AI Act : dimanche, l'Europe pourra enfin infliger des amendes

Les obligations européennes qui visent OpenAI, Google, Anthropic ou Mistral s'appliquent depuis le 2 août 2025. Un an déjà. Ce qui manquait pendant cette année-là, c'est l'amende.

Un an de règles sans sanction

L'article 113 du règlement (UE) 2024/1689 fixe le calendrier d'application, et il contient une réserve que presque personne ne relève. Les chapitres qui portent les obligations pour les modèles à usage général s'appliquent depuis le 2 août 2025, « with the exception of Article 101 ».

L'article 101, c'est le pouvoir donné à la Commission d'infliger des amendes aux fournisseurs de ces modèles : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial.

Les règles existaient, la sanction non. Un code de la route sans radar. Le radar arrive dimanche, et c'est l'effet le plus concret de cette échéance dont on parle depuis des semaines.

Ce qui s'applique aussi ce jour-là

L'autre texte qui entre en jeu, c'est l'article 50, celui des obligations de transparence. Il tient en quatre gestes.

Les fournisseurs de systèmes conçus pour interagir avec des personnes doivent informer qu'on parle à une machine, « à moins que cela ne soit évident du point de vue d'une personne physique raisonnablement bien informée, observatrice et avisée, compte tenu des circonstances et du contexte d'utilisation ». Le critère n'est donc pas ce que comprend le premier venu, mais ce que comprendrait quelqu'un d'attentif. Les contenus générés doivent porter une marque lisible par machine. Les déployeurs qui publient un deepfake doivent déclarer que le contenu a été généré ou manipulé. Et les textes publiés « dans le but d'informer le public sur des questions d'intérêt public » doivent être signalés, sauf s'ils sont passés sous responsabilité éditoriale humaine.

Attention au contresens le plus répandu : il n'y a pas d'obligation générale d'afficher « créé avec de l'IA » sur tout contenu généré. La marque du deuxième geste est lisible par machine, pas par toi : une signature technique glissée dans le fichier, invisible à l'œil, et elle pèse sur le fournisseur de l'outil, pas sur celui qui s'en sert. La mention visible ne devient obligatoire que dans deux cas, ceux du quatrième geste : un deepfake, et un texte publié pour informer le public sur un sujet d'intérêt général. Ton visuel marketing généré au prompt n'a pas à porter d'étiquette apparente.

Là encore, l'amende n'est pas symbolique : un manquement à l'article 50 relève de l'article 99, qui plafonne à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu. Pour une PME, c'est le plafond le plus bas qui s'applique.

Le sursis de quatre mois est plus étroit qu'on ne le lit

Le Digital Omnibus, publié au Journal officiel le 24 juillet et entré en vigueur trois jours plus tard, accorde un délai jusqu'au 2 décembre 2026. C'est exact, et beaucoup de reprises s'arrêtent là.

L'exception est en réalité minuscule. Elle porte sur la seule obligation de marquage lisible par machine, le paragraphe 2 de l'article 50, et uniquement pour les systèmes déjà mis sur le marché avant le 2 août. La Commission le formule sans ambiguïté dans sa foire aux questions : le sursis vaut « only for AI systems placed on the market before 2 August 2026 » et « only as regards the marking and detection obligation ».

Le sursis ne couvre donc pas l'échéance, il couvre un paragraphe. Un outil lancé le 3 août n'a aucun délai, et le reste de l'article 50 s'applique à tout le monde dimanche.

Concrètement, si tu déploies de l'IA

Tu as mis un chatbot sur ton site : il doit annoncer qu'il est une IA dès la première interaction. Le bouton « parler à un conseiller » qui ouvre sur un modèle sans le dire n'est plus tenable.

Tu publies un texte d'actualité largement écrit par un modèle : soit un humain le relit et en porte la responsabilité éditoriale, soit tu l'étiquettes. La newsletter d'entreprise générée en trois clics tombe dans le champ dès qu'elle informe le public sur un sujet d'intérêt général.

Le périmètre s'arrête à la porte de chez toi. La Commission exclut de la notion de déployeur l'usage « personal, non-professional » : l'image générée pour faire rire ses amis n'est pas concernée. La même image publiée par une agence pour un client, si.

Ce qui n'arrive pas dimanche

La partie du règlement qui aurait vraiment mordu, ce sont les systèmes à haut risque : recrutement, crédit, éducation, biométrie, infrastructures critiques. Documentation obligatoire, gestion des risques, supervision humaine, enregistrement.

Ce bloc a glissé. Le Digital Omnibus repousse l'annexe III au 2 décembre 2027, et l'annexe I, l'IA embarquée dans des produits déjà réglementés, au 2 août 2028. Le mécanisme, ses exemptions et le lobbying qui l'entoure, on les a détaillés dans un article distinct.

On installe donc le radar avant d'avoir fini de construire la route. La sanction des grands modèles arrive dimanche, le contrôle des systèmes qui décident d'un emploi ou d'un crédit attendra seize mois de plus.

Une partie de la société civile n'a pas lu ça comme une simplification. EDRi, dans un communiqué de novembre 2025 rédigé au stade de la proposition, écrivait que « the Digital Omnibus on AI tears the AI Act apart, undermining its key protections ». C'est un point de vue, antérieur au texte final, et il vaut d'être connu.

En France, personne n'est encore nommé

Reste une bizarrerie locale. Le règlement s'applique dimanche, mais l'autorité française chargée de la surveillance du marché n'est toujours pas désignée par la loi : le véhicule législatif, le projet de loi DDADUE, est encore en discussion. La CNIL se prépare à en récupérer une large part, notamment sur la biométrie et l'emploi, sous réserve de confirmation par le législateur.

Le radar européen s'allume dimanche. En France, le nom de celui qui relèvera les infractions n'est pas encore écrit.