Depuis le 2 août 2026, l’article 50 de l’AI Act s’applique ; ses manquements sont sanctionnables selon les règles nationales de sanctions adoptées par les États membres. Des critères et moyens pratiques de démonstration existent dans les lignes directrices de la Commission et, pour le marquage et l’étiquetage des contenus génératifs, dans le code de bonnes pratiques volontaire. Des organisations peuvent être concernées par l’article 50, mais aucun chiffre officiel de « milliers » n’a été établi ici et des outils officiels de conformité existent.

L’essentiel

  • L’article 50 de l’AI Act est en vigueur depuis le 2 août 2026, mais aucun standard technique d’audit ne permet aux entreprises de prouver leur conformité.
  • Les sanctions atteignent 35 M€ ou 7 % du chiffre d’affaires mondial, soit un plafond supérieur au maximum du RGPD (20 M€ ou 4 %) (HR Partner, K&L Gates, février 2026).
  • Les organismes de normalisation européens ont du retard : les normes harmonisées censées guider la mise en œuvre de l’AI Act ne sont pas encore disponibles.
  • Des entreprises doivent donc démontrer une conformité dont les critères de vérification restent à écrire.
  • La Commission européenne a publié des lignes directrices non contraignantes, mais leur valeur juridique en cas de litige reste incertaine.

Les exigences concrètes de l’article 50

La Commission présente quatre principaux cas d’obligations de transparence au titre de l’article 50. Les fournisseurs de systèmes interactifs doivent informer les personnes qu’elles interagissent avec une IA ; les deepfakes et certains contenus générés ou manipulés sont soumis à des obligations distinctes de marquage ou de divulgation. Les fournisseurs de systèmes génératifs doivent marquer leurs contenus de manière détectable. L’article 50 n’impose pas une obligation générale de documentation des usages aux déployeurs ; il leur impose des obligations ciblées d’information et d’étiquetage.

Ces exigences paraissent lisibles au niveau réglementaire. L’article 50 ne crée pas une obligation générale de documentation des usages ; pour ses obligations de contenu génératif, le code volontaire fournit une voie de démonstration de conformité. Des bases d’interprétation et de démonstration existent dans les lignes directrices et le code de bonnes pratiques, même si elles ne constituent pas toutes des normes harmonisées.

Les textes en vigueur répondent à une part importante de ces questions ; certaines modalités techniques restent technologiquement ouvertes ou reposent sur des outils volontaires.

La Commission a demandé au CEN (Comité européen de normalisation) et au CENELEC d’élaborer des normes dans des domaines de l’AI Act, principalement liés aux systèmes à haut risque ; l’article 50 n’est pas conditionné à la publication de telles normes. Les normes harmonisées étaient surtout destinées à soutenir les obligations relatives aux systèmes à haut risque, dont l’application a été reportée ; elles n’étaient pas une condition de l’entrée en application des premières obligations de l’AI Act. Des entreprises cherchant à construire un programme de conformité structuré peuvent se heurter à l’absence de référentiel opposable.

Des sanctions supérieures au RGPD, pour un droit moins mature

Le RGPD a produit une amende significative moins d’un an après son entrée en application : la CNIL a infligé 50 millions d’euros à Google le 21 janvier 2019, après une applicabilité du RGPD à compter du 25 mai 2018. L’AI Act prévoit un plafond maximal supérieur pour les pratiques interdites, mais l’absence de certaines normes harmonisées ne signifie pas l’absence de cadre d’interprétation ou d’outils de conformité.

La comparaison est éclairante. Quand le RGPD est entré en application en mai 2018, les autorités de protection des données disposaient d’au moins deux ans de lignes directrices du G29 (devenu EDPB) couvrant les bases légales du traitement, les droits des personnes et les conditions du consentement. Ces lignes directrices n’avaient pas force de loi, mais elles créaient un corpus de référence que les entreprises pouvaient utiliser pour construire leur défense et que les régulateurs pouvaient invoquer pour justifier leurs décisions.

Pour l’AI Act, la Commission a publié les lignes directrices sur les pratiques d’IA interdites le 4 février 2025 et les lignes directrices pour les fournisseurs de modèles d’IA à usage général le 18 juillet 2025. Ces documents sont utiles. Les lignes directrices publiées portent sur les obligations de transparence de l’article 50 et sont complétées par un code de bonnes pratiques sur le marquage et l’étiquetage des contenus générés par IA. Les outils de recrutement, de crédit et certains systèmes médicaux sont principalement concernés par le régime des systèmes à haut risque, pas par une obligation générale de documentation de l’article 50 ; leur calendrier d’application est distinct.

Les obligations sont applicables depuis le 2 août 2026 ; leur régime concret de sanctions dépend aussi des règles d’exécution adoptées par chaque État membre. Le règlement prévoit 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques d’IA interdites par l’article 5 et 7,5 millions ou 1 % pour la fourniture d’informations incorrectes aux autorités ; il fixe directement, à l’article 99, paragraphe 4, point g), un plafond pour les violations de l’article 50 : jusqu’à 15 millions d’euros ou, pour une entreprise, jusqu’à 3 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Ces plafonds s’appliquent aux grandes entreprises ; les PME bénéficient de plafonds réduits, mais restent exposées.

Le décalage entre texte et outils d’application

Ce type de décalage entre l’ambition d’un règlement et sa capacité d’enforcement opérationnel n’est pas propre à l’IA. La régulation de la cybersécurité, la directive NIS2, ou les obligations de due diligence en matière de chaînes d’approvisionnement ont toutes traversé des phases similaires où les obligations étaient sur le papier et les outils de vérification restaient à construire.

La spécificité de l’AI Act tient à la nature de l’objet régulé. Vérifier qu’une entreprise a bien informé ses utilisateurs qu’ils interagissaient avec un chatbot est, en théorie, vérifiable. La vérification ne dépend pas exclusivement de normes harmonisées : la Commission a publié des lignes directrices et un code volontaire qui fournit une voie de démonstration de conformité. L’article 50 impose un résultat observable, une marque lisible par machine permettant la détection du contenu artificiel, tout en laissant une marge technologique encadrée.

Les stratifications de l’emploi liées à l’IA ajoutent une couche de complexité : les systèmes RH et de recrutement sont principalement susceptibles de relever du régime des systèmes à haut risque, non de l’article 50 sauf s’ils entrent également dans l’une de ses catégories spécifiques. Les obligations de documentation des outils RH à haut risque relèvent du chapitre sur les systèmes à haut risque, et non de l’article 50 ; des normes techniques sont en préparation pour soutenir ces exigences.

La Commission demande au CEN et au CENELEC d’élaborer les normes harmonisées ; le Bureau de l’IA a notamment facilité le code de bonnes pratiques relatif à l’article 50. Plusieurs consortiums industriels, dont des acteurs français, allemands et néerlandais, ont engagé des travaux de normalisation avec le CEN et le CENELEC. Ces processus sont en cours. Des premières normes harmonisées pourraient être disponibles ultérieurement.

Les pratiques des entreprises dans l’attente des normes

Face à l’absence de standards opposables, les entreprises adoptent des stratégies diverses, toutes imparfaites. La plus répandue consiste à documenter abondamment, journaux de décision, registres de déploiement, politiques internes de gouvernance de l’IA, en espérant que la démonstration d’une démarche de bonne foi constituera une défense recevable en cas de contrôle. Selon Cimplifi et HR Partner, plusieurs grands groupes ont mis en place des comités de gouvernance IA internes, désigné des responsables de conformité dédiés et lancé des audits internes avant même que les référentiels externes existent.

Cette approche de précaution est raisonnable. Elle comporte un risque systémique : si chaque organisation construit son propre standard interne en l’absence de référentiel commun, les pratiques divergeront et les autorités nationales se retrouveront à appliquer un règlement européen de façon hétérogène selon les États membres. C’est exactement ce que l’AI Act cherchait à éviter en optant pour un règlement, directement applicable dans toute l’Union, plutôt qu’une directive.

Les cabinets d’avocats spécialisés, Nixon Peabody en tête, conseillent à leurs clients de traiter les lignes directrices non contraignantes de la Commission comme si elles avaient une portée quasi-normative, par mesure de prudence. C’est une posture défendable, mais elle ne règle pas la question de la valeur juridique de ces documents en cas de contentieux. Un juge national ou la Cour de justice de l’Union européenne pourrait très bien considérer qu’une entreprise ayant suivi à la lettre les lignes directrices de la Commission a néanmoins violé le règlement si une norme harmonisée, une fois publiée, révèle des exigences plus précises.

Un problème de méthode législative

L’AI Act a été adopté en un temps record pour un texte de cette complexité, environ trois ans de négociations pour un règlement couvrant des systèmes allant du filtre anti-spam aux modèles à usage général. La rapidité était nécessaire : l’explosion des usages de l’IA générative depuis fin 2022 a mis sous pression un processus législatif initialement conçu pour une IA beaucoup moins puissante et moins répandue.

Cette accélération a un coût. Les règlements techniques de l’Union européenne fonctionnent typiquement sur un modèle en deux temps : le texte de haut niveau définit les principes et les catégories, les normes harmonisées en définissent les critères techniques de vérification. La normalisation a été engagée avant l’adoption du règlement et les échéances des règles à haut risque ont été ajustées pour tenir compte de la disponibilité des outils de soutien.

La démarche régulatoire européenne dans le numérique suit une logique différente de celle des États-Unis, où la fragmentation entre États produit ses propres incohérences. Les normes harmonisées restent en développement, mais les obligations à haut risque ont été reportées et l’article 50 dispose déjà de lignes directrices et d’un code de bonnes pratiques ; l’atteinte à l’uniformité n’est pas établie.

Le Bureau de l’IA européen, créé en 2024 au sein de la Commission et dont le rôle est précisément de coordonner l’application du règlement, sera au centre de ce moment de vérité. Son efficacité dans l’harmonisation des pratiques nationales et dans l’accélération des travaux de normalisation déterminera en grande partie si l’AI Act devient un standard mondial crédible ou un texte dont l’application restera longtemps incertaine.

Un an pour construire les fondations

Le calendrier réglementaire prévu donne une indication sur ce qui vient. Les règles à haut risque de l’annexe III s’appliqueront le 2 décembre 2027 ; celles concernant les systèmes intégrés dans des produits réglementés s’appliqueront le 2 août 2028. Les normes harmonisées sont volontaires ; elles procurent une présomption de conformité. Les règles à haut risque ont été reportées afin de tenir compte de la disponibilité de standards et d’autres mesures de soutien.

Les organisations qui ont anticipé en construisant des programmes de conformité internes ne perdent pas leur temps. La documentation produite aujourd’hui, les processus de gouvernance mis en place, les registres de déploiement tenus : tout cela constituera la base sur laquelle les standards techniques, quand ils existeront, pourront s’appliquer. Le travail de normalisation lui-même bénéficiera des pratiques émergentes documentées par les entreprises pionnières, c’est d’ailleurs l’une des raisons pour lesquelles les consortiums industriels participent activement aux groupes de travail du CEN et du CENELEC.

Le positionnement des autorités nationales compétentes, désignées par chaque État membre pour appliquer l’AI Act, reste à préciser. Les sanctions sont possibles depuis l’application de l’article 50, mais les critères de conformité ne « restent » pas entièrement à écrire : la Commission a publié des lignes directrices et un code de bonnes pratiques. Cette incertitude juridique pèse à la fois sur les entreprises et sur les régulateurs.

Sources

  1. EW Solutions – Data Compliance (juin 2026)
  2. HR Partner – AI Act Compliance Overview (février 2026), sans lien vérifié
  3. K&L Gates – AI Act Transparency Obligations (février 2026), sans lien vérifié
  4. Cimplifi – AI Act Readiness (avril 2026), sans lien vérifié
  5. Nixon Peabody – AI Regulation Update (février 2026), sans lien vérifié