AI Act : ce qui reste obligatoire le 2 août 2026 (malgré le report de l'annexe III)

Le 7 mai 2026, l'Union européenne a acté, via le Digital Omnibus, le report de l'application des obligations relatives aux systèmes d'IA à haut risque de l'annexe III au 2 décembre 2027. Pour beaucoup de dirigeants, le message retenu a été simple : « l'AI Act est repoussé, nous avons gagné du temps. »

C'est l'erreur de lecture la plus coûteuse que votre organisation puisse commettre en 2026.

Car le report ne suspend ni le calendrier en vigueur, ni les obligations déjà actives, ni — c'est le point critique — l'activation des pouvoirs de sanction au 2 août 2026. Autrement dit : une partie de vos obligations est déjà exigible, l'autorité de contrôle peut déjà sanctionner, et l'amende plafond atteint 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Le « temps gagné » est une illusion d'optique.

Cet article fait le tri, factuellement, entre ce qui est reporté et ce qui ne l'est pas, et explique comment transformer cette échéance en avantage opérationnel plutôt qu'en risque.

Ce que le Digital Omnibus a réellement changé

Le règlement européen sur l'intelligence artificielle (AI Act, règlement UE 2024/1689) a été conçu avec une entrée en application échelonnée. Le Digital Omnibus — accord provisoire du 7 mai 2026 destiné à « simplifier » le paysage numérique européen — a décalé les échéances les plus lourdes :

• Les obligations des systèmes à haut risque de l'annexe III (recrutement, scoring de crédit, éducation, biométrie, justice, etc.) passent du 2 août 2026 au 2 décembre 2027.
• Les exigences de l'article 6(1) pour les produits réglementés (annexe I) sont repoussées au 2 août 2028.

Voilà pour ce qui est reporté. Mais le Digital Omnibus n'a pas touché au socle déjà en vigueur. Et c'est là que se joue votre exposition réelle.

Ce qui reste obligatoire — et applicable — en 2026

La littératie IA (article 4)

Depuis le 2 février 2025, toute organisation déployant ou utilisant des systèmes d'IA doit garantir un niveau suffisant de compétence IA de son personnel. Ce n'est pas une recommandation : c'est une obligation, et elle vise précisément les usages quotidiens — chatbots, copilotes, IA générative. Nos modèles de charte et de checklist de littératie IA aident à la documenter.

La transparence des modèles GPAI

Les fournisseurs de modèles d'IA à usage général (GPT, Gemini, Claude, Mistral, etc.) sont soumis depuis le 2 août 2025 à des obligations de documentation technique, de respect du droit d'auteur et de résumé des données d'entraînement. Si vous intégrez ces modèles dans vos produits, la responsabilité « aval » de la chaîne de valeur vous concerne directement.

Les pratiques prohibées

Notation sociale, manipulation subliminale, exploitation de vulnérabilités : ces usages sont déjà interdits depuis février 2025. À partir du 2 décembre 2026, deux nouvelles interdictions s'ajoutent (notamment la génération de représentations intimes réalistes d'une personne identifiable).

Les pouvoirs de sanction

C'est le point que le « soulagement » du report fait oublier. À partir du 2 août 2026, les autorités peuvent prononcer des amendes. Le premier palier (jusqu'à 15 M€ ou 3 % du CA mondial) intègre désormais les manquements aux obligations d'information dans la chaîne de valeur (article 25(2) et (4)). Le palier maximal atteint 35 M€ ou 7 % du CA mondial. La gouvernance institutionnelle (AI Office européen, autorités nationales, forum consultatif) est par ailleurs déjà opérationnelle.

Le piège : report d'échéance ≠ suspension des obligations

La double conformité est la règle du jeu post-Omnibus : vous devez à la fois respecter ce qui est déjà applicable et préparer ce qui arrive en décembre 2027. Une organisation qui attend 2027 pour s'organiser se retrouvera, en pratique, à devoir tout construire en urgence — gouvernance, cartographie, documentation, supervision humaine — alors que ces fondations prennent des mois à installer.

Le bon réflexe n'est pas de traiter l'AI Act comme un projet ponctuel avec une date de fin. C'est d'installer une capacité permanente de gouvernance de l'IA : un comité réunissant IT, juridique, conformité et métiers ; une articulation explicite avec vos dispositifs RGPD existants ; et une veille réglementaire formalisée.

Le problème que personne ne regarde : le Shadow AI

Il y a un angle mort dans la quasi-totalité des plans de conformité AI Act : on ne peut pas gouverner ce qu'on ne voit pas.

Les chiffres 2026 sont sans appel. 98 % des organisations comptent des collaborateurs utilisant des outils d'IA non autorisés. 68 % des employés utilisent des outils d'IA non sanctionnés au travail (contre 41 % en 2023). Et le chiffre le plus révélateur : 93 % de l'usage de ChatGPT en entreprise passe par des comptes personnels — donc hors de toute politique de données, hors de toute gouvernance, hors de tout cadre AI Act. Seules 18 % des organisations disposent d'une politique de sécurité IA formelle.

Concrètement : pendant que les comités de direction débattent du calendrier réglementaire, des dizaines d'outils IA traitent déjà des données clients, du code source, des documents RH et des informations stratégiques, sans aucune trace, sans supervision, et sans que la DSI ne le sache. Le coût moyen estimé du Shadow AI atteint 412 000 $ par an et par organisation (coûts directs et pertes de productivité cachées).

La littératie IA (article 4) que vous devez déjà garantir est impossible à atteindre tant que vous ignorez quels outils vos équipes utilisent réellement. La cartographie des usages IA n'est pas une étape parmi d'autres : c'est le préalable à toute conformité.

Le plan d'action réaliste avant le 2 août 2026

Voici la séquence que nous recommandons aux RSSI, DPO et DSI, par ordre de priorité et de retour sur effort :

• Cartographier les usages IA réels (et pas déclarés) : identifier tous les outils — autorisés ou Shadow AI — utilisés dans l'organisation, par service, avec les types de données traitées. Cartographier les usages IA.
• Classer les usages par niveau de risque au sens de l'AI Act (interdit / haut risque / risque limité / risque minimal). Voir nos niveaux de risque de l'AI Act.
• Installer la gouvernance : comité IA pluridisciplinaire, politique d'usage, registre des systèmes d'IA, articulation RGPD.
• Déployer la littératie IA : former les équipes proportionnellement à leur exposition.
• Documenter et tracer : préparer dès maintenant la documentation que l'annexe III exigera en 2027, pour ne pas la subir en urgence.
• Mettre en place une veille réglementaire : le cadre bouge (Omnibus, guidelines de l'AI Office, codes de bonnes pratiques).

Les deux premières étapes sont les plus rentables et les plus urgentes. Sans visibilité sur le terrain, tout le reste est théorique.

Comment SiyadAI accélère cette mise en conformité

SiyadAI est la plateforme de gouvernance de l'IA pensée pour les organisations françaises. Concrètement, elle :

• cartographie automatiquement les usages IA de votre organisation, y compris le Shadow AI, sans projet de plusieurs mois ;
• classe chaque usage selon les niveaux de risque de l'AI Act et les rapproche de vos obligations ;
• génère le registre et la documentation attendus par le règlement et par la norme ISO/IEC 42001 ;
• pilote la conformité via un tableau de bord unique partagé entre DSI, RSSI, DPO et direction.

Là où un tableur Excel fige une photo périmée dès le lendemain, SiyadAI maintient une vue vivante et actionnable.

Conclusion

Le report de l'annexe III n'est pas un répit, c'est un test de maturité. Les organisations qui ont compris que la gouvernance de l'IA est désormais une capacité permanente prendront une avance structurelle. Celles qui attendent décembre 2027 découvriront qu'on ne construit pas une conformité solide en quelques semaines — et qu'entre-temps, les sanctions sont déjà sur la table.

Vous ne savez pas quels outils IA tournent réellement dans votre organisation ? C'est exactement par là qu'il faut commencer.

👉 Réservez 15 minutes de démonstration SiyadAI et repartez avec une première cartographie de vos usages IA et de votre exposition AI Act.

Questions fréquentes

L'AI Act est-il reporté en 2026 ? Partiellement. Le Digital Omnibus du 7 mai 2026 a reporté les obligations des systèmes à haut risque de l'annexe III au 2 décembre 2027. Le socle déjà en vigueur reste applicable et les pouvoirs de sanction s'activent au 2 août 2026.

Que reste-t-il obligatoire le 2 août 2026 ? La littératie IA (article 4), la transparence des modèles GPAI, les interdictions de pratiques prohibées, la gouvernance institutionnelle, et l'activation des pouvoirs de sanction (jusqu'à 35 M€ ou 7 % du CA mondial).

Quelles sont les sanctions prévues par l'AI Act ? Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les manquements les plus graves ; un premier palier atteint 15 M€ ou 3 % du CA.

---

Sources : Commission européenne (AI Act), CNIL, ANSSI, ENISA, NIST AI RMF, ISO/IEC 42001.