AI Act, Article 50 : ce qui tombe vraiment le 2 août

Depuis l’accord sur le Digital Omnibus (accord provisoire début mai 2026, adopté par le Parlement le 16 juin et le Conseil le 29 juin), une petite musique circule : l’AI Act aurait été « détricoté », les échéances repoussées, on a le temps. C’est vrai pour une partie du texte et faux pour celle qui concerne le plus de monde.

Ce qui a bougé : le haut-risque

Le Digital Omnibus repousse les obligations des systèmes haut-risque de l’Annexe III (RH, scoring, biométrie…) du 2 août 2026 à décembre 2027 — environ seize mois. Les produits régulés de l’Annexe I passent, eux, de 2027 à 2028. Gestion des risques, documentation technique, supervision humaine, évaluation de conformité : tout ça a gagné du temps. Des souvenirs du timing RGPD remontent.

Si tu construis un système classé haut-risque, c’est un vrai répit. Pour presque tout le monde, ce n’est pas le sujet.

Ce qui tombe quand même le 2 août : la transparence (Article 50)

L’Article 50 n’a pas été repoussé. Il s’applique le 2 août 2026, Digital Omnibus ou pas. Quatre choses concrètes — et pour chacune, qui la porte compte autant que quoi :

50(1) — dire que c’est une IA (obligation provider). Tout système qui interagit avec un humain (chatbot, assistant vocal, agent de support) doit être conçu pour le signaler dès la première interaction. L’exception est étroite : uniquement quand c’est évident pour une personne raisonnablement informée. Si tu intègres le chatbot d’un tiers, c’est à lui de l’avoir prévu — et à toi de vérifier qu’il l’a fait.

50(2) — marquer les sorties génératives (obligation provider). Les contenus générés ou manipulés par IA (texte, image, audio, vidéo) doivent être marqués dans un format lisible par machine (watermark, métadonnées, provenance cryptographique). Nuance qui compte, souvent mal rapportée : les nouveaux systèmes doivent marquer dès le 2 août ; le délai au 2 décembre 2026 est une période de grâce pour les systèmes déjà en service, pas un report général — et elle couvre le marquage côté provider, pas les obligations de divulgation côté deployer.

50(4) — divulguer les contenus publiés (obligation deployer — donc probablement la tienne). Si tu publies un deepfake (image, audio, vidéo générés ou manipulés), tu dois le dire. Si tu publies du texte généré par IA pour informer le public, tu dois le dire aussi — sauf si le texte a fait l’objet d’une relecture éditoriale humaine avec responsabilité assumée. Pour une PME qui pousse du contenu assisté par IA (blog, docs, newsletters), c’est l’obligation la plus directement applicable de tout l’article — et la moins commentée.

Article 4 — la formation (providers et deployers). Ce n’est pas nouveau, mais c’est l’angle mort : depuis le 2 février 2025, les deux doivent garantir un niveau de littératie IA suffisant chez les personnes qui manipulent ces systèmes — de l’ enablement , au sens propre. Beaucoup de PME ont coché « on utilise l’IA » sans jamais former personne, pendant que le shadow AI prospérait dans les onglets navigateur. C’est déjà une obligation, pas une bonne pratique.

Le vrai boulot n’est pas technique, il est contractuel

La question qui bloque en pratique : es-tu provider ou deployer ? Une PME qui intègre un modèle tiers est presque toujours deployer — mais dès que tu fine-tunes, rebrandes ou mets sur le marché sous ton nom, la frontière bouge. Et les obligations ne sont pas les mêmes : le marquage 50(2) pèse sur le provider, la divulgation 50(4) sur le deployer. Ton fournisseur qui watermarke ses sorties ne te dispense pas de dire que ton contenu publié est généré — ce sont deux obligations distinctes, portées par deux acteurs distincts. À l’inverse, s’il ne marque pas, c’est son manquement, pas le tien — mais c’est ton produit qui traîne du contenu non marqué, et ton image avec.

Et si tu ne fais « que » utiliser ChatGPT ou Claude en interne ? L’Article 4 (formation) s’applique quand même, et le 50(4) dès que du contenu généré part vers le public. Le haut-risque, lui, ne te concerne pas tant que tu n’es pas provider d’un système de l’Annexe III.

Concrètement : les contrats signés avant le 2 août devraient déjà préciser qui porte quoi dans la chaîne — qui marque, qui divulgue, qui répond en cas de contrôle. Ça se règle par écrit, pas par du code.

« Runway, not reprieve »

Un détail de calendrier à surveiller : tant que le Digital Omnibus n’est pas publié au Journal officiel, l’échéance du 2 août reste juridiquement contraignante — la version révisée ne fait pas foi avant sa publication (attendue avant le 30 juillet 2026). Autrement dit : compter sur le report, c’est parier sur un texte pas encore promulgué. Mauvais pari pour une obligation dont le non-respect coûte jusqu’à 15 M€ ou 3 % du chiffre d’affaires mondial (7,5 M€ ou 1 % pour les informations trompeuses aux autorités).

À faire avant le 2 août (checklist courte)

• Recenser les systèmes qui interagissent avec un humain → vérifier que le provider a prévu la divulgation 50(1) (la tienne si tu es provider).
• Recenser ce qui génère du contenu → vérifier le marquage machine-readable (50(2)) côté fournisseur, et qui en répond dans la chaîne.
• Recenser ce que tu publies de généré par IA → prévoir la divulgation 50(4), ou documenter la relecture éditoriale humaine qui t’en exempte pour le texte.
• Trancher provider/deployer par écrit avec chaque fournisseur, avant l’échéance.
• Former — Article 4 est déjà applicable, c’est le plus facile à prouver et le plus souvent oublié.
• Articuler avec le RGPD (les deux se recouvrent sur les données personnelles).

Ce n’est pas la montagne que le mot « AI Act » évoque. Pour une PME, l’Article 50 tient en quelques décisions claires — à condition de ne pas les prendre le 1er août au soir.

Le report du haut-risque a fait oublier le reste. C’est souvent comme ça qu’on rate une échéance : en regardant celle d’à côté.

(Je suis dev, pas juriste : ce dispatch décrit ce que je comprends du texte et de sa chronologie au moment de publier — pas un avis juridique. Pour trancher ton cas, vois quelqu’un dont c’est le métier.)