L'application de l'AI Act européen vient de commencer — voici la nouvelle ligne sur votre budget IA

Pendant que la plupart des équipes IA surveillaient le prix des tokens et le coût des agents, une autre horloge est arrivée à zéro. Le 2 août 2026, les pouvoirs de sanction de la Commission européenne sur les modèles d'IA à usage général se sont activés, et les obligations de transparence de l'Article 50 sont devenues du droit vivant. Ce n'est pas une échéance à l'horizon. Elle a déjà eu lieu.

Le 2 août a déjà eu lieu

Il était facile de le manquer. Les dispositions les plus commentées de l'AI Act européen — les obligations tentaculaires pour les systèmes d'IA « à haut risque » — ont été repoussées en juin, quand le Parlement européen a approuvé un ensemble d'amendements « Digital Omnibus » par un vote de 423 voix pour et 57 contre, décalant la conformité haut risque à décembre 2027 et, pour certaines obligations sectorielles, à août 2028. Ce report a dominé la couverture médiatique, à raison : il touchait le chantier de conformité le plus vaste et le plus complexe de tout le texte.

Mais ce report s'appliquait spécifiquement aux systèmes à haut risque. Il n'a pas touché deux autres obligations toujours prévues pour le 2 août 2026 : les obligations de transparence de l'Article 50, et la boîte à outils d'application active de la Commission européenne sur les modèles d'IA à usage général (GPAI) — demandes d'information, accès au modèle, pouvoirs de rappel, tous désormais utilisables contre n'importe quel fournisseur GPAI entrant dans le champ. Les deux sont actifs depuis onze jours.

Ce qui entre vraiment en vigueur (c'est plus étroit qu'on ne le pense — et ce n'est pas la même chose que petit)

L'Article 50 ne régule pas ce que fait votre IA. Il régule si les gens savent qu'ils ont affaire à elle. Quatre obligations sont désormais applicables :

• Divulgation des chatbots. Les utilisateurs doivent être informés qu'ils interagissent avec une IA, dans l'interaction elle-même — pas enfoui dans une page de conditions générales qu'ils n'ouvrent jamais.
• Marquage lisible par machine du contenu généré par IA. Le texte, l'image, l'audio et la vidéo produits par IA doivent être marqués de façon techniquement détectable comme générés par IA, et ce marquage doit survivre aux pipelines d'édition et d'export normaux.
• Étiquetage des deepfakes. Les médias synthétiques représentant des personnes ou événements réels d'une manière qui pourrait plausiblement être prise pour authentique exigent une divulgation visible.
• Divulgation pour le texte d'intérêt public généré par IA, sauf si le contenu a fait l'objet d'une véritable relecture éditoriale humaine avec un éditeur responsable nommé.

Les systèmes déjà existants bénéficient d'une période de grâce jusqu'au 2 décembre 2026, spécifiquement pour l'obligation de filigrane lisible par machine — tout le reste est applicable dès maintenant. Toute organisation exploitant un chatbot orienté client pour des utilisateurs de l'UE, générant du contenu marketing ou créatif touchant l'UE, ou publiant du texte assisté par IA sur des sujets d'intérêt public entre déjà dans le champ.

Ce qui a été repoussé, et pourquoi ça compte pour votre feuille de route

Les obligations pour les systèmes d'IA à haut risque — les règles couvrant des domaines comme l'IA utilisée dans le recrutement, le scoring de crédit et les infrastructures critiques — arrivent désormais en décembre 2027, avec certaines obligations sectorielles étendues à août 2028. Si la feuille de route de conformité de votre organisation était construite autour d'une échéance haut risque d'août 2026, ce travail n'est pas perdu, mais il n'est plus urgent de la même manière qu'il y a six mois.

Le risque dans ce report, c'est que la complaisance déborde sur les parties du texte qui n'ont pas été repoussées. Les équipes qui ont passé 2026 à se préparer aux obligations haut risque et ont traité l'Article 50 comme une note de bas de page dans ce projet plus large peuvent désormais découvrir que cette note de bas de page est la seule partie actuellement applicable contre elles.

Le prix de se tromper

La structure de sanctions de l'AI Act européen fonctionne par paliers sous l'Article 99 : jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu, pour les pratiques interdites ; jusqu'à 15 millions d'euros ou 3% pour la plupart des autres manquements, une catégorie qui inclut les violations de l'Article 50 ; et jusqu'à 7,5 millions d'euros ou 1% pour la fourniture d'informations incorrectes aux régulateurs. Les fournisseurs de modèles GPAI font face à un régime distinct et parallèle sous l'Article 101 — également jusqu'à 15 millions d'euros ou 3% du chiffre d'affaires mondial — fixé directement par la Commission européenne et appliqué par le Bureau européen de l'IA plutôt que par les autorités nationales.

L'application de l'Article 50 lui-même passe par des autorités nationales de surveillance du marché décentralisées plutôt que par un organe unique de l'UE, ce qui signifie que l'expérience pratique d'une enquête variera selon l'État membre — mais le plafond de l'amende, lui, ne varie pas. Une nouvelle catégorie interdite mérite d'être notée : les applications dites « nudifier » sont désormais purement et simplement prohibées, avec une période transitoire jusqu'au 2 décembre 2026.

La gouvernance n'est plus une erreur d'arrondi dans le budget IA

Ce virage réglementaire s'ajoute à une tendance budgétaire déjà en marche. Selon Gartner, la gouvernance IA représente désormais 8 à 12% du budget IA moyen d'une entreprise en 2026, contre seulement 3 à 5% en 2024 — la ligne qui croît le plus vite dans les dépenses IA en entreprise, devant la croissance des coûts modèles eux-mêmes. Les estimations sectorielles pour les grandes entreprises situent le coût de conformité de première année aux obligations du texte, au sens large, entre plusieurs millions et une quinzaine de millions d'euros, couvrant les référentiels documentaires, les processus de gestion des risques, les évaluations de conformité et l'infrastructure de surveillance continue — bien que les obligations du 2 août spécifiquement soient plus étroites que ce chiffre ne le laisse penser pour la plupart des organisations, plus proches de ce qu'une analyse juridique a qualifié de « projet de deux sprints » pour la seule divulgation chatbot et le marquage de contenu.

Le schéma se connecte directement à la façon dont les dépassements de budget IA se produisent en pratique : une enquête distincte de 2026 a trouvé que 30% des organisations ayant dépassé leur budget IA pointent un usage IA non maîtrisé ou mal gouverné comme cause directe. La gouvernance apparaissait déjà comme un facteur de coût avant même qu'un seul euro d'amende Article 50 n'ait été prononcé. Traiter la conformité comme le problème du service juridique, déconnecté de l'équipe qui suit la dépense IA, c'est exactement comment cette ligne de 8 à 12% se transforme en surprise non budgétée plutôt qu'en coût prévu.

Une checklist pratique pour les semaines à venir

1. Auditez chaque chatbot orienté client servant des utilisateurs de l'UE. Confirmez que la divulgation IA a lieu dans l'interaction elle-même, pas dans un document de politique lié.
2. Vérifiez que le marquage lisible par machine survit à votre pipeline de contenu réel — les étapes d'export, de compression et de re-upload sont connues pour supprimer silencieusement le marquage basé sur les métadonnées.
3. Documentez le contrôle éditorial pour le contenu d'intérêt public assisté par IA, avec un éditeur responsable nommé et enregistré, partout où la relecture humaine est votre base d'exemption.
4. Étiquetez les médias synthétiques représentant des personnes ou événements réels utilisés dans toute campagne orientée UE, immédiatement — c'est la catégorie la plus visible et la plus susceptible d'être contrôlée.
5. Donnez à la gouvernance IA sa propre ligne budgétaire et sa propre prévision pour le reste de 2026 et 2027, dimensionnée par rapport à la fourchette de référence 8-12%, plutôt qu'absorbée silencieusement dans la dépense IA générale.
6. Connectez qui possède la conformité à qui possède le suivi des coûts IA. Les données disent que ce sont déjà le même mode de défaillance sous deux noms différents — traitez-les comme un seul chantier.

En résumé

L'AI Act ne s'est pas affaibli en juin — il s'est resserré sur ce qui est dû en premier. L'Article 50 et l'application GPAI sont actifs dès maintenant, avec de vraies amendes à la clé, et ils s'appliquent bien au-delà de la poignée de laboratoires de pointe sur laquelle se concentre la plupart de la couverture médiatique. Toute équipe qui déploie un chatbot ou du contenu généré par IA vers des utilisateurs de l'UE a une obligation de conformité aujourd'hui, pas en 2027. Les organisations qui traitent cela comme une ligne budgétée et possédée — pas comme un après-coup juridique greffé sur un budget IA déjà tendu — sont celles qui ne seront pas surprises par la prochaine échéance d'application au calendrier.