Le report de l’AI Act : ce que devient la clause IA que vous aviez signée sur la date du 2 août 2026

Voté par le Parlement européen le 16 juin, 423 voix contre 57, approuvé par le Conseil le 29, publié au Journal officiel le 24 juillet pour une entrée en vigueur trois jours plus tard : le report de l’AI Act s’est joué en quelques semaines de l’été 2026, à six jours de l’échéance la plus attendue du texte.

La presse a titré sur le soulagement réglementaire. Les directions achats feraient mieux de relire leurs contrats.

Beaucoup de clauses IA signées en 2025 promettent une conformité « au 2 août 2026 ». Cette date ne déclenche plus les obligations haut risque. Selon sa rédaction, la clause se vide de son contenu ou survit comme engagement volontaire. Les deux cas appellent une réécriture.

Voici les quatre échéances qui comptent désormais, le sort juridique de votre clause et un modèle de rédaction indexé sur l’obligation plutôt que sur la date.

Report AI Act 2026 : ce qui recule exactement

Le recul est double. Les systèmes à haut risque « autonomes » de l’annexe III, recrutement, crédit, scoring, éducation, accès aux services publics, passent du 2 août 2026 au 2 décembre 2027. Ceux intégrés à des produits déjà réglementés, dispositifs médicaux ou machines industrielles, relèvent de l’annexe I et glissent du 2 août 2027 au 2 août 2028.

Le législateur a retenu des dates fermes. Pas le déclencheur conditionnel lié à la disponibilité des normes harmonisées que proposait la Commission européenne. Pour qui rédige un contrat, la différence est précieuse : l’échéance est connue, elle ne dépend plus des travaux de normalisation.

Un détail donne l’ampleur du texte : le même règlement modifie au passage les règles de l’aviation civile et le règlement Machines, une première pour le règlement européen sur l’IA depuis son adoption en 2024. La portée, elle, ne bouge pas : entreprises européennes comme fournisseurs étrangers dont les systèmes produisent leurs effets dans l’Union. Et côté IA, le report ne concerne que le haut risque. Le reste du cadre réglementaire suit son cours.

Les trois obligations que le report ne touche pas

Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026, sanctions comprises : signaler à l’utilisateur qu’il interagit avec une IA, étiqueter les hypertrucages. Les plafonds atteignent 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, 35 millions et 7 % pour les pratiques interdites. Un chatbot de support client externalisé entre en plein dans le champ.

La maîtrise de l’IA de l’article 4 a été réécrite, pas supprimée. L’entreprise n’a plus à garantir un niveau suffisant de formation de ses équipes, elle doit prendre des mesures pour le développer. Obligation de moyens, supervisée par les autorités nationales depuis le 3 août 2026.

Les interdictions de l’article 5 valent depuis février 2025 : notation sociale, manipulation exploitant une vulnérabilité, moissonnage d’images pour les bases de reconnaissance faciale, reconnaissance des émotions au travail. Le Digital Omnibus en ajoute une, les contenus intimes non consentis, exigible au 2 décembre 2026.

Un seul aménagement côté transparence : les systèmes de génération mis sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour le marquage de leurs contenus.

Quatre échéances à retenir pour vos contrats en cours

La frise remplace avantageusement l’ancienne date unique. Pour chaque échéance, ce qui s’applique, et qui doit s’en soucier.

Notre calendrier réglementaire de l’externalisation replace ces dates au milieu de RGPD, NIS2 et DORA, pour arbitrer les chantiers dans le bon ordre.

Clause IA datée du 2 août 2026 : deux destins possibles

Tout dépend d’une nuance de rédaction que personne ne regardait à la signature.

Premier cas, le renvoi dynamique : « le prestataire respecte les obligations applicables au titre du règlement (UE) 2024/1689 ». Au 2 août 2026, rien n’est applicable au haut risque. La clause reste valable, elle ne couvre simplement plus rien avant décembre 2027. La protection que vous pensiez avoir achetée a reculé de seize mois.

Second cas, l’engagement daté autonome : « le prestataire satisfait aux exigences des articles 8 à 15 au plus tard le 2 août 2026 ». Le report réglementaire n’efface pas cet engagement, un contrat peut imposer davantage que la loi. Votre prestataire reste tenu, sauf renégociation. Certains signeraient l’avenant de « mise à jour » un peu vite.

Entre les deux, une zone grise de formulations hybrides. Le sort exact d’une clause dépend de sa lettre et du droit applicable au contrat : l’analyse finale revient à votre conseil. Notre article sur l’AI Act appliqué aux prestataires IA détaille qui porte quelles obligations, version mise à jour du calendrier comprise.

La clause type : indexer l’obligation, pas la date

Une clause robuste survit aux reports comme aux accélérations. Le principe tient en une ligne : viser la catégorie d’obligation et sa date d’application effective, pas un jour du calendrier.

Clause type, à adapter avec votre conseil : « Le Prestataire garantit que les systèmes d’intelligence artificielle fournis ou exploités au titre du Contrat satisfont aux obligations du règlement (UE) 2024/1689 applicables à leur catégorie de risque, à la date d’entrée en application effective de chacune de ces obligations, telle que modifiée le cas échéant par tout texte ultérieur. Le Prestataire notifie au Client sous trente jours toute évolution du calendrier réglementaire affectant ses engagements et lui propose un plan de mise en conformité daté. »

Trois écarts avec la clause d’origine. La catégorie de risque remplace la date sèche. Le renvoi au calendrier « tel que modifié » absorbe les reports futurs. Et la notification sous trente jours transforme chaque évolution réglementaire en rendez-vous contractuel plutôt qu’en surprise. Nos critères de choix d’un prestataire BPO valent aussi pour tester cette maturité juridique.

Le report ne solde pas le risque contentieux

Reporter une obligation n’efface pas un préjudice. Un système de tri de candidatures biaisé, un scoring erroné, une fuite de données d’entraînement : la responsabilité civile de droit commun, le RGPD et le droit de la non-discrimination s’appliquent aux entreprises dès aujourd’hui, report ou pas.

S’ajoute une inconnue hexagonale : l’incertitude sur les autorités de contrôle françaises compétentes n’est pas levée, relève le Village de la Justice. Difficile, dans ces conditions, de répondre à la question la plus simple d’un comité de direction : qui contrôle, et à partir de quand.

Le calendrier a reculé. Le risque, lui, n’a pas bougé.

Trois gestes avant la fin du mois

Relisez la clause IA de chaque contrat de prestation actif et qualifiez-la : renvoi dynamique ou engagement daté. Cartographiez ensuite vos systèmes relevant de l’annexe III, quinze mois passent vite quand il faut bâtir documentation technique, gestion des risques et supervision humaine. Enfin, si le prestataire propose un avenant « d’adaptation au report », lisez-le comme une renégociation et ne lâchez pas un engagement daté contre un renvoi flou.

Un plan de réversibilité à jour complète le dispositif si la discussion tourne mal.

Sources et références

Cet article s’appuie notamment sur le règlement (UE) 2026/1744 publié au Journal officiel de l’Union européenne, le règlement (UE) 2024/1689 sur l’intelligence artificielle, l’analyse de Quantic Avocats sur le report des obligations haut risque, l’étude du Village de la Justice sur le risque contentieux après le report et le décryptage du nouveau calendrier par donneespersonnelles.fr.