AI Act : le calendrier complet des obligations

Le règlement européen sur l’intelligence artificielle ne s’applique pas d’un bloc. Ses obligations entrent en vigueur par vagues depuis février 2025, et le calendrier initial a été modifié en juillet 2026.

Cette page recense les dates opposables, sépare ce qui s’applique de ce qui a été reporté, et signale ce qui reste incertain. Nous la corrigeons à chaque évolution plutôt que de publier un nouvel article.

Le calendrier en un coup d’œil

Date	Ce qui s’applique	Statut
1er août 2024	Entrée en vigueur du règlement	Fait
2 février 2025	Pratiques interdites, maîtrise de l’IA	En vigueur
2 août 2025	Modèles à usage général, gouvernance	En vigueur
2 août 2026	Transparence, pouvoirs de sanction	En vigueur
2 décembre 2026	Nudification et contenus pédopornographiques interdits, fin du sursis de marquage	Dans 3 mois
2 décembre 2027	Haut risque, annexe III	Reporté
2 août 2028	Haut risque intégré aux produits, annexe I	Reporté

Le texte de référence est le règlement (UE) 2024/1689, publié au Journal officiel de l’Union le 12 juillet 2024 et entré en vigueur le 1er août suivant.

Ce qui s’applique depuis le 2 février 2025

Deux séries d’obligations, en vigueur depuis dix-huit mois.

Les pratiques interdites, énumérées à l’article 5. Elles concernent la notation sociale par les autorités publiques, la manipulation comportementale, l’exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation sociale, le moissonnage non ciblé d’images faciales pour constituer des bases de reconnaissance, et la reconnaissance biométrique en temps réel dans l’espace public à des fins répressives, sauf exceptions strictement encadrées.

Toute organisation qui déployait l’une de ces pratiques devait l’avoir retirée à cette date.

La maîtrise de l’IA, prévue à l’article 4. Tout déployeur doit assurer un niveau suffisant de connaissance de l’IA chez les personnes qui l’utilisent en son nom. Cette obligation est souvent ignorée parce qu’elle ne s’accompagne d’aucune procédure de certification. Elle est pourtant devenue contrôlable au 2 août 2026, quand les autorités ont obtenu leurs pouvoirs de sanction.

Ce qui s’applique depuis le 2 août 2025

Les obligations pesant sur les fournisseurs de modèles à usage général, catégorie qui recouvre GPT, Claude, Gemini ou les modèles de Mistral. Documentation technique, politique de respect du droit d’auteur, résumé public des données d’entraînement, et exigences renforcées pour les modèles présentant un risque systémique.

La même date a activé le volet institutionnel : Bureau de l’IA au sein de la Commission, Comité européen de l’intelligence artificielle, panel scientifique d’experts indépendants, et désignation par chaque État membre de ses autorités nationales compétentes.

Ce qui s’applique depuis le 2 août 2026

C’est l’échéance la plus commentée, et la plus mal comprise.

Les obligations de transparence de l’article 50. Un système conversationnel doit informer son interlocuteur qu’il n’est pas humain, sauf lorsque cela ne fait aucun doute. Les contenus produits ou modifiés par une IA doivent porter un marquage lisible par machine. Les hypertrucages doivent être signalés comme tels.

Pour accompagner la mise en conformité, la Commission a publié des lignes directrices le 20 juillet 2026, et un code de bonnes pratiques sur la transparence des contenus générés a été signé par plus de 180 organisations.

Les pouvoirs de sanction. Les autorités nationales peuvent désormais contrôler et sanctionner. Le plafond le plus élevé atteint 35 millions d’euros ou 7 % du chiffre d’affaires mondial, réservé aux pratiques interdites. Les autres manquements relèvent de plafonds inférieurs, gradués selon la nature du défaut.

Les outils de signalement. Le Bureau de l’IA a ouvert un formulaire de plainte accessible au public, un dispositif destiné aux lanceurs d’alerte, et un canal réservé aux fournisseurs en aval qui intègrent des modèles à usage général.

Ce que le Digital Omnibus a changé

Cinq jours avant l’échéance du 2 août, le calendrier a été modifié.

Le règlement (UE) 2026/1744, dit Digital Omnibus sur l’IA, a été publié au Journal officiel de l’Union le 24 juillet 2026 et est entré en vigueur le 27. Il fait suite à une proposition de la Commission du 19 novembre 2025, approuvée par le Parlement européen le 16 juin 2026 puis formellement adoptée par le Conseil le 29 juin.

Ce qu’il reporte :

Les obligations applicables aux systèmes à haut risque autonomes de l’annexe III passent du 2 août 2026 au 2 décembre 2027. Cette annexe couvre huit domaines : biométrie, infrastructures critiques, éducation, emploi et recrutement, accès aux services essentiels et au crédit, maintien de l’ordre, migration et contrôle aux frontières, administration de la justice.

Les systèmes à haut risque intégrés à des produits déjà soumis à évaluation de conformité, listés à l’annexe I, passent du 2 août 2027 au 2 août 2028. Sont visés les jouets, les dispositifs médicaux, les machines, les véhicules.

Ce qu’il ajoute :

Un délai jusqu’au 2 décembre 2026 pour le marquage des contenus, au titre de l’article 50 paragraphe 2, au bénéfice des systèmes déjà commercialisés avant le 2 août 2026.

Une interdiction explicite des systèmes conçus pour produire des contenus intimes non consentis, dont la mise en conformité est exigée dès le 2 décembre 2026.

Le 2 décembre 2026, en détail

Cette échéance recouvre deux choses de nature différente, et les confondre est l’erreur la plus répandue.

Deux interdictions nouvelles, ajoutées à l’article 5. Les systèmes conçus pour générer du contenu intime non consenti, dits de nudification, et ceux produisant des contenus pédopornographiques. Ce volet n’a bénéficié d’aucun report : il arrive à sa date.

La fin d’un sursis technique, qui porte uniquement sur le marquage lisible par machine du paragraphe 2 de l’article 50, et uniquement pour les systèmes déjà commercialisés avant le 2 août 2026.

Ce second point ne concerne que les fournisseurs, c’est-à-dire ceux qui développent un système et le mettent sur le marché sous leur nom. Si vous publiez des contenus générés sans être vous-même fournisseur du système, votre obligation d’étiquetage visible court depuis le 2 août.

L’exemption éditoriale et ses limites

Le règlement prévoit une exemption lorsqu’un contenu fait l’objet d’une relecture humaine assortie d’une responsabilité éditoriale. Elle est plus étroite qu’on ne le pense généralement.

Elle ne couvre que les textes portant sur des questions d’intérêt public. Les images, l’audio et la vidéo en sont exclus. Le contenu commercial également, quelle que soit la relecture dont il a fait l’objet.

Un média qui illustre ses articles avec des visuels générés reste donc soumis à l’obligation d’étiquetage, même si ses textes en sont exemptés.

Qui contrôle en France

La surveillance est répartie entre trois autorités : la CNIL pour les questions biométriques, l’Arcom pour les contenus d’intérêt public, et la DGCCRF pour les interactions directes avec les consommateurs.

La loi dite DDADUE, qui désigne l’autorité de contrôle et fixe les modalités de sanction en droit interne, était encore en navette parlementaire durant l’été 2026. Son retard ne suspend aucune échéance : le règlement européen s’applique directement.

Les montants

Les manquements aux obligations de transparence de l’article 50 sont sanctionnables jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial de l’exercice précédent, le montant le plus élevé étant retenu. Ce plafond est distinct de celui applicable aux pratiques interdites, qui atteint 35 millions d’euros ou 7 %.

Comment savoir ce qui vous concerne

Le règlement classe les systèmes en quatre niveaux, et les obligations en découlent entièrement.

Risque inacceptable. Interdit depuis février 2025. Si votre usage figure à l’article 5, aucun aménagement n’est prévu.

Haut risque. Les huit domaines de l’annexe III, ou l’intégration à un produit réglementé de l’annexe I. Ce niveau concentre les obligations lourdes : documentation technique, système de gestion des risques, supervision humaine, traçabilité, enregistrement dans la base de données européenne. Échéances repoussées à décembre 2027 et août 2028.

Risque limité. Agents conversationnels, générateurs de contenu, systèmes de recommandation. L’obligation principale est d’informer l’utilisateur. Applicable depuis le 2 août 2026.

Risque minimal. La majorité des usages courants. Aucune obligation spécifique au titre du règlement.

Un point revient souvent : si votre entreprise utilise un outil tiers plutôt qu’elle ne le développe, une part importante de la charge de conformité pèse sur le fournisseur. Vous restez néanmoins déployeur, avec les obligations attachées à ce statut, dont la formation de vos équipes.

L’erreur à ne pas commettre

Le report des obligations haut risque a été accueilli comme un répit général. Il ne l’est pas.

Ce qui a été repoussé concerne les systèmes à haut risque, et eux seuls. La transparence est exigible depuis le 2 août. Les pouvoirs de sanction sont actifs. L’obligation de formation, en vigueur depuis février 2025, est désormais contrôlable.

Autrement dit : une entreprise qui trie des candidatures avec un outil automatisé n’a pas d’obligation spécifique avant décembre 2027, mais elle doit dès aujourd’hui prévenir ses candidats lorsqu’ils dialoguent avec une machine, et être en mesure de démontrer que ses équipes ont été formées.

Un second point mérite attention pour les fournisseurs de systèmes haut risque. L’échéance de décembre 2027 paraît lointaine, mais la documentation technique de l’annexe IV demande plusieurs mois de production, l’évaluation par un organisme notifié plusieurs semaines, et la surveillance après commercialisation doit être opérationnelle avant la mise sur le marché. Le travail commence en 2027, pas à l’échéance.

Ce qui reste incertain

Nous signalons ici ce que nous ne savons pas, parce que plusieurs publications présentent ces points comme acquis.

Les normes harmonisées. Dans le cadre du paquet omnibus, la Commission a proposé de lier l’application des règles haut risque à la disponibilité effective des outils de soutien, dont les normes techniques. Ces normes ne sont pas toutes publiées. Un nouveau glissement de calendrier n’est donc pas exclu, même s’il n’est pas annoncé.

Le dispositif français. La désignation complète des autorités compétentes en France et les moyens qui leur sont alloués n’ont pas fait l’objet d’une communication détaillée. Le calendrier des obligations ne dépend pas de cette désignation, mais l’intensité réelle des contrôles, oui.

Le marquage technique. Le code de bonnes pratiques décrit des principes, pas un standard unique. Un marquage lisible par machine peut être retiré par un simple traitement, et rien n’indique aujourd’hui comment cette obligation sera vérifiée à grande échelle.

Les barèmes de sanction intermédiaires. Le plafond de 35 millions d’euros ou 7 % du chiffre d’affaires est établi pour les pratiques interdites. Les plafonds applicables aux autres manquements sont prévus par le règlement mais aucune pratique décisionnelle n’existe encore : personne ne sait à quel niveau les autorités sanctionneront réellement.

Mises à jour de cette page

11 septembre 2026 : ajout du détail de l’échéance du 2 décembre, de l’exemption éditoriale et de ses limites, de la répartition des autorités de contrôle françaises et des montants de sanction applicables à l’article 50. Voir notre article sur ce que l’échéance du 2 décembre recouvre réellement.

9 août 2026 : première publication.