L'IA, c'était reporté, non ?

« L’Europe a repoussé l’AI Act. » C’est la phrase que j’entends le plus depuis juillet. Elle est rassurante, et pour l’essentiel trompeuse : ce qui a été reporté ne concerne probablement pas votre entreprise, et ce qui s’applique déjà, lui, la concerne.

Ce qui a été reporté, et ce qui ne l’a pas été

Le règlement européen sur l’intelligence artificielle, règlement (UE) 2024/1689, est en vigueur depuis le 1ᵉʳ août 2024. Cet été, un second texte l’a modifié sur quelques points précis : le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus », en vigueur depuis le 27 juillet 2026, et non depuis le 19 novembre 2025, date de la proposition, qu’on lit encore partout. Il ne remplace pas le premier ; il en décale une partie.

Ce qui a bougé, c’est le haut risque, et lui seul. L’annexe III liste des usages, dont le tri de candidatures et l’évaluation du personnel : reportée au 2 décembre 2027. L’annexe I liste des produits déjà réglementés dont l’IA devient un organe de sécurité, machines, ascenseurs, jouets, équipements de protection, dispositifs médicaux : reportée au 2 août 2028. Si vous ne fabriquez ni n’intégrez ce genre de produit, cette seconde date ne vous concerne pas.

L’obligation de former n’a pas bougé. L’article 4, qui demande de favoriser la maîtrise de l’IA chez son personnel, s’applique depuis le 2 février 2025. L’omnibus l’a seulement allégé : cette obligation « ne contraint pas […] à garantir un niveau spécifique de maîtrise de l’IA par un individu ». Il faut former ses équipes, sans avoir à prouver le niveau atteint par chacun.

La transparence n’a pas bougé non plus. L’article 50 s’applique depuis le 2 août 2026, la Commission européenne le confirme dans sa foire aux questions. Les contenus publiés avant cette date n’ont pas à être étiquetés après coup.

Et le sujet n’attend pas 2027. Selon le 82ᵉ baromètre TPE-PME de Bpifrance Le Lab, enquête de fin 2025 publiée le 13 janvier 2026, 55 % des TPE-PME utilisent l’IA générative, contre 31 % fin 2024.

Vous êtes déployeur

Le règlement raisonne par rôles, pas par entreprises. Le fournisseur « développe ou fait développer un système d’IA […] et le met sur le marché […] sous son propre nom ou sa propre marque » (article 3, point 3). Le déployeur est celui « utilisant sous sa propre autorité un système d’IA » (article 3, point 4). Une PME abonnée à une IA du commerce pour rédiger, traduire ou répondre est déployeur : elle utilise, elle ne fabrique pas.

Le marquage technique des contenus n’est pas votre affaire. La marque lisible par une machine (article 50, paragraphe 2) et l’obligation de signaler qu’on parle à une machine (paragraphe 1) pèsent sur le fournisseur, c’est-à-dire sur l’entreprise qui édite le logiciel que vous utilisez. Pour les systèmes commercialisés avant le 2 août 2026, cette marque n’est exigible qu’au 2 décembre 2026 (article 111, paragraphe 4). À vérifier auprès de votre prestataire, et à écrire au contrat.

Une pratique interdite, et elle vise le travail

Depuis le 2 février 2025, l’article 5 interdit « l’utilisation de systèmes d’IA pour inférer les émotions d’une personne physique sur le lieu de travail et dans les établissements d’enseignement, sauf lorsque l’utilisation du système d’IA est destinée à être mise en place ou mise sur le marché pour des raisons médicales ou de sécurité » (paragraphe 1, point f). En clair : un logiciel qui prétend deviner l’humeur ou l’état émotionnel des gens au travail est interdit, sauf raison médicale ou de sécurité.

La sanction est la plus lourde du règlement. Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu (article 99, paragraphe 3). Pour une PME, la règle s’inverse : c’est le montant le plus faible qui est retenu (article 99, paragraphe 6). Dans votre cas, le plafond est donc 7 % de votre chiffre d’affaires.

Le critère est le lieu, pas le statut de la personne. Les mots « salarié » et « candidat » ne figurent pas au texte. Les lignes directrices de la Commission lisent largement le lieu de travail : il couvre les candidats pendant la sélection et le recrutement, période d’essai comprise. Elles ne lient pas les juges, mais elles disent comment la Commission lit le texte. Un système qui analyse les émotions d’un candidat en entretien relève donc de l’interdiction.

L’exception est étroite, l’interdiction aussi. La « raison médicale ou de sécurité » ne couvre pas la surveillance générale du stress au travail, et la sécurité s’entend de la vie et de la santé, non des biens. En sens inverse, la Commission limite l’interdiction aux inférences fondées sur des données biométriques : un logiciel qui trie des dossiers sans signal biométrique n’est pas visé.

Échapper à l’interdiction ne veut pas dire être libre. Le système peut relever du haut risque, au calendrier reporté, ou de l’obligation d’informer les personnes exposées (article 50, paragraphe 3). La réciproque est fausse : quand la pratique est interdite, informer les personnes ne la rend pas licite.

Deux étiquettes pèsent sur vous

Deux obligations de transparence visent le déployeur. Dans les deux cas, l’information doit être donnée « de manière claire et reconnaissable au plus tard au moment de la première interaction ou de la première exposition » (article 50, paragraphe 5) : là où la personne découvre le contenu, pas plus bas dans la page, pas plus tard.

Un hypertrucage publié doit être signalé. Hypertrucage est le mot officiel du règlement pour un faux réaliste : « une image ou un contenu audio ou vidéo généré ou manipulé par l’IA, présentant une ressemblance avec des personnes, des objets, des lieux, des entités ou événements existants et pouvant être perçu à tort par une personne comme authentiques ou véridiques » (article 3, point 60). La photo de synthèse d’un produit que vous ne possédez pas, ou d’un chantier que vous n’avez pas fait, en est un. Un dessin, un schéma, une image manifestement irréelle n’en sont pas.

Un texte d’information publié avec l’aide de l’IA doit être signalé, sauf relecture assumée. L’article 50, paragraphe 4, exempte le contenu qui « a fait l’objet d’un processus d’examen humain ou de contrôle éditorial », avec une personne qui en assume la responsabilité. Un billet relu au fond et signé par quelqu’un qui en répond est exempté.

Une relecture, c’est quelque chose de précis. Les lignes directrices de la Commission sur l’article 50, publiées le 20 juillet 2026, sont exigeantes : la relecture porte sur le fond, par quelqu’un qui connaît le sujet, et vérifie les faits ; une correction d’orthographe, une charte qui n’existe que sur le papier, une relecture confiée à une autre IA ou un feu vert de pure forme ne comptent pas ; si l’IA repasse sur le texte après la relecture, l’exemption tombe ; et le nom et le moyen de joindre la personne qui signe doivent être faciles à trouver, dans les mentions légales par exemple. La question n’est donc pas « quelle IA ? », mais « qui a relu au fond, qui signe, et personne n’y a touché après ? ».

Notre règle, en cinq cas

Mascareign Digital tient un registre des contenus produits avec l’aide de l’IA, et applique une règle d’étiquetage en cinq cas :

• Image photoréaliste générée ou manipulée par IA, l’hypertrucage du règlement : mention visible sur l’image ou en tête de légende, dès la première exposition. La reléguer dans les métadonnées, en bas de page ou dans les conditions générales ne suffit pas.
• Vidéo ou son réaliste : même mention et, lorsque la plateforme propose une option de divulgation, activation de cette option à la publication.
• Visuel manifestement stylisé (dessin, schéma) : la loi ne l’exige pas, notre règle le recommande par défaut.
• Texte promotionnel (publication commerciale, annonce) : hors du champ de l’article 50, et notre règle n’y ajoute rien.
• Texte d’information d’intérêt public (veille, blog, analyse) assisté par IA : pas de mention si quatre conditions sont réunies. Une revue humaine réelle, de l’idée à la relecture avant publication. La responsabilité éditoriale portée nommément par la direction. Aucune retouche par l’IA après cette relecture. La trace au registre. Il en manque une, nous étiquetons.

Cette règle en fait plus que la loi. Nos textes relus et signés relèvent de l’exception éditoriale : non étiquetés, mais tracés au registre. Nos visuels stylisés, que l’article 50 n’oblige pas à signaler, sont étiquetés quand même. Un cabinet qui explique la transparence à d’autres doit pouvoir montrer la sienne, pas la revendiquer.

Ce qui se décide maintenant pour 2027

Celui qui « modifie la destination d’un système d’IA […] de telle manière que le système d’IA concerné devient un système d’IA à haut risque » devient fournisseur (article 25, paragraphe 1, point c). Mettez une IA du commerce à filtrer des candidatures ou à évaluer vos salariés, deux usages de l’annexe III, et vous cessez d’être un simple utilisateur : ce sont les obligations du fournisseur, celles de l’article 16, qui vous attendent.

Cet article ne s’applique pas encore, et c’est le piège. Il fait partie du bloc reporté au 2 décembre 2027 pour l’annexe III, au 2 août 2028 pour l’annexe I. Le basculement se produit sans décision formelle, sans budget, sans projet informatique : un tableur, un abonnement, une bonne idée un mardi après-midi. Ce n’est pas votre problème de lundi ; c’est celui que vous fabriquez lundi et qu’on vous opposera en 2027.

Quatre questions pour lundi matin

1. Un système qui prétend lire les émotions de vos salariés ou de vos candidats est-il en service chez vous, ou dans un logiciel de recrutement que vous louez ?
2. Publiez-vous des images, des voix ou des vidéos susceptibles d’être prises pour authentiques, sans le dire ?
3. Publiez-vous de la veille, des billets de blog ou des analyses rédigés avec l’aide de l’IA, sans que personne les ait relus au fond et les signe ?
4. Quelqu’un a-t-il branché une IA du commerce sur du tri de candidatures ou de l’évaluation de personnel ?

Chaque question a sa date. La première vise une interdiction en vigueur depuis février 2025, la plus lourdement sanctionnée. La deuxième et la troisième, les deux étiquettes de l’article 50, applicables depuis le 2 août 2026. La quatrième ne mordra qu’en 2027, mais se décide maintenant.

Si les quatre réponses sont non, aucune obligation de signalement au titre de l’article 50 ne pèse sur vous aujourd’hui, à une réserve près : si vous utilisez, ailleurs qu’au travail, un système qui déduit des émotions ou classe les personnes d’après leur visage ou leur voix, le paragraphe 3 du même article vous demande d’en informer les personnes exposées. Reste l’article 4, dont la marche est basse : recenser qui utilise quoi, et former ces personnes aux limites de ces systèmes.

La CNIL tient à jour une foire aux questions sur le règlement IA, actualisée le 17 août 2026 pour l’omnibus : les questions-réponses de la CNIL.

Une question pour finir : depuis le 2 août, qu’avez-vous publié que personne n’a relu au fond ni signé ?