Calendrier de l'AI Act 2026/27 : état de la mise en œuvre et ce que change le Digital Omnibus

Ce suivi de la mise en œuvre de l'AI Act européen récapitule les jalons contraignants du règlement sur l'IA (règlement (UE) 2024/1689) pour les années 2026 et 2027. Les repères essentiels : les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Les systèmes génératifs déjà présents sur le marché auparavant doivent ajouter le marquage lisible par machine d'ici au 2 décembre 2026. Après le Digital Omnibus, les obligations de l'annexe III relatives au haut risque ne s'appliquent qu'à partir du 2 décembre 2027. Toutes les informations sont à jour en octobre 2026.

Cet article est conçu comme un document évolutif. Le règlement sur l'IA est en pleine phase de mise en œuvre. Le texte appelé Digital Omnibus (règlement (UE) 2026/1744) a été publié au Journal officiel le 24 juillet 2026, il est en vigueur depuis le 27 juillet 2026 et a reporté plusieurs échéances de manière contraignante. L'Allemagne dispose de sa loi d'application depuis fin juillet 2026, tandis que l'Autriche n'avait encore présenté aucun projet à cette date. Nous indiquons donc ce qui s'applique déjà et ce qui reste en suspens.

Trois réponses rapides pour les décideurs

• Qu'est-ce qui compte dès maintenant ? La transparence de l'art. 50 s'applique depuis le 2 août 2026. Les systèmes génératifs déjà présents sur le marché auparavant doivent ajouter le marquage lisible par machine d'ici au 2 décembre 2026. Toute entreprise qui utilise des chatbots, des agents vocaux ou de l'IA générative dans la relation client est concernée, quel que soit son statut au regard du haut risque.
• Qu'est-ce qui a été reporté ? Avec le Digital Omnibus, en vigueur depuis le 27 juillet 2026, le haut risque de l'annexe III glisse au 2 décembre 2027 et l'IA soumise à la législation sur la sécurité des produits (annexe I) au 2 août 2028. Les nouvelles dates sont contraignantes.
• Qu'est-ce qui n'a pas été reporté ? Les interdictions (art. 5) et la maîtrise de l'IA (art. 4) depuis le 2 février 2025, les obligations GPAI depuis le 2 août 2025, le régime des sanctions. L'Omnibus a toutefois assoupli le contenu de l'art. 4. Le report n'est pas un blanc-seing pour repousser la gouvernance de l'IA.

Le suivi de la mise en œuvre : date, obligation, statut

Le tableau suivant présente les jalons essentiels de la mise en œuvre du règlement sur l'IA pour la période 2026-2028. Le statut reflète la situation en octobre 2026, c'est-à-dire après l'entrée en vigueur du Digital Omnibus le 27 juillet 2026.

Ce que change le Digital Omnibus, et ce qu'il ne change pas

Le Digital Omnibus est l'événement le plus important de l'année pour la mise en œuvre. L'accord politique du 7 mai 2026 a été suivi de l'adoption formelle ; le texte est en vigueur depuis le 27 juillet 2026. Il reporte la majeure partie des obligations matérielles relatives au haut risque :

• Annexe III (systèmes à haut risque autonomes), par exemple l'IA dans les ressources humaines (tri de CV, évaluation des performances), l'évaluation de la solvabilité, la tarification en assurance, l'éducation, les infrastructures critiques : du 2 août 2026 au 2 décembre 2027.
• Annexe I (IA en tant que composant de sécurité de produits réglementés), par exemple les dispositifs médicaux, les machines, les ascenseurs : du 2 août 2027 au 2 août 2028. L'Omnibus restreint en outre la définition du « composant de sécurité ».
• Bacs à sable réglementaires de l'IA (sandboxes) : les autorités nationales doivent les mettre en place d'ici au 2 août 2027 (report du 2 août 2026).

Ce que l'Omnibus ne reporte pas compte tout autant : l'entrée en application de l'art. 5 (interdictions) et de l'art. 4 (maîtrise de l'IA), les obligations GPAI (art. 51-55), la transparence de l'art. 50 à partir du 2 août 2026 ainsi que le régime des sanctions. Sur le fond, il a pourtant modifié certains points. L'art. 4 n'impose plus d'atteindre un niveau déterminé, seulement de prendre des mesures pour favoriser la maîtrise de l'IA. Pour l'art. 50, paragraphe 2, les systèmes génératifs déjà présents sur le marché avant le 2 août 2026 bénéficient d'une période transitoire jusqu'au 2 décembre 2026 ; les nouveaux systèmes doivent appliquer le marquage dès leur mise sur le marché. Les grands cabinets d'avocats mettent systématiquement en garde contre une lecture du report comme une invitation à mettre la gouvernance de l'IA en pause. Nouveauté : des interdictions visent les systèmes d'IA servant à générer des contenus intimes non consentis et du matériel d'abus sexuels sur enfants généré par IA (« applications de nudification »). Elles s'appliquent à partir du 2 décembre 2026.

Art. 50 : les obligations de transparence en détail

Pour la plupart des entreprises en Europe, et en particulier pour les agences marketing, l'art. 50 est l'échéance la plus importante sur le plan opérationnel en 2026, car il s'applique indépendamment du statut au regard du haut risque. Le règlement prévoit quatre obligations :

En pratique : quiconque exploite un chatbot ou déploie un agent vocal doit garantir l'information sur l'IA (l'exception « évident au vu du contexte » est interprétée de manière stricte : une voix qui sonne humaine doit révéler qu'elle est une IA). Quiconque diffuse des contenus génératifs a besoin d'un marquage lisible par machine. Pour les vidéos de produits ou d'influenceurs proches du deepfake, l'obligation d'information des déployeurs s'applique pleinement.

Obligations GPAI : déjà pleinement applicables

Les obligations relatives aux modèles d'IA à usage général (art. 51-55) sont en vigueur depuis le 2 août 2025 et concernent la couche modèle sur laquelle repose pratiquement toute pile d'agents. Repères importants : les amendes GPAI (art. 101, jusqu'à 15 millions d'euros ou 3 %) peuvent être infligées depuis le 2 août 2026 ; l'Omnibus n'a pas reporté cette date. Les anciens modèles mis sur le marché avant le 2 août 2025 (par exemple ceux de la classe GPT-4) ont jusqu'au 2 août 2027 pour se mettre entièrement en conformité (art. 111, paragraphe 3).

La distinction entre GPAI et GPAI présentant un risque systémique repose sur la puissance de calcul : à partir de 10 puissance 25 FLOP de calcul d'entraînement cumulé, un risque systémique est présumé (art. 51, paragraphe 2). Les signataires du code de bonnes pratiques GPAI (publié le 10 juillet 2025) peuvent s'appuyer sur celui-ci pour démontrer le respect de leurs obligations (art. 53, paragraphe 4, art. 55, paragraphe 2). Cela ne crée aucune présomption légale de conformité. La Commission tient toutefois compte des engagements pris dans le code pour fixer le montant des amendes (art. 101, paragraphe 1).

Exemple concret : un agent vocal au service client

Une PME de la région DACH (Allemagne, Autriche, Suisse) prévoit de lancer en juin 2027 un agent vocal pour sa hotline de service entrante. Quelles échéances sont contraignantes ?

• Art. 50, paragraphe 1, depuis le 2 août 2026 : l'agent doit se présenter comme une IA au début de la conversation. Lors de la mise en service en juin 2027, cette information est obligatoire dès le premier jour.
• Art. 4 depuis le 2 février 2025 : l'entreprise doit prendre des mesures qui favorisent la maîtrise de l'IA des collaborateurs chargés du système. Un programme de formation documenté constitue la meilleure preuve. L'art. 99 ne prévoit pas de palier d'amende propre à l'art. 4 ; la sanction éventuelle d'une infraction relève des États membres (art. 99, paragraphe 1).
• Codécision selon le droit du travail national : avant la mise en service, le comité d'entreprise doit être associé (Allemagne : § 87 Abs. 1 Nr. 6 BetrVG ; Autriche : § 96 et § 96a ArbVG). Cela ajoute généralement 3-6 mois au calendrier. L'art. 26, paragraphe 7, du règlement sur l'IA impose en outre d'informer les représentants des travailleurs et les salariés concernés dès que le système est considéré comme à haut risque.
• Évaluation du haut risque : tant que l'agent se limite au tri et au routage des appels et ne prend pas de décisions sur l'accès à des services essentiels, il reste en dehors de l'annexe III. S'il accède à des données RH ou de crédit, il peut basculer dans les points 4 ou 5 de l'annexe III. Le régime complet du haut risque s'appliquerait alors à partir du 2 décembre 2027.

Le goulot d'étranglement se situe donc au niveau de la codécision, pas de l'échéance haut risque de décembre 2027 : pour une mise en service en juin 2027, la procédure doit démarrer au plus tard fin 2026. L'obligation d'information de l'art. 50 s'applique de toute façon depuis août 2026.

Mise en œuvre nationale dans la région DACH (état en octobre 2026)

• Allemagne : la loi sur la surveillance du marché et la promotion de l'innovation en matière d'intelligence artificielle (KI-MIG) est entrée en vigueur le 29 juillet 2026. Depuis, la Bundesnetzagentur est l'autorité de surveillance du marché, le point de contact unique et l'instance de réclamation pour le règlement sur l'IA. Dans les domaines de produits entièrement harmonisés, les autorités établies restent compétentes, comme la BaFin dans le secteur financier.
• Autriche : selon l'ORF, il n'existait fin juillet 2026 ni projet de loi du gouvernement pour la mise en œuvre ni autorité de surveillance du marché désignée au titre de l'art. 70 ; la Chancellerie fédérale renvoyait à des discussions en cours. La KI-Servicestelle de la RTR joue pour l'instant un rôle de conseil. Au niveau sectoriel, la FMA encadre le domaine financier.
• Suisse : pas d'amende directe au titre de l'AI Act ; la FINMA (Guidance 08/2024) et Swissmedic restent compétentes au niveau sectoriel. Depuis le 1er avril 2025, les cyberattaques contre des infrastructures critiques doivent être signalées à l'Office fédéral de la cybersécurité (OFCS). Une loi de mise en œuvre de la convention du Conseil de l'Europe sur l'IA doit être mise en consultation d'ici à fin 2026. Via l'art. 2, paragraphe 1, point c), les entreprises suisses dont les sorties d'IA sont utilisées dans l'UE sont couvertes.

Remarque : cette analyse éditoriale ne remplace pas un conseil juridique. En octobre 2026, restent surtout en suspens les lignes directrices définitives de la Commission sur le haut risque et la mise en œuvre autrichienne. Vérifie les deux avant toute décision, au moins une fois par trimestre.

Agences et B2B : rendre la conformité opérationnelle dès maintenant

Pour les agences marketing, l'obligation la plus évidente avance dans le calendrier : quiconque développe pour ses clients des chatbots, des agents vocaux ou des contenus de campagne génératifs partage depuis le 2 août 2026 la responsabilité en matière de transparence. Le 2 décembre 2026 ne vaut, pour le marquage lisible par machine, que pour les systèmes génératifs déjà présents sur le marché avant août 2026 ; les nouveaux systèmes doivent appliquer le marquage dès leur mise sur le marché. Dans le modèle en marque blanche, le piège du « rebranding » de l'art. 25 peut faire endosser le rôle complet de fournisseur. Pour les décideurs B2B, les échéances haut risque reportées ne sont pas une raison de baisser la garde, mais une fenêtre de planification. Chez Blck Alpaca, nous accompagnons des entreprises de toute l'Europe pour inventorier leurs agents, cartographier les échéances par système et mettre en place à temps les processus de transparence, de marquage et de codécision. Contacte-nous pour un audit de conformité structuré avant que les échéances haut risque de 2027 ne s'appliquent.