Le 2 août 2026 entrent en vigueur les obligations de transparence et de marquage des contenus de l'EU AI Act pour les modèles à usage général, avec des amendes pouvant atteindre 35 M€ ou 7 % du chiffre d'affaires mondial : ce qui s'applique dès maintenant, pas en 2027.
Tout le monde a célébré le report. Presque personne n'a lu les petits caractères. Quand Bruxelles a annoncé que les règles "à haut risque" de l'EU AI Act étaient repoussées, une bonne partie de l'écosystème a poussé un soupir de soulagement et rangé le dossier dans la case "problème de l'année prochaine". Erreur de lecture. Une analyse récente de Latham & Watkins — l'un des cabinets qui suit de plus près la régulation européenne de l'IA — fixe les dates fermes et établit clairement qu'il existe un bloc d'obligations qui, lui, n'a PAS été reporté : il entre en vigueur le 2 août 2026. Une affaire de semaines, pas d'années.
## Ce qui entre bel et bien en vigueur : la transparence et le verrou sur les GPAI
Deux rouages se mettent en marche ce 2 août. Le premier, ce sont les obligations de transparence de l'article 50 : tout système d'IA qui interagit avec des personnes doit déclarer qu'il s'agit d'une IA, et tout contenu généré ou manipulé par IA — images, audio, vidéo, texte synthétique — doit être marqué de façon lisible par machine, ce qui signifie en pratique filigrane ou métadonnées vérifiables. Il y a une nuance à ne pas négliger : pour les systèmes d'IA générative déjà présents sur le marché avant cette date, l'exigence concrète de marquage est repoussée au 2 décembre 2026. Le second rouage, c'est que la Commission européenne obtient des pouvoirs de sanction directs sur les fournisseurs de modèles à usage général (GPAI) : ces grands modèles de fondation type Claude, GPT ou Gemini sur lesquels se construit presque tout le reste. La transparence a cessé d'être une recommandation de bonnes pratiques pour devenir une obligation assortie d'une amende.
## Les chiffres qui font qu'un CFO cesse de sourire
Les amendes ne sont pas symboliques. Manquer aux obligations de transparence peut coûter jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Pour les infractions les plus graves — les pratiques interdites, comme le contenu intime non consenti ou le matériel d'abus sexuel sur mineurs généré par IA — le plafond grimpe à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Pour mesurer l'échelle : ces 7 % représentent un multiple de ce qu'autorise le RGPD lui-même, la norme qui a déjà rééduqué la moitié de la planète sur la vie privée. L'UE le dit dans la langue que comprennent les conseils d'administration : la traçabilité des contenus synthétiques n'est pas optionnelle. Pour couronner le tout, les applis "nudifier" — celles qui déshabillent des personnes avec l'IA — sont purement et simplement interdites à partir du 2 décembre 2026.
## Pourquoi le "je verrai ça en 2027" est un piège
Voici la nuance qui s'est perdue dans les gros titres. Oui, le haut risque — les systèmes d'IA dans le recrutement, le crédit, la santé ou la justice — a été reporté, et c'est bien réel : les systèmes à haut risque autonomes ont jusqu'au 2 décembre 2027, et ceux qui opèrent comme composants de sécurité de produits déjà réglementés jusqu'au 2 août 2028. Mais la transparence et la surveillance des GPAI empruntent un couloir distinct qui démarre maintenant. La confusion est dangereuse parce qu'elle fabrique un faux sentiment de calme : une startup qui déploie un chatbot ou une appli qui génère des images pour des utilisateurs européens pourrait croire qu'elle dispose de deux ans de marge, alors qu'il ne lui reste en réalité que quelques semaines pour s'assurer que son contenu est marqué et que ses utilisateurs savent qu'ils parlent à une machine. Et la norme a une portée extraterritoriale : peu importe où se trouve votre entreprise, ce qui compte c'est où se trouvent vos utilisateurs. S'il y a des Européens qui utilisent votre produit, la règle s'applique à vous.
## Le contexte : un Omnibus qui simplifie, mais ne pardonne pas
Il faut comprendre pourquoi les dates ont bougé. Ces changements font partie du paquet "Digital Omnibus" de l'UE, un effort pour simplifier la régulation numérique et résoudre le chevauchement entre l'AI Act et la législation sectorielle de sécurité qui existait déjà. C'est là l'origine du report du haut risque : désengorger, donner de l'air à l'industrie, éviter les doublons. Mais le législateur a été chirurgical : ce qu'il a repoussé, c'est la mise en conformité techniquement lourde, pas la transparence. La bonne lecture n'est pas "l'UE a relâché la pression", mais "l'UE a choisi ce qu'il fallait durcir en premier". Et elle a choisi, précisément, la traçabilité de ce que produit une machine.
## Ce que cela signifie pour ceux qui construisent avec l'IA
La leçon est inconfortable mais nette : à l'ère de l'IA générative, savoir d'où vient un contenu a cessé d'être un détail technique pour devenir une obligation légale chiffrée à huit et neuf chiffres. Marquer ce que génère une machine, prévenir que l'on s'adresse à un agent et pouvoir démontrer la traçabilité n'est plus un "nice to have" : c'est la ligne qui sépare opérer de payer. Cela atterrit directement chez quiconque publie une appli faite avec l'IA à destination d'un public européen. Chez NeuralOS, nous regardons cela avec une honnêteté totale et sans esbroufe : quand tu construis et déploies une appli avec des agents qui génère du contenu pour le public, la transparence et le marquage cessent d'être un ornement de la roadmap pour devenir une partie de la checklist "prêt pour la production". Nous ne le disons pas pour faire peur, mais parce que nous préférons que tu y penses aujourd'hui — quand marquer ton contenu coûte une décision de design — et non le 2 août, quand cela coûte déjà un pourcentage de ton chiffre d'affaires.