Le RIA et Digital Omnibus : un report qui n'exonère personne

L'IA Act avance par vagues depuis son entrée en vigueur le 1er août 2024. Le Digital Omnibus a décalé une partie essentielle de ses obligations quelques semaines avant le 2 août 2026. Un sursis ?

Le règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689, dit "AI Act") avance par vagues depuis son entrée en vigueur le 1er août 2024. Le Digital Omnibus (règlement (UE) 2026/1744), en vigueur depuis le 27 juillet 2026, en a reporté une partie essentielle quelques jours à peine avant l’échéance du 2 août 2026. Ce décalage, contesté par beaucoup, ne suspend pourtant ni les interdictions, ni les sanctions, ni l'urgence à s'y préparer pour les entreprises, les particuliers et le secteur culturel.

Confondre ces reports avec une pause générale serait une erreur.

Un calendrier par vagues, décalé mais pas suspendu

L'application du RIA s'échelonne :

• Depuis le 2 février 2025 : interdictions de l'article 5 (notation sociale, identification biométrique "en temps réel" à des fins répressives) ;
•  Depuis le 2 août 2025 : gouvernance et obligations pour l’IA à usage général, avec l'installation du Bureau européen de l'IA et des autorités nationales (en cours) ;
• Depuis le 2 août 2026 : transparence de l'article 50: signalement des chatbots, avec un sursis au 2 décembre 2026 pour le marquage des systèmes déjà en ligne. Cette obligation de transparence répond à une situation qui est loin d’être théorique. Selon une enquête FLASHS réalisée pour Hostinger les 21 et 22 juillet 2026 auprès de 1 000 Français, 59 % déclarent avoir déjà cru échanger avec un humain alors qu’ils étaient en réalité face à un assistant IA ;
• Décembre 2027 : haut risque de l'annexe III (biométrie, infrastructures critiques, emploi) et Août 2028 pour les produits déjà réglementés (dispositifs médicaux, jouets) ;
• Au plus tard le 2 août 2030 : les systèmes à haut risque déjà utilisés par une autorité publique devront être mis en conformité.

Un champ d’application qui dépasse les frontières de l’Europe

A l'image du RGPD, l'article 2 adopte une logique extraterritoriale : le RIA vise aussi tout opérateur hors UE si son système est mis sur le marché européen ou que ses sorties y sont utilisées, avec les mêmes sanctions.

La France est en retard mais n’est pas isolée

L'article 70 imposait à chaque Etat membre de notifier à la Commission, avant le 2 août 2025, ses autorités notifiantes et de surveillance du marché. Seuls 8 Etats sur 27 avaient formellement notifié les leurs à cette date.

La France est en retard car son schéma d’autorités potentielles, présenté dès septembre 2025, dépend du projet de loi DDADUE (n° 2518), voté au Sénat le 18 février 2026 mais toujours en commission à l'Assemblée.

Qui contrôle, et avec quels pouvoirs ?

Au niveau européen, le Bureau de l'IA (une fonction de la Commission et non un organe distinct) supervise les modèles à usage général et anime le Comité européen de l'IA. Il est composé d’un représentant par Etat, pour coordonner l'application du règlement.

En France, le schéma envisagé reste décentralisé :

•  La DGCCRF : point de contact unique,
•  Arcom : médias,
•  CNIL : données personnelles,
• ACPR : finance,
• avec l’appui du PEReN et de l'Anssi.

Une fois désignées, ces autorités pourront accéder à la documentation et au code source, et interdire, restreindre ou faire rappeler un système d'IA non conforme après une procédure contradictoire.

Ce que risquent les particuliers

Le public dispose de plusieurs voies de recours : réclamation de l'article 85, saisine de la DGCCRF via SignalConso, plainte CNIL pour les données personnelles ou, en dernier recours, action de droit commun en responsabilité civile (articles 1240 et suivants du Code civil). Ce recours reste le seul filet : la Commission a retiré, en février 2025, sa proposition de directive sur la responsabilité en matière d'IA, laissant peser sur la victime une charge probatoire lourde face à des systèmes opaques.

Ce que doivent faire les entreprises

Trois strates exigibles, sans seuil de taille : la maîtrise de l'IA (article 4), les interdictions de l'article 5, et pour le haut risque de l'annexe III (tri de CV, scoring de crédit, gestion de l'eau ou de l'électricité, visas), une gestion des risques et une supervision humaine dues en décembre 2027.

Les fournisseurs de modèles à usage général peuvent démontrer leur conformité via le GPAI Code of Practice ; cadre volontaire publié par la Commission le 10 juillet 2025 et déjà signé par Google, Microsoft, OpenAI, Anthropic, Amazon, IBM ou Mistral AI.

Les sanctions sont dissuasives : jusqu'à 35 M€ ou 7 % du CA mondial pour l'article 5, 15 M€ ou 3 % pour les autres manquements substantiels (dont la transparence), 7,5 M€ ou 1 % pour des informations trompeuses.

Et la culture dans tout ça ?

Depuis le 2 août 2025, l’article 53 impose aux fournisseurs d’IA une politique de respect des réserves de droits des titulaires (opt-out, article 4§3 de la directive DSM) et un résumé public des contenus d’entraînement ; les modèles déjà sur le marché avant le 2 août 2025 ont jusqu’au 2 août 2027 pour se mettre en conformité.

L’article 50 applicable depuis le 2 août 2026 (avec le sursis du 2 décembre 2026) impose que les contenus de synthèse (texte, image, audio et vidéo) soient marqués de façon lisible comme générés par l’IA. Un régime allégé spécifique est prévu pour les œuvres artistiques (article 50§4) : pour les deepfakes qui s’inscrivent dans une œuvre manifestement artistique, créative, satirique, fictionnelle ou analogue, le signalement peut figurer en générique, ou en annexe et non sur le contenu lui-même.

S'il n'y a pas de report pour la culture, la proposition de loi Darcos, avec une présomption d'utilisation des œuvres par les fournisseurs d'IA, votée à l'unanimité au Sénat, a été torpillée en séance le 11 juin 2026 par 110 amendements. Le rapport Calvez a pris le relais, avec une contribution obligatoire des fournisseurs d'IA reversée aux auteurs, sans texte fixé à ce jour.

Et maintenant, tenir le rythme face à l’accélération de l’IA

Le report du calendrier est un délai technique et non un répit stratégique. Anthropic a anticipé sans attendre. Depuis le 11 août 2026, ses modèles Claude marquent leurs textes et intègrent des métadonnées C2PA sur les images, en conformité déclarée avec l'article 50.

L’enjeu dépasse la seule mise en conformité : l’étude FLASHS pour Hostinger montre que 87 % des Français préfèrent s’adresser à un conseiller humain quand ils contactent un service client, et 99 % chez les 65 ans et plus. Le déploiement de l’IA suppose donc aussi, pour les entreprises, de préserver la confiance et la possibilité d’un recours humain.

La question n’est plus de savoir si le RIA s’appliquera, ni dans quels délais. Il s’applique dès maintenant. Reste à savoir si les organes du RIA, les autorités nationales, le Bureau de l’IA, le législateur français agiront assez vite pour récupérer leur retard.