Entrée en vigueur de l'AI Act : calendrier 2024–2028 (à jour en octobre 2026)

Le calendrier du règlement européen sur l'IA échelonne l'application du règlement (UE) 2024/1689 sur plusieurs années : entrée en vigueur le 1er août 2024, pratiques interdites et maîtrise de l'IA depuis le 2 février 2025, obligations GPAI depuis le 2 août 2025, application générale depuis le 2 août 2026 et obligations relatives aux systèmes à haut risque échelonnées jusqu'en 2028. Depuis l'omnibus numérique, toutes les dates d'application sont fixées.

• Déjà applicables : interdictions (art. 5) et maîtrise de l'IA (art. 4) depuis le 2 février 2025, obligations GPAI (art. 51 à 55) depuis le 2 août 2025.
• Depuis le 2 août 2026 : obligations de transparence (art. 50) et contrôle par les autorités, ainsi que les amendes visant les fournisseurs de GPAI (art. 101).
• Obligations relatives aux systèmes à haut risque : annexe III à partir du 2 décembre 2027, annexe I à partir du 2 août 2028, fixées de manière contraignante par le règlement Omnibus numérique (UE) 2026/1744. L'art. 26 (obligations des déployeurs), l'art. 27 (FRIA, annexe III uniquement) et l'art. 73 (obligation de notification) ne concernent que les systèmes à haut risque et ne s'appliquent qu'à ces dates.

Base juridique et entrée en vigueur

Le règlement européen sur l'IA est le règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle. Il a été publié au Journal officiel le 12 juillet 2024 et est entré en vigueur le 1er août 2024. En tant que règlement directement applicable, il s'applique dans tous les États membres de l'UE sans transposition nationale. L'entrée en vigueur a seulement lancé le compte à rebours : aucune obligation immédiate n'en découlait encore.

Le véritable mécanisme se trouve à l'art. 113 : le règlement sur l'IA rend ses obligations applicables par vagues successives. Ce sont précisément ces échéances échelonnées du règlement sur l'IA qui rendent le calendrier important pour les décideurs, car la date applicable varie selon le rôle (fournisseur, déployeur, fournisseur de GPAI) et la classe de risque.

Le tableau des étapes clés : le calendrier du règlement sur l'IA en un coup d'œil

Le tableau ci-dessous présente les principales dates prévues par l'art. 113 et l'art. 111 dans leur version issue du règlement Omnibus numérique (UE) 2026/1744. Ce règlement a été publié au Journal officiel le 24 juillet 2026 et est en vigueur depuis le 27 juillet 2026. Les dates d'application du tableau sont donc contraignantes.

Phase 1 (depuis février 2025) : interdictions et maîtrise de l'IA

Depuis le 2 février 2025, deux volets s'appliquent à tout déployeur, que le système soit ou non considéré comme à haut risque.

Premièrement, les pratiques interdites (art. 5) : huit catégories totalement interdites dans l'UE. Pour les entreprises en Europe, l'art. 5, paragraphe 1, point f), est particulièrement pertinent : il vise la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement (avec des exceptions étroites pour des raisons médicales ou de sécurité). Un agent d'analytique RH qui déduit l'humeur, la concentration ou le stress des salariés à partir de vidéo, d'audio ou de données biométriques est interdit sur le lieu de travail. Le règlement Omnibus numérique (UE) 2026/1744 a complété l'art. 5 par deux interdictions applicables à partir du 2 décembre 2026 : les systèmes d'IA qui génèrent des deepfakes intimes non consentis et les systèmes d'IA qui génèrent des contenus pédopornographiques.

Deuxièmement, la maîtrise de l'IA (art. 4) : les fournisseurs et les déployeurs doivent prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel et des personnes qui s'occupent du fonctionnement des systèmes d'IA pour leur compte. Depuis le 27 juillet 2026, l'art. 4 dans sa version issue du règlement (UE) 2026/1744 n'impose plus de niveau de compétence précis. L'obligation s'applique à tous les niveaux de risque, donc aussi aux agents internes à risque minimal. Aucun certificat n'est requis. Un programme de formation documenté reste la meilleure preuve si une autorité de surveillance pose des questions.

Phase 2 (depuis août 2025) : obligations GPAI

Depuis le 2 août 2025, les obligations des fournisseurs de modèles d'IA à usage général (GPAI, art. 51 à 55) s'appliquent. Elles concernent la couche modèle, sur laquelle repose pratiquement tout agent moderne. Est considéré comme modèle GPAI un modèle dont la puissance de calcul indicative utilisée pour l'entraînement atteint environ 10^23 FLOP et qui est capable de générer du langage ; il est considéré comme GPAI présentant un risque systémique lorsque la quantité cumulée de calcul utilisée pour l'entraînement dépasse 10^25 FLOP (art. 51, paragraphe 2). Les amendes visant les fournisseurs de GPAI (art. 101) sont devenues applicables le 2 août 2026 ; les modèles existants mis sur le marché avant le 2 août 2025 ont jusqu'au 2 août 2027 pour se mettre en conformité (art. 111, paragraphe 3).

Phase 3 (depuis août 2026) : application générale et transparence

Depuis le 2 août 2026, le règlement sur l'IA s'applique de manière générale et les autorités en contrôlent le respect. Pour les déployeurs d'agents IA, c'est surtout l'art. 50 (transparence) qui compte ; pour les fournisseurs de GPAI s'ajoutent les amendes de l'art. 101. L'art. 26 (obligations des déployeurs), en revanche, ne concerne que les systèmes d'IA à haut risque et s'applique à partir du 2 décembre 2027 (annexe III) ou du 2 août 2028 (annexe I). L'analyse d'impact sur les droits fondamentaux (FRIA) prévue à l'art. 27 ne vise que certains déployeurs de systèmes de l'annexe III et s'applique à partir du 2 décembre 2027. L'obligation de notifier les incidents graves prévue à l'art. 73 ne vise elle aussi que les fournisseurs de systèmes à haut risque. Pour le marquage au titre de l'art. 50, il existe une période transitoire : les fournisseurs de systèmes d'IA générative mis sur le marché avant le 2 août 2026 doivent mettre en œuvre le marquage lisible par machine prévu à l'art. 50, paragraphe 2, d'ici le 2 décembre 2026. Toutes les autres obligations de l'art. 50 s'appliquent depuis le 2 août 2026.

Phase 4 (à partir de 2027/2028) : systèmes à haut risque

À l'origine, les obligations relatives aux systèmes à haut risque devaient s'appliquer le 2 août 2026 pour l'annexe III et le 2 août 2027 pour l'annexe I (art. 6, paragraphe 1). Le règlement Omnibus numérique (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, reporte ces deux dates :

• Annexe III (catégories autonomes à haut risque comme les RH, le crédit, l'assurance ou les infrastructures critiques) : au 2 décembre 2027.
• Annexe I (IA comme composant de sécurité de produits réglementés, par exemple les dispositifs médicaux et les machines) : au 2 août 2028.

Ces deux dates sont contraignantes depuis l'entrée en vigueur de l'omnibus. Le report concerne les obligations à haut risque du chapitre III, sections 1 à 3, dont font aussi partie l'art. 26 et l'art. 27. N'ont pas été reportés : l'art. 4 (maîtrise, réécrit sur le fond), l'art. 5 (interdictions), les règles GPAI, l'art. 50 et le régime des amendes. Pour le marquage prévu à l'art. 50, paragraphe 2, il n'existe que la période transitoire pour les systèmes existants, jusqu'au 2 décembre 2026.

Périodes transitoires et sanctions : un exemple chiffré

Les périodes transitoires du règlement sur l'IA ne produisent leur effet qu'à travers le régime des amendes. Les trois niveaux prévus à l'art. 99 :

C'est chaque fois le montant le plus élevé qui s'applique. Exemple chiffré : une entreprise de taille moyenne de la zone DACH (Allemagne, Autriche, Suisse) réalisant 40 millions d'euros de chiffre d'affaires annuel et employant 180 personnes (PME au sens de l'UE) utilise depuis août 2026 un agent IA développé en interne pour son service client. L'agent n'indique pas aux clients qu'ils parlent à une IA. En tant que fournisseur, l'entreprise enfreint ainsi l'art. 50, paragraphe 1, ce qui relève du niveau 2 : 3 % de 40 millions d'euros donnent 1,2 million d'euros, le plafond absolu étant de 15 millions d'euros. Sans le statut de PME, le montant le plus élevé serait déterminant, soit jusqu'à 15 millions d'euros.

Pour les PME et les start-up s'applique toutefois la règle spéciale de l'art. 99, paragraphe 6 : c'est le moins élevé des deux montants qui compte, soit jusqu'à 1,2 million d'euros dans l'exemple. Depuis le règlement (UE) 2026/1744, ce plafond vaut aussi pour les petites entreprises à moyenne capitalisation (SMC), mais uniquement pour les amendes prévues à l'art. 99, paragraphes 4 et 5. Pour les manquements à l'art. 4 (maîtrise de l'IA), le règlement sur l'IA ne prévoit pas de régime d'amendes propre. Les sanctions correspondantes relèvent des États membres, conformément à l'art. 99, paragraphe 1.

Pour les agences et les décideurs B2B

Le message pour la feuille de route : l'omnibus a surtout reporté les échéances du haut risque. Pour l'art. 50, paragraphe 2, il n'existe qu'une période transitoire pour les systèmes existants, jusqu'au 2 décembre 2026. La maîtrise de l'IA (art. 4) est exigible depuis février 2025, la transparence au titre de l'art. 50 depuis août 2026. Les agences marketing et les équipes B2B devraient donc mettre en place deux choses dès maintenant : un programme documenté de maîtrise de l'IA et un inventaire de tous les points d'interaction IA côté client pour la transparence au titre de l'art. 50. Les entreprises qui utilisent des agents dans les RH, l'octroi de crédits ou d'autres domaines de l'annexe III mettent à profit le temps qui reste jusqu'en décembre 2027 pour la classification des risques, les obligations des déployeurs prévues à l'art. 26 et, lorsqu'elle est exigée, la FRIA. Blck Alpaca aide les entreprises en Europe à sécuriser leurs stacks d'agents au regard de la partie contraignante du calendrier.

Remarque : cet article est fourni à titre d'information générale et ne constitue pas un avis juridique. Pour une évaluation contraignante de ton usage concret de l'IA, fais appel à un conseil juridique qualifié.