Ce qu'il faut retenir
- Le 2 décembre 2026 n'est pas un délai accordé à votre PME. C'est la date limite du marquage lisible par machine (article 50, paragraphe 2) pour les fournisseurs d'outils génératifs mis sur le marché avant le 2 août 2026. Les obligations des entreprises utilisatrices s'appliquent depuis le 2 août.
- Le même jour entrent en application deux nouvelles interdictions : les systèmes qui génèrent des images intimes non consenties d'une personne identifiable, et ceux qui génèrent des contenus pédopornographiques.
- Ces dates viennent du règlement (UE) 2026/1744 du 8 juillet 2026, l'« omnibus numérique sur l'IA », publié au JO de l'UE le 24 juillet et en vigueur depuis le 27. Il reporte le haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).
- Une PME peut être fournisseur sans le savoir : selon la Commission, l'entreprise qui développe un chatbot en interne et le met en service sous son nom en est le fournisseur.
- Un manquement à l'article 50 peut coûter jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le plus faible des deux pour une PME. En France, la loi désignant les autorités de contrôle n'est pas adoptée au 14 octobre 2026.
Marquage des contenus IA : pourquoi le 2 décembre 2026 compte
Le marquage des contenus IA est une obligation de transparence de l'AI Act (règlement (UE) 2024/1689) : textes, images, sons et vidéos produits par une IA générative doivent porter une marque lisible par machine qui les rend détectables comme artificiels. Cette obligation vise le fournisseur de l'outil, pas l'entreprise qui s'en sert. Le 2 décembre 2026, elle devient exigible pour tous les outils génératifs, y compris ceux mis sur le marché avant le 2 août 2026, qui avaient obtenu quatre mois de plus.
Pour une PME, c'est surtout la date à laquelle ses fournisseurs d'outils doivent être en règle ; ses propres obligations courent depuis le 2 août. Le sujet est large : selon le Baromètre France Num 2026 de la DGE (28 septembre, plus de 9 000 entreprises interrogées), 34 % des TPE et PME utilisent l'IA pour générer du texte, de la voix ou des images, et 24 % pour des chatbots, assistants ou outils de recherche d'information.
Omnibus numérique sur l'IA : que contient le règlement 2026/1744 ?
Le « train de mesures omnibus numérique sur l'IA » est le règlement (UE) 2026/1744 du 8 juillet 2026 (Parlement le 16 juin, Conseil le 29 juin). Publié au Journal officiel de l'UE le 24 juillet, il est entré en vigueur le 27 juillet. Il modifie l'AI Act, le règlement Machines et le règlement sur la sécurité aérienne (2018/1139), mais pas le RGPD. Le calendrier qui en résulte :
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Pratiques interdites (article 5), maîtrise de l'IA par le personnel (article 4) |
| 2 août 2025 | Modèles d'IA à usage général, gouvernance, régime des sanctions |
| 2 août 2026 | Obligations de transparence de l'article 50 |
| 2 décembre 2026 | Fin du sursis de marquage pour les outils génératifs mis sur le marché avant le 2 août 2026 ; nouvelles interdictions |
| 2 août 2027 | Un bac à sable réglementaire de l'IA opérationnel dans chaque État membre |
| 2 décembre 2027 | Haut risque, annexe III (emploi, éducation, crédit aux particuliers…) |
| 2 août 2028 | Haut risque, annexe I (IA intégrée à des produits réglementés) |
Dans l'article 50, l'omnibus ne réécrit que le paragraphe 7, sur les codes de bonne pratique : le contenu des obligations de transparence est inchangé, seul le calendrier du marquage a bougé.
Ce qui change le 2 décembre 2026
La fin du sursis pour le marquage technique
Le nouvel article 111, paragraphe 4, de l'AI Act impose aux fournisseurs de systèmes d'IA, y compris à usage général, qui génèrent des contenus de synthèse (audio, image, vidéo ou texte) et ont été mis sur le marché avant le 2 août 2026, de se conformer à l'article 50, paragraphe 2, d'ici au 2 décembre 2026. Chaque sortie doit alors être marquée (filigrane, métadonnées…) et détectable comme générée par IA, et le fournisseur doit offrir un moyen de détection.
La correction grammaticale, la traduction ou un léger recadrage n'ont pas à être marqués ; un résumé ou une reformulation qui change le style d'un texte, si. Selon les lignes directrices de la Commission du 20 juillet 2026, un outil à la fois conversationnel et génératif n'a de sursis que pour le marquage : l'information de l'utilisateur qu'il parle à une IA s'impose depuis le 2 août. Les contenus générés avant le 2 août 2026 n'ont pas à être marqués rétroactivement ; un texte d'intérêt public généré avant cette date mais publié après doit, lui, être signalé, sauf relecture humaine.
Deux nouvelles interdictions
L'omnibus ajoute à l'article 5 deux pratiques interdites à partir du 2 décembre 2026, et non dès l'entrée en vigueur comme l'indiquait notre version de juillet : les systèmes qui génèrent ou manipulent des contenus réalistes montrant les parties intimes d'une personne identifiable, ou cette personne dans des activités sexuellement explicites, sans son consentement explicite ; et ceux qui génèrent des contenus pédopornographiques.
Un fournisseur est visé quand cette production est la destination du système, ou un résultat raisonnablement prévisible faute de garde-fous ; un utilisateur, quand il s'en sert dans ce but. L'amende peut atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
AI Act, article 50 : ce qui s'applique depuis le 2 août 2026
Marquage des contenus IA : fournisseur ou déployeur, qui doit quoi ?
L'article 3 de l'AI Act définit deux rôles. Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. Le déployeur l'utilise sous sa propre autorité, dans un cadre professionnel.
| Article 50 | Obligation | Qui |
|---|---|---|
| § 1 | Informer les personnes qu'elles interagissent avec une IA (chatbot, agent, assistant vocal) | Fournisseur |
| § 2 | Marquer les contenus générés et les rendre détectables | Fournisseur |
| § 3 | Informer les personnes exposées à la reconnaissance des émotions ou à la catégorisation biométrique | Déployeur |
| § 4 | Signaler les hypertrucages (image, son, vidéo) et les textes d'intérêt public publiés sans relecture humaine ni responsable éditorial | Déployeur |
| § 5 | Informer clairement, au plus tard à la première interaction ou exposition | Les deux |
Quand vos équipes utilisent ChatGPT, Copilot ou Claude, ou que votre site loue un chatbot vendu sous la marque de son éditeur, vous êtes déployeur. Selon les lignes directrices, l'entreprise devient fournisseur quand elle développe un chatbot en interne et le met en service sous son nom, même pour son propre usage, ou quand elle modifie un système génératif existant et le met en service sous son nom.
Une PME qui assemble son propre assistant client sur un modèle accessible par API est, à notre lecture, dans le premier cas. Les lignes directrices lui permettent de s'appuyer sur le marquage mis en place par le fournisseur du modèle, s'il est conforme, mais c'est à elle de démontrer la conformité. Un point à régler dès la conception de tout outil métier sur mesure qui génère du contenu ou dialogue avec des clients.
Cas 1 : vous avez un chatbot ou un assistant sur votre site
L'obligation ne disparaît que si la nature artificielle de l'échange est évidente, une exception que la Commission demande d'interpréter strictement : elle ne vaut pas pour un chatbot ouvert au grand public, qui inclut des personnes peu familières de l'IA. Sont jugés insuffisants, seuls, une mention dans les conditions générales, une formule du type « les services de ce site utilisent l'IA », un nom ambigu comme « assistant » ou un avatar humain trompeur.
Une notification visible avant la première interaction suffit dans la plupart des cas ; des rappels peuvent être nécessaires en conseil financier, assurance, santé ou gestion des réclamations. Un agent IA qui écrit au nom d'une personne doit dire qu'il est une IA et pour qui il agit. Un conseiller humain qui s'aide d'une IA ne déclenche pas l'obligation. Si la mention manque sur votre site, demandez-la par écrit à votre prestataire. Voir aussi notre article sur le chatbot IA en service client.
Cas 2 : vous publiez des contenus générés par IA
Un hypertrucage est une image, un son ou une vidéo générés ou manipulés par IA, qui ressemblent à des personnes, objets, lieux ou événements existants et pourraient passer pour authentiques. Les exemples de la Commission parlent aux services marketing :
| Hypertrucage, à signaler | Pas un hypertrucage |
|---|---|
| Une image générée qui fait paraître un produit plus attrayant ou de meilleure qualité qu'en réalité | Un produit réel devant un décor généré, si la publicité ne trompe pas sur le produit |
| Un avatar réaliste du dirigeant qui félicite les salariés pour les résultats de l'année | Une scène manifestement imaginaire, comme un sphinx survolant la tour Eiffel |
Pour les textes, seuls ceux publiés pour informer le public sur des questions d'intérêt public sont visés (santé, environnement, sécurité des consommateurs, économie, politique). Fiches produits et textes publicitaires en sont exclus, sauf allégations de santé, de sécurité ou de durabilité. L'exception de relecture humaine suppose un examen du fond, vérification des faits comprise, et un responsable éditorial identifiable, par exemple dans les mentions légales. Une correction orthographique ne suffit pas.
Pour étiqueter, l'UE propose des icônes officielles gratuites, issues du code de bonne pratique sur la transparence des contenus générés par IA. Ce code volontaire, publié le 10 juin 2026 et jugé adéquat par la Commission le 8 juillet, comptait environ 190 signataires fin juillet.
Cas 3 : vos équipes utilisent ChatGPT, Copilot ou Claude en interne
L'article 50 ne vous concerne alors que si vous diffusez un hypertrucage ou publiez un texte d'intérêt public sans relecture : notes et courriels internes ne sont pas « publiés ». L'obligation qui s'applique pleinement est l'article 4, la maîtrise de l'IA, en vigueur depuis février 2025. Bien menée, elle prévient aussi des incidents concrets : données clients collées dans un outil grand public, chiffres inventés repris dans un devis. Voir aussi ce que deviennent vos données dans ChatGPT.
Le report à décembre 2027 : qui est réellement concerné ?
| Catégorie | Échéance initiale | Nouvelle échéance |
|---|---|---|
| Haut risque, annexe III (biométrie, infrastructures critiques, éducation, emploi, crédit aux particuliers…) | 2 août 2026 | 2 décembre 2027 |
| IA intégrée à des produits réglementés, annexe I (jouets, ascenseurs, dispositifs médicaux…) | 2 août 2027 | 2 août 2028 |
| Bac à sable réglementaire national | 2 août 2026 | 2 août 2027 |
Trois exemples pour une PME industrielle :
- Un logiciel de tri de candidatures relève de l'annexe III : gestion des risques, qualité des données, supervision humaine et journalisation s'appliqueront le 2 décembre 2027 (voir notre article sur l'IA en ressources humaines).
- Un scoring crédit de vos fournisseurs par l'IA n'en relève pas si ce sont des sociétés : l'annexe III vise la solvabilité des personnes physiques et exclut la détection de fraude. Pour des fournisseurs entrepreneurs individuels, c'est un cas limite à faire examiner.
- Une maintenance prédictive sur une machine : depuis l'omnibus, une IA utilisée seulement pour des aspects non liés à la sécurité (optimiser les performances, automatiser, contrôler la qualité) n'est pas un composant de sécurité, sauf si sa défaillance mettrait en danger la santé et la sécurité (article 6, paragraphes 1 bis et 1 ter). Les exigences d'IA à haut risque pour les machines passeront, elles, par des actes délégués du règlement Machines (applicable le 20 janvier 2027), applicables au plus tard le 2 août 2028. Voir notre article sur la maintenance prédictive.
Seize mois de plus pour l'annexe III, ce n'est pas une pause : l'inventaire des usages IA (quel outil, pour quelle décision, avec quelles données) prend des semaines.
Ce que l'omnibus change d'autre pour les PME
- La maîtrise de l'IA reste une obligation. Selon le nouvel article 4, fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA » par leur personnel, sans être tenus de garantir un niveau donné pour chaque individu. Notre formation d'une demi-journée « Les risques et opportunités autour de l'IA » (750 € HT en intra) couvre ce cadre, AI Act et RGPD compris ; elle figure dans notre catalogue de formations et peut être financée par votre OPCO, selon des règles qui ont changé le 1er octobre 2026 chez plusieurs OPCO.
- Les petites entreprises à moyenne capitalisation profitent désormais de mesures jusqu'ici réservées aux PME : documentation technique simplifiée, système qualité proportionné, accès prioritaire au bac à sable européen, plafond d'amende le plus faible des deux montants (hors pratiques interdites).
- L'enregistrement est allégé pour les systèmes qu'un fournisseur estime non à haut risque (article 6, paragraphe 3) : deux rubriques de l'annexe VIII disparaissent.
AI Act en France : quelles autorités de contrôle ?
Le règlement s'applique directement, mais son contrôle repose sur des autorités nationales dont les coordonnées devaient être publiées au plus tard le 2 août 2025 (article 70). Au 14 octobre 2026, la loi qui doit les désigner n'est pas adoptée.
Le schéma publié par la DGE le 9 septembre 2025 prévoit, pour l'article 50, la DGCCRF et l'Arcom pour les chatbots, les contenus de synthèse et les hypertrucages, l'Arcom pour les textes d'intérêt public, la CNIL pour la reconnaissance des émotions. Sa mise en œuvre passe par le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne (DDADUE), adopté par le Sénat le 18 février 2026 et toujours en première lecture à l'Assemblée nationale. Le texte du Sénat (article 24 quinquies) ajoute l'article 50, paragraphes 1, 2 et 4 premier alinéa (hypertrucages), à la liste des manquements que les agents de la DGCCRF peuvent rechercher et constater (code de la consommation, article L. 511-7).
L'absence d'autorité désignée retarde les contrôles, pas les obligations. Pour l'article 50, l'article 99 plafonne l'amende à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le plus faible des deux pour une PME, et toute personne physique ou morale peut déposer une réclamation auprès de l'autorité de surveillance (article 85). Pour une PME, la pression peut aussi venir d'un donneur d'ordres qui exige la conformité dans ses appels d'offres.
Checklist avant le 2 décembre 2026 : par où commencer, concrètement
Si vous êtes déployeur, comme la plupart des PME, ces points sont déjà exigibles :
- Ouvrez votre chatbot comme un client : la mention « vous échangez avec une IA » doit apparaître au plus tard au premier échange, pas seulement dans les conditions générales.
- Recensez les contenus publiés depuis le 2 août (visuels produits retouchés, avatars, voix clonées, articles d'intérêt public) et étiquetez les hypertrucages.
- Formalisez la relecture des textes : qui relit, ce qu'il vérifie (les faits, pas l'orthographe), qui signe.
- Écrivez une politique d'usage d'une page : ce qu'on génère, ce qu'on retouche, ce qu'on déclare.
Avant le 2 décembre :
- Interrogez par écrit vos éditeurs d'outils génératifs : date de mise sur le marché, technique de marquage, moyen de détection, signature du code de bonne pratique.
- Si vous êtes fournisseur, faites fonctionner marquage et détection au plus tard le 2 décembre pour un système mis sur le marché avant le 2 août (pour un système plus récent, c'est déjà exigible), et vérifiez les garde-fous de tout générateur d'images intégré à vos produits.
D'ici fin 2026, inventoriez vos usages IA (internes, fournis par des éditeurs, embarqués dans des SaaS) et classez-les : interdit, haut risque, transparence, risque minimal. C'est le livrable type d'un diagnostic IA, que notre grille de maturité data et IA aide à préparer. Pour les entreprises industrielles des régions où nous intervenons, il peut être entièrement financé par l'OPCO 2i via Clic&Tech.
Les limites à garder en tête
- Les lignes directrices de la Commission ne sont pas contraignantes : seule la Cour de justice de l'UE interprète le règlement de façon définitive.
- Les lignes directrices sur le haut risque dans les produits réglementés (annexe I, section A) ont pour échéance le 1er août 2027 : pour une IA embarquée, une partie de l'interprétation reste à venir.
- La désignation française peut évoluer à l'Assemblée nationale.
- Cet article est une synthèse d'orientation, pas un avis juridique : biométrie, secteurs réglementés et produits de l'annexe I justifient un conseil spécialisé.
Conclusion : le 2 décembre concerne vos fournisseurs, le 2 août vous concernait déjà
Le règlement 2026/1744 a desserré le calendrier du haut risque sans toucher à l'essentiel : dire quand une machine parle, dire quand un contenu est artificiel. Pour une PME déployeuse, ces obligations courent depuis le 2 août ; le 2 décembre, ce sont ses fournisseurs d'outils qui doivent avoir fini leur part.
Les seize mois gagnés sur le haut risque, eux, sont le temps d'un inventaire sérieux, à mener comme un projet d'entreprise plutôt qu'en urgence.
Lire aussi : IA conforme au RGPD : le guide entreprise, AI Act inclus
Sources
- EUR-Lex — Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant le règlement (UE) 2024/1689 (omnibus numérique sur l'IA) (JO du 24 juillet 2026)
- EUR-Lex — Règlement (UE) 2024/1689 sur l'intelligence artificielle (articles 3, 4, 5, 50, 70, 85, 99, 113, annexes I et III)
- Commission européenne — Lignes directrices sur les obligations de transparence de l'article 50, C(2026) 5054 (20 juillet 2026)
- Commission européenne — Code of Practice on Transparency of AI-generated Content (10 juin 2026), avis d'adéquation de la Commission (8 juillet 2026) et EU icons for labelling AI-generated content (consultés le 14 octobre 2026)
- DGE — Les autorités compétentes pour la mise en œuvre du règlement européen sur l'intelligence artificielle (9 septembre 2025)
- Sénat — Dossier législatif du projet de loi DDADUE, texte adopté par le Sénat (18 février 2026) et dossier de l'Assemblée nationale (consultés le 14 octobre 2026)
- DGE — Baromètre France Num 2026 : quatre TPE-PME sur dix utilisent désormais l'intelligence artificielle (28 septembre 2026)
- EUR-Lex — Règlement (UE) 2023/1230 sur les machines (applicable le 20 janvier 2027, date corrigée par le rectificatif du 4 juillet 2023)
Votre site a un chatbot, vous publiez des visuels ou des articles générés par IA, ou vous avez développé votre propre assistant ? Parlons-en : nous vous aidons à cartographier vos usages et vos obligations, à former vos équipes au cadre de l'AI Act et à concevoir des outils conformes dès le départ.
