IA Act : ce qui change réellement pour les industriels depuis le 2 août 2026
Le 2 août 2026 devait être la grande échéance de l'IA Act pour l'industrie. Cinq jours avant, l'Union européenne a déplacé la ligne d'arrivée. Le règlement appelé « Digital Omnibus » est entré en vigueur le 27 juillet 2026 et reporte de seize mois l'essentiel des obligations applicables aux systèmes à haut risque. Ce report est réel mais ne concerne pas tout, et il a été très largement mal lu.
Cet article a pour objectif de distinguer ce qui est effectivement reporté de ce qui s'applique dès aujourd'hui, puis qualifier les cas d'usage IA réellement déployés en atelier et dans les fonctions support : assistant documentaire, vision qualité, maintenance prédictive, tri de candidatures. Parce que la vraie question n'est pas « l'IA Act est-il reporté ? », mais « lesquels de mes systèmes sont concernés, et à quel titre ? »
Le règlement (UE) 2026/1744, a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026.
Il modifie le règlement (UE) 2024/1689 (l'IA Act), ainsi que le règlement (UE) 2018/1139 (aviation) et le règlement (UE) 2023/1230 (machines). C'est la première révision formelle de l'IA Act depuis son adoption en 2024.
Le calendrier réel après le Digital Omnibus
Voici l'état exact des échéances, mises à jour du texte en vigueur. Les deux lignes en orange sont celles qui ont bougé.
Pratiques interdites et maîtrise de l'IA
Les pratiques interdites (article 5) et l'obligation de maîtrise de l'IA (article 4) s'appliquent depuis dix-huit mois. L'Omnibus a assoupli l'article 4 : il s'agit désormais de soutenir la montée en compétence des équipes, non de garantir un niveau formel.
Obligations des fournisseurs de modèles à usage général (GPAI)
Documentation technique, politique de droit d'auteur, résumé des données d'entraînement. Ces obligations pèsent sur les fournisseurs de modèles — Mistral, OpenAI, Anthropic, Google, Meta — pas sur vous en tant qu'utilisateur industriel.
Transparence (article 50) et pouvoirs de sanction sur les modèles GPAI
C'est ce qui reste dû. Détaillé dans la section suivante.
Fin du délai de grâce sur le marquage des contenus générés
Les systèmes mis sur le marché avant le 2 août 2026 disposent d'un délai supplémentaire de quatre mois pour implémenter le marquage lisible par machine des contenus synthétiques. Les nouveaux systèmes, eux, sont concernés immédiatement.
Bacs à sable réglementaires nationaux
L'obligation pour les États membres de mettre en place au moins un bac à sable réglementaire a été décalée d'un an.
Systèmes à haut risque autonomes (annexe III) — anciennement 2 août 2026
Gestion des risques, documentation technique, qualité des données, journalisation, validation humaine, enregistrement en base européenne, évaluation de conformité. Reporté de seize mois.
IA intégrée à des produits réglementés (annexe I) — anciennement 2 août 2027
Machines, dispositifs médicaux, ascenseurs, équipements sous pression, aéronautique : quand l'IA est un composant de sécurité d'un produit déjà couvert par la législation européenne d'harmonisation. Reporté de douze mois.
Un point technique important pour l'industrie mécanique : l'Omnibus a également redéfini la notion de « composant de sécurité », qui commande précisément le basculement en annexe I. Cette redéfinition mérite une relecture de vos qualifications si vous aviez déjà classé un système sur la base de l'ancienne définition — elle peut faire entrer, ou sortir, un système du périmètre.
Ce qui s'applique vraiment depuis le 2 août 2026
Trois blocs, dont deux vous concernent directement en tant qu'entreprise utilisatrice.
Article 50. Toute personne qui interagit avec un système d'IA doit le savoir. Les contenus générés ou manipulés par IA doivent être identifiables, y compris par un marquage lisible par machine.
La Commission et le Bureau de l'IA peuvent désormais exiger la documentation technique d'un modèle, l'évaluer, imposer des mesures correctives, le restreindre — et sanctionner jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial.
Article 4. Les collaborateurs qui utilisent ou pilotent un système d'IA doivent disposer d'un niveau de compréhension suffisant. Applicable depuis février 2025, non reporté.
Traduction concrète pour une ETI industrielle
L'article 50 est le seul point qui demande une action visible côté industriel, et il est plus large qu'on ne le pense. Il vise notamment :
- Le chatbot commercial sur votre site : il doit annoncer qu'il s'agit d'une machine.
- Les réponses générées puis envoyées à un client ou à un fournisseur sans relecture humaine substantielle.
- Les visuels et textes marketing générés et publiés — marquage des contenus synthétiques.
- Tout assistant interne accessible à des salariés : le point est moins sensible juridiquement (l'usage est manifestement assumé), mais le tracer coûte quelques minutes et clôt le sujet.
Le contresens à éviter. Les sanctions ne sont pas reportées. Ce qui est reporté, ce sont les obligations de fond sur les systèmes à haut risque. Le régime de sanctions de l'IA Act, lui, est opérationnel : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour la plupart des autres manquements, 7,5 M€ ou 1 % pour la fourniture d'informations inexactes aux autorités. Pour une PME, c'est le montant le plus faible des deux qui s'applique.
Vos systèmes sont-ils à haut risque ? L'arbre de décision industriel
C'est la question que personne ne traite clairement, et c'est pourtant la seule qui détermine votre charge de conformité. Voici la qualification des cas d'usage que nous rencontrons le plus souvent en atelier et en bureau d'études. Un avertissement préalable : la qualification dépend toujours de la finalité réelle du système, pas de sa technologie. Le même modèle peut être hors périmètre dans un usage et à haut risque dans un autre.
Assistant documentaire interne (RAG)
Qualification : Ni annexe I ni annexe III. Système d'IA à risque limité, soumis au seul devoir de transparence.
Un assistant branché sur vos procédures qualité, vos gammes d'usinage et votre documentation technique, qui répond à un opérateur ou à un méthodiste, n'entre dans aucune catégorie de haut risque. Il ne décide de rien : il retrouve et restitue de l'information, en citant ses sources.
La nuance qui compte : si ce même assistant est étendu à l'évaluation des collaborateurs, à l'attribution de tâches ou à l'analyse de candidatures, il bascule en annexe III. La frontière n'est pas technique, elle est fonctionnelle.
Voir notre guide complet du RAG documentaire et nos solutions RAG.
Contrôle qualité par vision
Qualification : Dépend du rôle exact du système dans la machine et dans le produit. Deux situations très différentes.
Contrôle de conformité produit en fin de ligne — le système déclare une pièce bonne ou rebutée : ce n'est pas un composant de sécurité de la machine. Hors annexe I. C'est le cas de la grande majorité des déploiements de vision qualité en mécanique.
Modèle qui commande un organe de sécurité — arrêt d'urgence, verrouillage d'accès, autorisation de cycle : là, l'IA devient un composant de sécurité au sens du règlement machines (UE) 2023/1230, applicable à partir du 20 janvier 2027. Annexe I, échéance 2 août 2028, avec évaluation de conformité par organisme notifié.
C'est précisément sur cette frontière que la redéfinition apportée par l'Omnibus doit être relue. Voir notre analyse contrôle qualité par vision IA.
Maintenance prédictive
Qualification : Hors annexe III dans une usine de production standard.
L'annexe III vise les composants de sécurité dans la gestion et l'exploitation d'infrastructures critiques : eau, gaz, chauffage, électricité, trafic routier, infrastructure numérique critique. Une usine de mécanique, de fonderie ou d'assemblage n'entre pas dans cette définition.
Exception : si vous êtes vous-même opérateur d'un réseau énergétique ou d'eau, ou opérateur d'importance vitale, la qualification change. À vérifier au cas par cas — voir maintenance prédictive en usine.
Tri de candidatures, évaluation, affectation de tâches
Qualification : Annexe III, point 4 — emploi, gestion de la main-d'œuvre et accès à l'emploi indépendant.
C'est le piège numéro un pour un industriel. Le risque réglementaire n'est pas dans l'atelier, il est au service RH. Sont visés : le tri et le filtrage de candidatures, les décisions de promotion ou de rupture, l'attribution de tâches sur la base du comportement ou de traits personnels, et le suivi ou l'évaluation des performances des salariés.
Un outil de tri de CV acheté sur étagère et branché sur votre boîte de recrutement vous place en position de déployeur d'un système à haut risque. Vous disposez désormais de seize mois de plus — utilisez-les. Voir IA, RH et recrutement.
Agents connectés à l'ERP : ordonnancement, achats, supply chain
Qualification : Hors annexe III tant que l'agent n'évalue pas des personnes physiques.
Un agent qui croise vos données ERP, GMAO et MES pour signaler un goulot, proposer un arbitrage d'ordonnancement ou anticiper une rupture ne relève d'aucune catégorie de haut risque. Le pilotage industriel n'est pas visé par l'annexe III.
La ligne rouge : l'annexe III vise l'évaluation de solvabilité des personnes physiques. Un scoring de fournisseurs ou de clients personnes morales reste donc hors périmètre — mais un scoring de clients particuliers y entre. Voir nos solutions agentiques et le protocole MCP.
Le vrai piège : êtes-vous déployeur ou fournisseur ?
La plupart des industriels se pensent en position de simple utilisateur. Le vocabulaire de l'IA Act est plus exigeant. Un déployeur utilise un système sous sa propre autorité ; un fournisseur le développe ou le met sur le marché sous son nom — et porte l'essentiel des obligations.
L'article 25 prévoit trois basculements. Vous devenez fournisseur si vous apposez votre marque sur un système à haut risque existant, si vous en modifiez substantiellement la finalité, ou si vous détournez un système vers un usage qui le rend à haut risque.
Conséquence directe pour un développement interne. Une ETI qui fait développer son propre outil de présélection de candidatures, même sans le commercialiser, en est le fournisseur au sens du règlement : système de gestion des risques, documentation technique, gouvernance des données, journalisation, évaluation de conformité et marquage CE. C'est un ordre de grandeur au-dessus des obligations d'un simple déployeur. C'est aussi la raison pour laquelle le choix « développer ou acheter » doit intégrer la charge réglementaire dès le cadrage, et pas six mois après.
Côté déployeur d'un système à haut risque, les obligations restent substantielles à partir de décembre 2027 : utiliser le système conformément à la notice, confier la supervision à des personnes compétentes et dotées de l'autorité nécessaire, conserver les journaux, et — point souvent ignoré en France — informer les représentants du personnel et les salariés concernés avant toute mise en service sur le lieu de travail. Sur ce dernier point, l'IA Act rejoint des obligations que le droit social français impose déjà.
Les cinq chantiers non reportables
Aucun des cinq points ci-dessous ne dépend des normes harmonisées en attente. Ce sont des travaux internes, réalisables immédiatement, et qui conditionnent tout le reste. Ils représentent des jours de travail, pas des mois.
Inventorier vos systèmes d’IA — y compris ceux que vous ne connaissez pas
Un registre unique : outils achetés, briques développées en interne, extensions IA de votre ERP ou de votre suite bureautique, et surtout les usages spontanés apparus dans les équipes. Sans cet inventaire, aucune qualification n’est possible.
Qualifier chaque système : rôle et niveau de risque
Pour chacun : êtes-vous fournisseur ou déployeur ? Le système relève-t-il de l’annexe III, de l’annexe I, ou du seul devoir de transparence ? Cette matrice est le socle de votre dossier de conformité.
Traiter la transparence — c’est dû aujourd’hui
Recenser tous les points de contact entre un système d’IA et une personne, et tous les contenus générés diffusés à l’extérieur. Puis appliquer les mentions et le marquage. C’est la seule obligation dont l’échéance est passée.
Tracer la maîtrise de l’IA de vos équipes
L’article 4 ne demande pas une certification, mais une démarche démontrable : sessions de sensibilisation, notes d’usage, points de vigilance sur les hallucinations et la confidentialité. Ce qui n’est pas tracé n’existe pas en cas de contrôle.
Sécuriser la chaîne fournisseurs par le contrat
Exiger de vos fournisseurs de solutions IA la documentation de conformité, l’identification du modèle sous-jacent, la localisation du traitement des données et l’engagement de non-conservation. Vous ne pouvez pas être conforme sur une brique dont vous ignorez ce qu’elle fait.
En résumé : qui doit faire quoi, et quand
| Cas d'usage | Qualification | Échéance |
|---|---|---|
| Assistant documentaire (RAG) | Risque limité — transparence | 2 août 2026 |
| Chatbot client / site web | Risque limité — article 50 | 2 août 2026 |
| Contenus générés publiés | Marquage lisible par machine | 2 août 2026 (grâce : 2 déc. 2026) |
| Vision qualité — conformité produit | Hors haut risque | — |
| Vision / IA — composant de sécurité machine | Haut risque, annexe I | 2 août 2028 |
| Maintenance prédictive (usine) | Hors haut risque | — |
| Agents ERP / supply chain | Hors haut risque | — |
| Tri de CV, évaluation des salariés | Haut risque, annexe III | 2 décembre 2027 |
| Maîtrise de l'IA des équipes | Tous systèmes — article 4 | Déjà applicable |
Notre lecture : structurer maintenant, sans sur-réagir
Deux réactions symétriques nous semblent également coûteuses. La première consiste à considérer que le report vide le sujet : c'est faux, la transparence est due aujourd'hui et les fonctions RH restent en haut risque. La seconde consiste à monter un dispositif de conformité lourd sur des systèmes qui n'en relèvent pas — un assistant documentaire branché sur des gammes d'usinage ne justifie ni analyse d'impact ni évaluation de conformité.
La bonne réponse est la qualification. Une matrice à jour, tenue par une personne identifiée, revue à chaque nouveau déploiement. C'est peu de travail quand c'est fait au fil de l'eau, et c'est exactement ce qui manque quand un client donneur d'ordre ou un auditeur qualité pose la question — ce qui, dans l'aéronautique et la défense, arrive déjà.
C'est aussi pourquoi nous intégrons systématiquement la qualification réglementaire à la phase de cadrage de nos projets, et non en fin de parcours. Une architecture qui conserve les données dans votre périmètre, journalise les échanges et prévoit la validation humaine aux points de décision n'est pas seulement plus sûre : elle rend la conformité documentaire presque gratuite le jour où elle devient exigible. Voir notre approche de la sécurité des données et notre article sur la gouvernance de l'IA.
Portée de cet article. Il s'agit d'une analyse technique destinée aux équipes IT et industrielles, à jour du règlement (UE) 2026/1744 au 3 août 2026. Elle ne constitue pas un conseil juridique. La qualification d'un système au regard des annexes I et III doit être validée avec votre direction juridique, en particulier lorsque l'IA intervient dans une fonction de sécurité ou dans une décision affectant des personnes.
Pour aller plus loin
- IA Act : les obligations concrètes pour une PME — la pyramide des risques et les catégories, en version pédagogique.
- IA Act et conformité des données en entreprise — l'articulation avec le RGPD.
- Cloud Act et souveraineté des données — l'autre contrainte, souvent plus structurante que l'IA Act.
- Glossaire IA — définitions de l'IA Act, du RAG, de SecNumCloud et des termes associés.
Sources
- Règlement (UE) 2026/1744 du Parlement européen et du Conseil (« Digital Omnibus on AI »), Journal officiel de l'Union européenne, 24 juillet 2026 — entrée en vigueur le 27 juillet 2026.
- Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle (IA Act), articles 4, 5, 25, 26, 50, 99 et 101, annexes I et III.
- Règlement (UE) 2023/1230 relatif aux machines, applicable à partir du 20 janvier 2027.
Qualifier vos systèmes d'IA avant décembre 2027
Notre pré-diagnostic couvre l'inventaire de vos systèmes d'IA, la qualification fournisseur/déployeur et le niveau de risque par cas d'usage — en même temps que l'identification de vos chantiers à ROI. Dix minutes pour lancer le diagnostic.