Calendrier de l’AI Act : les dates clés et ce qu’elles changent

Le calendrier de l’AI Act ne tient pas en une date. Il en compte huit, étalées du 1er août 2024 au 2 août 2028, et quatre d’entre elles sont issues d’une révision adoptée à l’été 2026. Pourtant, on lit encore partout que « l’AI Act s’applique le 2 août 2026 », ce qui est à la fois exact et trompeur.

Cet article reprend chaque échéance dans l’ordre : ce qui s’applique, à qui, et ce que vous devez avoir fait. Toutes les dates ont été relues sur les textes publiés au Journal officiel de l’Union et sur les pages des institutions européennes.

Il détaille un chapitre de notre guide complet de l’AI Act. Pour savoir dans quelle catégorie tombent vos usages, voyez notre article sur les niveaux de risque de l’AI Act.

Cet article informe. Il ne remplace pas l’avis d’un avocat sur un dossier précis.

En bref

• L’AI Act est entré en vigueur le 1er août 2024. Il s’applique par étapes, jusqu’au 2 août 2028.
• Trois paliers sont franchis : le 2 février 2025 (interdictions, maîtrise de l’IA), le 2 août 2025 (modèles à usage général, gouvernance, sanctions) et le 2 août 2026 (application générale).
• La révision entrée en vigueur le 27 juillet 2026 repousse le haut risque au 2 décembre 2027 pour les usages sensibles et au 2 août 2028 pour les produits.
• Prochaine échéance : le 2 décembre 2026, avec deux interdictions nouvelles et la fin du délai de marquage des contenus générés.
• Verdict : le report ne touche que le haut risque. Pour une entreprise qui utilise l’IA, l’essentiel des obligations s’applique déjà.
• Pour mettre vos équipes à niveau : notre formation à l’IA générative, à caler sur ces échéances.

Calendrier de l’AI Act : la vue d’ensemble

Un règlement européen a deux dates de naissance. Il entre en vigueur, puis il devient applicable. Entre les deux, le texte existe mais n’oblige encore personne.

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024, vingt jours après sa publication. Son article 113 fixe ensuite une date d’application générale, le 2 août 2026, et une série d’exceptions : plus tôt pour les sujets jugés urgents, plus tard pour les obligations les plus lourdes.

Deux mots reviendront dans tout l’article. Le fournisseur conçoit un système d’IA et le met sur le marché. Le déployeur l’utilise dans un cadre professionnel : c’est presque toujours votre cas.

Le tableau donne le calendrier tel qu’il se lit aujourd’hui, dans la chronologie de la Commission européenne et dans les questions-réponses de la CNIL, mises à jour le 17 août 2026.

D’où viennent ces dates : de la proposition de 2021 au texte de 2024

L’AI Act a mis trois ans à aboutir. D’après la chronologie du Conseil de l’Union, la Commission a présenté sa proposition le 21 avril 2021. Le Conseil a arrêté sa position le 6 décembre 2022. Parlement et Conseil ont trouvé un accord provisoire le 9 décembre 2023, et le Conseil a donné son feu vert définitif le 21 mai 2024.

Le texte a été signé le 13 juin 2024 et publié au Journal officiel le 12 juillet. Restait à l’appliquer.

Son calendrier d’origine suivait une logique simple : étaler l’application à six, douze, vingt-quatre et trente-six mois de l’entrée en vigueur. Les interdictions venaient en premier, six mois après. Les règles sur les modèles à usage général et la gouvernance suivaient, à douze mois. L’essentiel arrivait à vingt-quatre mois, dont le haut risque des usages sensibles. Les produits réglementés fermaient la marche, à trente-six mois.

Ce qui protège le plus venait tôt, ce qui coûte le plus à mettre en place venait tard. C’est cette seconde moitié que la révision de 2026 a retouchée.

Les échéances déjà passées, une par une

2 février 2025 : les interdictions et la maîtrise de l’IA

Les chapitres I et II s’appliquent depuis cette date. Le premier contient les définitions et l’article 4 sur la maîtrise de l’IA. Le second contient l’article 5, qui liste les pratiques interdites.

La Commission en comptait huit à l’origine :

• la manipulation nuisible ;
• l’exploitation des vulnérabilités ;
• la notation sociale ;
• la prédiction du risque qu’une personne commette une infraction ;
• le moissonnage non ciblé d’images pour constituer des bases de reconnaissance faciale ;
• la reconnaissance des émotions au travail et dans les établissements d’enseignement ;
• la catégorisation biométrique visant à déduire des caractéristiques protégées ;
• l’identification biométrique à distance en temps réel par les forces de l’ordre dans l’espace public.

Pour une entreprise ordinaire, une seule de ces pratiques est un risque concret : la reconnaissance des émotions de salariés ou de stagiaires. Nous passons la liste en revue dans notre article sur les pratiques interdites par l’AI Act.

L’article 4 date du même jour. Il demande aux fournisseurs et aux déployeurs d’agir pour que leur personnel sache se servir de l’IA. Sa rédaction a été assouplie en juillet 2026, mais l’obligation existe depuis 2025. Un détail compte : d’après les questions-réponses de la Commission, les autorités nationales ne la contrôlent que depuis le 2 août 2026. Notre article sur l’article 4 et le plan de formation détaille ce qu’elle implique.

2 août 2025 : les modèles, la gouvernance, les sanctions

Trois blocs sont entrés en application ce jour-là.

Le premier vise les fournisseurs de modèles d’IA à usage général, c’est-à-dire les éditeurs des grands modèles de langage. Leurs obligations de documentation et de transparence courent depuis cette date, et un code de bonnes pratiques publié par la Commission le 10 juillet 2025 leur donne un cadre pour s’y conformer. Nous détaillons ces obligations dans notre article sur les obligations des modèles GPAI.

Le deuxième vise les institutions. Les États membres devaient désigner leurs autorités compétentes et adopter leurs règles nationales de sanction. Au niveau européen, le Comité IA, le groupe scientifique et le forum consultatif devaient être en place.

Le troisième est le chapitre des sanctions, applicable depuis le 2 août 2025, à une exception près : l’article 101, qui permet à la Commission d’infliger des amendes aux fournisseurs de modèles.

Où en est la France ? Le Gouvernement a présenté son schéma de gouvernance le 9 septembre 2025, avec la DGCCRF comme coordinatrice. Le projet de loi qui doit le valider a été adopté par le Sénat le 18 février 2026. Fin septembre 2026, il était toujours en commission à l’Assemblée nationale.

2 août 2026 : l’application générale

C’est la date que tout le monde retient, et la plus mal comprise. Le règlement y devient applicable pour l’essentiel. La chronologie de la Commission lui attache trois effets.

Les règles de transparence de l’article 50 commencent à s’appliquer : un assistant conversationnel doit se présenter comme une IA, un hypertrucage doit être signalé. Notre article sur l’article 50 de l’AI Act distingue les contenus à signaler de ceux qui n’ont pas à l’être.

Les mesures de soutien à l’innovation entrent en application.

Les contrôles démarrent, enfin. Au niveau national comme au niveau européen, l’application du règlement commence pour les interdictions, la transparence, la maîtrise de l’IA et les modèles à usage général. La Commission dispose depuis ce jour de ses pouvoirs d’exécution à l’égard des fournisseurs de modèles.

Dans le texte de 2024, cette date devait aussi ouvrir le régime du haut risque pour les usages sensibles. Ce n’est plus le cas.

Le report de 2026 : ce qui a bougé, et pourquoi

Six jours avant le 2 août 2026, le calendrier a changé. Le règlement (UE) 2026/1744, surnommé omnibus numérique, est entré en vigueur le 27 juillet 2026.

Son parcours a été rapide pour un texte européen :

• 19 novembre 2025 : la Commission propose des modifications ciblées de l’AI Act ;
• 13 mars 2026 : le Conseil arrête sa position ;
• 7 mai 2026 : Parlement et Conseil trouvent un accord provisoire ;
• 16 juin 2026 : le Parlement l’approuve en séance plénière par 423 voix pour, 57 contre et 174 abstentions ;
• 29 juin 2026 : le Conseil donne son feu vert définitif ;
• 8 juillet 2026 : le texte est signé, puis publié le 24 juillet.

Le motif figure dans le considérant 40 du règlement : les normes techniques censées guider la mise en conformité des systèmes à haut risque ont pris du retard, de même que la mise en place des autorités nationales. Appliquer les règles avant les outils qui permettent de les respecter aurait mis les entreprises en difficulté.

Un point de méthode a changé entre la proposition et le texte final. La Commission voulait un calendrier conditionnel : les règles du haut risque se seraient appliquées une fois qu’elle aurait constaté la disponibilité des normes, avec un retard maximal de seize mois. Le texte adopté fixe des dates fermes, le 2 décembre 2027 et le 2 août 2028. Pour une entreprise qui planifie, c’est une bonne nouvelle : l’échéance ne dépend plus d’une décision à venir.

Quatre échéances ont été déplacées et une a été ajoutée.

Le reste n’a pas bougé. Les interdictions de 2025, les règles sur les modèles à usage général, l’application générale du 2 août 2026 et les obligations de transparence des déployeurs sont restées à leur date.

La révision ne s’est pas limitée au calendrier. Elle a réécrit l’article 4 sur la maîtrise de l’IA, étendu aux petites entreprises à moyenne capitalisation des allègements réservés aux PME et ouvert la voie à un bac à sable réglementaire au niveau de l’Union. Ces changements de fond sont présentés dans notre guide de l’AI Act. Ici, seules les dates nous occupent.

Les échéances à venir

2 décembre 2026 : deux interdictions et la fin du délai de marquage

C’est la prochaine date, et elle concerne d’abord les éditeurs d’outils génératifs.

Deux pratiques rejoignent la liste de l’article 5. La première vise les systèmes qui génèrent ou manipulent des images, des vidéos ou des sons réalistes montrant les parties intimes d’une personne identifiable, ou cette personne dans une activité sexuellement explicite, sans son consentement. La seconde vise les systèmes qui produisent des contenus pédocriminels.

Le même jour expire le délai laissé aux outils génératifs déjà sur le marché avant le 2 août 2026 pour marquer techniquement leurs sorties. Le règlement de 2026 leur avait accordé une période transitoire de quatre mois.

Ce que vous avez à faire : demander à vos éditeurs où ils en sont de ce marquage. Vos propres obligations d’étiquetage, elles, courent depuis le 2 août 2026.

2 août 2027 : bacs à sable et anciens modèles

Chaque État membre doit disposer à cette date d’au moins un bac à sable réglementaire opérationnel, c’est-à-dire d’un cadre où une entreprise teste un système d’IA sous le regard d’une autorité. L’échéance initiale était le 2 août 2026. Nous y revenons dans notre article sur le bac à sable réglementaire IA.

C’est aussi la date limite pour les modèles à usage général mis sur le marché avant le 2 août 2025 : leurs fournisseurs doivent s’être mis en conformité.

2 décembre 2027 : le haut risque des usages sensibles

C’est l’échéance la plus lourde du calendrier. Les sections 1 à 3 du chapitre III deviennent applicables aux systèmes classés à haut risque par l’annexe III. La Commission cite parmi ces domaines les infrastructures critiques, l’éducation, l’emploi et la gestion des travailleurs, les services essentiels comme le crédit, l’identification biométrique, la justice.

Le fournisseur porte la charge principale : évaluation de la conformité, marquage CE, enregistrement. Le déployeur n’en est pas quitte pour autant. Il doit utiliser le système selon sa notice, organiser un contrôle humain confié à des personnes formées, conserver les journaux au moins six mois, informer les représentants du personnel avant de déployer le système au travail et prévenir les personnes visées par une décision.

Trois questions à poser à un éditeur dès maintenant, puisque la date est ferme : le système relève-t-il de l’annexe III ? Quand sa déclaration de conformité sera-t-elle disponible ? La notice décrit-elle les mesures de contrôle humain à mettre en place ?

Notre article sur les systèmes d’IA à haut risque détaille l’annexe III domaine par domaine.

2 août 2028 : le haut risque des produits réglementés

Dernière marche. Elle vise les systèmes d’IA intégrés à des produits déjà soumis à une législation européenne de sécurité, listés à l’annexe I. La Commission donne trois exemples : les dispositifs médicaux, les jouets, les ascenseurs.

Ce sont les fabricants qui sont concernés. Une entreprise de services n’a pas à s’en préoccuper, sauf si elle utilise ce type d’équipement. Notre article sur le marquage CE des systèmes d’IA explique ce que ce régime exige.

Systèmes déjà en service : les régimes transitoires

Une date d’application ne vaut pas toujours pour ce qui existait avant elle. Le règlement prévoit plusieurs régimes transitoires, et trois méritent d’être connus.

Pour les modèles à usage général, la règle est claire : ceux qui étaient sur le marché avant le 2 août 2025 ont jusqu’au 2 août 2027.

Pour le marquage des contenus, elle l’est aussi : les outils génératifs mis sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026.

Pour les systèmes à haut risque, la règle est plus fine. L’article 111 pose un principe : un système déjà mis sur le marché ou en service avant la date de référence n’est soumis au règlement que s’il subit ensuite des modifications importantes de sa conception. La révision de 2026 a retouché cet article. Son considérant 39 précise que, si au moins une unité d’un système a été légalement mise sur le marché avant la date de référence, les autres unités du même type et du même modèle bénéficient du même délai de grâce.

Notre conseil : ne bâtissez pas votre planning sur cette tolérance. Un logiciel de recrutement acheté en 2026 sera mis à jour, reparamétré, connecté à d’autres outils bien avant 2028. Si vous comptez vous en prévaloir, lisez l’article 111 dans sa version consolidée, car ses dates ont changé avec la révision, et demandez à votre éditeur une réponse écrite.

Après 2028 : un calendrier qui prévoit sa propre révision

Le 2 août 2028 n’est pas la fin de l’histoire. L’article 112 organise des rendez-vous réguliers.

Chaque année, la Commission évalue s’il faut modifier la liste des usages à haut risque de l’annexe III et celle des pratiques interdites. Au plus tard le 2 août 2028, puis tous les quatre ans, elle examine s’il faut étendre les domaines de l’annexe III et rend compte au Parlement et au Conseil. À la même date, elle évalue le fonctionnement du Bureau de l’IA. Le 2 août 2029 au plus tard, puis tous les quatre ans, elle remet un rapport d’évaluation du règlement. Et le 2 août 2031 au plus tard, elle dresse le bilan de son application.

La leçon est pratique. Un usage classé aujourd’hui à risque minimal peut rejoindre un jour l’annexe III. Votre inventaire des usages est donc un document vivant, à relire une fois par an.

Calendrier de l’AI Act par métier : qui est concerné, et quand ?

Dans une entreprise, toutes les fonctions ne regardent pas les mêmes dates. Le tableau répartit les échéances par service. C’est notre lecture, à adapter à votre organisation.

Une ligne vaut pour tout le monde : la première. La maîtrise de l’IA ne dépend ni du service ni du niveau de risque, et c’est la seule obligation qu’une entreprise puisse remplir entièrement par elle-même, sans attendre un éditeur ni une norme. Le plus simple est d’inscrire une formation à l’IA générative dans votre plan de développement des compétences et d’en garder la trace.

Notez trois rendez-vous dans votre agenda. En novembre 2026, une relance de vos éditeurs d’outils génératifs sur le marquage de leurs contenus. Au premier semestre 2027, la revue des contrats de logiciels qui touchent au recrutement, à l’évaluation des salariés ou à celle des apprenants. Et chaque année, à date fixe, la relecture de votre inventaire des usages.

Pour les ressources humaines et la formation, 2027 paraît loin. C’est trompeur. Un changement de logiciel RH se prépare longtemps à l’avance, et le contrat signé aujourd’hui courra au-delà du 2 décembre 2027.

Quatre erreurs de lecture à éviter

« L’AI Act a été reporté. » Non. Le régime du haut risque et l’ouverture des bacs à sable ont été reportés. Les interdictions, la maîtrise de l’IA, la transparence et les règles sur les modèles s’appliquent.

« Entré en vigueur » veut dire « applicable ». Non plus. Le règlement est en vigueur depuis le 1er août 2024, mais ses obligations sont arrivées par vagues. Une date d’entrée en vigueur ne dit rien de ce que vous devez faire.

« Rien ne me concerne avant fin 2027. » C’est l’erreur la plus coûteuse. Une entreprise qui utilise un assistant conversationnel est tenue par l’article 4 depuis février 2025, et par l’article 50 depuis août 2026 si elle publie des hypertrucages.

« Les dates glisseront encore, au rythme des normes. » C’était la logique de la proposition de la Commission. Le texte adopté l’a écartée au profit de dates fermes. Pour les déplacer de nouveau, il faudrait un nouveau règlement.

Une date vous concerne déjà

Le calendrier de l’AI Act se lit trop souvent comme un compte à rebours vers 2027. Notre lecture est différente. Sur huit dates, quatre sont passées, et ce sont celles qui touchent une entreprise utilisatrice : la maîtrise de l’IA, les interdictions, la transparence. Le report de 2026 a donné du temps aux éditeurs de systèmes à haut risque et à ceux qui les achètent. Il n’a rien changé au reste. La bonne question n’est donc plus « quand », mais « où en sommes-nous », et la réponse tient en un inventaire des usages et un registre des formations. Pour ce second point, les sessions de formation à l’IA générative de Proactive Academy, organisme certifié Qualiopi, donnent à vos équipes les réflexes attendus.