Premier échange de 30 minutes, sans engagement.
Demande d'information
· Nice et
100 km à la ronde, à distance partout en France.
Le règlement (UE) 2026/1744, adopté le 8 juillet 2026 et entré en vigueur le 27 juillet 2026, a été abondamment commenté pour ce qu’il reporte : les obligations applicables aux systèmes d’IA à haut risque de l’annexe III passent du 2 août 2026 au 2 décembre 2027, celles de l’annexe I du 2 août 2027 au 2 août 2028. Le message retenu par beaucoup de directions a été « nous avons un an de plus ».
Ce même règlement a pourtant créé une échéance nouvelle, plus proche : le 2 décembre 2026. Elle porte deux séries d’obligations distinctes, et elle arrive dans moins de huit semaines.
L’article 50, paragraphe 2, de l’AI Act impose aux fournisseurs de systèmes d’IA générant des contenus synthétiques — audio, image, vidéo ou texte — de veiller à ce que les sorties du système soient marquées dans un format lisible par machine et détectables comme artificiellement générées ou manipulées. Cette obligation s’applique depuis le 2 août 2026.
Le règlement 2026/1744 y ajoute un article 111, paragraphe 4, entièrement nouveau. Sa formulation est brève : les fournisseurs de systèmes d’IA, y compris de systèmes d’IA à usage général, générant du contenu synthétique audio, image, vidéo ou texte, mis sur le marché avant le 2 août 2026, doivent prendre les mesures nécessaires pour se conformer à l’article 50, paragraphe 2, au plus tard le 2 décembre 2026.
Le considérant 38 du règlement décrit cette mesure comme « une période transitoire de quatre mois pour les fournisseurs qui ont déjà mis leurs systèmes sur le marché ». Autrement dit : le législateur n’a pas exonéré le parc installé, il lui a accordé un sursis. Ce sursis expire le 2 décembre.
L’article 113 de l’AI Act, dans sa version consolidée au 27 juillet 2026, dispose que les chapitres I et II s’appliquent depuis le 2 février 2025, « à l’exception de l’article 5, paragraphe 1, premier alinéa, points b bis) et b ter), et de l’article 5, paragraphes 1 bis et 1 ter, qui s’appliquent à compter du 2 décembre 2026 ».
Ces points, ajoutés par l’article premier, point 7, du règlement 2026/1744, étendent la liste des pratiques interdites. Le point b bis) vise les systèmes générant ou manipulant des images, vidéos, contenus audio ou tout autre matériel similaire réalistes de nature intime, « sans le consentement libre, spécifique, éclairé, univoque et explicite de cette personne ». Le point b ter) vise la génération ou la manipulation de matériels relatifs à des abus sexuels sur enfants.
Le paragraphe 1 bis précise la portée de l’interdiction du côté des fournisseurs, et c’est le point à lire attentivement. Elle joue d’abord lorsque cette production ou manipulation constitue la destination du système d’IA. Mais elle joue aussi, selon son point a), ii), lorsqu’une telle production est un résultat raisonnablement prévisible et reproductible du système, sans nécessiter de modification technique importante, et que le système est dépourvu de garde-fous adéquats. C’est cette seconde branche qui atteint les modèles généralistes : un outil dont ce n’est pas la finalité tombe néanmoins sous l’interdiction s’il produit ce type de contenu de façon prévisible et sans garde-fou.
Le paragraphe 1 ter prévoit une exclusion, cumulative dans ses conditions : la manipulation doit à la fois ne pas accroître l’exposition des parties intimes représentées et ne pas modifier la nature des activités sexuellement explicites représentées.
Ces interdictions relèvent de l’article 5, c’est-à-dire du niveau de sanction le plus élevé prévu par le règlement. Elles concernent au premier chef les fournisseurs de modèles et d’outils de génération de contenus. La question utile, pour une entreprise qui intègre un tel outil dans son offre, est celle de sa qualification au regard de l’article 3 du règlement : est-elle fournisseur du système qu’elle met à disposition sous sa marque, ou simple déployeur d’un outil tiers ? L’analyse doit être conduite système par système, et documentée.
Trois raisons expliquent le peu d’attention portée au 2 décembre 2026.
La première est l’effet d’annonce des reports. Le débat public de l’été 2026 a porté sur le « digital omnibus » et sur la question de savoir si l’Europe reculait ou non sur l’IA. Les dates avancées ont été plus commentées que les dates ajoutées.
La deuxième est la nature de l’obligation. Le marquage machine-readable n’est pas une obligation documentaire que l’on satisfait par une procédure interne : il suppose une modification technique du système, par filigrane cryptographique, métadonnées de provenance ou équivalent. Quatre mois, pour un éditeur, c’est un cycle de développement.
La troisième est la confusion persistante entre les obligations du fournisseur et celles du déployeur. L’article 50, paragraphe 2, pèse sur le fournisseur. L’article 50, paragraphe 4, pèse sur le déployeur : celui qui génère ou manipule des images, contenus audio ou vidéo constituant un hypertrucage doit en révéler le caractère artificiel, et celui qui publie des textes générés par IA pour informer le public sur des sujets d’intérêt général doit le signaler. Pour une entreprise française qui utilise des outils du marché sans les développer, c’est le paragraphe 4 qui s’applique directement — et il est applicable depuis le 2 août 2026, sans période transitoire.
La Commission a publié le 20 juillet 2026 ses lignes directrices sur les obligations de transparence des fournisseurs et déployeurs de certains systèmes d’IA, mises à jour le 27 juillet 2026. Elles précisent qui est soumis à quoi pour les systèmes interactifs comme pour le marquage et l’étiquetage des contenus générés. Elles aident à l’application du règlement ; elles ne s’y substituent pas.
En amont, le code de pratique sur la transparence des contenus générés par IA a été publié le 10 juin 2026, à l’issue de sa plénière de clôture. Son adhésion est volontaire. Fin juillet 2026, environ 190 entreprises et organisations l’avaient signé. L’intérêt pratique est documenté par la Commission elle-même : les signataires peuvent s’appuyer sur les mesures du code pour démontrer leur conformité, tandis que les non-signataires devront établir individuellement l’adéquation des mesures qu’ils ont retenues. Ce n’est pas une présomption de conformité au sens juridique strict, mais c’est un net allègement de la charge de la preuve.
Reste une question que l’échéance européenne ne règle pas : qui contrôle, et qui sanctionne, en France ?
Le volet numérique du projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (dit Ddadue), qui doit désigner les autorités nationales compétentes et fixer le régime de sanctions, a été examiné en séance au Sénat le 17 février 2026, adopté en première lecture le 18 février et transmis à l’Assemblée nationale le 20 février 2026. Le texte prévoit une architecture éclatée : une quinzaine d’entités sectorielles — ANSM pour les dispositifs médicaux, ACPR pour les institutions financières, DGCCRF notamment pour la formation professionnelle, ANFR pour les équipements radioélectriques — avec un rôle central confié à la CNIL comme autorité de surveillance du marché, une coordination DGCCRF-DGE et l’appui technique de l’ANSSI. Le dispositif de sanctions confié à la formation restreinte de la CNIL comprend des injonctions, des astreintes jusqu’à 100 000 euros par jour et des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial.
Au 6 octobre 2026, aucun examen en première lecture à l’Assemblée nationale n’était constaté et le texte n’était pas adopté. L’Allemagne, pour comparaison, a mis en vigueur sa loi KI-MIG le 29 juillet 2026 et désigné la Bundesnetzagentur comme autorité de surveillance du marché, point de contact unique et guichet de plaintes.
L’absence d’autorité désignée ne suspend pas les obligations : un règlement européen est directement applicable, et les interdictions de l’article 5 produisent leurs effets le 2 décembre 2026 quel que soit l’état d’avancement du droit interne. Elle retarde seulement le moment où un contrôle pourra être conduit et une amende prononcée. Pour une direction juridique, c’est une fenêtre de mise en conformité, pas une dispense.
Recenser les systèmes générateurs de contenu mis sur le marché par votre entreprise avant le 2 août 2026. Si votre société édite, revend sous sa marque ou intègre dans son offre un outil produisant du texte, de l’image, de l’audio ou de la vidéo, l’article 111, paragraphe 4, vous concerne et le délai expire le 2 décembre 2026. Le livrable attendu est technique : marquage lisible par machine, pas une mention dans les conditions générales.
Clarifier votre qualification pour chaque système : fournisseur ou déployeur. C’est la question qui détermine toutes les autres. Une même entreprise peut être déployeur sur un outil du marché et fournisseur sur une solution qu’elle a rebrandée. Documentez cette analyse par système, pas globalement.
Vérifier dès maintenant la conformité au paragraphe 4 de l’article 50, applicable sans sursis depuis le 2 août 2026 : signalement des hypertrucages publiés, mention du caractère généré pour les textes d’information publiés sur des sujets d’intérêt général. C’est l’obligation la plus susceptible de concerner une entreprise française non éditrice de logiciel, et c’est celle dont le retard est déjà constitué.
Examiner l’adhésion au code de pratique transparence. Pour un fournisseur, l’arbitrage est simple : s’aligner sur des mesures reconnues adéquates par la Commission, ou construire et défendre seul sa propre démonstration.
Interroger vos fournisseurs par écrit sur leur calendrier de conformité à l’article 111, paragraphe 4. Si l’outil de génération d’images que vos équipes marketing utilisent depuis 2024 n’est pas marqué au 2 décembre, c’est le fournisseur qui est en infraction, mais c’est votre chaîne de production de contenus qui devra être revue. La clause contractuelle de conformité réglementaire est le bon véhicule.
Ne pas conclure du report des obligations haut risque à un report général. Les outils RH de l’annexe III voient bien leur échéance repoussée au 2 décembre 2027 — un délai utile, abordé dans notre article sur la jurisprudence relative à la consultation du CSE avant un déploiement d’IA. Le reste du règlement, lui, continue de produire ses effets au rythme prévu.
L'ICO a obtenu des engagements de dix développeurs de modèles et ouvre une consultation sur l'IA agentique jusqu'au 20 novembre 2026.
Dix-huit mois de référés ont fixé les règles du déploiement d'une IA en entreprise. Panorama des décisions et des obligations du CSE.
Des agents IA ont modifié des pages Wikimedia hors de tout périmètre prévu. Ce que toute entreprise qui en déploie doit en tirer.
Sans engagement, sans diaporama. On regarde où vous en êtes, et je vous dis franchement si nous sommes le bon interlocuteur.
Demande d'information
Réponse sous 24 heures ouvrées. Si vous préférez parler de vive voix, réservez plutôt un créneau de 30 minutes — c'est souvent plus rapide.