AI Act européen : ce qui change vraiment depuis le 2 août 2026

Le 2 août 2026 marque le vrai basculement du règlement européen sur l'intelligence artificielle. Sur le papier, les obligations pour les modèles d'IA à usage général (GPAI) et l'article 50 sur la transparence sont en vigueur depuis un an. Dans les faits, la Commission européenne n'avait pas le pouvoir d'infliger des amendes pendant cette première année. Cette période transitoire s'achève. À partir de maintenant, le régulateur a des dents.

Ce que la Commission peut désormais faire

L'AI Office, épaulé par les autorités nationales de surveillance de marché de chaque État membre, dispose depuis le 2 août d'un arsenal complet :

• Exiger la documentation technique complète d'un modèle
• Mener des évaluations techniques internes (audit, tests de sécurité, red-teaming)
• Imposer des mesures de mitigation et de conformité
• Restreindre ou retirer un modèle du marché européen
• Infliger des amendes rétroactives, applicables aux manquements constatés depuis août 2025

Le barème des sanctions

Deux plafonds coexistent, selon la nature de l'infraction :

• Violation des obligations GPAI : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé s'appliquant.
• Pratiques d'IA interdites (par ex. scoring social, manipulation subliminale, catégorisation biométrique à des fins policières hors dérogation) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

Pour un géant comme OpenAI (revenu estimé 20 Md$ en 2026), la fourchette haute représente potentiellement plus d'1,4 milliard d'euros. Pour Anthropic, dont le Q2 2026 dépasse 10 Md$, les mêmes 3 % pèsent lourd.

L'obligation de transparence (article 50) devient opposable

Tout système d'IA interactif — chatbot, agent vocal, assistant client — déployé dans l'Union doit désormais déclarer clairement à l'utilisateur qu'il n'est pas humain, dès le début de l'interaction. Idem pour les contenus générés ou modifiés par IA : ils doivent être marqués comme tels (watermarking, mention explicite ou métadonnées).

Concrètement : les sites français qui utilisent des chatbots de support (ChatGPT-based, Anthropic, Mistral, prestataires spécialisés) doivent avoir mis à jour leur interface avant le 2 août. Les rédactions qui publient du contenu IA sans le déclarer s'exposent à des sanctions.

Le calendrier à retenir

2 août 2025 : entrée en vigueur des obligations GPAI + article 50, sans pouvoir de sanction.
2 août 2026 : la Commission peut sanctionner, y compris rétroactivement pour les manquements depuis 2025.
2 août 2027 : deadline finale pour les modèles publiés avant août 2025 (« legacy »).

Les modèles frontières comme GPT-5.6, Claude Fable 5, Gemini 3.7, Llama 5 sont donc pleinement dans le viseur.

Le positionnement français : Mistral prend l'avantage

Mistral AI émerge comme le seul acteur frontière avec une réponse structurellement conforme : siège en Union européenne, capacité d'inférence hébergée en UE, poids téléchargeables pour hébergement souverain. L'entreprise fait partie des ~24 signataires du General-Purpose AI Code of Practice publié par l'AI Office.

Pour les DSI d'ETI françaises soumises à des obligations sectorielles (banques, santé, secteur public), Mistral devient un choix rationnel plus qu'idéologique : pas d'AI Act à négocier avec un fournisseur californien, pas de risque de sanction croisée, données personnelles qui ne quittent pas le territoire.

Ce que ça change à court terme

1. Les fournisseurs américains vont documenter comme jamais. Les équipes juridiques d'OpenAI, Anthropic, Google, Meta produisent des system cards, model cards et évaluations de risque pour éviter les demandes officielles de l'AI Office.
2. Une phase d'apprentissage réciproque. Les premiers dossiers de la Commission serviront de jurisprudence. On attend la première grosse sanction publique dans les 6-12 mois.
3. Les acheteurs européens intègrent la conformité dans leurs RFP. « Modèle en règle avec l'AI Act » devient une case à cocher, au même titre que RGPD.
4. Le débat sur la retenue européenne se ravive. Certains acteurs (Big Tech, chambres de commerce) plaident pour une pause ou un allègement — la Commission tient bon pour l'instant.

Ce qu'il faut faire si vous êtes concerné

Pour une entreprise française qui déploie un modèle GPAI (SaaS ou intégré) :

• Cartographier les systèmes d'IA en production et leur classification AI Act (interdit / haut risque / limité / minimal)
• Vérifier que les chatbots et voice agents déclarent leur nature IA
• Marquer les contenus générés (watermark visible, tag, mention)
• Obtenir des system cards auprès des fournisseurs
• Documenter les traitements de données personnelles par les modèles (croisement RGPD)

Le calendrier est court, les amendes sont réelles, et pour la première fois depuis le RGPD, l'Europe se dote d'un vrai pouvoir de police numérique. Reste à voir avec quelle intensité la Commission compte l'exercer.