AI Act : ce qui est en vigueur depuis le 2 août 2026 — et ce qui reste à venir

Le 2 août 2026, l'AI Act est entré dans sa phase générale

Depuis le 2 août 2026, les obligations de transparence de l'article 50 de l'AI Act — le règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689) — sont applicables. Quiconque exploite un chatbot face au public doit le signaler, les contenus générés par intelligence artificielle (IA) doivent être identifiables, les deepfakes étiquetés. Le régime de sanctions du règlement est lui aussi pleinement applicable.

Cette échéance a tenu malgré la révision de calendrier opérée par le règlement « Digital Omnibus IA » (règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet, en vigueur depuis le 27 juillet 2026). L'omnibus a reporté les obligations « haut risque » — pas la transparence. Ce décalage crée une situation trompeuse : beaucoup d'entreprises ont retenu « l'AI Act est reporté » alors qu'une partie du texte les concerne dès maintenant.

Ce qui s'applique désormais : les quatre cas de l'article 50

Premier cas, le chatbot (art. 50(1)) : toute personne qui interagit avec un système d'IA conversationnel doit savoir qu'elle parle à une machine, dès le début de l'échange. Deuxième cas, les contenus générés (art. 50(2) et 50(4)) : marquage lisible par machine côté fournisseur, mention visible pour les textes d'information publiés sans revue éditoriale humaine. Troisième cas, les deepfakes (art. 50(4)) : étiquette explicite sur tout contenu réaliste généré ou manipulé. Quatrième cas, la reconnaissance des émotions et la catégorisation biométrique dans leurs usages licites (art. 50(3)) : information préalable des personnes exposées.

Les sanctions atteignent 15 millions d'euros ou 3 % du chiffre d'affaires (CA) annuel mondial (art. 99(4)). Pour une petite ou moyenne entreprise (PME), l'art. 99(6) retient le montant le plus bas des deux plafonds, et l'omnibus a ouvert la voie aux avertissements et mesures non pécuniaires pour les petites structures.

Les repères d'application existent : la Commission européenne a publié ses lignes directrices définitives sur l'article 50 le 20 juillet 2026, et le code de bonne pratique sur la transparence des contenus générés réunissait environ 190 organisations signataires fin juillet. Notre guide dédié à l'article 50 (/conseils/obligations-chatbot-aout-2026) détaille chaque cas avec un plan de mise en règle en une semaine.

Ce qui était déjà applicable avant cette date

Le 2 août 2026 n'est pas le point de départ du règlement. Depuis le 2 février 2025, les pratiques interdites de l'art. 5 — manipulation, exploitation de vulnérabilités, notation sociale, reconnaissance des émotions au travail et en éducation — sont proscrites, avec des sanctions jusqu'à 35 millions d'euros ou 7 % du CA mondial (art. 99(3)). L'obligation de maîtrise de l'IA du personnel (art. 4), assouplie par l'omnibus en obligation de moyens, court depuis la même date.

Depuis le 2 août 2025, les fournisseurs de modèles à usage général (GPAI) ont leurs propres obligations, et la gouvernance européenne du règlement est en place.

Ce qui arrive ensuite : trois échéances à inscrire

2 décembre 2026 : deux nouvelles interdictions entrent en application (génération d'images intimes non consenties, contenus pédocriminels), et le sursis de marquage lisible par machine accordé aux systèmes génératifs mis sur le marché avant le 2 août 2026 prend fin. Si vos outils génératifs datent d'avant l'été, vérifiez auprès de vos fournisseurs que le marquage sera activé à temps.

2 décembre 2027 : les obligations complètes pour les systèmes à haut risque de l'Annexe III — tri de CV, credit scoring, éducation, biométrie — deviennent applicables. C'est le principal report de l'omnibus : la date initiale était le 2 août 2026, seize mois ont été gagnés.

2 août 2028 : le haut risque de l'Annexe I suit, c'est-à-dire l'IA intégrée dans des produits déjà réglementés comme les machines, les jouets ou les dispositifs médicaux.

Entreprises suisses : concernées, sauf exception

L'AI Act a une portée extraterritoriale (art. 2). Une entreprise suisse entre dans le champ dès qu'elle vend des services intégrant de l'IA à des clients de l'Union européenne (UE), ou que les résultats de ses systèmes — scores, décisions, contenus — sont utilisés dans l'UE. Un chatbot qui répond à des visiteurs français suffit. Seule une activité strictement suisse, sans aucun lien avec le marché européen, reste hors champ — et même dans ce cas, la loi fédérale sur la protection des données (LPD) impose déjà la transparence des traitements (art. 19 LPD).

Le droit suisse propre à l'IA se construit : la Confédération a signé la Convention-cadre du Conseil de l'Europe sur l'IA en mars 2025, et un avant-projet de loi est attendu en consultation d'ici fin 2026, avec une approche sectorielle. Se conformer à l'article 50 aujourd'hui, c'est très probablement anticiper les futures exigences suisses.

Le report à décembre 2027 n'est pas une pause

Les seize mois gagnés sur le haut risque sont une fenêtre de préparation, pas une dispense. Les obligations de l'Annexe III — système de gestion des risques, documentation technique, gouvernance des données, supervision humaine — demandent des mois de mise en place, et la catégorie la plus fréquente en PME est celle de l'emploi : tri de candidatures, évaluation de collaborateurs. Les entreprises qui découvriront ces exigences mi-2027 les traiteront dans l'urgence, au prix fort.

La démarche rationnelle aujourd'hui tient en trois gestes : inventorier ses usages d'IA, y compris les fonctions intégrées aux logiciels métier ; traiter immédiatement les points de contact avec le public (mentions chatbot, contenus générés) ; classer ce qui relèvera du haut risque en 2027 et chiffrer l'effort dès maintenant.

Par où commencer

L'outil gratuit AI-Karma, conçu pour les PME suisses, couvre ces trois gestes : le module de classification AI Act (/aiact) situe chaque cas d'usage — interdit, haut risque, transparence ou risque minimal — avec son échéance ; le module transparence (/transparence) génère les mentions prêtes à coller en quatre langues ; l'évaluation complète (/evaluation) restitue en une quinzaine de minutes un état des lieux sur 24 indicateurs avec plan d'action.

Ceci n'est pas un avis juridique. Pour les situations complexes — rôle de fournisseur, haut risque, secteur réglementé — faites valider votre analyse par un conseil spécialisé.

Questions fréquentes