L’AI Act est la première grande loi au monde à encadrer sérieusement l’IA. Mais concrètement, qu’est-ce que ça change pour vous en tant qu’utilisateur, et pour les services que vous utilisez au quotidien ?
C’est quoi l’AI Act, et pourquoi ça arrive maintenant
L’AI Act (Règlement UE 2024/1689) est entré en vigueur le 1er août 2024, mais son application se déploie par paliers progressifs. Le premier palier important a eu lieu le 2 février 2025 avec l’interdiction de certaines pratiques d’IA jugées inacceptables. Le 2 août 2025, les obligations pour les grands modèles de langage (GPAI) comme ChatGPT, Claude ou Gemini sont entrées en application. Le 2 août 2026 marque l’étape la plus large : les règles de transparence pour tous les systèmes d’IA et les obligations spécifiques aux systèmes à haut risque deviennent contraignantes.
La logique du texte repose sur une approche par niveaux de risque. Plus un système d’IA peut avoir d’impact sur des droits fondamentaux ou des décisions importantes, plus les obligations sont lourdes. C’est une approche pragmatique qui reconnaît qu’un filtre anti-spam et un algorithme de sélection de candidats à l’embauche ne présentent pas du tout le même niveau de danger. Dans notre section Intelligence artificielle, on explore déjà comment ces évolutions réglementaires impactent les outils qu’on utilise au quotidien.
Ce qui était déjà interdit depuis février 2025
Avant de parler de ce qui change en août 2026, il faut rappeler ce qui est déjà interdit depuis le 2 février 2025. L’AI Act a mis hors-la-loi plusieurs catégories de pratiques considérées comme des risques inacceptables, et ce depuis plus d’un an.
Sont notamment interdits : les systèmes de notation sociale généralisée par les autorités publiques (à la manière du crédit social chinois), les IA qui manipulent le comportement humain à l’insu des utilisateurs en exploitant des vulnérabilités psychologiques, les systèmes qui exploitent les failles liées à l’âge ou au handicap, et l’identification biométrique à distance en temps réel dans les espaces publics, sauf exceptions très encadrées pour les forces de l’ordre. Ces interdictions sont déjà sanctionnables depuis 18 mois. Ce qui change au 2 août 2026, c’est l’entrée en vigueur d’un périmètre beaucoup plus large.
Les chatbots devront se présenter comme des IA : ce que ça veut dire pour vous
C’est l’une des obligations les plus concrètes pour les utilisateurs ordinaires. L’article 50 de l’AI Act impose qu’à partir du 2 août 2026, tout système d’IA qui interagit avec un être humain doit l’informer clairement qu’il parle à une IA. Cela vise directement les chatbots de service client, les assistants virtuels sur les sites web, et tous les agents conversationnels déployés par des entreprises.
Concrètement, si vous contactez le support d’une banque, d’un opérateur téléphonique ou d’une boutique en ligne et que vous tombez sur un chatbot IA, celui-ci devra clairement se présenter comme tel dès le début de l’échange. Pas une mention cachée dans les CGU, pas une icône discrète dans un coin de l’écran. L’information doit être claire et distincte. La Commission européenne a précisé dans ses lignes directrices que « un tout petit extrait de texte caché dans le pied de page » ou « une légende à peine visible » ne satisferaient pas à cette exigence. Il y a une exception : quand le contexte rend évident pour tout utilisateur qu’il parle à une IA, l’obligation de déclaration explicite peut ne pas s’appliquer.
Les deepfakes devront être signalés : la fin du flou sur les contenus synthétiques
L’autre obligation majeure de l’article 50 concerne les deepfakes et les contenus générés ou manipulés par IA. À partir du 2 août 2026, les contenus audio ou visuels qui représentent des personnes réelles de façon manipulée (deepfakes) devront être clairement étiquetés comme tels. De même, les textes générés par IA et publiés sur des sujets d’intérêt général devront signaler leur origine artificielle.
La Commission européenne a publié le 10 juin 2026 la version finale du Code de bonnes pratiques sur le marquage des contenus IA, un document de nature volontaire mais qui servira de référence pour démontrer la conformité à l’AI Act. Les fournisseurs de systèmes d’IA générative devront intégrer des marquages techniques lisibles par machine dans les contenus qu’ils produisent, tandis que les entreprises qui déploient ces systèmes devront s’assurer que les deepfakes et certains contenus textuels sont signalés de façon visible pour l’utilisateur final.
Il existe cependant une exception importante qui concerne directement les médias : quand un contenu fait l’objet d’un contrôle éditorial humain et qu’une personne physique ou morale assume la responsabilité éditoriale de sa publication, l’obligation d’étiquetage systématique peut ne pas s’appliquer. Un journaliste qui utilise ChatGPT pour améliorer la formulation d’un article avant de le relire, le modifier et en assumer la responsabilité n’est pas tenu de signaler cet usage.
Les 4 niveaux de risque de l’AI Act : où se situent les outils que vous utilisez
L’AI Act classe tous les systèmes d’IA en quatre catégories selon leur niveau de risque. Comprendre où se situent les outils qu’on utilise au quotidien aide à comprendre ce que la loi impose réellement.
Risque inacceptable (interdit) : les pratiques décrites plus haut, déjà illégales depuis février 2025. Aucun outil grand public ne devrait relever de cette catégorie.
Risque élevé : les systèmes qui ont un impact significatif sur des droits fondamentaux. Cela inclut les outils de recrutement automatisé, les algorithmes de scoring crédit, les systèmes d’aide à la décision médicale, les outils utilisés dans la justice ou l’éducation. Ces systèmes sont soumis aux obligations les plus lourdes : documentation technique, enregistrement dans la base de données européenne, marquage CE, supervision humaine obligatoire. Pour les utilisateurs ordinaires, l’impact direct est limité — mais si vous postulez à un emploi via une plateforme qui utilise de l’IA pour trier les candidatures, l’entreprise a désormais des obligations de transparence à votre égard.
Risque limité : les chatbots, les systèmes d’IA générative qui produisent des contenus pour le public, les deepfakes. C’est ici que se trouvent la plupart des outils grand public. L’obligation principale est la transparence : informer l’utilisateur qu’il interagit avec une IA ou que le contenu est généré artificiellement.
Risque minimal ou nul : les filtres anti-spam, les recommandations de contenu, les IA dans les jeux vidéo. La grande majorité des usages courants. Aucune obligation spécifique au titre de l’AI Act.
ChatGPT, Claude, Gemini : ces outils sont-ils conformes ?
Les grands modèles de langage comme ChatGPT, Claude ou Gemini sont soumis depuis le 2 août 2025 aux obligations applicables aux modèles d’IA à usage général (GPAI). Ces obligations concernent principalement les fournisseurs (OpenAI, Anthropic, Google) et non les utilisateurs finaux. Concrètement, elles imposent la publication de résumés sur les données d’entraînement utilisées, le respect du droit d’auteur, et la mise en place de politiques pour identifier et atténuer les risques systémiques pour les modèles les plus puissants.
Pour les utilisateurs ordinaires qui utilisent ces outils, l’impact direct est limité : vous n’avez pas d’obligation au titre de l’AI Act en tant qu’utilisateur final d’un outil SaaS clé en main. En revanche, si vous utilisez ChatGPT ou Claude dans un contexte professionnel pour prendre des décisions qui impactent des tiers (clients, candidats, employés), vous endossez un rôle de déployeur avec des obligations qui en découlent. La frontière entre utilisateur et déployeur est parfois floue, et mieux vaut vérifier les conditions d’utilisation de votre fournisseur. Pour aller plus loin sur ces outils, notre comparatif ChatGPT, Gemini et Perplexity détaille leurs fonctionnalités respectives.
Les sanctions : jusqu’à 35 millions d’euros, mais proportionnées
L’AI Act prévoit un régime de sanctions à trois niveaux selon la gravité de la violation. Les infractions les plus graves (utilisation de pratiques interdites comme la notation sociale) peuvent entraîner des amendes allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial, le montant le plus élevé des deux étant retenu. Les manquements aux obligations des systèmes à haut risque peuvent coûter jusqu’à 15 millions d’euros ou 3 % du CA mondial. Les infractions de transparence (comme ne pas signaler un deepfake) sont sanctionnables jusqu’à 7,5 millions d’euros ou 1 % du CA mondial.
Pour les PME et startups, les sanctions sont plafonnées au montant le plus bas entre le seuil absolu et le pourcentage du chiffre d’affaires, ce qui représente une protection relative. En France, la CNIL, la DGCCRF et l’Arcom sont désignées comme autorités nationales compétentes pour contrôler l’application de l’AI Act. Le fait que trois autorités se partagent la compétence reflète la nature transversale du règlement, qui touche à la fois la protection des données, la concurrence et la régulation des contenus numériques.
Le Digital Omnibus : des délais supplémentaires pour certaines obligations
Une nuance importante à connaître : l’accord politique provisoire appelé Digital Omnibus, adopté par le Parlement européen et le Conseil en mai 2026, a repoussé certaines échéances. Les obligations pour les systèmes à haut risque de l’Annexe III (RH, crédit, santé, éducation, justice) sont reportées du 2 août 2026 au 2 décembre 2027. Mais tant que ce texte n’est pas formellement publié au Journal officiel de l’UE, le calendrier légalement contraignant reste celui du 2 août 2026. Les obligations de transparence de l’article 50, elles, restent fixées au 2 août 2026 sans report.
Ce report partiel ne change pas la dynamique de fond : les entreprises qui s’y préparent maintenant prennent de l’avance, et celles qui attendent la dernière minute se retrouveront dans la même situation que lors du RGPD en 2018. La plupart des experts recommandent de ne pas attendre la publication définitive du Digital Omnibus pour commencer l’inventaire de ses usages IA.
En résumé
À partir du 2 août 2026, l’AI Act impose deux grandes catégories d’obligations qui touchent concrètement aux services que vous utilisez au quotidien : les chatbots doivent se présenter comme des IA, et les deepfakes doivent être signalés. Les pratiques d’IA inacceptables (manipulation comportementale, notation sociale) sont interdites depuis février 2025. Les sanctions peuvent atteindre 35 millions d’euros pour les cas les plus graves. En tant qu’utilisateur ordinaire, votre vie ne va pas radicalement changer du jour au lendemain, mais les services que vous utilisez vont devoir s’adapter — et cette adaptation est globalement bonne pour la transparence et la confiance dans les outils IA. Pour mieux comprendre quels outils IA utiliser en toute connaissance de cause, notre section Intelligence artificielle rassemble guides et comparatifs à jour.
Question fréquentes sur AI Act 2026
L’AI Act me concerne-t-il en tant qu’utilisateur ordinaire de ChatGPT ?
Directement, très peu. En tant qu’utilisateur final d’un outil SaaS, les obligations légales incombent principalement au fournisseur (OpenAI, Anthropic, Google) et non à vous. En revanche, si vous utilisez ces outils dans un contexte professionnel pour des décisions qui impactent des tiers, vous devenez « déployeur » au sens de l’AI Act avec des obligations spécifiques. Notre article sur les meilleurs logiciels IA gratuits détaille les usages les plus courants et leur statut réglementaire.
Qu’est-ce qu’un deepfake et comment sera-t-il signalé après le 2 août ?
Un deepfake est un contenu audio, vidéo ou image qui représente une personne réelle de façon manipulée grâce à l’IA, lui faisant dire ou faire des choses qu’elle n’a pas dites ou faites. À partir du 2 août 2026, ces contenus devront être clairement étiquetés comme générés ou manipulés par IA, de façon visible et non dissimulée dans des mentions légales.
Les chatbots des sites e-commerce devront-ils vraiment se présenter comme des IA ?
Oui, si le contexte ne le rend pas évident de lui-même. Tout système d’IA qui interagit avec un utilisateur humain doit l’en informer clairement selon l’article 50. Pour un chatbot de service client sur un site, cette obligation s’applique sauf si le caractère artificiel de l’échange est manifeste pour tout utilisateur ordinaire.
Quelles sont les pratiques d’IA déjà interdites en France depuis 2025 ?
Depuis le 2 février 2025 : la notation sociale généralisée par les autorités publiques, la manipulation comportementale à l’insu des utilisateurs exploitant des vulnérabilités psychologiques, l’exploitation des failles liées à l’âge ou au handicap, et l’identification biométrique à distance en temps réel dans les espaces publics (sauf exceptions très encadrées).
Le Digital Omnibus reporte-t-il toutes les obligations au 2027 ?
Non. Seules certaines obligations pour les systèmes à haut risque de l’Annexe III (RH, crédit, santé, éducation, justice) sont reportées à décembre 2027. Les obligations de transparence de l’article 50 (chatbots, deepfakes) restent fixées au 2 août 2026. Et tant que le Digital Omnibus n’est pas formellement publié au Journal officiel de l’UE, c’est le calendrier initial qui fait foi légalement.
Quelles autorités contrôlent l’AI Act en France ?
Trois autorités se partagent la compétence : la CNIL pour la protection des données, la DGCCRF pour les pratiques commerciales, et l’Arcom pour la régulation des contenus numériques. Cette répartition reflète la nature transversale du règlement.
Les jeux vidéo et les filtres anti-spam sont-ils concernés par l’AI Act ?
Non, ou très marginalement. Ces systèmes relèvent de la catégorie « risque minimal ou nul » et ne sont soumis à aucune obligation spécifique au titre de l’AI Act. C’est l’une des raisons pour lesquelles les IA dans les jeux vidéo (algorithmes de difficulté adaptative, comportement des PNJ) ne seront pas impactées par ce règlement.
