AI Act : l'heure de l'application a sonné — ce qui change concrètement depuis le 2 août

Depuis le 2 août 2026, l'AI Act n'est plus un horizon : le Bureau européen de l'IA et les autorités nationales compétentes ont commencé à faire appliquer le règlement, avec les obligations pesant sur les systèmes à haut risque en ligne de mire. Le texte appliqué n'est toutefois pas tout à fait celui adopté en 2024 : le règlement « omnibus IA », proposé en novembre 2025 dans le cadre du paquet de simplification numérique, a été adopté en juin 2026 et est entré en vigueur le 27 juillet — cinq jours avant l'échéance. Clarifications de périmètre, allègements documentaires, délais aménagés pour certaines catégories : la Commission a affiché sa volonté d'une mise en œuvre lisible et propice à l'innovation, accompagnée d'une série de lignes directrices.

Ce qui est réellement exigible aujourd'hui

Concrètement, trois blocs d'obligations structurent la période. Les pratiques interdites, d'abord, applicables de longue date. Les obligations des fournisseurs de modèles à usage général, ensuite : documentation technique, politique de respect du droit d'auteur, résumé des données d'entraînement — avec un régime renforcé pour les modèles présentant un risque systémique. Les systèmes à haut risque, enfin, dont le régime complet (gestion des risques, gouvernance des données, supervision humaine, robustesse, enregistrement) entre dans sa phase d'application effective. Pour un éditeur B2B, la question pratique est presque toujours la même : mon composant IA rend-il mon produit « à haut risque » au sens de l'annexe III — et sinon, quelles obligations de transparence me restent ?

Le vrai sujet : l'empilement NIS2, CRA, RGPD, AI Act

Pris isolément, chaque cadre est gérable. Le problème des éditeurs européens est l'empilement. Un même produit logiciel peut relever de NIS2 (parce que son client est une entité essentielle), du Cyber Resilience Act (parce que c'est un produit comportant des éléments numériques, avec exigences de sécurité par conception et de gestion des vulnérabilités), du RGPD (parce qu'il traite des données personnelles) et de l'AI Act (parce qu'il embarque un composant d'apprentissage). Quatre logiques de documentation, trois régimes de notification d'incident, des autorités distinctes. La seule stratégie tenable est l'usine à conformité unifiée : un socle unique de gestion des risques, de SBOM, de journalisation et de traitement des vulnérabilités, décliné ensuite vers chaque cadre — plutôt que quatre chantiers parallèles qui épuiseraient n'importe quelle équipe.

Une contrainte qui peut devenir un argument

Il y a pourtant une lecture offensive. Les clients — opérateurs régulés, secteur public, industriels — vont reporter leurs propres obligations sur leurs fournisseurs, par contrat. L'éditeur capable de fournir la documentation AI Act, le SBOM exigé par le CRA, les garanties RGPD et les engagements NIS2 dans le dossier d'appel d'offres transformera un coût réglementaire en avantage compétitif face aux acteurs extra-européens qui découvriront ces exigences dans les questions des acheteurs. La conformité européenne, si elle est industrialisée tôt, est une barrière à l'entrée qui protège ceux qui l'ont franchie.

L'AI Act entre dans l'âge de la jurisprudence : les prochains mois diront si l'application est aussi pragmatique que promis. Mais attendre pour s'y mettre serait un contresens — l'avantage ira à ceux qui auront transformé l'empilement réglementaire en processus, pendant que leurs concurrents le vivent comme une avalanche.