IA Act : Chatbots et deepfakes sous surveillance dès août 2026

Chatbots, deepfakes et grands modèles : ce qui s’applique dès le 2 août

Le 2 août 2026 marque une date clé pour la régulation de l'intelligence artificielle en Europe avec l'entrée en vigueur de nouvelles obligations prévues par l'IA Act. Ce texte, encadré par le Digital Omnibus, a été officiellement publié au Journal officiel de l'Union européenne le 24 juillet et est devenu effectif trois jours plus tard.

Cette date s'inscrit dans une application progressive du règlement européen sur l'IA, initialement entré en vigueur le 1er août 2024. Certaines obligations ont déjà été mises en place depuis 2025.

Le règlement (UE) 2026/1744, connu sous le nom de Digital Omnibus sur l'IA, réaffirme les exigences de transparence stipulées par l'article 50 de l'IA Act pour le 2 août 2026.

Les chatbots, ces agents conversationnels, ainsi que les avatars virtuels devront désormais informer clairement les utilisateurs qu'ils interagissent avec une IA, sauf si cela est évident. De même, les contenus générés ou modifiés par IA, tels que les deepfakes, devront être identifiables par un marquage technique ou une mention visible. Les systèmes déjà en circulation avant cette date ont jusqu'au 2 décembre 2026 pour se conformer à ces nouvelles règles.

La Commission européenne se voit également dotée de pouvoirs de contrôle élargis sur les fournisseurs de modèles d'IA à usage général, tels que ChatGPT, Gemini ou Claude. Elle peut désormais exiger des informations supplémentaires et imposer des sanctions en cas de non-conformité.

Le haut risque attendra encore 2027 et 2028

Les obligations les plus strictes de l'IA Act, concernant les systèmes classés à haut risque comme ceux utilisés dans le recrutement, la notation de crédit, l'éducation ou la biométrie, ne seront effectives que le 2 décembre 2027 pour les systèmes autonomes. Pour ceux intégrés à des produits déjà réglementés, comme les dispositifs médicaux ou les jouets connectés, l'application est prévue pour le 2 août 2028.

Le Digital Omnibus a repoussé ces échéances par rapport à la proposition initiale de la Commission européenne, présentée en novembre 2025. Avant leur mise sur le marché, ces systèmes devront satisfaire à des exigences rigoureuses : évaluation et atténuation des risques, qualité des données d'entraînement, traçabilité des résultats, documentation technique détaillée et supervision humaine.

Le texte introduit également, à l'article 5, deux nouvelles interdictions applicables dès le 2 décembre 2026 : les systèmes d'IA générant du contenu intime non consenti, appelés systèmes de nudification, et ceux produisant des contenus pédopornographiques.

Ce que les entreprises doivent vérifier avant le 2 août

Deux vagues d'obligations ont déjà été mises en place avant l'échéance du 2 août. La première, active depuis février 2025, interdit huit pratiques d'IA jugées à risque inacceptable pour les droits fondamentaux. Elle impose également aux salariés utilisant des outils d'IA de comprendre suffisamment leur fonctionnement, leurs limites et leurs risques. Ces pratiques incluent :

• La manipulation et la tromperie préjudiciables fondées sur l'IA.
• L'exploitation nocive des vulnérabilités liées à l'âge, au handicap ou à la situation sociale.
• La notation sociale.
• L'évaluation ou la prédiction du risque de récidive basée uniquement sur le profilage.
• La collecte non ciblée d'images faciales pour la reconnaissance faciale.
• La reconnaissance des émotions au travail et dans les établissements d'enseignement.
• La catégorisation biométrique de caractéristiques protégées.
• L'identification biométrique à distance en temps réel dans l'espace public.

La seconde vague, en vigueur depuis août 2025, concerne les fournisseurs de modèles d'IA à usage général. Ils doivent documenter leurs données d'entraînement et respecter une politique de droit d'auteur, avec des obligations supplémentaires pour les modèles jugés à risque systémique, qui doivent évaluer leurs risques et signaler les incidents graves.

Le régime général des sanctions de l'IA Act est également actif depuis cette date, avec des autorités nationales, telles que la DGCCRF, la CNIL et l'Arcom en France, habilitées à intervenir contre les manquements.

Le calendrier de l'IA Act

• 2 février 2025 : interdiction des pratiques à risque inacceptable et obligation de littératie IA pour les salariés.
• 2 août 2025 : entrée en application du régime des modèles d'IA à usage général et du régime général des sanctions.
• 2 août 2026 : obligations de transparence sur les chatbots, les deepfakes et les contenus générés par IA, pouvoirs de contrôle étendus sur les fournisseurs de GPAI.
• 2 décembre 2026 : nouvelles interdictions (nudification, contenus pédopornographiques) et fin de la période de transition pour le marquage des contenus IA existants.
• 2 décembre 2027 : obligations pour les systèmes à haut risque autonomes (recrutement, crédit, éducation, biométrie).
• 2 août 2028 : obligations pour les systèmes à haut risque intégrés à des produits réglementés (dispositifs médicaux, jouets connectés).