AI Act rapport Commission UE : ce qu'il faut suivre en 2026
Aucune des sources officielles étudiées pour cet article ne présente de rapport trimestriel de la Commission sur l'AI Act. Le document le plus proche est une revue annuelle fondée sur l'article 112(1). Le reste du flux réunit des lignes directrices, des consultations, des communications et un texte modificatif.
La page de la Commission consacrée à l'AI Act rappelle l'approche par les risques. Le règlement publié au JOUE, en vigueur depuis le 1er août 2024, distingue quatre niveaux : inacceptable, élevé, transparence et minimal. Pour une vue d'ensemble des obligations, je renvoie au guide Regulia destiné aux PME françaises. La Commission interprète le cadre et peut proposer son évolution, mais elle ne remplace pas les autorités nationales de surveillance.
Une grille de lecture en six champs
Pour chaque actualité, je propose de renseigner six champs : nature du document, base juridique, obligation concernée, date d'application, acteurs visés et conséquence opérationnelle. Ce réflexe évite de traiter une consultation comme une règle applicable.
Les rendez-vous à surveiller
- Transparence : l'article 50 s'applique depuis le 2 août 2026, date d'application générale du règlement ; vérifiez les éventuelles dispositions transitoires dans le texte consolidé avant de conclure pour vos systèmes.
- AI Omnibus : son entrée en vigueur est fixée au 27 juillet 2026 d'après la mise à jour du 17 août 2026 publiée sur le site de la CNIL.
- Outils de nudification : leur interdiction est annoncée pour décembre 2026, ce qui impose de contrôler dès maintenant les outils génératifs d'images et leurs conditions d'usage.
- Classification du haut risque : les travaux se poursuivent avec une consultation ciblée sur le projet de lignes directrices, dont les résultats alimenteront la revue de l'année suivante.
La date de consultation compte autant que la source. Une page de la DGE mise à jour le 28 juillet 2025 indique encore le 2 août 2026 pour le haut risque de l'annexe III, un calendrier désormais remplacé par l'Omnibus. La méthode reste simple : identifier le texte, comparer sa portée au règlement initial, documenter l'échéance, puis convertir le changement en action pour les fournisseurs, importateurs, distributeurs et déployeurs.
Revue de la Commission sur les pratiques interdites et les systèmes à haut risque
Le rapport de revue de la Commission est présenté comme un outil de suivi de la revue annuelle prévue à l'article 112(1). Il vise à déterminer s'il faut modifier la liste des pratiques interdites de l'article 5 et celle des cas d'usage de l'annexe III. Les États membres et les parties prenantes ont contribué via le Comité européen de l'IA et une consultation publique.
Un enseignement méthodologique : le recul manque
Les interdictions s'appliquent depuis le 2 février 2025, et la page de présentation précise que les règles de contrôle n'étaient pas encore applicables au moment de la revue. La Commission constate donc un manque d'expérience pratique. Selon elle, une évaluation plus substantielle suppose au moins un an d'application et l'apparition de difficultés communes.
Le vide réglementaire signalé
La Commission a relevé un possible vide concernant les systèmes générant du matériel pédocriminel ou des contenus intimes non consentis, alors non visés par l'article 5. L'accord politique du 7 mai 2026 sur l'AI Omnibus a ensuite inclus leur interdiction. Il faut bien séparer les étapes : le constat de la revue n'était pas une règle applicable, c'est le texte modificatif qui crée l'interdiction.
Pourquoi l'annexe III reste à l'étude
La Commission attend trois éléments pour repérer d'éventuelles lacunes : ses lignes directrices de classification, les retours des bacs à sable réglementaires et l'expérience pratique. L'annexe III couvre notamment la biométrie, les infrastructures critiques, l'éducation, l'emploi, la migration, l'asile, le contrôle aux frontières, la justice et les processus démocratiques. La page de présentation indique que des systèmes spécifiques sont placés sous surveillance, sans les détailler : le rapport complet doit être lu avant toute conclusion sectorielle.
| Statut | Contenu | Réflexe |
|---|---|---|
| Déjà obligatoire | Pratiques interdites de l'article 5 | Vérifier l'absence d'usage |
| En consultation ou analyse | Lignes directrices, systèmes surveillés | Suivre sans anticiper de règle |
| Dépend de l'Omnibus | Nouvelle interdiction, calendrier du haut risque | Lire le texte consolidé |
| Révision possible | Listes de l'article 5 et de l'annexe III | Réévaluer à chaque revue |
AI Omnibus 2026 : nouvelles échéances et conséquences pour les entreprises
La communication de la Commission sur l'AI Omnibus le présente comme une simplification ciblée, préservant les garanties de sécurité et de droits fondamentaux. Un report de date ne supprime donc pas les exigences de fond.
Ce que le texte modifie
- Entreprises en croissance : certaines mesures réservées aux PME s'étendent aux petites entreprises de taille intermédiaire, avec des obligations simplifiées qui doivent être vérifiées selon votre taille réelle.
- Expérimentation : l'accès aux bacs à sable réglementaires est élargi et un bac à sable est créé au niveau de l'Union, afin de tester des systèmes sous supervision.
- Procédures : l'enregistrement de certains systèmes exemptés dans la base européenne est simplifié, tout comme les procédures applicables aux organismes d'évaluation de la conformité.
- Supervision : l'AI Office voit ses pouvoirs étendus sur certains systèmes reposant sur des modèles à usage général et intégrés à de grandes plateformes ou moteurs de recherche.
Le calendrier à retenir
| Sujet | Date |
|---|---|
| Transparence, article 50 | 2 août 2026 |
| Interdiction des contenus sexuels non consentis et pédocriminels | Décembre 2026 (annoncée) |
| Haut risque, annexe III | 2 décembre 2027 |
| Haut risque, produits de l'annexe I | 2 août 2028 |
L'obligation de maîtrise de l'IA de l'article 4, applicable depuis le 2 février 2025, est également simplifiée, avec un rôle accru de la Commission et des États membres. Je conseille de lire le texte consolidé avant d'alléger un plan de formation existant, car une simplification n'équivaut pas nécessairement à une disparition du besoin de compétences.
Une lecture critique pour les dirigeants
Le report donne du temps, mais il comporte trois risques : la procrastination, la dépendance à des fournisseurs peu documentés et une migration précipitée à l'approche de 2027. Je recommande donc de maintenir dès 2026 six chantiers : l'inventaire des systèmes, la qualification des rôles, la traçabilité des données, les clauses contractuelles, les tests et la documentation. Ces travaux restent utiles quelle que soit l'évolution des lignes directrices, et ils réduisent le coût d'une reprise tardive.
Gouvernance française : qui contrôle l'AI Act et comment la Commission coopère avec la France
Considérer la Commission comme seul interlocuteur de conformité est une erreur fréquente. Selon le schéma national présenté par la DGE, la DGCCRF coordonne les autorités de surveillance du marché et sert de point de contact unique au titre de l'article 70(2). La DGE soutient la mise en œuvre et représente la France au Comité européen de l'IA.
La page précise que ce schéma doit être accepté par le Parlement via un projet de loi : vérifiez donc son état d'avancement et les textes d'application avant de vous y référer.
Une répartition par usage
- CNIL : plusieurs pratiques interdites, une grande partie de l'annexe III, dont la biométrie et l'emploi, ainsi que la reconnaissance des émotions et la catégorisation biométrique au titre de la transparence.
- DGCCRF et Arcom : interactions directes avec des personnes, contenus générés et hypertrucages, l'Arcom contrôlant aussi les textes générés pour informer le public sur des questions d'intérêt public.
- Autorités sectorielles : ACPR pour certains usages financiers, autorités des produits de l'annexe I, Conseil d'État, Cour de cassation et Cour des comptes pour la justice, hauts fonctionnaires de défense et de sécurité pour les infrastructures critiques.
Le PEReN et l'Anssi forment un socle de compétences techniques mutualisées pour appuyer les contrôles.
Un tableau de travail à adapter
Les preuves ci-dessous sont des suggestions de méthode, pas une liste officielle.
| Usage | Risque | Texte | Autorité | Échéance | Preuves |
|---|---|---|---|---|---|
| Chatbot client | Transparence | Art. 50 | DGCCRF, Arcom | 2 août 2026 | Mention, tests |
| Hypertrucages | Transparence | Art. 50 | DGCCRF, Arcom | 2 août 2026 | Marquage, procédure |
| Tri de CV | Élevé | Ann. III(4) | CNIL | 2 déc. 2027 | Registre, supervision |
| Crédit par un établissement | Élevé | Ann. III(5) | ACPR | 2 déc. 2027 | Dossier, journaux |
| Émotions au travail | Interdit | Art. 5(1f) | CNIL | 2 fév. 2025 | Vérification d'absence |
| Machine avec IA | Élevé | Annexe I | Autorité du produit | 2 août 2028 | Dossier technique |
Une publication de la Commission doit donc être reliée à quatre éléments : la règle européenne, l'autorité française compétente, la procédure de contrôle et les preuves attendues. Pour les termes techniques, le glossaire IA d'IAPRO peut servir de référence commune aux équipes.
Méthode pratique : transformer un rapport AI Act en plan de conformité 2026
Voici la méthode en six étapes que je propose à une PME, une ETI ou une administration. Le hub AI Act d'IAPRO présente le cadre d'accompagnement correspondant.
- Inventorier : recensez les systèmes et modèles utilisés, y compris les outils SaaS, les assistants génératifs, les composants intégrés aux produits et les développements internes, sans oublier les usages non déclarés par les métiers.
- Identifier les rôles : déterminez si l'organisation agit comme fournisseur, déployeur, importateur ou distributeur, parfois à plusieurs titres, puis localisez les usages concernés dans l'Union européenne.
- Qualifier le risque : vérifiez les exclusions, les modèles à usage général, l'annexe I, l'annexe III et l'article 50, en conservant le raisonnement écrit derrière chaque classement retenu.
- Analyser les écarts : contrôlez les données, la documentation, la journalisation, la supervision humaine, la robustesse, la cybersécurité, l'information des utilisateurs et le suivi après le déploiement du système.
- Organiser la gouvernance : désignez un responsable, une procédure d'incident, une validation juridique et technique, une formation adaptée, ainsi que des clauses imposant au fournisseur de transmettre les informations nécessaires.
- Instaurer une veille trimestrielle : mettez à jour le registre des textes, échéances, lignes directrices et décisions, sans présenter chaque publication de la Commission comme un rapport trimestriel officiel.
Exemple de fiche de veille
| Champ | Exemple |
|---|---|
| Source et date | Commission, AI Omnibus, date de consultation |
| Statut juridique | Texte modificatif en vigueur |
| Changement | Annexe III reportée au 2 décembre 2027 |
| Systèmes touchés | Outil de présélection RH |
| Action et responsable | Revoir le plan projet, DSI et DPO |
| Échéance et preuve | Date interne, feuille de route validée |
Ne pas confondre les régimes
Le RGPD, la cybersécurité et les achats responsables recoupent ces travaux, mais ils reposent sur des logiques distinctes. Une analyse d'impact RGPD ne vaut pas qualification AI Act, et un audit de sécurité ne prouve pas la supervision humaine. Mutualisez les preuves lorsque c'est pertinent, tout en maintenant une analyse séparée pour chaque régime.
L'IA souveraine, l'hébergement maîtrisé et la réduction des transferts de données facilitent la traçabilité. Ils ne valent toutefois pas certification automatique de conformité.
Cas pratique et ROI : préparer une IA souveraine face au suivi réglementaire européen
Prenons un cas d'école fictif : une PME industrielle de 80 salariés déploie un assistant génératif interne pour rechercher des documents, produire des synthèses et répondre aux collaborateurs, avec des données parfois personnelles ou confidentielles.
Qualifier avant de conclure
La présence d'un modèle génératif ne suffit pas à fixer la classification. Un usage documentaire peut relever d'un risque minimal, avec d'éventuelles obligations de transparence. Le même outil, utilisé pour évaluer des candidats, pourrait basculer vers l'annexe III : le périmètre d'usage doit donc être écrit, puis contrôlé.
Les mesures de 2026 sont concrètes : informer les utilisateurs lorsqu'ils interagissent avec une IA, rendre identifiables les contenus générés lorsque les règles l'exigent, encadrer les hypertrucages, conserver les traces utiles et documenter le fournisseur, les données, les accès et la supervision humaine.
Ce que change une architecture on-premise
Une architecture souveraine ou sur site peut améliorer la maîtrise de la localisation des données, le contrôle des habilitations, la limitation des transferts, la réversibilité, la personnalisation du modèle et la capacité d'audit. Elle ne dispense ni de la qualification juridique, ni de la gouvernance des données, ni de l'évaluation des risques, ni des obligations du fournisseur ou du déployeur.
Construire le calcul de ROI
Voici une hypothèse purement illustrative, à remplacer par vos mesures : 40 utilisateurs × 1 heure gagnée par semaine × 45 semaines × 35 € de coût horaire = 63 000 € de temps valorisé par an. Déduisez ensuite l'installation, la maintenance et la formation à l'aide du calculateur de ROI IA.
D'autres gains se suivent séparément : baisse des erreurs de traitement, réduction du risque de fuite, continuité de service, moindre coût de reprise en cas de changement réglementaire et accélération des audits clients. Ces postes ne doivent être chiffrés qu'à partir de vos propres données.
Les livrables attendus
Un accompagnement IAPRO se structure autour de l'audit du parc IA, de la cartographie des flux, du choix d'architecture, de l'installation, de la personnalisation, des tests, de la formation, de la maintenance et d'un dossier de preuves. Selon le secteur, les cas d'usage par métier aident à cadrer ce périmètre. Cette démarche structure la conformité, sans la garantir automatiquement.
FAQ — suivi de l'AI Act par la Commission européenne
Existe-t-il un rapport trimestriel officiel de la Commission européenne sur l'AI Act en 2026 ?
Non, les sources officielles analysées ici ne mentionnent aucun rapport trimestriel de la Commission sur l'AI Act. La publication la plus proche est une revue annuelle prévue par l'article 112(1), portant sur l'article 5 et l'annexe III. Une veille trimestrielle reste utile, mais il s'agit d'une discipline interne à l'entreprise, non d'un rythme officiel européen.
Quelles obligations de l'AI Act s'appliquent à partir d'août 2026 ?
Le 2 août 2026 marque l'application générale du règlement : transparence de l'article 50, sanctions de l'article 99, autorités nationales compétentes et gouvernance. Concrètement, une entreprise doit signaler les interactions avec une IA et certains contenus générés lorsque les règles l'exigent. Les systèmes à haut risque suivent, eux, un calendrier distinct, reporté par l'Omnibus.
Que change l'AI Omnibus pour le calendrier des systèmes d'IA à haut risque ?
L'AI Omnibus reporte l'application des règles aux systèmes à haut risque de l'annexe III au 2 décembre 2027, et à ceux intégrés dans des produits réglementés de l'annexe I au 2 août 2028. Ce report ne supprime pas les exigences de fond : inventaire, documentation et contrats fournisseurs gagnent à être préparés dès maintenant.
Quelle autorité française contrôle un système d'IA soumis à l'AI Act ?
Cela dépend de l'usage. Selon le schéma présenté par la DGE, la CNIL couvre notamment l'emploi et la biométrie, l'ACPR certains usages financiers, la DGCCRF et l'Arcom les chatbots et hypertrucages. La DGCCRF coordonne l'ensemble comme point de contact unique. Ce schéma reste à revérifier au fil des textes nationaux d'application.
Comment savoir si un système d'IA est à haut risque au sens de l'AI Act ?
Il faut vérifier si le système est un composant de sécurité d'un produit relevant de l'annexe I, ou s'il correspond à un usage de l'annexe III, comme l'emploi, l'éducation ou la biométrie. L'usage prime sur la technologie : un modèle génératif n'est pas automatiquement à haut risque. Les lignes directrices de la Commission préciseront cette classification.
Les modèles d'IA à usage général sont-ils concernés par l'AI Act ?
Oui. Les règles applicables aux modèles d'IA à usage général s'appliquent depuis le 2 août 2025, et les modèles mis sur le marché avant cette date doivent être conformes au 2 août 2027. Une entreprise qui utilise simplement un tel modèle n'endosse pas forcément les obligations du fournisseur, mais doit qualifier précisément son propre rôle.
Une IA hébergée en France est-elle automatiquement conforme à l'AI Act ?
Non. L'hébergement en France ou sur site facilite la maîtrise des données, des accès et de la traçabilité, mais ne constitue pas une certification de conformité. La qualification du risque, la gouvernance des données, la documentation et les obligations du fournisseur ou du déployeur s'appliquent quel que soit le lieu d'hébergement du système.
Que doit contenir un registre de veille AI Act pour une entreprise ?
Un registre utile comporte, pour chaque publication, la source, la date, le statut juridique, le changement apporté, les systèmes touchés, l'action décidée, le responsable, l'échéance et la preuve attendue. Cette structure distingue un texte contraignant d'une simple consultation et transforme chaque évolution réglementaire en tâche vérifiable, revue par exemple une fois par trimestre.
Pour aller plus loin avec IAPRO
Pour relire vos échéances 2026 et évaluer votre maturité, vous pouvez demander un diagnostic à IAPRO. L'échange porte sur votre parc IA, vos rôles et vos preuves disponibles, sans promesse de conformité automatique. Le parcours AI Act détaille l'accompagnement proposé.
Vérifiez vos aides en 2 minutes
Chaque dispositif (Bpifrance, France Num, aides régionales, OPCO) a ses propres critères d'éligibilité et ses propres délais. Notre simulateur croise votre profil avec les dispositifs actifs, ou échangez directement avec un expert IAPRO.
Vérifier mon éligibilité Demander un diagnostic gratuit de 30 min