AI Act 2 août 2026 : ce qui change concrètement pour un solopreneur IA français

Mise à jour — juillet 2026. Le paquet de simplification « Digital Omnibus sur l'IA » (procédure 2025/0359(COD) — à ne pas confondre avec 2025/0360, qui porte sur les données et la cybersécurité) a parcouru tout son chemin législatif : accord en trilogue le 7 mai 2026, première lecture du Parlement le 16 juin 2026, adoption par le Conseil le 29 juin 2026, acte final signé le 8 juillet 2026, puis publication au Journal officiel le 24 juillet 2026 — devenant le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026.

Il est désormais du droit positif : ce que nous écrivions ici au conditionnel — « nous n'écrirons pas ce report au présent tant qu'il n'est pas publié » — est levé depuis sa publication du 24 juillet 2026.

📅 L'état complet, date par date — quel article, quelle échéance, quel texte fait loi sur ce point : AI Act — ce qui s'applique vraiment le 2 août 2026. Cet article-ci répond à qui est concerné ; celui-là répond à quand.

Ce que ce texte prévoit : décaler les obligations haut risque — Annexe III au 2 décembre 2027, Annexe I (IA embarquée dans des produits réglementés) au 2 août 2028 — et ajouter une nouvelle interdiction visant les contenus intimes non consentis et le matériel d'abus sexuel sur mineurs (CSAM) générés par IA, au 2 décembre 2026. Ce qu'il ne touche pas : la transparence de l'Article 50 — §1 et §2 pour le fournisseur, §3 et §4 pour le déployeur —, qui reste au 2 août 2026. Ce n'est pas une faveur, c'est la structure du texte : cet article relève du chapitre IV, et le chapitre IV ne figure dans aucune des trois exceptions de l'art. 113 § 3 — il retombe donc sur la règle générale.

Autrement dit : le calendrier n'est pas suspendu. La fenêtre pour cartographier votre système IA, c'est maintenant. (Dates ancrées sur les sources officielles de l'UE ; version consolidée à paraître sur EUR-Lex. Vérification du statut de publication : 30 juillet 2026.)

Le 2 août 2026 (date prévue par le calendrier actuel), une partie centrale du Règlement (UE) 2024/1689 — l'AI Act — entre en application. Les obligations de transparence de l'Article 50 deviennent opposables, et les premiers contentieux nationaux vont commencer à se construire. Pour un solopreneur IA établi en France, la question utile n'est pas « est-ce que ça me concerne ? » (oui, dans la plupart des cas), mais « qu'est-ce qui s'applique précisément à mon produit, et qu'est-ce qui ne s'applique pas ? »

Cet article fait la cartographie. Il ne reformule pas le texte — il vous donne les articles à lire, le périmètre exact, et la chronologie utile. Si vous opérez un chatbot, un agent IA, un générateur de contenu ou un outil de recommandation accessible à des utilisateurs européens, vous trouverez ici les trois ou quatre obligations à traiter en priorité avant l'été.

Les trois niveaux d'usage IA, et lequel vous concerne

Avant tout, distinguez trois niveaux d'usage qui n'engagent pas les mêmes obligations. Beaucoup de solopreneurs IA confondent ces niveaux et, selon les cas, s'angoissent à tort ou se croient à tort exonérés.

Niveau 1 — usage personnel. Vous utilisez Claude, ChatGPT ou Mistral pour rédiger un courriel, traduire une recette, organiser vos vacances. Aucun lien avec une activité professionnelle. Le RGPD, dans sa dimension responsable de traitement, ne s'applique pas. L'AI Act non plus. Restent les CGU du service utilisé. Ce niveau n'est pas le périmètre AI Act.

Niveau 2 — usage professionnel pour soi-même. Vous êtes solopreneur et vous utilisez un assistant IA pour bâtir votre produit, rédiger vos courriels commerciaux, écrire votre code. Le système IA est votre outil de travail, il n'est pas exposé à vos clients. Vous restez responsable du traitement RGPD pour les données personnelles que vous traitez par ailleurs (registre Art. 30, base légale, sécurité). Vos sous-traitants IA doivent satisfaire les obligations Art. 28 et Art. 44-49 si vous leur soumettez des données personnelles. L'AI Act ne fait pas peser sur vous d'obligations de fournisseur ou de déployeur tant que vous ne mettez pas le système IA au service de tiers.

Niveau 3 — système IA mis au service de tiers. Vous intégrez un système IA dans votre produit, votre site, votre application, votre service client. Vous devenez déployeur au sens AI Act, potentiellement fournisseur si vous combinez, fine-tunez ou redistribuez un modèle. C'est ce niveau 3 qui constitue le périmètre central des obligations qui entrent en vigueur le 2 août 2026.

La règle est simple. Si vous exposez un agent IA, un chatbot, un générateur d'image, un outil de scoring ou un assistant conversationnel à des utilisateurs européens, vous êtes au niveau 3 et les obligations ci-dessous vous concernent.

L'Article 50 — le premier jalon concret

L'Article 50 est l'obligation phare du 2 août 2026. Il décline quatre obligations distinctes, et c'est utile de les lire séparément.

Article 50.1 — système conversationnel. Si votre produit met un humain en relation avec une IA (chatbot support, agent commercial, assistant), vous informez explicitement l'utilisateur qu'il interagit avec un système d'IA, sauf si c'est évident dans le contexte. La forme attendue : une mention claire, à l'ouverture de la conversation, lisible. « Vous échangez avec un assistant IA. Pour parler à un humain, cliquez ici. » C'est court, c'est suffisant.

Article 50.2 — contenu synthétique, obligation du FOURNISSEUR. Attention au sujet de cette phrase : c'est le fournisseur du système — celui qui le conçoit et le met sur le marché sous son nom — qui doit marquer les contenus synthétiques dans un format lisible par machine. Si vous utilisez un modèle tiers pour produire du contenu, ce paragraphe ne vous vise pas : il vise votre fournisseur. Si en revanche vous mettez en service votre propre système génératif, il est pour vous. Pour les images, le standard ouvert recommandé est C2PA (Coalition for Content Provenance and Authenticity), porté par Adobe, Microsoft, BBC et la plupart des éditeurs majeurs. Pour les textes longs, un avertissement textuel explicite suffit en pratique, en attendant un standard machine plus mature. À retenir : ce n'est pas le watermark invisible parfait qui est attendu, c'est la possibilité technique de détecter la provenance.

Article 50.3 — catégorisation biométrique et reconnaissance d'émotion. Si votre produit identifie ou catégorise des personnes à partir de données biométriques (visage, voix, comportement), vous informez les personnes concernées. Et certains usages sont interdits Art. 5 (reconnaissance d'émotion en milieu professionnel ou éducatif notamment) — ce qui peut rendre votre produit illégal indépendamment de l'Art. 50.

Article 50.4 — deepfakes. Si votre outil permet de générer ou manipuler un contenu (audio, vidéo, image) qui ressemble de manière trompeuse à une personne, un événement ou un lieu réel, vous divulguez explicitement l'origine artificielle. « Cette vidéo a été générée par IA » en bandeau visible suffit.

Les sanctions Art. 99 vont jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour la plupart des manquements. Pour un solopreneur, la sanction réaliste pratiquée par les autorités sera très inférieure, mais elle reste destructrice à l'échelle d'un projet seul. La CNIL a déjà sanctionné des micro-acteurs à des montants compris entre 3 000 et 50 000 euros sur le RGPD, et l'AI Act suivra une logique comparable.

Êtes-vous classé à haut risque ?

Avant de vous précipiter sur l'Article 50, posez-vous la question préalable. Votre cas d'usage tombe-t-il dans l'Annexe III de l'AI Act ? La liste est limitative et précise.

Si vous êtes dans l'Annexe III, l'Article 50 est le moindre de vos problèmes. Vous tombez sous les Articles 9 à 15 de l'AI Act — qualité des données, traçabilité, surveillance humaine, robustesse, cybersécurité — qui constituent un chantier majeur. Vous devez aussi tenir une documentation technique conforme à l'Annexe IV, qui liste 9 sections obligatoires (description générale, données utilisées, monitoring, évaluation des risques, etc.).

Pour la majorité des solopreneurs IA — chatbots, génération de contenu, agents conversationnels, outils de productivité — vous n'êtes pas à haut risque. Le périmètre opérationnel principal devient l'Article 50 + les obligations RGPD (Art. 13-14 information, Art. 30 registre, Art. 35 AIPD, Art. 28 DPA fournisseurs, Art. 44-49 transferts hors UE).

La carte des articles à traiter avant le 2 août

Si vous êtes au niveau 3 (système IA exposé à des tiers européens) et non à haut risque, voici la séquence de travail réaliste à conduire entre maintenant et l'été.

1. Annoncer la nature IA de votre système (Art. 50.1). Bandeau ou mention claire à l'ouverture. Effort réel : 1 à 3 heures de copywriting + intégration UI.
2. Marquer les contenus générés — SEULEMENT si vous êtes fournisseur (Art. 50.2). Watermark textuel ou C2PA selon le média. Effort réel : 0,5 à 2 jours d'intégration. ⚠️ Vérifiez d'abord que ça vous concerne : si vous utilisez un modèle tiers et que vous relisez vos contenus, vous n'avez rien à marquer (le § 2 vise le fournisseur, et le § 4 — deepfakes et textes d'intérêt public — prévoit une exception explicite en cas de relecture humaine assumée). Ne payez pas deux jours de développement pour une obligation qui n'est pas la vôtre.
3. Mettre à jour la notice utilisateur (RGPD Art. 13-14). Mentionner explicitement l'usage d'IA, la base légale, les sous-traitants, les transferts hors UE, le droit d'opposition. Effort réel : 1 jour avec un modèle propre.
4. Tenir un registre Art. 30 si vous traitez des données personnelles à grande échelle ou des catégories particulières. Effort réel : 4 à 8 heures pour la première version, ensuite c'est de la maintenance.
5. Conduire une AIPD (RGPD Art. 35) si votre traitement est à risque élevé (large échelle, IA, données sensibles). À faire signer par un DPO — interne ou délégué. Effort réel : 2 à 5 jours selon complexité, plus le temps du DPO.
6. Signer un DPA avec chaque sous-traitant IA (RGPD Art. 28) — votre fournisseur LLM, votre cloud, votre vector store, votre éditeur de mailing. Effort réel : quelques heures par fournisseur si vous utilisez leurs modèles standards.
7. Conduire un Transfer Impact Assessment pour tout sous-traitant hors UE (RGPD Art. 44-49) — typiquement OpenAI, Anthropic, Google. Effort réel : 1 à 2 jours par fournisseur.

C'est un volume réel mais pas insurmontable. Le total réaliste pour un solopreneur méthodique : 2 à 4 semaines à temps partagé, à condition d'avoir un cadre de référence à appliquer plutôt que de lire les textes ligne à ligne.

Le calendrier complet de l'AI Act

L'Article 50 est le point d'entrée prioritaire, mais le texte continue de se déployer après. Voici les jalons utiles à connaître.

Lecture de la colonne « statut ». Les trois dernières lignes dépendent du « Digital Omnibus sur l'IA », devenu le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Elles sont donc, elles aussi, du droit applicable — ce qui n'était pas le cas lors de la première rédaction de ce tableau.

Les quatre mois de sursis sur le marquage, et ce qu'ils ne couvrent pas. Le marquage lisible par machine de l'art. 50(2) bénéficie d'une période transitoire jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août — les lignes directrices de la Commission sur l'article 50 (C(2026) 5054 final, 20 juillet 2026) le décrivent à leur point 153. Elles sont non contraignantes et décrivent le règlement modificatif : sa publication au Journal officiel fera foi. Attention à ce que ce sursis laisse dehors : il ne porte que sur le marquage. Un système à la fois interactif et génératif — un chatbot qui produit du contenu, donc la majorité des produits de solopreneurs — doit satisfaire dès le 2 août 2026 l'obligation d'informer l'utilisateur qu'il parle à une IA (art. 50(1)). Les quatre mois ne s'appliquent pas à ça.

Si vous n'êtes pas à haut risque aujourd'hui mais que votre produit pivote vers un usage Annexe III dans 12 mois (recrutement, scoring, services essentiels), planifiez le chantier dès maintenant — c'est un effort de plusieurs mois, pas une option qu'on active du jour au lendemain.

Le piège du « je ne fais que l'API »

Une confusion fréquente. « Je consomme l'API Mistral / OpenAI / Anthropic — c'est eux le fournisseur, pas moi. » En partie vrai, en partie faux.

• Eux sont fournisseurs du modèle. Ils assument les obligations GPAI Art. 51-55 (déjà applicables depuis août 2025).
• Attention au rôle exact. Si vous utilisez le modèle d'un tiers dans vos propres outils, vous êtes déployeur ; si vous construisez un système IA et le mettez en service sous votre nom, vous en devenez fournisseur — et les deux rôles n'ont pas les mêmes obligations. Le déployeur ne doit, au titre de l'Article 50, que le § 3 (reconnaissance d'émotions, catégorisation biométrique) et le § 4 (deepfakes + textes publiés pour informer le public sur des sujets d'intérêt public, sauf relecture humaine assumée). En revanche, le RGPD s'applique à vous dans tous les cas, dès que vous traitez les données de personnes situées dans l'Union — et c'est souvent là que se trouve le vrai sujet.

Et si vous fine-tunez le modèle, ou si vous le redistribuez sous votre marque, vous devenez aussi fournisseur au sens AI Act, avec un cumul d'obligations. Vérifiez avec attention ce que vous faites précisément — un fine-tune léger LoRA sur quelques milliers d'exemples peut déjà vous mettre dans cette catégorie.

Comment EuTrustedIA outille la mise en conformité

EuTrustedIA documente la conformité AI Act + RGPD pour les solopreneurs et startups EU < 50 personnes. Le scanner POSITRONIA-CORE audite votre stack en local (votre code ne sort jamais de votre machine), produit l'AIPD pré-remplie, le registre Art. 30, la fiche Article 50, et identifie les obligations qui s'appliquent réellement à votre cas. Les livrables sont revus et signés par un expert vérifié de l'Annuaire EuTrustedIA (DPO délégué, avocat tech, consultant AI Act) — nous documentons, nous ne certifions pas.

Pour commencer : la checklist 25 points standalone PDF est gratuite. Le Framework EUDAI v1 (143 KB, CC BY-NC 4.0) cartographie les 5 piliers en profondeur. Les abonnements démarrent à 25 €/mois HT (plan SOLO, 5 scans POSITRONIA-CORE inclus).

Cet article est un article de blog éditorial. Il ne constitue pas un avis juridique individualisé. Pour une analyse adaptée à votre cas, consultez un DPO ou un avocat tech. Sources : Règlement (UE) 2024/1689 (AI Act), Règlement (UE) 2016/679 (RGPD), version consolidée EUR-Lex.

Rédaction aidée par IA Claude Opus 4.7 (Anthropic) — transparence volontaire, dans l'esprit de l'AI Act. Production éditoriale et validation factuelle 100 % humaines, Laurent SOUHY, EuTrustedIA.