Le 2 août 2026 devait marquer le grand tournant du texte. Mais six jours avant l'échéance, une partie du calendrier a basculé : les obligations les plus lourdes sont repoussées à fin 2027. Alors, on entend parfois dire que « l'AI Act est reporté ». Le raccourci est trompeur, et dangereux pour toute entreprise tentée d'y voir un motif de relâcher sa vigilance.
Cet article détaille ce que ce nouveau calendrier change concrètement pour le secteur cloud, data et IA et pour nos clients de la banque, de l'assurance et du luxe.
Qu’est-ce que l’AI Act ?
Adopté en 2024, le règlement européen sur l'intelligence artificielle repose sur un principe simple : plus un système présente un risque pour les droits fondamentaux ou la sécurité des personnes, plus les obligations qui pèsent sur lui sont lourdes.
Quatre niveaux se distinguent : les usages interdits, les usages à haut risque strictement encadrés, les usages à risque limité soumis à des règles de transparence, et le reste, sans obligation spécifique.
Tableau des risques détaillés encadrés par AI Act
Ce qui va changer en 2026 avec le règlement Omnibus
Depuis le 27 juillet 2026, le règlement Omnibus est entré en vigueur pour simplifier le cadre réglementaire européen de l'IA et soutenir l'innovation. Il accompagne l'application effective de l'AI Act à partir du 2 août 2026, sanctions comprises. Les pratiques interdites, elles, sont applicables depuis février 2025.
Pourquoi cette mesure ? Et comment elle se matérialise ?
Fin 2025, le constat s'impose : ni le calendrier ni la méthode ne sont tenables. Les entreprises ne parviennent pas à documenter leurs systèmes faute de normes techniques finalisées, et les autorités nationales de contrôle ne sont pas toutes en place. La Commission européenne choisit alors des ajustements ciblés plutôt qu'une remise à plat du texte.
Certaines obligations sont donc reportées : celles qui pèsent sur les systèmes d'IA à haut risque, du recrutement automatisé au scoring de crédit en passant par la tarification en assurance. Elles entreront en application le 2 décembre 2027 pour la majorité des cas, et le 2 août 2028 pour les systèmes déjà intégrés à des produits réglementés.
Le report concerne les obligations de conformité des systèmes à haut risque :
• Gestion des risques continue
• Gouvernance des données d'entraînement
• Documentation technique
• Journalisation des exécutions
• Contrôle humain effectif
• Robustesse et cybersécurité
• Analyse d'impact sur les droits fondamentaux
• Enregistrement dans une base européenne
Dans sa version initiale, la proposition de la Commission conditionnait l'application de ces obligations à la disponibilité des normes techniques européennes, avec une date butoir en cas de retard. Ce mécanisme conditionnel a disparu pendant les négociations : le texte final retient des dates fermes. Les obligations s'appliqueront donc le 2 décembre 2027 et le 2 août 2028, que les normes soient prêtes ou non.
Mais le reste du texte n'a pas bougé : transparence et sanctions sont pleinement opérationnelles depuis le 2 août 2026. Les sanctions restent d'ailleurs graduées et dissuasives : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements, dont les obligations de transparence. Et le règlement Omnibus ne se contente pas de reporter des échéances, il en a aussi créé de nouvelles.
À présent, les entreprises ont jusqu'au 2 décembre 2026 pour mettre en place des protections suffisantes contre la génération de contenus pédopornographiques et la création d'images, vidéos ou contenus audio représentant les parties intimes (ou tout autre contenu à caractère sexuel) d'une personne identifiable, sans son consentement, sous peine des sanctions maximales prévues par le texte.
À la même date, les générateurs de contenu mis sur le marché avant août 2026 devront intégrer des métadonnées, lisibles par machine, spécifiant que le contenu est généré par IA. C'est le seul délai accordé sur le volet de la transparence, et il ne bénéficie pas aux systèmes déployés après le 2 août.
Ce que l'AI Act change pour les équipes techniques
Ce qui arrive en 2027 relève de la documentation et de l'organisation, et cela se prépare dès aujourd'hui. Mais avant de parler de 2027, il y a un chantier déjà ouvert : la transparence, applicable depuis le 2 août 2026.
Signaler qu'un contenu est généré par IA n'est pas une mention légale qu'on ajoute à la fin, comme une signature. C'est une contrainte d'architecture. La mention doit être vérifiable non seulement par un utilisateur, mais aussi par une machine, ce qui suppose une métadonnée lisible automatiquement, posée au moment de la génération et propagée jusqu'à la diffusion, en passant par le stockage. Un champ generated_by ajouté après coup ne satisfait pas l'exigence : le règlement impose le marquage à la source, avant toute livraison ou publication.
Deux règles distinctes cohabitent ici, et elles sont sans ambiguïté.
Première règle : l'obligation n'est pas rétroactive. Les lignes directrices de la Commission le confirment : un contenu généré avant le 2 août 2026 n'a pas à être marqué a posteriori, c'est la date de génération qui fait foi.
Seconde règle : pour tout contenu généré depuis cette date, le marquage doit être posé dès la création. Un contenu produit sans marquage ne peut plus être mis en conformité de manière fiable après coup, car rien ne permet de prouver a posteriori qu'un fichier est bien issu d'un modèle. L'enjeu opérationnel est donc double : marquer dès maintenant tout ce qui se génère, et être capable de dater ce qui existe déjà, pour démontrer qu'un contenu antérieur au 2 août n'était pas soumis à l'obligation.
Le reste des obligations à préparer pour 2027 porte sur des éléments qui ne se fabriquent pas rétroactivement :
Les logs (les journaux d'exécution) exigés fin 2027 concerneront des systèmes qui tournent déjà. Sur des infrastructures où la rétention par défaut se compte en semaines, la question n'est pas « quand devons-nous être conformes », mais « depuis quand aurions-nous dû conserver les traces ».
L'AI Act exige de documenter l'origine des dataset d'entraînement et les traitements qu'ils ont subis. L'objectif du texte est clair sur ce point : une gouvernance des données traçable, et suffisamment détaillée pour permettre un contrôle effectif.
Le périmètre lui-même est mouvant. Un modèle mis à jour, une fonctionnalité étendue, un usage détourné par les utilisateurs, et un composant jusque-là hors champ bascule dans une catégorie réglementée. Sans inventaire ni historique des versions, personne ne pourra dire à quelle date le basculement a eu lieu.
L'impact de l'AI Act dans la banque, l'assurance et le luxe
L’IA Act et le secteur bancaire.
Dans ce secteur d’activité, le sujet le plus lourd est reporté. Un moteur de scoring qui conditionne l'accès à un crédit relève du haut risque : documentation du modèle, traçabilité des données d'entraînement, capacité à expliquer une décision individuelle, contrôle humain sur les décisions. Ce chantier se joue désormais à fin 2027. L'urgence est ailleurs : un assistant conversationnel déployé sur un espace client doit être identifié comme un système d'IA depuis le 2 août, tout comme les synthèses de dossiers générées automatiquement. Ce sont souvent des briques déployées rapidement, parfois par une direction métier, qui n'apparaissent dans aucun inventaire technique.
L’impact de l’IA Act sur le secteur de l’assurance.
Ici, l'exposition est plus large. Tarification algorithmique et évaluation du risque santé relèvent du haut risque, donc de 2027. La gestion automatisée de la relation client, la génération de courriers ou l'assistance au traitement des sinistres entrent en revanche dans le périmètre transparence, applicable dès maintenant. Le secteur est par ailleurs déjà soumis à de fortes exigences d'auditabilité : un système alimentant une décision de tarification devra pouvoir être reconstitué dans son état exact à une date donnée, ce qui suppose de conserver bien plus que le modèle final et donc de dédier une équipe à l'entretien et à la surveillance de la donnée.
Et pour les entreprises du luxe : quelles nouveaux enjeux entraînent l’IA Act ?
Dans le secteur du luxe, le haut risque y est rare, mais les obligations de transparence sont actives depuis le 2 août 2026, et se superposent à deux niveaux : le marquage technique lisible par machine, à la charge des fournisseurs d'outils de génération, et le signalement visible des contenus assimilables à des deepfakes, à la charge de la maison qui les diffuse. Le stock de visuels antérieur au 2 août 2026 échappe à l'obligation (la règle n'étant pas rétroactive). Mais c'est précisément là que le problème se déplace : pour des maisons qui produisent des volumes considérables de contenus via plusieurs agences et plusieurs outils, encore faut-il pouvoir prouver qu'un visuel date d'avant l'échéance, ou qu'il n'a pas été retouché par IA depuis. Sans métadonnée de provenance ni datation fiable attachée dès la création, la réponse honnête à « ce visuel est-il soumis à l'obligation ? » est souvent : on ne sait pas.
Les sanctions liées à la transparence s'appliquent depuis août 2026 et peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial selon le manquement. À cette échelle, l'écart entre « on pense être conforme » et « on peut le démontrer » devient un vrai risque financier.
Conclusion
Le report n'est donc pas une pause sur les devoirs de conformité des entreprises. C'est un délai supplémentaire accordé aux organisations pour respecter les obligations légales et engager de bonnes pratiques de développement et de gestion produit en matière d'IA.
L'urgence, aujourd'hui, porte sur la transparence, en particulier sur les composants et systèmes déjà déployés. La plupart sont modestes et rarement recensés comme des systèmes d'IA à part entière. Le sursis accordé jusqu'à fin 2027 permettra aux entreprises de rattraper leur retard et de répondre aux exigences de traçabilité et de documentation requises par l'UE pour les systèmes les plus à risque.
C'est un sujet que nous suivons de près chez Lenstra, car il redessine concrètement les pipelines et les stratégies de rétention que nous mettons en place chez nos clients de la banque, de l'assurance et du luxe. Nous les accompagnons déjà sur cet exercice de cartographie et de traçabilité, et nous documenterons les résultats ici dans les prochains mois pour vous aider également.
Des questions sur le sujet ? Contactez-nous !
