L'Omnibus numérique sur l'IA a déplacé les échéances qui ont fait les gros titres et laissé intacte celle qui va réellement affecter ce que vous construisez. Les obligations à haut risque ont glissé de plus d'un an. La transparence de l'Article 50 n'a pas glissé. Elle s'applique à partir du 2 août 2026, soit dans environ trois semaines, et c'est la disposition qui attrape les équipes ordinaires faisant des choses ordinaires : générer du texte, des images ou de l'audio avec un modèle et mettre le résultat devant une personne.

Le soulagement était réel, et je comprends pourquoi les équipes ont lu la couverture médiatique et se sont détendues. C'était juste un soulagement pour un problème différent de celui de la plupart d'entre nous. Si vous faites tourner un résumeur, un assistant support ou un pipeline de contenu sur Amazon Bedrock, presque rien de ce qui a été reporté n'allait jamais vous lier. Ce qui vous lie, c'est ce qui est resté.

Ce qui s'est réellement passé

Le Parlement européen a approuvé l'Omnibus numérique sur l'IA le 16 juin 2026, et le Conseil l'a adopté formellement le 29 juin 2026, clôturant la procédure législative. Il entre en vigueur ce mois-ci lors de sa publication au Journal officiel. C'est donc du droit établi, pas une proposition à surveiller.

Ce qui a changé :

  • Les systèmes à haut risque de l'Annexe III (autonomes) passent du 2 août 2026 au 2 décembre 2027.
  • Les systèmes à haut risque de l'Annexe I (intégrés dans des produits réglementés) passent du 2 août 2027 au 2 août 2028.
  • Une nouvelle interdiction visant les systèmes générant des images intimes non consenties et du CSAM, ou dépourvus de garanties raisonnables contre cela, s'applique à partir du 2 décembre 2026.

Ce qui n'a pas changé : les obligations de transparence de l'Article 50 s'appliquent toujours à partir du 2 août 2026.

La confusion à éviter

Deux dates distinctes du 2 août font beaucoup de dégâts dans les discussions internes en ce moment, alors soyez précis sur celle dont chacun parle.

Le 2 août 2025 était la date GPAI. Les obligations sur les fournisseurs de modèles d'IA à usage général, Articles 51 à 56, sont en vigueur depuis près d'un an. Elles s'appliquent à qui fournit le modèle. Si vous appelez des poids d'Anthropic, de Meta ou de Mistral via Bedrock, vous n'êtes pas le fournisseur GPAI, et cette date n'a jamais été la vôtre.

Le 2 août 2026 est la date de transparence, et elle s'applique aux fournisseurs et déployeurs de systèmes d'IA. C'est vous. Construire une fonctionnalité sur le modèle de quelqu'un d'autre fait de vous un fournisseur du système que vous avez construit, et le faire tourner fait de vous un déployeur. Aucun de ces rôles n'a été reporté.

J'ai assisté à plus d'une réunion où « le truc de l'AI Act, c'est déjà arrivé en août dernier » et « l'AI Act a été repoussé à 2027 » ont été dits à vingt minutes d'intervalle, et les deux intervenants avaient partiellement raison, ce qui est le pire genre de désaccord possible.

Ce que demande l'Article 50

Quatre obligations, plus étroites et plus mécaniques que ne le laisse penser le discours ambiant.

50(1) : dire aux gens qu'ils parlent à une machine

Si un système interagit directement avec des personnes, elles doivent être informées qu'elles interagissent avec un système d'IA, sauf si c'est évident dans le contexte pour une personne raisonnablement attentive. Un widget de chat étiqueté « assistant IA » est réglé. Un assistant doté d'un prénom humain, déposé dans une file de support et jamais annoncé comme tel, ne l'est pas.

50(2) : marquer les sorties synthétiques de façon lisible par machine

C'est celle qui contient de l'ingénierie. Les fournisseurs de systèmes générant de l'audio, de l'image, de la vidéo ou du texte synthétiques doivent marquer les sorties dans un format lisible par machine, détectable comme générées ou manipulées artificiellement. Pas une étiquette visible pour les humains : un marquage qu'une machine peut détecter, ce qui en pratique signifie des métadonnées de provenance comme C2PA pour les images, du filigranage là où c'est applicable, et une approche documentée pour le texte, où l'état de l'art est honnêtement plus faible que ne le laisse penser la rédaction du texte. L'Article 50(2) demande que les solutions de marquage soient, dans ses propres termes, efficaces, interopérables, robustes et fiables dans la mesure où c'est techniquement possible, et cette dernière clause porte un poids réel pour le texte.

Il y a un détail transitoire à connaître, et c'est le seul endroit où l'Omnibus a touché à l'Article 50 : les systèmes qui génèrent du contenu synthétique et qui étaient déjà mis sur le marché avant le 2 août 2026 obtiennent jusqu'au 2 décembre 2026 pour l'obligation de marquage lisible par machine. Un sursis de quatre mois, uniquement pour les systèmes existants. Tout ce que vous livrez après le 2 août est dans le champ dès le premier jour. Si vous lisez cela comme un répit, notez que cela achète quatre mois pour les systèmes déjà livrés et rien pour la roadmap.

50(3) : reconnaissance d'émotions et catégorisation biométrique

Les déployeurs doivent informer les personnes exposées. Si cela vous concerne, vous le savez déjà, et vous avez des obligations plus lourdes ailleurs dans le texte.

50(4) : deepfakes et texte d'intérêt public

Les déployeurs doivent divulguer le contenu deepfake comme généré artificiellement. Et les déployeurs qui publient du texte généré ou manipulé par IA pour informer le public sur des sujets d'intérêt public doivent aussi le divulguer, sauf si un humain l'a relu et qu'une personne en porte la responsabilité éditoriale. Cette exemption est l'indice de conception : la relecture humaine avec une responsabilité nommée est une vraie voie, pas une échappatoire.

Ce que cela signifie si vous construisez sur Bedrock

Bedrock ne marque pas la sortie pour vous. Il n'y a pas de drapeau sur Converse qui rend votre contenu synthétique conforme, et il ne devrait pas y en avoir, parce que le marquage est une propriété de l'artefact que vous produisez et du pipeline qui le produit. AWS vous donne l'inférence. L'obligation s'attache au système que vous avez construit autour.

Concrètement, quatre choses :

  • Inventoriez ce que vous générez et où ça atterrit. La plupart des équipes ne peuvent pas répondre à ça en une réunion. Chaque appel de modèle qui produit du contenu montré à une personne hors de l'entreprise, plus la modalité, plus si un humain relit avant publication. L'inventaire est le travail ; la classification est généralement facile une fois qu'on l'a.
  • Attachez la provenance à la génération, pas à la publication. Si une image est produite par un modèle, marquez-la à l'étape du pipeline qui l'a produite. Marquer plus tard signifie la retrouver plus tard, et vous ne la retrouverez pas toute.
  • Écrivez votre approche pour le texte et pourquoi. Le marquage du texte est réellement non résolu. Une position documentée et défendable, utilisant la voie relecture-humaine-et-responsabilité-éditoriale là où elle s'applique, vaut mieux qu'un pari non documenté. « Techniquement possible » est une norme que vous pouvez satisfaire avec des preuves, pas avec du silence.
  • Vérifiez la divulgation que vous livrez déjà. Le travail du 50(1) est souvent déjà fait et n'a besoin que d'être confirmé. C'est la ligne la moins chère du tableau.

Pourquoi le report ne vous aide pas

L'Annexe III, c'est le scoring de crédit, le recrutement, l'accès à l'éducation, les services essentiels, l'application de la loi, la migration. Réel, mais une liste précise. Si votre produit n'y figure pas, la date du 2 décembre 2027 est une anecdote. Le modèle mental qui échoue, c'est de traiter « l'AI Act » comme une seule échéance avec une seule date. C'est un ensemble d'obligations attachées à des rôles, chacune avec sa propre horloge, et l'Omnibus a ajusté certaines horloges et pas d'autres. La vôtre n'a peut-être pas bougé du tout.

À partir du 2 août 2026, l'AI Office et les autorités nationales peuvent sanctionner les manquements aux obligations de fournisseur et de déployeur, y compris l'Article 50, jusqu'à 15 millions d'euros ou 3 pourcent du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. La capacité d'application dans les premiers mois sera limitée et personne de sensé n'attend une vague d'amendes en août. C'est une raison d'être calme, pas une raison d'être non préparé, parce que l'étape d'inventaire est la partie lente et elle n'avance pas plus vite sous pression.

Ce qu'il faut retenir

L'Omnibus numérique a reporté les obligations à haut risque à décembre 2027 et août 2028 et laissé la transparence de l'Article 50 au 2 août 2026. Les obligations GPAI s'appliquent depuis août 2025 et n'ont jamais été les vôtres. Si vous générez du contenu avec un modèle et le montrez à des personnes dans l'UE, votre échéance est à trois semaines, avec un sursis de marquage de quatre mois uniquement pour les systèmes déjà sur le marché. Inventoriez ce que vous générez, marquez-le là où vous le produisez, documentez votre raisonnement pour le texte, et divulguez le bot. C'est un projet plus petit que ne le suggèrent les gros titres, et il tombe considérablement plus tôt.

À lire ensuite

Le volet résidence des données et frontières de compte de la conformité européenne se trouve dans les notes de terrain sur ercan.cloud. Le hub est sur ercanermis.com.