ne dépend pas de cette désignation, mais l’intensité réelle des contrôles, oui.

Le marquage technique. Le code de bonnes pratiques décrit des principes, pas un standard unique. Un marquage lisible par machine peut être retiré par un simple traitement, et rien n’indique aujourd’hui comment cette obligation sera vérifiée à grande échelle.

Les barèmes de sanction intermédiaires. Le plafond de 35 millions d’euros ou 7 % du chiffre d’affaires est établi pour les pratiques interdites. Les plafonds applicables aux autres manquements sont prévus par le règlement mais aucune pratique décisionnelle n’existe encore : personne ne sait à quel niveau les autorités sanctionneront réellement.