AI Act après le Digital Omnibus : le nouveau calendrier et vos contrats

Le règlement (UE) 2026/1744 modifie l’AI Act, le règlement (UE) 2024/1689. Il a été signé à Strasbourg le 8 juillet 2026 et publié au Journal officiel de l’Union européenne le 24 juillet 2026. Il entre en vigueur le troisième jour suivant sa publication, soit le 27 juillet 2026.

Il ne remplace pas l’AI Act. Il en ajuste le calendrier et certaines obligations. Son considérant explique le report par les retards dans la disponibilité des normes et des orientations, ainsi que dans la mise en place des autorités nationales.

Voici les dates qui ressortent du texte de l’AI Act tel que modifié par l’article 113 révisé :

• 2 février 2025 : chapitres I et II, dont les pratiques interdites et l’obligation relative à la maîtrise de l’IA.
• 2 août 2026 : date générale d’application, qui n’a pas changé. Elle couvre notamment l’article 50.
• 2 décembre 2026 : nouvelles interdictions ajoutées à l’article 5, et fin du délai de marquage pour les systèmes mis sur le marché avant le 2 août 2026.
• 2 décembre 2027 : règles de haut risque pour les systèmes de l’annexe III. La date initiale était le 2 août 2026.
• 2 août 2028 : règles de haut risque pour les systèmes de l’annexe I, intégrés à des produits réglementés. La date initiale était le 2 août 2027.

Les nouvelles interdictions visent notamment les systèmes qui génèrent des images réalistes intimes ou sexuellement explicites d’une personne identifiable sans son consentement. Elles concernent peu la gestion des contrats, mais elles s’ajoutent à la liste de l’article 5.

Le nouvel article 111, paragraphe 4, retient le 2 décembre 2026 pour les systèmes déjà sur le marché. Un considérant du règlement parle d’une période transitoire de quatre mois.

Ce délai est étroit. Il ne vise que les fournisseurs de systèmes d’IA qui génèrent des contenus de synthèse, et seulement pour les systèmes mis sur le marché avant le 2 août 2026. Il ne porte que sur l’article 50, paragraphe 2 : le marquage des sorties dans un format lisible par machine. Le texte impose ce marquage, sans employer le mot filigrane.

Un système mis sur le marché après le 2 août 2026 ne bénéficie pas de ce délai. Les autres paragraphes de l’article 50 n’en bénéficient pas non plus.

L’article 50 répartit les obligations entre deux rôles. Le fournisseur développe le système ou le met sur le marché. Le déployeur l’utilise sous sa propre autorité dans un cadre professionnel. Une entreprise qui achète un assistant d’IA est en général déployeur, mais la qualification dépend des faits.

• Fournisseurs : informer les personnes qu’elles interagissent avec une IA, sauf si cela ressort clairement du contexte, et marquer les contenus générés.
• Déployeurs : signaler les hypertrucages, et indiquer qu’un texte publié pour informer le public sur des questions d’intérêt public a été généré ou manipulé par une IA.

Cette dernière obligation tombe lorsque le texte a fait l’objet d’un examen humain ou d’un contrôle éditorial, et qu’une personne assume la responsabilité éditoriale. Un projet de contrat échangé entre deux parties n’est pas, à première lecture, un texte publié pour informer le public. Ce point reste à apprécier par votre juriste selon l’usage réel.

L’annexe III dresse une liste de domaines. Pour une entreprise, on y trouve notamment le recrutement et la gestion de la relation de travail, ainsi que l’évaluation de la solvabilité des personnes physiques. La justice y figure pour les systèmes utilisés par les autorités judiciaires ou en leur nom.

La relecture de contrats d’entreprise n’y apparaît pas comme une catégorie en soi. Cela ne dispense pas d’analyser chaque cas : c’est la destination du système qui compte. L’article 6, paragraphe 3, prévoit aussi qu’un système de l’annexe III n’est pas à haut risque s’il ne présente pas de risque important de préjudice.

Lorsqu’un système est à haut risque, l’article 26 prévoit notamment pour le déployeur, à compter de la date reportée :

• une utilisation conforme à la notice ;
• un contrôle humain confié à des personnes compétentes ;
• une surveillance du fonctionnement et la conservation des journaux sous son contrôle, pendant au moins six mois ;
• l’information des travailleurs avant une utilisation sur le lieu de travail.

Une entreprise peut aussi devenir fournisseur, au sens de l’article 25, si elle commercialise le système sous sa marque, le modifie substantiellement ou change sa destination au point de le rendre à haut risque.

Le règlement ne réécrit pas vos contrats. Une date reprise dans une clause, une annexe ou un plan de conformité ne bouge pas toute seule. La relecture peut suivre quelques questions :

• Calendrier : le contrat cite-t-il le 2 août 2026 ou le 2 août 2027 pour des exigences de haut risque ?
• Rôles : le fournisseur et le déployeur sont-ils identifiés, et l’usage prévu est-il décrit ?
• Documentation : avez-vous accès à la notice et aux informations utiles à vos propres obligations ?
• Journaux : qui les conserve, et pouvez-vous y accéder pendant la durée requise ?
• Évolutions : comment êtes-vous informé d’un changement de modèle ou de destination ?
• Sous-traitance : le contrat rappelle-t-il qui traite les données, en lien avec l’article 28 du RGPD ?

Pour un fournisseur de système à haut risque, l’article 25, paragraphe 4, exige un accord écrit avec les tiers qui fournissent des composants ou des services intégrés. Il précise les informations et l’assistance nécessaires. Le Digital Omnibus ajoute expressément ce paragraphe à la liste des manquements sanctionnés à l’article 99.

L’article 99 prévoit des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites. Pour les obligations des déployeurs de l’article 26 et de transparence de l’article 50, le plafond est de 15 millions d’euros ou 3 %. Pour une PME, le montant le plus faible s’applique. Le Digital Omnibus étend cette règle aux petites entreprises à moyenne capitalisation pour les amendes des paragraphes 4 et 5 de l’article 99, dont relève ce plafond de 15 millions d’euros.

Restent à suivre les normes harmonisées, les orientations de la Commission et les codes de bonne pratique sur le marquage. L’article 50, paragraphe 7, réserve à la Commission le soin de vérifier si ces codes suffisent. Le régime de sanctions dépend aussi de chaque État membre.

Docform ne qualifie pas vos systèmes d’IA à votre place. Il aide à retrouver et à relire les contrats concernés : la contrathèque centralise vos contrats par dossier, tag et statut, et le suivi des échéances rend visibles les renouvellements. L’assistant analyse un contrat et signale les points de vigilance en citant le passage source, selon le playbook défini par votre équipe. L’IA peut se tromper : le juriste vérifie et décide.