Le bureau IA européen vient d'obtenir de vrais pouvoirs de contrôle. La plupart des entreprises n'ont rien vu passer.

Une équipe dirigeante avec qui nous avons échangé en juillet nous a dit avoir arrêté de se soucier de l'AI Act. Elle avait lu que l'échéance avait été repoussée. Les obligations liées aux systèmes à haut risque ont été décalées à décembre 2027, certaines à août 2028. Soulagement général dans la salle de réunion. Puis, le 2 août, autre chose s'est produit, qui n'avait rien à voir avec ce report.

Le 2 août 2026, la Commission européenne, via son bureau IA, et les autorités nationales ont commencé à appliquer réellement l'AI Act. Pas plus tard. Maintenant. Deux choses sont entrées en vigueur cette semaine là. D'abord, les obligations de transparence de l'article 50 : les chatbots et autres systèmes qui interagissent avec des personnes doivent indiquer qu'il s'agit d'une IA, pas d'un humain. Les deepfakes et les contenus générés par IA doivent être signalés, avec des marquages lisibles par machine pour que plateformes et utilisateurs puissent les détecter. Ensuite, le bureau IA a obtenu un vrai pouvoir de contrôle sur les modèles d'IA à usage général : demander la documentation technique, évaluer un modèle, exiger des mesures correctives, prononcer des amendes. Jusqu'à 15 millions d'euros ou 3% du chiffre d'affaires mondial pour les manquements liés aux modèles à usage général. Jusqu'à 35 millions d'euros ou 7% pour les manquements plus larges au règlement. Rien de tout cela ne concerne la classification des systèmes à haut risque, précisément la partie que l'Omnibus numérique a décalée en mai.

La plupart des entreprises ont lu "report" et en ont conclu qu'elles avaient gagné du temps. Ce qui s'est réellement passé est plus étroit et plus précis. Le report concerne la classification des systèmes à haut risque, pensée pour les algorithmes de recrutement, le scoring de crédit, les dispositifs médicaux, les infrastructures critiques. Il ne concerne pas la couche de transparence, et c'est précisément là que vivent la plupart des PME. Un chatbot de service client. Une équipe marketing qui génère des visuels produits. Un script commercial rédigé avec un LLM et envoyé comme si une personne l'avait écrit. Ce ne sont pas des systèmes à haut risque au sens du règlement. Ce sont exactement les systèmes visés par l'article 50, et le mécanisme d'application de cette couche est entré en vigueur le 2 août, pas en décembre 2027.

L'écart entre ce que pensent les dirigeants ("on a jusqu'en 2027") et ce qui est réellement opposable dès maintenant ("une partie de tout ça s'applique déjà") est le vrai risque. Pas l'amende elle même : la plupart des PME ne sont pas la première cible d'une procédure à 15 millions d'euros. Le risque, c'est de caler son calendrier de gouvernance IA sur la mauvaise échéance, et de découvrir le décalage au pire moment, pendant un contrôle ou une réclamation client.

Ce que cela change concrètement.

1. Passez en revue chaque système IA qui est en contact direct avec vos clients. Chatbots, assistants vocaux, agents conversationnels sur le site ou dans l'app. Si une personne peut raisonnablement croire qu'elle parle à un humain, c'est le premier système à vérifier, cette semaine, pas au prochain comité de direction.
2. Regardez tout ce que vous générez et publiez. Visuels produits, vidéos marketing, voix off synthétiques, avatars. L'obligation de marquage ne consiste pas à cacher que vous utilisez l'IA. Elle consiste à rendre cet usage détectable, ce qui est une exigence différente de ce que la plupart des équipes marketing s'imposent aujourd'hui d'elles mêmes.
3. Attention aux modèles: si votre stack repose sur un modèle à usage général d'un grand fournisseur (OpenAI, Anthropic, Google, Mistral), attendez vous à ce que le comportement de ce fournisseur évolue à mesure que le bureau IA exerce ses nouveaux pouvoirs. Mises à jour de modèle, garde fous supplémentaires, nouvelles demandes de documentation répercutées sur vous en tant que client. Prévoyez de la marge dans vos flux de travail pour absorber ça sans tout casser.
4. Désignez un responsable. Pas un projet, une personne. La gouvernance IA dans ce règlement n'est pas une échéance unique que l'on prépare une fois pour toutes et que l'on oublie. Elle avance par étapes, sur plusieurs années, et l'étape qui vous concerne est rarement celle qui fait les gros titres.

Cela rejoint quelque chose que l'on répète souvent dans la dimension Alignement du cadre MAKIA : la gouvernance n'est pas un jalon que l'on atteint puis que l'on oublie, c'est une discipline qui doit rester alignée sur ce qui est réellement appliqué, pas sur ce qui fait le plus de bruit médiatique.

Si l'on demandait là, maintenant, à quelqu'un dans votre entreprise si votre chatbot indique bien qu'il s'agit d'une IA, saurait il répondre tout de suite ? Cette question est un meilleur test de préparation que n'importe quelle échéance inscrite au calendrier.

À tester cette semaine

Listez tous les systèmes IA avec lesquels vos clients interagissent directement : chatbot, assistant email, agent vocal, contenu généré. Pour chacun, vérifiez en moins de 30 minutes s'il indique actuellement qu'il s'agit d'un contenu ou d'une interaction générée ou pilotée par IA. Notez les manques dans un tableau simple, avec un nom de responsable en face de chacun. C'est ça, la véritable échéance que vous avez peut être déjà dépassée.