Règlement européen sur l'IA : ce qui s'applique vraiment le 2 août 2026

Depuis des mois, la date du 2 août 2026 circule dans la profession assortie de chiffres impressionnants : 35 millions d'euros, 7 % du chiffre d'affaires mondial, systèmes à haut risque, obligations de conformité. L'échéance est réelle. Son contenu, pour un cabinet d'avocats, est beaucoup plus étroit qu'on ne le dit — et une partie de ce qui était annoncé a été repoussée de seize mois.

Faisons le tri.

Ce qui entre bien en application le 2 août

En bref : l'article 50 (transparence) devient pleinement applicable, et les autorités nationales obtiennent leur pouvoir de sanction à cette date.

Deux choses, pas davantage.

L'article 50 impose la transparence : prévenir l'utilisateur qu'il dialogue avec une machine, marquer les contenus de synthèse dans un format lisible par machine, étiqueter les hypertrucages. Pour un cabinet, cela se résume le plus souvent à une ligne : si un agent conversationnel répond à vos clients sur votre site, il doit dire ce qu'il est.

Le pouvoir de sanction des autorités nationales s'active également à cette date. L'article 4, qui impose un niveau suffisant de littératie en IA aux personnes chargées de l'exploiter, est en vigueur depuis le 2 février 2025 — mais sans autorité pour le faire respecter. Ce n'est plus le cas.

Ce qui a été repoussé, et de combien

En bref : le Digital Omnibus a déplacé l'échéance des systèmes à haut risque de l'annexe III du 2 août 2026 au 2 décembre 2027, soit seize mois de plus.

C'est le point que la plupart des notes de synthèse n'ont pas intégré. Le paquet dit « Digital Omnibus », approuvé par le Parlement européen le 16 juin 2026 puis validé par le Conseil le 29 juin, a décalé deux échéances majeures :

• Annexe III — systèmes à haut risque autonomes : du 2 août 2026 au 2 décembre 2027.
• Annexe I — systèmes à haut risque intégrés à des produits déjà réglementés : du 2 août 2027 au 2 août 2028.

Un sursis a par ailleurs été accordé jusqu'au 2 décembre 2026 pour le marquage technique des contenus produits par des systèmes déjà commercialisés.

Il faut lire ce report pour ce qu'il est : un report, pas une exemption. Les obligations arrivent, avec seize mois de plus pour s'y préparer. Ceux qui annoncent que « l'AI Act a été vidé » se trompent autant que ceux qui annonçaient un mur le 2 août.

Pourquoi « haut risque » ne vous concerne probablement pas

En bref : l'annexe III vise les systèmes utilisés par une autorité judiciaire pour instruire ou décider. Un cabinet qui rédige avec l'aide d'un outil n'entre pas dans cette catégorie.

L'administration de la justice figure bien à l'annexe III. Mais lisez la rédaction : elle vise les systèmes destinés à être utilisés par une autorité judiciaire, ou en son nom, pour rechercher et interpréter les faits et le droit et appliquer le droit à un ensemble concret de faits.

Un avocat n'est pas une autorité judiciaire. Un outil qui vous aide à analyser des pièces, à calculer un délai ou à préparer un projet d'acte ne décide rien : il produit un élément que vous reprenez, corrigez et signez. La qualification de haut risque ne suit pas.

Cela ne dispense de rien d'autre. Le RGPD s'applique, la déontologie s'applique — et sur ce terrain le guide du CNB est nettement plus exigeant que le règlement européen. C'est d'ailleurs la bonne façon de hiérarchiser : pour un cabinet français, la contrainte pratique vient du secret professionnel, pas de Bruxelles.

Fournisseur ou déployeur : la distinction décisive

En bref : le règlement distingue celui qui met un système sur le marché de celui qui l'utilise. Un cabinet est déployeur, et ses obligations sont bien plus légères.

Le règlement fait porter l'essentiel des obligations — documentation technique, gestion des risques, évaluation de conformité, surveillance après commercialisation — sur le fournisseur, celui qui développe et met le système sur le marché.

Le déployeur, celui qui l'utilise dans le cadre de son activité professionnelle, a des obligations plus restreintes : utiliser l'outil conformément à sa notice, assurer une supervision humaine, veiller à la pertinence des données qu'il y verse.

Un cabinet est déployeur. Ce qui déplace la vraie question : non pas « suis-je conforme ? », mais « mon fournisseur l'est-il, et peut-il le démontrer ? ». C'est une question à poser par écrit, et dont la réponse s'archive.

Les sanctions, remises à leur échelle

En bref : 35 millions d'euros ou 7 % du chiffre d'affaires visent les pratiques interdites ; les manquements à l'article 50 plafonnent à 15 millions ou 3 %, et pour une PME c'est le seuil le plus bas qui s'applique.

Les chiffres qui circulent sont exacts mais mal attribués. Le plafond de 35 millions d'euros ou 7 % du chiffre d'affaires mondial concerne les pratiques interdites de l'article 5 — notation sociale, exploitation de vulnérabilités, catégorisation biométrique. Rien qui ressemble à l'activité d'un cabinet.

Les manquements aux obligations de transparence relèvent d'un plafond de 15 millions d'euros ou 3 %. Et le règlement prévoit que, pour les PME, c'est le plus bas des deux montants qui s'applique — logique inverse de celle retenue pour les grands groupes.

Dit autrement : le risque financier réel, pour un cabinet qui oublierait d'indiquer qu'un agent conversationnel est une machine, n'a rien à voir avec les montants brandis dans les colloques.

La liste du 2 août, en quatre points

En bref : signaler les agents conversationnels, savoir qui est votre fournisseur, former ceux qui utilisent l'outil, et archiver les réponses écrites.

• Si un agent conversationnel répond à vos clients, indiquez-le clairement. Une phrase au premier message suffit.
• Demandez à votre fournisseur sa position au regard du règlement, par écrit. Fournisseur ou sous-traitant, hébergement, rétention, entraînement.
• Assurez la littératie de l'article 4 : ceux qui utilisent l'outil doivent en connaître les limites. Une note interne d'une page et une session de trente minutes valent mieux qu'un certificat.
• Archivez. La conformité se démontre par des traces datées, pas par une conviction.

Le 2 août 2026 n'est pas un mur. C'est le moment où l'on cesse de pouvoir répondre « on verra ».