AI Act : le calendrier des obligations, échéance par échéance

Le calendrier de l’AI Act est l’échelonnement des dates à partir desquelles chaque bloc d’obligations du règlement (UE) 2024/1689 devient applicable : fixé à l’origine par son article 113, il a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, dit omnibus numérique sur l’IA, en vigueur depuis le 27 juillet 2026. Au 13 octobre 2026, quatre paliers sont passés (1er août 2024, 2 février 2025, 2 août 2025, 2 août 2026) et trois échéances majeures restent à venir : le 2 décembre 2026, le 2 décembre 2027 pour le haut risque de l’annexe III, le 2 août 2028 pour celui de l’annexe I.

Cette page reconstitue le calendrier à partir du Journal officiel, distingue texte en vigueur, texte adopté et proposition, puis traduit chaque échéance en actions selon votre rôle. C’est une lecture d’ingénieur des textes officiels, cités avec leurs liens, et non un avis juridique : la qualification d’un système réel se valide avec un juriste.

L’AI Act s’applique par paliers : huit dates structurent le calendrier entre le 1er août 2024 et le 2 août 2028, et quatre d’entre elles sont déjà passées au 13 octobre 2026.

Le tableau intègre les modifications du règlement (UE) 2026/1744 ; les articles cités sont ceux du règlement (UE) 2024/1689.

Deux dates plus lointaines complètent le tableau : le 2 août 2030 pour les systèmes à haut risque des autorités publiques déjà en service, le 31 décembre 2030 pour les composants des grands systèmes d’information de l’annexe X (art. 111).

Dans sa version publiée en juillet 2024, l’article 113 fixait l’application générale au 2 août 2026 et une seule échéance tardive, le 2 août 2027, réservée à l’article 6 paragraphe 1.

Le texte d’origine comptait trois exceptions : le point a) avançait au 2 février 2025 les chapitres I et II ; le point b) avançait au 2 août 2025 les modèles d’IA à usage général, la gouvernance et les sanctions ; le point c) repoussait au 2 août 2027 l’article 6, paragraphe 1, soit le haut risque des produits réglementés de l’annexe I.

Conséquence directe : dans la version d’origine, les systèmes à haut risque de l’annexe III, comme le recrutement ou l’octroi de crédit, relevaient de la date générale du 2 août 2026. C’est pourquoi beaucoup de guides rédigés avant juillet 2026 annoncent encore « haut risque en août 2026, produits en août 2027 ». Ces deux dates ne sont plus les bonnes depuis le 27 juillet 2026. Les dates de 2025, elles, n’ont pas bougé.

Oui : depuis le 27 juillet 2026, le règlement (UE) 2026/1744 repousse les obligations du haut risque au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I.

La Commission a publié sa proposition le 19 novembre 2025, dans le paquet omnibus numérique. Le Parlement européen a arrêté sa position le 16 juin 2026, le Conseil sa décision le 29 juin 2026, et le règlement a été signé le 8 juillet 2026. Publié au Journal officiel le 24 juillet 2026, il est entré en vigueur le troisième jour suivant, le 27 juillet 2026, soit six jours avant la date initiale du 2 août 2026.

Le considérant 40 invoque les retards des normes, des spécifications communes et de la mise en place des autorités nationales. La proposition liait l’entrée en application à la disponibilité de ces outils, avec des plafonds ; le texte adopté fixe deux dates fermes.

Le délai de grâce suit le même mouvement. L’article 111, paragraphe 2, modifié, n’applique désormais le règlement aux systèmes à haut risque déjà mis sur le marché avant la date d’application du chapitre III que s’ils subissent ensuite des modifications importantes de conception. Ce que ce report déplace réellement, et ce qu’il laisse en l’état, je l’ai détaillé dans le report de l’AI Act ne solde rien.

Le 2 décembre 2026 entrent en application deux nouvelles interdictions et prend fin le délai de marquage accordé aux fournisseurs de générateurs de contenu déjà sur le marché avant le 2 août 2026.

Les deux interdictions ajoutées à l’article 5 visent les systèmes qui génèrent des images, vidéos ou sons réalistes intimes ou sexuellement explicites d’une personne identifiable sans son consentement explicite, et ceux qui génèrent des contenus pédopornographiques au sens de la directive 2011/93/UE. Pour le fournisseur, l’interdiction joue si ce résultat est la destination du système ou s’il est prévisible faute de garde-fous adéquats ; pour le déployeur, s’il l’utilise à cette fin.

Le délai de marquage tient en une phrase du nouvel article 111, paragraphe 4 : les fournisseurs de systèmes, y compris à usage général, qui génèrent des contenus audio, image, vidéo ou texte et ont été mis sur le marché avant le 2 août 2026 doivent se conformer à l’article 50, paragraphe 2, d’ici au 2 décembre 2026. Le considérant 38 parle d’une période transitoire de quatre mois.

Sa portée est étroite : les seuls fournisseurs, la seule obligation de marquage lisible par machine, les seuls systèmes mis sur le marché avant le 2 août 2026. Les obligations des déployeurs, comme la divulgation d’un hypertrucage à l’article 50, paragraphe 4, s’appliquent depuis le 2 août 2026 sans délai transitoire. Le détail figure dans marquer un contenu généré : où l’obligation se pose.

Au 13 octobre 2026 s’appliquent déjà les pratiques interdites, la maîtrise de l’IA, les règles des modèles à usage général, la gouvernance, les sanctions et les obligations de transparence de l’article 50.

Pour les pratiques interdites, voir pratiques interdites : ce qu’aucun garde-fou ne rattrape. Les obligations des fournisseurs de modèles à usage général courent depuis le 2 août 2025 : voir modèles à usage général : ce qui doit descendre la chaîne.

La maîtrise de l’IA n’a pas disparu. La proposition de la Commission voulait reporter l’effort sur la Commission et les États membres ; le texte adopté maintient l’obligation des fournisseurs et des déployeurs, en précisant qu’elle ne les contraint pas à garantir un niveau de maîtrise donné pour chaque individu. Voir la littératie IA, l’obligation passée inaperçue.

Les sanctions rendent l’ensemble opposable. Le plafond le plus élevé, pour les pratiques interdites, atteint 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Voir sanctions de l’AI Act : ce qui devient exigible et le bilan de ce qui n’a jamais été reporté dans ce que le report n’a pas reporté, un an après.

Seul un texte publié au Journal officiel et entré en vigueur crée des obligations ; une proposition de la Commission n’en crée aucune, même quand elle est présentée comme acquise.

Le règlement (UE) 2024/1689 est en vigueur depuis le 1er août 2024. Le règlement (UE) 2026/1744, adopté le 8 juillet 2026, l’est depuis le 27 juillet 2026 : ses dates sont désormais les seules de référence. La proposition du 19 novembre 2025 n’a plus qu’une valeur historique.

Proposition et texte adopté diffèrent sur trois points au moins : la maîtrise de l’IA, que la proposition retirait aux opérateurs et que le texte adopté maintient ; le délai de marquage, de six mois dans la proposition selon la FAQ de la Commission, de quatre mois dans le texte adopté ; le haut risque, conditionné à la disponibilité des normes dans la proposition, fixé à deux dates fermes dans le texte adopté.

Au 13 octobre 2026, la version consolidée publiée par le Service Desk de la Commission est arrêtée au 27 juillet 2026, et je n’y ai relevé aucune autre modification du calendrier. Elle marque chaque ajout « NEW » et chaque modification « AMENDED ».

La méthode part de deux questions posées pour chaque système, votre rôle et la catégorie du système, puis aligne une liste d’actions courte sur chaque échéance restante.

Le fournisseur développe ou fait développer un système et le met sur le marché ou en service sous son propre nom ; le déployeur l’utilise sous sa propre autorité. L’article 25 fait basculer un déployeur dans le rôle de fournisseur s’il appose son nom sur un système à haut risque, le modifie substantiellement ou en change la destination.

1. Dès maintenant, tous rôles. Inventorier chaque système, noter rôle et catégorie, écarter tout usage relevant de l’article 5, tracer la maîtrise de l’IA : qui a été formé, à quoi, quand. Voir écrire la fiche d’un système d’IA.
2. Dès maintenant, déployeurs. Divulguer les hypertrucages et les textes générés publiés pour informer le public sans contrôle éditorial (art. 50, paragraphe 4), et informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique (art. 50, paragraphe 3).
3. Avant le 2 décembre 2026, fournisseurs de générateurs. Marquage lisible par machine pour les systèmes antérieurs au 2 août 2026 ; garde-fous documentés contre les deux nouveaux usages interdits.
4. Avant le 2 août 2027, fournisseurs de modèles à usage général mis sur le marché avant le 2 août 2025 : achever la mise en conformité prévue à l’article 111, paragraphe 3.
5. Avant le 2 décembre 2027, haut risque de l’annexe III. Fournisseur : gestion des risques, documentation technique, journalisation, contrôle humain, gestion de la qualité, évaluation de la conformité, enregistrement. Déployeur : usage conforme aux instructions, contrôle humain compétent, journaux conservés au moins six mois (art. 26, paragraphe 6), analyse d’impact sur les droits fondamentaux pour les organismes publics et certains services (art. 27).
6. Avant le 2 août 2028, haut risque de l’annexe I. Intégrer les exigences du chapitre III dans la procédure de conformité du produit réglementé concerné.

Je commence toujours par l’inventaire, parce qu’il conditionne tout le reste. Pour partir de zéro, préparer un contrôle de conformité en deux semaines donne l’ordre de travail, et ce qui doit exister avant l’échéance liste les pièces du haut risque. Un audit IA de système existant produit cet inventaire et le plan de correction ; la formation IA répond à l’obligation de maîtrise.

Analyse et méthode proposées par Anand Candassamy au 13 octobre 2026.