Ce qui a changé à Bruxelles le 2 août
Le 2 août 2026, une année de codes de conduite volontaires et de dialogues sur la conformité à Bruxelles a laissé place à un régime sanctionnateur. Les obligations de transparence de l'article 50 - qui imposent aux chatbots de révéler leur nature automatisée, aux deepfakes de porter des étiquettes et aux contenus générés par machine de comporter des marquages lisibles par machine - sont entrées en vigueur en même temps que les pouvoirs d'application sur les modèles d'IA à usage général. L'AI Office de la Commission européenne et les 24 autorités nationales compétentes des États membres peuvent désormais demander de la documentation technique, mener leurs propres évaluations, exiger des mesures correctives et infliger directement des amendes, plutôt que de négocier la conformité de manière informelle.
La vice-présidente exécutive de la Commission européenne, Henna Virkkunen, a présenté ce changement comme protecteur, et non conflictuel, affirmant que les règles offrent "aux innovateurs une sécurité juridique tout en protégeant l'intérêt public" et qualifiant ce moment d'"étape importante vers une IA que les citoyens et les entreprises peuvent comprendre et en laquelle ils peuvent avoir confiance". Elle a également qualifié l'intelligence artificielle de "technologie transformatrice", tout en avertissant que les modèles les plus avancés "créent des risques d'une ampleur entièrement nouvelle", une distinction qui indique où l'attention de l'application de la norme est susceptible de se concentrer en premier.
Le premier geste de la CNIL : 14 banques, zéro délai accordé
Le premier vrai test du nouveau régime est intervenu en moins de 48 heures. Le 4 août 2026, l'autorité française de protection des données, la CNIL, a adressé des demandes formelles de documentation technique au titre de l'article 11 à 14 établissements financiers exploitant des algorithmes de notation de crédit fondés sur l'IA, exigeant la documentation de l'annexe IV que les systèmes d'IA à haut risque sont tenus de conserver. Trois des quatorze établissements ont demandé un délai supplémentaire pour répondre.
La CNIL a rejeté les trois demandes de délai, invoquant les deux années dont les entreprises ont disposé pour se préparer depuis l'adoption de l'AI Act en 2024. C'est le détail sur lequel il faut s'arrêter : le premier geste d'un régulateur sous les nouveaux pouvoirs d'application n'a été ni une lettre d'avertissement ni une demande informelle, mais une exigence formelle de documentation assortie d'un refus net de tout délai supplémentaire. Toute entreprise de l'UE relevant d'une catégorie à haut risque - octroi de crédit, recrutement ou tout autre cas d'usage relevant de l'annexe III - dispose désormais d'un précédent concret, et non plus hypothétique, de ce à quoi ressemble réellement un audit de premier contact.
Comment fonctionnent réellement les amendes
La structure des sanctions est échelonnée selon le type d'infraction, et non fixée à un chiffre unique. Les manquements aux obligations de transparence de l'article 50 - les règles d'étiquetage des deepfakes et de divulgation de l'usage de l'IA - entraînent des amendes pouvant atteindre EUR 15 millions ou 3 % du chiffre d'affaires annuel mondial de l'entreprise, le montant le plus élevé étant retenu. Les pratiques d'IA interdites, ce petit ensemble d'usages que le texte proscrit purement et simplement, entraînent un plafond plus sévère : jusqu'à EUR 35 millions ou 7 % du chiffre d'affaires mondial.
Pour toute entreprise de taille significative, la structure fondée sur un pourcentage du chiffre d'affaires compte davantage que les montants en euros, puisqu'elle évolue avec les revenus au lieu de plafonner l'exposition à un chiffre fixe. Les injonctions de mesures correctives ajoutent une seconde couche de pression : dès qu'une autorité nationale constate la non-conformité d'un système, elle peut fixer une fenêtre de mise en conformité aussi courte que 15 jours ouvrés pour le corriger, le retirer ou le rappeler, ce qui laisse peu de temps à une entreprise qui n'aurait pas déjà préparé sa documentation technique à l'avance.
La question à laquelle toute entreprise de l'UE doit désormais répondre
Pendant un an, la question centrale pour toute entreprise de l'UE utilisant ou déployant de l'IA a été de savoir si elle était globalement conforme à l'AI Act, question à laquelle il était répondu de bonne foi via des revues internes et des codes volontaires. Depuis cette semaine, cette question a changé. La question centrale est désormais de savoir si une entreprise peut produire la documentation technique de l'annexe IV sur demande, dans le délai fixé par le régulateur lui-même, car la CNIL vient de démontrer qu'elle ne prolongera pas ce délai sur simple demande.
La vague de contrôles de la CNIL sur la notation de crédit constitue un aperçu utile, en particulier pour les entreprises des secteurs du crédit, du recrutement et des autres catégories à haut risque de l'annexe III, car il s'agit du premier exemple concret de ce à quoi ressemble, dans la pratique et non plus seulement dans le texte de la réglementation, un audit documentaire à haut risque. Toute entreprise de ces catégories qui n'a pas encore constitué son dossier technique devrait considérer ce mois-ci, et non une future échéance de conformité, comme le moment où les documents doivent déjà exister.
À lire ensuite: Le 2 août, les amendes IA de l'UE deviennent réelles | Le seuil américain pour l'IA de frontière est secret
